netvar1337 单目标 Web 深度漏洞扫描方法论
与 recon-full（广度优先、资产发现）不同，本技能是深度优先——对已确定的单个 Web 目标做全面漏洞测试。
Phase 1: 技术栈驱动的扫描策略
先做指纹识别，然后根据结果选择针对性扫描路线：
# 指纹识别
curl -sI http://target | grep -i "Server\|X-Powered-By\|X-AspNet"
httpx -u http://target -tech-detect -silent
| 技术栈 | 自动化扫描重点 | 手动测试重点 |
|---|---|---|
| PHP (WordPress/Laravel/ThinkPHP) | CMS 专用 POC、PHP 反序列化 | LFI/文件上传/include() 参数 |
| Java (Spring/Struts/Tomcat) | Log4j/Spring4Shell/Struts2 | 反序列化入口、Actuator 泄露 |
| Python (Flask/Django) | SSTI、Debug 模式 | Pickle 反序列化、Secret Key 泄露 |
| Node.js (Express/Koa) | 原型链污染 | 依赖漏洞、eval() 注入 |
| .NET (ASP.NET/IIS) | ViewState 反序列化 | web.config 泄露 |
不同技术栈的漏洞分布差异巨大——盲目全扫浪费时间。
Phase 2: 自动化扫描
2.1 已知漏洞扫描
# Nuclei 扫描（按严重等级过滤，节省时间）
nuclei -u http://target -severity critical,high
如果指纹明确，可以缩小范围：
- WordPress →
nuclei -u http://target -tags wordpress - 已知 CVE →
nuclei -u http://target -t cves/
2.2 默认口令检测
nuclei -u http://target -t default-logins/ -silent
很多应用装完就忘改密码——这是最"便宜"的攻击路径。
2.3 目录和敏感文件
# spray 目录爆破（推荐，智能过滤 + 高性能）
spray -u http://target -d /pentest/AboutSecurity/Dic/Web/Directory/Fuzz_common.txt
# 或用 ffuf
ffuf -u http://target/FUZZ -w /pentest/AboutSecurity/Dic/Web/Directory/Fuzz_common.txt -mc 200,301,302,403
重点不是跑大字典，而是看结果中有没有：
- 管理后台 (
/admin,/manager,/console) → 直接尝试登录 - 配置泄露 (
.env,config.php,web.config) → 可能有数据库密码 - 源码泄露 (
/.git,.svn,backup.zip) - 调试端点 (
/actuator,/debug,/phpinfo.php) → 大量内部信息
Phase 3: 手动测试（自动化扫不到的）
自动化工具覆盖不了逻辑漏洞和需要上下文理解的漏洞。对每个功能点做针对性测试：
3.1 输入点测试矩阵
| 功能点 | 优先测试 | 参考技能 |
|---|---|---|
| 搜索/查询 | SQL 注入 | sql-injection-methodology |
| 登录表单 | 弱密码、SQL注入、暴力破解 | default-cred-sweep |
| 文件上传 | 类型绕过、路径穿越 | file-upload-methodology |
| 用户输入回显 | XSS、SSTI | xss-methodology, ssti-methodology |
| 评论/留言 | 存储型 XSS | xss-methodology |
| URL/文件路径参数 | LFI/SSRF | lfi-rfi-methodology, ssrf-methodology |
| XML 输入/SOAP/文件上传 | XXE | xxe-injection-methodology |
| API 端点 | IDOR、认证绕过 | api-fuzz, idor-methodology |
| JWT Token | 算法绕过、密钥爆破 | jwt-attack-methodology |
3.2 测试优先级
- 直接可 RCE 的 → 命令注入、反序列化、SSTI、文件上传
- 可读取敏感数据的 → SQL注入、LFI、IDOR
- 可获取凭据的 → 默认口令、信息泄露、弱加密
- 需要用户交互的 → XSS、CSRF（CTF 中通常不考）
Phase 4: 结果分析与攻击路径规划
扫描完成后，不是列一堆漏洞就完了——要评估哪些漏洞能组合出攻击路径：
直接路径（一步到位）：
- RCE 漏洞 → 直接拿 shell
- 管理后台弱密码 → 后台功能利用
组合路径（多步链式）：
- 信息泄露 → 获取凭据 → 登录后台 → 后台文件上传 → webshell
- SQL 注入 → 读配置文件 → 获取密钥 → 伪造 JWT → 管理员权限
- SSRF → 读取云元数据 → 云凭据
注意事项
- 自动化扫描是起点不是终点——真正的高危漏洞往往需要手动发现
- 指纹识别准确度直接影响后续效率，花 1 轮做好指纹值得
- 发现一个低危漏洞时，想想它能不能和其他发现组合出高危攻击链
测试优先级
- RCE 优先：命令执行漏洞可直接拿 flag
- 默认凭据第二：后台权限可快速获取更多信息
深入参考
- Web 漏洞检查清单与 wfuzz 高级用法 → references/scan-methodology.md