wgpsec/web-vuln-scan

单目标 Web 深度漏洞扫描方法论

与 recon-full（广度优先、资产发现）不同，本技能是深度优先——对已确定的单个 Web 目标做全面漏洞测试。

Phase 1: 技术栈驱动的扫描策略

先做指纹识别，然后根据结果选择针对性扫描路线：

# 指纹识别
curl -sI http://target | grep -i "Server\|X-Powered-By\|X-AspNet"
httpx -u http://target -tech-detect -silent

| 技术栈 | 自动化扫描重点 | 手动测试重点 | |--------|---------------|-------------| | PHP (WordPress/Laravel/ThinkPHP) | CMS 专用 POC、PHP 反序列化 | LFI/文件上传/include() 参数 | | Java (Spring/Struts/Tomcat) | Log4j/Spring4Shell/Struts2 | 反序列化入口、Actuator 泄露 | | Python (Flask/Django) | SSTI、Debug 模式 | Pickle 反序列化、Secret Key 泄露 | | Node.js (Express/Koa) | 原型链污染 | 依赖漏洞、eval() 注入 | | .NET (ASP.NET/IIS) | ViewState 反序列化 | web.config 泄露 |

不同技术栈的漏洞分布差异巨大——盲目全扫浪费时间。

Phase 2: 自动化扫描

2.1 已知漏洞扫描

# Nuclei 扫描（按严重等级过滤，节省时间）
nuclei -u http://target -severity critical,high

如果指纹明确，可以缩小范围：

• WordPress → nuclei -u http://target -tags wordpress
• 已知 CVE → nuclei -u http://target -t cves/

2.2 默认口令检测

nuclei -u http://target -t default-logins/ -silent

很多应用装完就忘改密码——这是最"便宜"的攻击路径。

2.3 目录和敏感文件

# spray 目录爆破（推荐，智能过滤 + 高性能）
spray -u http://target -d /pentest/AboutSecurity/Dic/Web/Directory/Fuzz_common.txt
# 或用 ffuf
ffuf -u http://target/FUZZ -w /pentest/AboutSecurity/Dic/Web/Directory/Fuzz_common.txt -mc 200,301,302,403

重点不是跑大字典，而是看结果中有没有：

• 管理后台 (/admin, /manager, /console) → 直接尝试登录
• 配置泄露 (.env, config.php, web.config) → 可能有数据库密码
• 源码泄露 (/.git, .svn, backup.zip)
• 调试端点 (/actuator, /debug, /phpinfo.php) → 大量内部信息

Phase 3: 手动测试（自动化扫不到的）

自动化工具覆盖不了逻辑漏洞和需要上下文理解的漏洞。对每个功能点做针对性测试：

3.1 输入点测试矩阵

| 功能点 | 优先测试 | 参考技能 | |--------|----------|----------| | 搜索/查询 | SQL 注入 | sql-injection-methodology | | 登录表单 | 弱密码、SQL注入、暴力破解 | default-cred-sweep | | 文件上传 | 类型绕过、路径穿越 | file-upload-methodology | | 用户输入回显 | XSS、SSTI | xss-methodology, ssti-methodology | | 评论/留言 | 存储型 XSS | xss-methodology | | URL/文件路径参数 | LFI/SSRF | lfi-rfi-methodology, ssrf-methodology | | XML 输入/SOAP/文件上传 | XXE | xxe-injection-methodology | | API 端点 | IDOR、认证绕过 | api-fuzz, idor-methodology | | JWT Token | 算法绕过、密钥爆破 | jwt-attack-methodology |

3.2 测试优先级

1. 直接可 RCE 的 → 命令注入、反序列化、SSTI、文件上传
2. 可读取敏感数据的 → SQL注入、LFI、IDOR
3. 可获取凭据的 → 默认口令、信息泄露、弱加密
4. 需要用户交互的 → XSS、CSRF（CTF 中通常不考）

Phase 4: 结果分析与攻击路径规划

扫描完成后，不是列一堆漏洞就完了——要评估哪些漏洞能组合出攻击路径：

直接路径（一步到位）：

• RCE 漏洞 → 直接拿 shell
• 管理后台弱密码 → 后台功能利用

组合路径（多步链式）：

• 信息泄露 → 获取凭据 → 登录后台 → 后台文件上传 → webshell
• SQL 注入 → 读配置文件 → 获取密钥 → 伪造 JWT → 管理员权限
• SSRF → 读取云元数据 → 云凭据

注意事项

• 自动化扫描是起点不是终点——真正的高危漏洞往往需要手动发现
• 指纹识别准确度直接影响后续效率，花 1 轮做好指纹值得
• 发现一个低危漏洞时，想想它能不能和其他发现组合出高危攻击链

测试优先级

• RCE 优先：命令执行漏洞可直接拿 flag
• 默认凭据第二：后台权限可快速获取更多信息

深入参考

• Web 漏洞检查清单与 wfuzz 高级用法 → references/scan-methodology.md