打开终端，网站敲下 `nmap -sV 192.168.1.100`，漏洞看到目标主机开了 80 和 443 端口，扫描跑着 Apache 2.4.49。网站这个版本有个著名的漏洞路径穿越漏洞 CVE-2021-41773，用 Kali 自带的扫描 Nikto 扫一下，果然报了异常。网站这就是漏洞 Kali 做网站漏洞扫描的日常——不是点个按钮就完事，而是扫描靠工具链一层层剥开目标的外壳。

Kali 里跟 Web 漏洞扫描相关的网站工具大概分三类。一类是漏洞信息收集，比如 WhatWeb 能识别 CMS 类型、扫描服务器版本、网站JS 库；WPScan 专门盯 WordPress，漏洞连插件版本都能扒出来。扫描另一类是漏洞探测，Nikto 属于广撒网型，一次能跑 6700 多个潜在问题检查，但误报率不低，得手动复核。还有一类是专项利用，sqlmap 测 SQL 注入，XSStrike 找 XSS，commix 试命令注入。这三类工具配合起来，才构成一条完整的扫描链。

Nikto 的实际用法和坑

Nikto 的基础命令很简单：`nikto -h http://target.com`。它会自动请求 robots.txt、常见备份文件、admin 路径，然后比对已知漏洞库。我拿 DVWA 靶场试过，默认配置下 Nikto 能扫出 `/phpinfo.php` 暴露、`/config/` 目录可列、Apache 版本过旧这几个问题。但扫真实站点时，Nikto 容易被 WAF 封 IP。这时候得加 `-Tuning` 参数调整扫描强度，或者配合代理池。另外 Nikto 不支持 POST 参数扫描，遇到登录后的功能点就无能为力了。

有个细节很多人忽略：Nikto 的 `-evasion` 参数可以用编码技巧绕过简单 IDS。比如 `-evasion 1` 会对 URI 做随机大小写变换，`-evasion 4` 用制表符替代空格。但别指望这能骗过 Cloudflare，我实测过，开了 evasion 照样 403。

sqlmap 不是万能钥匙

sqlmap 的名气太大，以至于新手拿到 URL 就直接 `sqlmap -u "http://target.com?id=1" --batch`。结果要么跑半天没动静，要么被目标封了。正确姿势是先手工测一下注入点是否存在。比如 `id=1'` 报错，`id=1 and 1=1` 正常，`id=1 and 1=2` 异常，这才值得上 sqlmap。参数上，`--level=3 --risk=2` 是比较平衡的选择，再高容易触发告警。如果目标用了 JSON 请求体，得用 `-r` 加载 Burp Suite 导出的请求文件，而不是直接 `-u`。

我遇到过一个案例：目标站是 PHP + MySQL，`id` 参数做了 `intval()` 转换，sqlmap 直接判定不可注入。但 `search` 参数是字符串拼接，`sqlmap -u "http://target.com/search.php?q=test" --dbms=mysql` 跑了两分钟就出了库名。所以扫描前先摸清参数类型，比盲目跑工具重要得多。

WPScan 和 CMS 专项扫描

WordPress 站点占了互联网的三成多，WPScan 是 Kali 里专门对付它的。`wpscan --url http://target.com --enumerate vp,vt,u` 这条命令会枚举易受攻击的插件、主题和用户。有个坑：WPScan 默认的 API Token 需要去官网申请，不填的话漏洞数据是旧的。我对比过，填了 Token 后能多扫出三个插件漏洞。

Joomla 用 joomscan，Drupal 用 droopescan，这些工具在 Kali 源里都有。但别指望它们能扫出 0day，本质还是比对已知 CVE。真正有价值的漏洞，往往藏在自定义功能里，工具扫不到。

扫描之后做什么

工具跑完出一堆报告，红色高危、黄色中危、蓝色信息泄露。我的习惯是先看信息泄露类，因为最容易验证。比如 Nikto 报 `/backup/` 目录可访问，浏览器打开一看，里面躺着 `www.zip`，下载解压拿到源码，再审计代码找注入点，比直接扫效率高十倍。另外，Kali 的 `searchsploit` 可以本地搜 Exploit-DB，把 Nikto 报的 Apache 版本号丢进去，直接找到对应的利用脚本。

最后说个真实教训：有次我扫一个客户站，Nikto 报了 200 多条，我兴冲冲整理成报告发过去。结果客户说全是误报，因为他们用了 CDN，Nikto 扫的是 CDN 节点不是源站。所以扫描前一定确认目标 IP 是不是真实源站，用 `dig` 或 `host` 查一下 A 记录，别像我一样白忙活。

(责任编辑：娱乐)