内容摘要：nikto，这个词第一次出现在我眼前时，我盯着屏幕愣了三秒。那时候刚接触安全工具，前辈甩过来一条命令，里面赫然写着“nikto -h target.com”。我下意识读成“尼克托”，对方噗嗤一声笑出来

nikto，这个词第一次出现在我眼前时，我盯着屏幕愣了三秒。那时候刚接触安全工具，前辈甩过来一条命令，里面赫然写着“nikto -h target.com”。我下意识读成“尼克托”，对方噗嗤一声笑出来，说那是“尼克偷”。后来才知道，这名字源自一部老电影《午夜牛郎》里的角色，一个叫Nikto的配角——一个有点笨拙但执着的家伙。工具的作者大概觉得，这名字配这个扫描器，挺合适：笨拙地、执着地，把目标网站翻个底朝天。

发音这事，其实没那么玄乎。英文里“Nikto”就是“尼克托”，重音在第一个音节，“Ni”发短音，像“nick”的“ni”，后面“kto”连着读，别停顿。日语里它写作“ニクト”，读出来也是“尼库托”，但英语世界的人基本都按“尼克托”叫。你非要用原作者的斯拉夫口音读“尼克托夫”，也没人拦你，但大概率会被同行当成在念某个俄罗斯诗人的名字。

工具本身倒比发音有意思得多。nikto是个Web服务器扫描器，老牌，开源，Perl写的，1999年就出生了。它干的活很直白：对着目标网站发一堆恶意请求，检查有没有危险的CGI文件、过期的软件版本、配置不当的服务器头。换句话说，它像个拿着手电筒的保安，专门照网站那些没锁好的后门。但它的“笨拙”也出名——误报率不低，扫出来的东西十有七八是虚惊一场。可这不妨碍它成为安全测试者的标配，因为它的数据库很全，更新也勤快，能覆盖大量已知漏洞特征。

我记得第一次正经用nikto，是给一个朋友的电商站做排查。那站用的Apache版本老得掉牙，nikto扫了不到两分钟，就报出“mod_ssl漏洞，可能允许远程代码执行”。朋友脸都绿了，赶紧去升级。那一刻我忽然觉得，发音准不准根本不重要，关键是你知道这工具能干什么，以及它什么时候会骗你。

很多人纠结读音，是因为怕在技术讨论里露怯。其实大可不必。安全圈子里的人，什么怪名字都见过——什么“hydra”“metasploit”“burp suite”，发音五花八门，连官方自己都懒得统一。你只要说出“nikto”，对方就懂。真要较真，去听一下工具作者在演讲里的念法，或者直接看官方wiki上的注音——“NIK-toh”，就这么简单。

顺带说一句，这工具还有个彩蛋：扫描时加“-list-plugins”参数，会看到一堆插件名，其中有个叫“nikto_headers”的，专门检查HTTP响应头。我偶尔会拿它来逗新同事，说“你看，nikto连自己的名字都能扫出漏洞来”。其实那插件就是检查服务器有没有泄露“X-Powered-By”之类的信息，跟名字没半点关系。

所以，下次再有人问你nikto怎么读，你就大大方方回他：“尼克托，工具名，扫网站的。”要是他追问“为什么叫这名字”，你可以把《午夜牛郎》那个角色搬出来，顺便补一句：“那家伙在电影里最后挺惨的，但这工具不会——它只会把目标网站搞得有点惨。”