web攻击工具

sqlmap跑一个注入点，击工具从识别数据库类型到拖出管理员密码，击工具熟练的击工具话几分钟搞定。这类工具把原本需要手工构造payload的击工具过程压缩成一条命令，门槛低到会敲回车就能用。击工具

Web攻击工具大致分几类。击工具扫描器负责找入口，击工具比如AWVS、击工具Xray，击工具它们爬站、击工具测参数、击工具匹配规则库，击工具把可能存在漏洞的击工具URL列出来。注入工具专攻SQLi，击工具sqlmap是击工具绕不开的名字，支持布尔盲注、时间盲注、报错注入，还能自动绕WAF。XSS方面有BeEF，它不只是弹个alert框，而是把浏览器变成受控节点，能截屏、抓键盘记录、发起内网扫描。文件上传绕过有Fuxploider，webshell管理用蚁剑或冰蝎，流量加密做得越来越隐蔽。

说个真实场景。某次授权测试，目标站有个搜索框，输入单引号页面报错。丢进sqlmap，--batch --dbs直接跑，三分钟出库名。接着--dump把users表拉下来，密码是MD5，cmd5解不开，但sqlmap自带字典跑出弱口令。整个过程没写一行payload。工具强不强？强。但换个站，开了参数化查询加WAF，同样的操作直接吃403。

工具用得好不好，看的是人。sqlmap的--tamper脚本能改payload大小写、加注释、编码，绕过一些规则。可WAF也在进化，基于语义分析的引擎不吃这套。有人迷信工具，扫出个低危XSS就交报告，实际利用条件苛刻得要命。也有人把Burp Suite的Intruder玩出花，配合自定义字典和grep match，从看似无害的响应里挖出越权。

法律红线得说清楚。未授权扫描国内IP，哪怕只是ping一下，都可能触犯《网络安全法》第二十七条。工具本身不违法，用在哪、怎么用才是关键。SRC平台授权测试随便打，真实生产环境没书面授权，碰都别碰。

防御方视角更有意思。WAF日志里，sqlmap的默认User-Agent是sqlmap/1.x，改一下就能过。但它的请求特征——比如大量AND 1=1、SLEEP(5)——在流量层面很明显。蜜罐抓到的扫描器流量，七成来自AWS和DigitalOcean的VPS，剩下三成是代理池。真正难防的是慢速扫描，每分钟一个请求，混在正常流量里，靠阈值告警根本抓不住。

工具在迭代。现在流行无文件攻击，webshell不落地，内存马注入Tomcat，重启就消失。冰蝎4.0的流量加密用AES，密钥动态协商，传统IDS匹配不到特征。防守方得靠RASP，在应用层hook危险函数，但RASP吃性能，大厂才玩得起。

最后说个观察。很多新手把工具当黑盒，跑出结果就以为懂了。问他sqlmap的--technique参数BEUSTQ分别代表什么，答不上来。工具是拐杖，底层原理才是腿。SQL注入的本质是数据和指令没分离，XSS是浏览器分不清脚本和内容。理解这些，工具用起来才不心虚。