打开一个网站，描工背后可能藏着几十个没关的描工调试接口、几个版本过时的描工JavaScript库，甚至一个能直接下载数据库备份的描工路径。web扫描工具干的描工就是把这些东西翻出来的活。它不是描工黑客电影里那种按个按钮就能攻破系统的神器，更像一把梳子，描工把目标站点的描工头发一根根梳开，看看里面有没有虱子。描工

我第一次接触这类工具是描工几年前帮朋友看他的小电商站。他总觉得后台有人偷偷登录，描工但查日志又看不出毛病。描工我用了一款开源的描工扫描器，跑了一个小时，描工结果出来一个 /backup/db_2021.sql 的描工路径，直接能下载。文件里有全部用户表和密码哈希。他当时脸都白了。那会儿我就明白，扫描工具的价值不在于“攻击”，而在于把那些开发时偷懒留下的口子暴露给该看到的人。

市面上工具分几类。一类是爬虫加规则匹配，像 Nikto、WPScan，针对特定CMS或者通用漏洞库做检查。它们速度快，但误报也多。另一类是动态扫描，比如 Burp Suite 的主动扫描模块，会尝试注入Payload，看响应变化。这类工具更准，但流量大，容易把小型站点打挂。还有一类是纯被动监听，像 OWASP ZAP 的代理模式，只记录你浏览时产生的请求，不主动发包。适合生产环境，但覆盖不全。

选工具得看场景。给客户做渗透测试，我习惯用 Nuclei 打头阵。它基于YAML模板，社区更新快，一个命令能跑几千个检查项。缺点是模板质量参差不齐，有些检测逻辑写得粗糙，会把正常返回当成漏洞。这时候就得手动验证。有次扫出一个“SQL注入”，我手工测了半天，发现只是页面在参数里回显了错误信息，根本没拼接查询。工具报喜不报忧是常态。

另一个坑是扫描频率。很多人拿到工具就开最大线程，结果目标站点的WAF直接把IP封了，或者数据库连接池被打满。我一般先跑低速扫描，观察响应码和延迟。如果发现 429 或者 503 增多，立刻降速。扫描不是DDOS，目的是拿数据，不是搞破坏。

还有一点常被忽略：扫描工具本身也会过时。比如 AWVS 的某些版本对React、Vue这类前端框架的路由识别很差，扫出来的结果全是误报。你得定期更新插件库，或者干脆换工具。我现在的做法是组合使用：Nuclei 做广度，Burp 做深度，再写几个Python脚本处理特定逻辑，比如JWT弱密钥检测。工具是死的，思路是活的。

最后说个真实案例。某次授权测试一个政府站，扫描器报了一个 /api/v1/user/list 未授权访问。我手动请求，返回了空数组。看起来没问题。但把请求方法从GET改成POST，带上 { "page":1,"size":1000}，直接吐出了三万条用户记录。工具只检查了GET，没试POST。所以别迷信扫描结果，它只是起点。真正的漏洞往往藏在工具没覆盖的角落里，等着人去点一下、改一下、想一下。