Kali Linux 快速定位网页漏洞：别瞎扫，快速先看这五个地方

很多人打开Kali就急着跑Nikto或者WPScan，网页对着目标一顿狂轰滥炸，漏洞结果输出几百行告警，快速真正能用的网页没几条。我见过最离谱的漏洞案例，一个朋友扫了某政府网站，快速报告里全是网页“潜在SQL注入”，结果手工一测，漏洞全是快速WAF的蜜罐响应。漏洞扫描不是网页火力覆盖，是漏洞外科手术。

真正快的快速路子，是网页先用浏览器打开目标站点，按F12。漏洞对，就这一步。看Network面板里加载的JS文件、API接口路径、以及响应头里的Server字段。八成漏洞线索都藏在静态资源里——比如某个`/api/v1/user/info`接口没做鉴权，或者某个`.min.js`文件里硬编码了测试密钥。Kali自带的Burp Suite这时候比任何扫描器都管用，挂上代理点几个页面，把请求丢给Repeater改参数试错，比跑全量扫描快十倍。

然后说目录爆破。别用Dirb默认字典，那玩意儿对现代框架没用。直接上`ffuf`配合`SecLists/Discovery/Web-Content/raft-large-files.txt`，同时用`-mc 200,301,401`过滤状态码。记得加`-t 50`线程，但要盯着响应时间——如果目标服务器开始返回429或延迟飙升，立刻降速。有次我拿这个法子，五分钟就翻出一个`.git/config`泄露，顺着扒出源码里的数据库密码。

参数污染是个被低估的点。很多站点对`?id=1`防护严密，但改成`?id=1&id=2`或者`?id[]=1`就漏了。Kali里用`Arjun`这个工具，它能自动探测隐藏参数，比手工猜省力得多。装上后直接`arjun -u http://target/page.php`，跑完它会告诉你哪些参数是后端真正读取的——这些往往就是注入点或者逻辑漏洞的入口。

别忘了看robots.txt和sitemap.xml。这俩文件不是摆设，很多运维会把后台入口、暂存文件路径写在里面。用`curl`拉下来，再配合`grep -E "admin|backup|test|api"`过滤关键词。去年我接了个众测项目，目标是个电商站，robots.txt里明晃晃写着`Disallow: /backup_2023.zip`，下载解压后直接拿到全套配置文件。

最后说个土办法，但巨好用——看页面源码里的注释。开发者经常把TODO、FIXME、甚至数据库连接信息写在HTML注释里。用`curl -s http://target | grep -i "todo\|fixme\|password\|token"`，配合`-o`存成文件再慢慢翻。别笑，真有人把AWS密钥贴在``后面。

工具只是加速器，思路才是核心。最快的路径永远是：先手工摸清站点结构，再用脚本精准打击，最后用扫描器兜底验证。别让Kali替你思考，它只是个工具箱——真正的漏洞猎人，靠的是对HTTP协议和业务逻辑的直觉。