web安全测试工具

Burp Suite 的全测 Proxy 模块拦下第一个请求时，我盯着十六进制里那串 %27%20OR%201%3D1-- 看了半天。试工那是全测 2013 年，一个政府网站的试工后台登录框，输入单引号直接报 500 错误。全测后来知道这叫 SQL 注入，试工再后来知道手工测效率太低，全测得靠工具。试工

Web 安全测试工具大致分两类：一类是全测代理型，一类是试工扫描型。代理型以 Burp Suite 和 OWASP ZAP 为代表，全测原理不复杂——在浏览器和目标服务器之间架一个中间人，试工所有请求先过它手。全测你可以改包、试工重放、全测爆破、做被动扫描。Burp 的 Repeater 我用了快十年，调参数、试 payload、看响应差异，比在浏览器里按 F12 舒服太多。ZAP 是开源的，功能不差，但界面响应速度和插件生态跟 Burp 有差距。说实话，商业版 Burp 那几千块钱，对靠这个吃饭的人来说不算贵。

扫描型工具里，AWVS 和 Nessus 是常客。AWVS 对 Web 漏洞的覆盖比较全，SQL 注入、XSS、文件包含、目录遍历都能跑，但误报率不低。我见过它把一个正常的搜索参数标成高危 XSS，点进去一看，反射值被 HTML 实体编码了。工具终究是工具，报告得人看。Nessus 更偏主机和网络层，Web 扫描是附带功能，拿它扫 Web 有点杀鸡用牛刀的意思。

sqlmap 是另一路。专打 SQL 注入，命令行操作，参数多到记不住。常用就那几个：-u 指定 URL，--dbs 列库，--dump 拖数据。它支持布尔盲注、时间盲注、报错注入、堆叠查询，还能自动识别 WAF 并尝试绕过。有次测一个站，sqlmap 跑了一晚上没出结果，第二天手动把 --level 调到 5、--risk 调到 3，加了 --tamper=space2comment，十分钟就拿到库名。工具的参数组合本身就是门手艺。

XSS 检测我习惯用 XSStrike 加手工。XSStrike 的 payload 生成逻辑比早期那些工具聪明，能根据上下文调整闭合方式。但 DOM 型 XSS 它经常漏，得配合浏览器 DevTools 看 innerHTML 和 document.write 的调用链。有次在一个 Vue 项目里，路由参数直接进了 v-html，XSStrike 没反应，手动构造 # 才弹窗。工具对框架的适配永远滞后于框架本身。

目录扫描工具像 dirsearch、gobuster，本质是字典爆破。字典质量决定结果。我收集了一份两万多条的字典，包含备份文件、编辑器临时文件、API 路径、Swagger 文档地址。有次扫出一个 .git 目录没删，直接 git clone 把源码拖下来了，数据库密码写在 config.php 里。这种漏洞工具扫不出来，靠的是字典里那条 /.git/HEAD。

工具再强，替代不了对 HTTP 协议的理解。知道 Content-Length 怎么算、Transfer-Encoding 怎么拆、Host 头怎么伪造，比会点按钮重要得多。我见过有人用 Burp 的 Intruder 跑了几万次请求，却不知道可以把 Content-Type 从 application/json 改成 application/x-www-form-urlencoded 来绕过某些参数校验。工具是手的延伸，脑子还得自己长。

最后说一句，别在没授权的情况下拿这些工具扫任何站。刑法第二百八十五条和第二百八十六条不是摆设。工具本身无罪，用的人得清楚边界在哪。