python 漏洞扫描

我见过太多人把Python漏洞扫描想成点两下鼠标就出报告的漏洞工具。实际上，扫描它更像是漏洞一场需要耐心的侦探游戏——你得清楚每个探测动作背后的逻辑，否则扫出来的扫描结果只会是一堆噪音。

拿最常见的漏洞SQL注入检测来说。新手喜欢直接往URL里塞单引号，扫描看页面报不报错。漏洞这办法糙了点，扫描但确实有效。漏洞真正的扫描问题在于，当目标站点套了WAF（Web应用防火墙），漏洞你刚发第一个测试包就被拦了。扫描这时候你得学会绕，漏洞用编码变形、扫描分块传输、漏洞甚至利用HTTP协议特性去规避检测。我去年审计一个电商系统时，就是靠把payload拆成多个分片才绕过过滤规则，最终在登录接口挖到了延时注入。

Python写扫描器最大的优势不是速度，而是灵活性。你可以用requests库快速构造请求，用asyncio并发测试上百个参数，再用re或BeautifulSoup解析响应。但灵活也意味着误报率高。真实站点总有各种奇怪的参数——比如某个搜索框明明接受数组输入，你却拿字符串去测，结果返回500错误，这能说明有漏洞吗？不能。所以我在代码里加了一层逻辑：凡是响应码异常的参数，都会用正常数据再测一遍做对照。只有差异明显的才标记为可疑。

有个细节很多人忽略：扫描时的请求频率。你开50个线程猛打一个PHP站点，对方CPU直接飙到100%，然后管理员收到告警邮件，你的IP就被封了。更糟的是，有些老系统扛不住并发会崩溃，这算不算破坏？所以我的扫描器里默认限速每秒10个请求，遇到响应时间超过3秒就自动降速。慢是慢了点，但至少不会把目标打挂。

另一个坑是SSL证书验证。默认情况下requests会校验证书，遇到自签名证书直接抛异常。很多人的第一反应是verify=False，然后加一行警告忽略。但这样容易漏掉中间人攻击的检测场景。我习惯写个参数控制证书验证模式，扫描内网时关闭，扫描公网时强制开启。有一次客户的内网系统用了过期的证书，我的脚本直接标记为“证书信任链断裂”，后来发现这确实是他们运维的疏漏。

说到结果输出，别只存个CSV了事。我见过有人扫出2000条漏洞记录，最后全是被参数污染导致的重复项。更好的做法是写个去重逻辑：按URL、参数名、payload类型做哈希，相同的不再重复报告。然后按风险等级排序，高危的附上完整的请求和响应报文——这样开发人员修复时能直接复现，不用再猜。

最后说点个人经验。别迷信那些大而全的扫描框架，比如OpenVAS或Nessus，它们对常见CMS确实有效，但碰到定制化业务系统就抓瞎。我自己维护着一个不到500行的Python脚本，专门针对公司内部API做检测，覆盖了JWT过期校验、越权访问、批量数据接口这些业务逻辑漏洞。这些是通用工具永远扫不出来的东西。

扫描器只是起点。真正有价值的判断来自你对目标系统的理解——它用什么框架、处理哪些敏感数据、哪个接口最容易出问题。Python给你的是快速试错的工具，但漏洞能不能被发现，最终取决于你有没有像攻击者一样思考。