Safe3 Web漏洞扫描系统：一次真实的应急响应记录

凌晨两点，客户发来一条截图。描系网站首页被挂了一个eval($_POST['cmd'])的洞扫后门，路径藏在/upload/cache/1.php下面。描系他们自己用D盾扫了一遍，洞扫没结果。描系我打开终端，洞扫敲了python safe3.py -u https://target.com --deep --crawl 3，描系二十分钟后，洞扫报告里标红了一条：SQL注入点位于/api/v1/comment?描系post_id=，参数post_id可联合查询写入文件。洞扫攻击链完整了——先注入写shell，描系再通过上传目录执行。洞扫这不是描系Safe3第一次帮我定位到别人漏掉的入口。

Safe3 Web漏洞扫描系统，洞扫圈内人习惯直接叫“Safe3”。它不像AWVS那样界面华丽，也没有AppScan的庞大规则库。但它的爬虫逻辑很“野”——会尝试解析JavaScript里的动态接口，甚至模拟点击事件去触发隐藏的AJAX请求。我见过不少扫描器在SPA站点上直接躺平，Safe3却能顺着webpack打包的chunk文件摸到后台的/api/admin/export。这玩意儿对国内CMS的指纹识别也准得离谱，dedecms、phpcms、帝国cms的版本号经常能精确到小版本。

去年有个政府站群的项目，三十多个子站。用商业扫描器跑了一遍，报告全是“未发现高危漏洞”。我不信，换Safe3挂上代理池跑了一夜。第二天早上导出结果，七个站存在Struts2的S2-045，三个站有WebLogic的XMLDecoder反序列化。客户安全负责人盯着屏幕愣了半分钟，说“这些系统我们去年就下线了”。实际上没下线，只是藏在了反向代理后面。Safe3的--proxy参数支持socks5和http，配合--random-agent，能绕过大部分基于IP的封禁策略。

当然，它也有让人头疼的地方。误报率不低，尤其是XSS检测模块。有次扫一个Vue项目，报告里列了四十多个反射型XSS，点进去一看全是前端路由的#/片段被当成了参数。后来我养成了习惯——先跑一遍--only-poc，确认高危漏洞的真实性，再决定要不要深入。另外它的报告导出功能比较简陋，HTML格式还行，PDF经常乱码。我一般直接--output json，拿Python脚本二次处理，把误报过滤掉再给客户。

“别把扫描器当圣旨，它只是个放大镜。你得知道往哪儿照。”——某次内部技术分享会上，一个做了十年渗透的哥们儿说的。Safe3就是那种能让你照到犄角旮旯的放大镜，但拿放大镜的人得懂光路。

最近一次更新是去年十月，作者加了个--waf-detect参数。实测对安全狗、云锁、阿里云WAF的识别挺准。有次扫一个站，Safe3直接提示“目标存在阿里云WAF，建议降低并发至5以下”。调低线程后果然不再返回403。这种细节，商业扫描器要么不告诉你，要么让你加钱买企业版。

如果你手头有授权测试的目标，又不想花几万块买License，Safe3值得塞进工具箱。但别指望它一键出报告就能交差。它的价值在于发现别人发现不了的入口，剩下的验证和利用，还得靠人。我电脑里那个safe3目录，从2019年到现在，每次换电脑都第一个装。不是因为它完美，而是因为它够“糙”——糙得能钻进那些规规矩矩的扫描器不愿意去的缝隙里。

对了，开头那个后门，最后确认是攻击者通过注入点写进去的。客户问怎么防，我说先把/api/v1/comment的参数化查询改了，再装个RASP。扫描器能帮你找漏洞，但补漏洞这事儿，它替不了你。

很赞哦!（8668）