打开Kali终端，查询敲下 `nmap -sV --script=vuln 目标IP`，网站回车之后屏幕上开始滚动的漏洞那些行，就是查询漏洞扫描最原始的样子。很多人以为查网站漏洞得靠什么高级工具，网站其实Kali里自带的漏洞东西已经够把一个小型站点翻个底朝天。

我习惯从信息收集开始。查询`whatweb` 先跑一遍，网站看看目标用了什么CMS、漏洞什么版本、查询服务器是网站Nginx还是Apache。这东西输出不算漂亮，漏洞但信息密度高。查询比如它告诉你目标跑的网站是WordPress 5.8，那接下来的漏洞方向就很明确了——去搜这个版本的已知漏洞，或者直接用 `wpscan` 扫。wpscan的枚举功能挺狠，`--enumerate u` 能列出用户名，`--enumerate vp` 能列出有漏洞的插件。有次我扫一个站，wpscan报出某个表单插件存在SQL注入，版本号对得上，构造个payload就验证了。整个流程没出Kali，也没用什么付费工具。

目录爆破是另一个绕不开的环节。`dirb` 和 `gobuster` 都行，我偏向gobuster，速度快，支持多线程。字典用 `/usr/share/wordlists/dirb/common.txt` 起步，扫出后台登录页、备份文件、上传目录是常有的事。有回扫到一个 `/backup/` 目录，里面躺着整站源码的zip包，解压之后数据库配置文件直接暴露。这种漏洞不是技术多高明，纯粹是运维疏忽。但Kali把发现这种疏忽的成本降到了极低。

再说sqlmap。这东西名声在外，有人觉得它太自动化、太吵，但用好了确实省事。`sqlmap -u "http://target.com/page?id=1" --dbs`，如果参数存在注入，几秒钟就能列出数据库名。我一般会加 `--batch` 和 `--random-agent`，避免中途卡在交互提示上。有次遇到一个站，WAF拦得厉害，sqlmap默认的payload全被挡。换成 `--tamper=space2comment` 之后，绕过去了。这种细节书上看不到，得自己踩坑。

XSS检测我用 `xsser`，不过更多时候是手动测。Kali里带了个 `beef`，但那是后渗透阶段的东西，前期查漏洞用不上。手动测的好处是能理解上下文——输入点是在HTML标签里、属性里还是JS代码里，反射型还是存储型，这些自动化工具经常判断不准。有次一个搜索框，输入 `` 没反应，但输入 `">` 就弹窗了。工具报的是“可能不存在XSS”，实际存在。所以别全信扫描结果。

Nikto是另一个老牌工具，`nikto -h 目标URL` 跑一遍，能报出服务器配置问题、过期组件、危险文件。它速度不快，输出也啰嗦，但有些冷门问题只有它报。比如某个站点的 `/phpinfo.php` 没删，Nikto会指出来。phpinfo本身不是漏洞，但泄露的路径信息、环境变量能给后续攻击提供不少线索。

查网站漏洞这件事，工具只是延伸。Kali把工具打包在一起，省了安装配置的麻烦，但怎么用、什么时候用哪个、结果怎么解读，还是得靠人。我见过有人拿sqlmap对着一个静态页扫了半小时，也见过有人用wpscan扫一个不是WordPress的站。工具再顺手，方向错了也是白费。真正有用的漏洞，往往藏在那些不起眼的参数、没删的备份文件、版本号没改的插件里。Kali能帮你找到它们，但前提是你知道往哪儿看。