去年冬天，网站我帮一个做电商的漏洞朋友看他的服务器日志。凌晨三点，扫描访问记录里突然冒出一串奇怪的入侵请求——全是`/admin/../../etc/passwd`这种路径。他问我这是工具不是有人在“黑”他。我说对，网站而且用的漏洞工具大概率是AWVS或者Nikto，连伪装都没做。扫描

网站漏洞扫描入侵工具，入侵名字听着挺唬人，工具其实分两类。网站一类是漏洞扫描器，像Acunetix、扫描AppScan、入侵OWASP ZAP，工具它们干的事是“敲门”——挨个测试URL参数、表单字段、HTTP头，看有没有SQL注入、XSS、文件包含。另一类是入侵工具，比如sqlmap、Metasploit、BeEF，它们干的事是“撬锁”——扫描器发现门没关严，它们就进去翻抽屉。两者经常配合用，但法律边界完全不同。扫描自己的站，合法；扫别人的站，哪怕只是探测，也可能触犯《网络安全法》第27条。

扫描器怎么“敲门”

拿AWVS举例。你输入一个域名，它先爬取所有链接，然后对每个参数注入测试载荷。比如一个登录框，它会尝试`' OR 1=1 --`，看返回页面有没有数据库报错。有报错，说明可能存在SQL注入。接着它换时间盲注载荷，`' AND SLEEP(5) --`，如果服务器响应延迟5秒，漏洞坐实。整个过程自动化，几分钟跑完几千个请求。我见过最夸张的一次，AWVS把一台老式IIS服务器的CPU跑到100%，因为它在疯狂发请求测目录遍历。

Nikto更粗暴。它不爬站，直接拿一个内置的漏洞特征库去匹配。比如请求`/phpmyadmin/`，看返回200还是404；请求`/server-status`，看有没有暴露Apache状态页。速度快，误报也高。有次我扫一个静态博客，Nikto报了17个“漏洞”，其中15个是它自己猜的路径不存在但返回了自定义404页面。

入侵工具怎么“撬锁”

sqlmap是绕不开的。你给它一个带参数的URL，比如`http://test.com/news.php?id=1`，它先判断注入类型——布尔盲注、时间盲注、报错注入还是联合查询。判断完，它开始猜数据库名、表名、列名，最后拖数据。整个过程有进度条，像下载文件一样。我实测过，一个没做任何防护的MySQL 5.7站点，sqlmap从探测到拖出admin表的用户名密码，用了不到四分钟。密码是MD5，它还能调hashcat接着爆破。

Metasploit更像一个武器库。扫描器告诉你“这里有个Struts2漏洞”，Metasploit里搜`struts2`，找到对应exploit模块，设置RHOST和RPORT，run。运气好直接反弹一个shell。运气不好，目标打了补丁，模块失效。我见过有人拿MS17-010（永恒之蓝）去扫公网IP段，一晚上拿下几十台Windows Server 2008，全是没打补丁的。那会儿勒索病毒还没爆发，后来WannaCry一出，这批机器全废了。

工具背后的现实

这些工具本身不违法。安全工程师拿它们做渗透测试，甲方授权，签合同，出报告。但总有人拿去扫别人的站。我观察到一个现象：很多被入侵的站，漏洞其实特别低级——后台弱口令admin/123456，或者上传接口没做类型校验，直接传个.php文件就能执行。扫描器一抓一个准。工具越强，暴露的问题越基础。就像用一把万能钥匙去开一扇没锁的门，门本身才是问题。

最后说个细节。有次我用ZAP扫自己的测试站，它报了一个XSS漏洞。我手动验证，发现输入``确实弹窗了。但那个参数只在前端JS里拼接，后端没存库。也就是说，只有攻击者自己能看到弹窗，属于DOM型XSS，危害有限。扫描器不管这些，它只看“有没有弹”。所以工具给的报告，得人来看。机器判断漏洞，人判断风险。这行干久了，你会觉得工具像一把尺子，量得出长度，量不出重量。