打开Burp Suite，漏洞抓到一个请求，挖掘参数里有个id=1024。工具改成1024'，漏洞数据库报错弹回来。挖掘那一刻你知道，工具这地方有戏。漏洞漏洞挖掘工具干的挖掘活儿，说白了就这一件事——帮你把"可能有问题"的工具地方找出来，剩下的漏洞靠人判断。

市面上的挖掘工具大致分两类。一类是工具扫描器，Nessus、漏洞AWVS、挖掘Xray这些，工具拿着字典和规则库对着目标一顿猛测。另一类是调试代理，Burp Suite、OWASP ZAP，把你浏览器和服务器之间的流量拦下来，让你手动改包、重放、爆破。前者像自动步枪，覆盖面广但精度一般；后者像狙击镜，指哪打哪但得你自己找目标。

我刚开始挖漏洞那会儿，迷信扫描器。挂上Xray，开着代理，去睡一觉，醒来等着收高危。结果呢？满屏的"疑似SQL注入""可能存在XSS"，点进去一看，全是误报。真正能用的漏洞，往往藏在业务逻辑里，扫描器根本看不懂。比如一个订单系统，你把价格参数从100改成1，服务器照单全收——这种漏洞，规则库怎么写？写不出来。它需要你理解这个系统在干什么，然后想：哪里可能出问题。

Burp Suite的Repeater模块是我用得最多的。抓到请求，丢进去，改一个参数，发一次，看响应。再改，再发。有时候一个注入点要试几十种payload，手工搞太慢，就上Intruder跑字典。但Intruder的免费版限速，跑大字典能急死人。后来我干脆写Python脚本，用requests库自己发，想跑多快跑多快。工具是死的，人是活的。

sqlmap算是个特例。它专攻SQL注入，自动化程度极高。给它一个URL，它能从头到尾把数据库拖出来。但用多了会有依赖症。有次遇到一个注入点，sqlmap跑半天没反应，我手动试了试，发现是布尔盲注，只是它的检测策略没覆盖到。工具再强，也有盲区。你得知道它在干什么，为什么这么干，什么时候该换手动。

再说说信息收集。挖漏洞之前，你得知道目标有哪些资产。子域名、端口、目录、API接口，这些信息散落在各处。subfinder找子域名，nmap扫端口，dirsearch扫目录，fofa和shodan搜网络空间资产。把这些工具串起来，写个脚本跑一遍，一张资产地图就出来了。但地图画完只是开始，真正的活儿是盯着地图想：哪个点最可能有问题？

有个细节很多人忽略：工具的输出需要过滤。nmap扫出来几百个端口，大部分是关闭的或者没用的。dirsearch跑出几千个路径，90%是404。你得写脚本把这些噪音去掉，只看有价值的。我一般用grep和awk做初步筛选，再丢到Excel里人工过一遍。这个过程很枯燥，但省不掉。

最后说个真实的案例。某次测一个后台，登录处有验证码。我用Burp抓包，发现验证码的校验逻辑是：先检查验证码对不对，再检查用户名密码。这意味着什么？我可以先输错验证码，看返回什么；再输对验证码但错密码，看返回什么。两次返回不一样，就能枚举出哪些用户名存在。这个漏洞扫描器扫不出来，因为它是逻辑层面的。你得把请求拆开，一步步看服务器的反应，才能发现。

工具是手的延伸，不是脑的替代。挖漏洞这件事，核心永远是人——你对系统的理解，对异常的敏感，对可能性的想象。工具帮你省时间，但方向得你自己定。