第一次用Safe3是洞扫在一个客户的内网环境里。对方给了个IP段，描系说“扫扫看有没有什么明显的洞扫问题”。我当时手里没带商业扫描器，描系顺手从U盘里翻出Safe3的洞扫安装包，不到20MB，描系解压就能跑。洞扫启动后界面朴素得有点过分——没有花哨的描系仪表盘，没有实时攻击地图，洞扫就一个输入框加一个开始按钮。描系但二十分钟后导出的洞扫报告让我改了看法：三个高危SQL注入、一个后台弱口令、描系两处目录遍历，洞扫全带可复现的描系Payload。

这工具的洞扫核心定位很清楚：轻量级Web漏洞扫描。它不碰主机层漏洞，不搞端口爆破，就盯着HTTP/HTTPS流量做文章。爬虫模块会顺着链接一层层往下摸，表单、URL参数、Cookie、HTTP头，能插payload的地方基本不放过。SQL注入检测用的是基于报错的探针，配合布尔盲注和时间盲注做交叉验证，误报率控制得还行。XSS检测分反射型和存储型两条线，反射型靠Payload回显判断，存储型会尝试在留言板、评论框这类地方提交脚本再二次访问确认。

有个细节值得说。Safe3对中文环境的适配做得比不少国外工具细致。比如它内置的敏感目录字典里，/admin/、/phpmyadmin/、/dede/这些路径权重给得很高，明显是冲着国内CMS来的。再比如对GBK编码的宽字节注入有专门的检测逻辑，这点在扫一些老站的时候很管用。我拿它扫过一个用织梦2013年版本的政府站，十分钟就报了/include/common.inc.php的变量覆盖漏洞，手工验证确实能打。

不过它的问题也明显。爬虫深度默认只有三层，遇到JS动态渲染的页面基本抓瞎。SPA站点扫下来报告几乎是空的，得手动把API接口填进去。扫描速度偏慢，开了多线程也快不到哪去，一个中型站点跑完要半小时以上。误报方面，CSRF检测经常把没有Token的普通表单标红，实际上那些表单根本不需要防护。还有一点，它不支持HTTPS证书校验跳过，遇到自签名证书的测试环境会直接卡住。

配置项里有个“绕过WAF”的开关，打开后会启用一些编码变形和分块传输的技巧。实测对某云WAF有效，但会显著拖慢扫描速度。建议只在明确知道有WAF且需要测试绕过能力时开，日常扫描关掉就行。报告导出支持HTML和PDF两种格式，HTML报告里的请求响应包可以直接复制，方便丢给开发复现。PDF排版一般，表格经常串行，我一般只给客户发HTML版。

更新频率是个硬伤。官网最后一次版本更新停在几年前，漏洞库明显没跟上新出的框架漏洞。Log4j2、Spring4Shell这些它都检测不了。所以我现在把它当辅助工具用——快速摸底、内网横向、CTF比赛里扫靶机，这些场景它够用。真要出正式渗透报告，还是得上AWVS或者Xray。但话说回来，一个免费工具能做到这个程度，已经比很多收费的国产扫描器实在了。至少它不会在报告里塞一堆“疑似”“可能”“建议人工确认”来凑页数。

最后提一句部署方式。Windows下直接跑exe，Linux下需要装Mono，Docker镜像社区有人做过但官方没出。我习惯在Kali里扔一个，配合Burp的上下游代理一起用——Safe3扫出来的可疑点，手动丢到Burp Repeater里验证，效率比纯手工高不少。工具终究是工具，关键看谁用、怎么用。

(责任编辑：百科)