kali skipfish

半夜三点，我盯着终端里滚动的绿色字符，skipfish正对目标站点发起第47轮扫描。这工具不挑食——任何URL丢进去，它都能啃出点东西来。跟那些花哨的商业扫描器不同，skipfish长得丑，跑起来像台老式拖拉机，但胜在实在。

第一次用skipfish是在一次授权渗透测试里。客户给了个电商网站，说随便测。我按惯例先丢给Burp Suite，等它慢悠悠爬完，报告出来全是中低危。换skipfish上，参数就三个：-W wordlist.txt -X /logout -o output_dir。十分钟后，它挖出一个藏在JS文件里的API端点，直接暴露了后台订单管理接口。Burp爬了两小时没碰过那个路径——因为它在robots.txt里被Disallow了。skipfish不管这些，它用自己的字典硬闯。

这工具的核心逻辑简单粗暴：字典驱动爬行加递归探测。它不像nikto那样只查已知漏洞签名，而是先摸清站点结构，然后针对每个参数、每个表单、每个cookie做变异测试。你给它一份好字典，它能找出连开发者都忘了的调试页面。默认字典其实够用，但真正玩得转的人会自己攒词条——把公司名、年份、员工代号、内部项目名混进去。有次我加了个"backup2023"，直接命中一个未加密的.sql文件。

skipfish的输出是个HTML报告，丑得让人想哭。但别被外表骗了，里面每一条issue都带请求响应详情、攻击向量样本、修复建议。它把风险分成红黄蓝三色，红色是实打实的注入或文件包含，黄色是信息泄露或逻辑缺陷，蓝色是纯噪音——比如"检测到Nginx版本号"。我通常先看红色，再扫一眼黄色里的"敏感文件"类别，蓝色直接忽略。

有个坑必须提：skipfish对JavaScript渲染的页面基本无感。现在单页应用遍地走，它爬到的只是空壳。对策是先用selenium或playwright把页面静态化，再丢给skipfish。或者干脆认命——它擅长的是传统服务端渲染的站点，对API接口测试更是弱项。所以我的习惯是：skipfish打头阵扫静态资源，Burp的爬虫跑动态部分，最后用sqlmap补漏。三管齐下，才敢说覆盖得差不多。

速度方面，skipfish是真的快。默认并发20线程，扫个中型站点也就十几分钟。但快也意味着容易打草惊蛇——目标WAF会很快注意到异常请求频率。实战里我会加-S参数控制每秒请求数，伪装成正常浏览节奏。这工具还有个隐藏技能：-E可以指定cookie，用来测登录后的功能模块。别小看这功能，很多扫描器只能测未授权页面，skipfish能带着会话去翻个人中心、订单列表这些需要认证的区域。

最后说句实在话：skipfish不是给新手玩的。它没有GUI，参数文档写得像天书，报错信息莫名其妙。但你要是啃下它，收获是实打实的——这工具逼着你理解HTTP协议、目录结构、参数传递的底层逻辑。用惯它的人，再去用别的扫描器，会有种"玩具换真刀"的感觉。