打开一个网站，网站如果URL后面跟着`/admin/`、目录`/backup.zip`或者`/.git/config`，扫描而服务器又恰好没做好访问控制，工具那基本等于把家门钥匙插在锁上还贴了张纸条。网站目录扫描工具干的目录就是挨家挨户拧门把手这件事——不撬锁，只试那些忘了锁的扫描门。

我第一次接触这类工具是工具DirBuster，Java写的网站，界面丑得离谱，目录但跑起来那种刷屏的扫描速度感很上头。后来换成了Gobuster，工具Go语言编译出来的网站单文件，扔到VPS上就能跑，目录不用装运行时。扫描再往后ffuf和feroxbuster也加入了战场。工具在变，核心逻辑没变：拿一份字典，往目标URL后面拼路径，看返回什么。

字典决定了你能看到什么

工具本身不聪明，聪明的是你喂给它的字典。Kali自带的`/usr/share/wordlists/dirb/common.txt`只有四千多条，跑小站够用，碰上目录结构深的项目就捉襟见肘。SecLists项目里的`raft-medium-directories.txt`有三万条，`directory-list-2.3-big.txt`直接飙到十二万。字典越大，跑得越久，但漏网之鱼越少。

有人喜欢用递归扫描，发现`/api/`就自动往下钻。这功能好用但危险——请求量指数级增长，目标站稍微脆弱一点就被你打挂了。我一般手动控制递归深度，或者干脆关掉，先看一级目录的结果再说。

状态码不是唯一信号

200是找到了，403是存在但禁止访问，301/302是跳转。这些都好判断。麻烦的是“软404”——服务器对不存在的路径也返回200，内容却是一个定制错误页。这时候得看响应体大小。ffuf的`-fs`参数可以过滤特定大小的响应，feroxbuster会自动做基线对比。我遇到过一台IIS服务器，所有不存在的路径都返回200加一个512字节的“页面未找到”HTML，不设过滤的话结果列表能刷出上万条垃圾。

还有更阴的：WAF。Cloudflare或者安全狗会对高频请求返回429或503。你扫得越快，被封得越早。`-t`参数控制并发线程数，默认10到50不等。对着有防护的站，降到5以下，加个`-p`延迟，反而能跑出更多结果。慢就是快，这话在扫描里成立。

几个实际场景

去年帮朋友看一个WordPress站，Gobuster跑完没发现什么特别的。换WPScan扫插件，出来一个废弃的`/wp-content/plugins/old-gallery/`，里面有个已知的文件上传漏洞。目录扫描没直接找到利用点，但确认了插件目录的存在，给后续渗透指了路。

另一次是CTF比赛。题目给了一个IP，feroxbuster扫出`/backup/`目录，里面躺着一个`db.sql`。直接下载，拿到管理员密码哈希，破解后登录后台，找到flag。整个过程不到十分钟。如果字典里没有`backup`这个词，这题就卡住了。

工具的选择上，ffuf胜在速度快、过滤灵活，适合配合Burp Suite做二次验证。feroxbuster的递归和自动过滤省心，适合新手。Gobuster中规中矩，但稳定。Dirsearch是Python写的，跨平台方便，结果输出格式也友好。

别只盯着目录

文件扩展名同样值得扫。`.bak`、`.old`、`.swp`、`.zip`、`.tar.gz`，这些备份文件经常被遗忘在服务器上。`index.php.bak`下载下来直接看源码，比黑盒测试省事得多。参数方面，`-x php,html,js,txt`让工具在每个目录名后面追加扩展名组合，命中率会高不少。

最后说一句：扫描之前确认你有授权。没授权就跑目录扫描，和挨个推别人家门没区别。工具无罪，用法有边界。