Nikto 扫一个没打补丁的使用扫描 WordPress 站点，屏幕上能瞬间蹦出四十多条告警——不是洞扫它有多神，而是描工它太“啰嗦”了。这个用 Perl 写的具对进行命令行工具，二十多年了还在更新，网站靠的使用扫描就是一股子蛮劲：把几千个已知的、可疑的洞扫、甚至只是描工“看起来不太对劲”的路径和文件挨个请求一遍。你拿它扫自己的具对进行站，感觉像请了个嘴碎但眼尖的网站老保安，绕着你家围墙走一圈，使用扫描哪块砖松了、洞扫哪扇窗没关严，描工他都要喊一嗓子。具对进行

装它很简单。网站Kali 里自带，其他 Linux 发行版 apt install nikto 或者 yum install nikto 就完事。Windows 用户稍微折腾点，得先有 Perl 环境，再下源码包解压运行。但真到用的时候，大部分人会卡在第一步——直接 nikto -h http://target.com 扫出去，结果被 WAF 封了 IP，或者扫出来一堆误报，看着头疼。

我习惯先加几个参数再动手。-h 指定目标，-p 指定端口，-ssl 强制走 HTTPS，-Tuning 用来筛选测试类型。比如只想看有意思的，就 -Tuning 123bde，把文件上传、注入、命令执行这些高风险项挑出来。要是目标站响应慢，-timeout 调大点，别让 nikto 等三秒就判人家死刑。

有一次帮朋友看一个电商站，nikto 跑完第一屏就跳出 /backup/ 目录可列。点进去一看，整个数据库的 SQL 备份文件躺在那儿，日期是三天前。朋友脸都白了。这不算什么高级漏洞，就是运维图省事，把备份扔 web 根目录下，连个 .htaccess 都没加。Nikto 的数据库里存着几千条这种“经典失误”的路径，它不管你网站用什么框架，先挨个试一遍再说。

但你也别全信它。Nikto 的误报率不低。比如它看到 Server: Apache/2.4.29 就报“可能受 CVE-2017-15715 影响”，其实人家早打了补丁。又或者它请求 /phpMyAdmin/ 返回 200，就标成“发现 phpMyAdmin”，可那可能只是个自定义的 404 页面。我一般会拿返回的 Server 头、X-Powered-By 跟实际指纹对一下，再手动 curl 几个可疑路径看看响应体。机器扫一遍，人眼过一遍，这才算完。

速度也是个问题。默认配置下，nikto 对一个中等规模的站扫完要十几分钟。它每个请求之间还带点延迟，怕把人家打挂。你可以用 -maxtime 限制总时长，或者 -until 让它在遇到某个条件时停。我通常挂 -nointeractive 和 -output 把结果写到文件里，然后去干别的。回来翻报告，重点看那些带 + 号的条目——那是它认为“确定有问题”的，- 号的基本是信息提示，! 号是潜在风险。

扫描结果里最烦人的是那种“OSVDB”编号。老版本 nikto 引用大量 OSVDB 条目，那库早就不维护了，很多编号点进去是死链。新版本已经在往 CVE 和自定义描述上转，但历史包袱还在。看到 OSVDB-XXXX 别慌，先搜一下对应漏洞的实际影响版本，再决定要不要处理。

最后说个实际场景。你拿 nikto 扫自己的站，扫出一堆 /admin/、/login/、/wp-admin/ 的 200 响应。别急着改。先确认这些页面是不是真的该暴露——有的后台本来就该能访问，只是需要强密码和二次验证。Nikto 只告诉你“这里有个门”，门锁没锁、锁结不结实，它不管。你得自己推一下。

工具终究是工具。Nikto 适合做第一轮快速排查，把那些明面上的、低垂的果实摘掉。真正复杂的逻辑漏洞、权限绕过，它扫不出来。但话说回来，一个连 nikto 都扛不住的站，大概率也扛不住真人攻击。先让它闭嘴，再谈别的。

(责任编辑：时尚)