网站路径扫描工具

凌晨两点，网站我盯着终端里滚动的扫描状态码，401、工具403、网站404、扫描500，工具像一串串无声的网站密码。就在第47行，扫描一个200跳了出来，工具藏在一个叫/backup.zip的网站路径后面。那感觉就像在黑漆漆的扫描楼道里摸到了电灯开关——整个网站的后台结构，瞬间亮堂了。工具

路径扫描工具干的网站就是这活儿。它不破解密码，扫描不注入代码，工具只是拿着字典，挨个往目标域名后面拼路径。你拼/admin，服务器回你404，说明没这目录；拼到/wp-login.php，服务器回200，好，WordPress后台露头了。这玩意儿粗鲁、直接，但有效得可怕。我见过不少开发者在Nginx配置里把错误页统一成404，就是防这个——可他们往往忘了隐藏/robots.txt里明晃晃写着的Disallow: /administrator/。

工具本身没什么高深的。老牌的dirb、gobuster，加上现在流行的ffuf，核心逻辑都一样——字典加并发。但差别就在字典的颗粒度上。默认字典扫不出什么名堂，你得自己攒。我习惯把历年漏洞报告里出现过的敏感路径全收进去，再按行业分类。扫银行网站用金融类字典，扫政府门户用带.jsp后缀的那套，扫开源CMS就干脆把官方文档的目录结构扒下来当字典用。有一次我拿一套教育行业专用字典去扫某个学校的老旧系统，居然扫出了/student_photo_2023.zip，里面全是学生证件照。那学校的技术人员大概以为没人会猜这种路径。

但工具只是敲门砖，真正考验人的是判断力。扫描结果里几百个200响应，哪个值得深挖？我一般先看响应头——Server: Apache/2.2.15，这版本2012年就停止维护了，配合/cgi-bin/目录的存在，基本可以断定管理员没打过补丁。再看响应体大小，如果访问/backup/返回的页面有3MB，而正常首页才200KB，那里面八成躺着数据库备份文件。这些细节，工具不会替你分析，它只负责把门踹开，往里走不走，得靠经验。

有人觉得这玩意儿太暴力，容易触发WAF报警。确实，默认配置下扫个几百线程，目标防火墙立刻拉黑你IP。我的做法是慢扫——把速率降到每秒5个请求，并发数调成1，再随机加延时。这样扫一个中型站点要跑四五个小时，但胜在隐蔽。上周帮朋友排查他公司官网被篡改的事故，我就用这种慢速模式，在第三天凌晨扫出了个隐藏的/test/目录，里面挂着个后门文件info.php。攻击者留下的webshell就藏在测试目录里，用正常巡检根本发现不了。

话说回来，工具本身没有善恶。我见过渗透测试报告里用ffuf扫出漏洞然后被厂商感谢的，也见过黑产拿dirsearch批量扫企业站找上传点的。区别在于使用者的目的和授权。你拿它扫自己的服务器，叫安全检查；没授权扫别人的，那就涉嫌违法了。这行当里，技术能力是其次，分寸感才是底线。

最后说个真实段子。有次我在咖啡厅连着公共WiFi，旁边一老哥盯着屏幕上的gobuster跑进度条，我瞄了一眼，目标是个本地商超的官网。他扫了半天，只扫出来个/manager/login，密码还是弱口令admin123。我忍不住提醒他这行为不太合适，他抬头愣了下，说：“我就是在测我自己写的扫描器，拿这家练手呢。”——谁知道呢。也许是真话，也许不是。反正那天之后，我再也没在公共场合打开过扫描工具。有些东西，自己心里有数就行。