打开搜索引擎敲下“网站后台扫描工具下载”，网站出来的后台结果能翻几十页。真正能用的扫描，没几个。工具

我上周帮朋友查他公司官网的下载安全状况，顺手试了七八款所谓的网站后台扫描工具。有一半安装完就报毒，后台剩下的扫描要么扫描逻辑老旧，要么干脆是工具个空壳——界面上按钮点下去毫无反应。这事挺让人恼火的下载。安全工具本身不安全，网站这算什么事？后台

那些真正在用的工具

先说几个我实际用过、确认能跑的扫描。

Dirsearch，工具Python写的下载，命令行操作。GitHub上直接clone下来就能用。它的字典文件比较全，扫描目录和后台路径都行。缺点是纯命令行，新手看着黑框框可能发怵。但速度快，我拿它扫一个中型站点，大概三分钟出结果。

OWASP ZAP，这个算是老牌了。带图形界面，能爬站、能扫漏洞、能测后台入口。安装包大概两百多兆，Java环境依赖。启动稍慢，但功能确实扎实。我比较喜欢它的被动扫描模式——挂着代理，你正常浏览网站，它在后台默默记录和分析请求。不激进，不容易触发WAF。

WhatWeb，严格说它不算“后台扫描”，更像指纹识别。但识别出CMS类型和版本后，后台路径基本就能猜个八九不离十。比如识别出WordPress 6.2，那/wp-admin/和/wp-login.php大概率存在。这工具是Ruby写的，Kali里自带。

还有个叫Gobuster的，Go语言编译，单文件直接跑。扫目录、扫DNS、扫vhost都支持。我拿它跟Dirsearch对比过，同一目标同一字典，Gobuster大概快20%左右。但字典得自己准备，它不像Dirsearch自带那么全。

下载渠道的坑

国内很多下载站把这类工具重新打包，塞进去一堆捆绑软件。我中过一次招——某下载站提供的“后台扫描大师”，装完桌面多了五个图标，浏览器主页也被改了。后来查进程，发现它还在后台上传本机信息。

靠谱的渠道就几个：GitHub官方仓库、Kali Linux的apt源、各工具官网。别去那些“绿色破解版”下载站。安全工具用破解版，逻辑上就说不通。

另外提一句，有些工具在GitHub上只有源码，需要自己编译。Windows用户可能觉得麻烦。我的建议是直接用WSL或者虚拟机跑Kali，省去配环境的折腾。Kali里预装了Dirb、Nikto、WPScan这些，开箱即用。

扫之前想清楚的事

工具下载下来只是第一步。扫之前得确认一件事：你有没有授权。

没有书面授权的扫描，在法律上可能构成“非法侵入计算机信息系统”。这不是吓唬人。我认识一个做渗透测试的朋友，早期没注意这个，扫了某政府网站的后台路径，结果被请去喝茶。虽然最后没定性为犯罪，但折腾了两个月。

自己公司的站、自己租的服务器、或者SRC（安全应急响应中心）明确授权范围内的目标，这些可以扫。其他的，别碰。

技术本身中立。Dirsearch不会问你要扫谁，ZAP也不关心目标归属。按下回车之前，责任在操作的人。

工具列表我放这儿了，都是开源免费的。需要的自己去GitHub搜，别从乱七八糟的地方下。就这些。