web扫描

打开浏览器的开发者工具，切到 Network 面板，刷新页面——你看到的那一串密密麻麻的请求，就是一次最朴素的 web 扫描。别把它想得多神秘，扫描的本质就一句话：主动向目标发请求，然后观察回应。区别只在于，有人手动点，有人写脚本自动跑。

我最早接触这玩意儿，是帮朋友查他公司官网为什么加载慢。F12 一开，发现首页居然拉了 47 个请求，其中一个 2MB 的 banner 图还是 PNG 格式，没压缩。这不是安全问题，但暴露了同一个逻辑：你不主动去看，永远不知道对面在干什么。

扫描扫的到底是什么

端口、目录、参数、指纹。四样东西。

端口扫描最老派。nmap 一条命令下去，目标开放了 22、80、443、3306。3306 开着，意味着 MySQL 可能直接暴露在公网。我见过太多中小企业的服务器这么配，图省事，结果被拖库。

目录扫描是另一回事。工具拿着字典往 URL 后面拼，/admin、/backup.zip、/.git/config，拼中了就说明存在。有个细节很多人忽略：返回 200 不一定真有东西，返回 403 反而可能藏着真货——服务器拒绝了目录列表，但文件本身没锁。

参数扫描更精细。一个 ?id=1 的接口，换成 ?id=1' 看报不报错，换成 ?id=1 and 1=1 和 ?id=1 and 1=2 比对返回差异。这是手工注入的基本功，自动化工具只是把这个过程批量化了。

指纹识别属于“看一眼就知道你是谁”。Server 头写着 nginx/1.18.0，Set-Cookie 里带着 PHPSESSID，页面底部版权写着“Powered by Discuz”。这些碎片拼起来，攻击面就清晰了。

工具不是越多越好

新手容易犯的毛病：装一堆扫描器，AWVS、AppScan、Xray、Goby 全上一遍。结果同一个站扫出几百条漏洞，一半是误报，另一半是“低危”的版本信息泄露。真正能用的没几条。

我的习惯是分场景。快速摸底用 httpx 加 nuclei，几秒钟出结果。深入测业务逻辑，手工加 Burp Suite 的 Intruder。资产多的时候才上自动化平台，但报告必须人工过一遍。工具给的是线索，不是结论。

还有个坑：扫描流量太大把目标打挂了。之前有个同行扫客户内网，线程开到 200，直接把一台老旧的 Tomcat 扫成 502。客户电话打过来骂人。这事之后我给自己定了个规矩——生产环境扫描，线程不超过 10，避开业务高峰。

防守方也在看日志

你扫别人，别人的 WAF 也在记你。User-Agent 里写着 sqlmap/1.5，请求频率一秒 50 次，路径全是 /admin.php、/wp-login.php，这不明摆着告诉对面“我在扫你”吗？

稍微讲究点的做法：改 UA，加延迟，用代理池轮换 IP。但说实话，真遇到部署了全流量镜像和 UEBA 的防守方，这些花招撑不了多久。扫描和反扫描，本质是成本博弈。你愿意花多少时间伪装，对方愿意花多少资源检测。

写到这里想起一个事。某次攻防演练，红队用 0day 打进去，蓝队复盘时发现——其实三天前就有扫描器在探路径了，日志里清清楚楚，但没人看。扫描不可怕，可怕的是扫完了你都不知道。

所以别光盯着攻击工具。把 Nginx 的 access.log 接进 SIEM，配几条告警规则，比装十个扫描器管用。毕竟，知道谁在敲门，比门锁有多结实更让人安心。

很赞哦!（5658）