Web 指纹识别（Web Fingerprinting）是通过分析 Web 应用的响应特征，推断其底层技术栈（Web 服务器、CMS 系统、开发框架、JavaScript 库、CDN 服务等）的过程。在 MITRE ATT&CK 框架中，这一技术被映射为 T1595.002 Vulnerability Scanning 的前置步骤，属于主动侦察范畴。

知道目标运行什么技术，价值在哪里？假设你发现一个网站运行 WordPress 5.8，你可以立刻锁定数百个已知的 WordPress 插件漏洞作为下一步测试方向；如果识别出是 Spring Boot，你就知道要去查 Actuator 端点是否暴露。指纹识别的本质是缩小攻击面——把"不知道对方有什么"变成"知道对方大概率有什么"。

一个成熟的指纹识别工具会从多个维度交叉验证，避免单一特征被误判。以下是六种最常见的识别依据：

值得注意的是，单一维度的识别结果可能不可靠。例如管理员可以在 Nginx 配置中修改 Server 响应头来隐藏真实服务器信息。但多个维度交叉验证后（比如响应头说自己是 Nginx，但 Cookie 里有 PHPSESSID、页面中有 wp-content 路径），识别准确率会大幅提升。

WhatWeb 是一款用 Ruby 编写的开源 Web 指纹识别工具，由 urbanadventurer 开发维护。最新版本 v0.6.4（2026 年 4 月发布），内置超过 1800 种指纹插件，能够识别 CMS、博客平台、Web 服务器、JavaScript 库、CDN、分析工具等几乎所有常见 Web 技术。它是 Kali Linux 默认预装的工具之一。

WhatWeb 的基本命令非常简单，只需指定目标 URL 即可。默认情况下它发送一个 HTTP GET 请求，分析响应头和页面内容后输出识别结果。

默认扫描的输出格式类似这样，每行一个目标，方括号内是识别出的技术：

WhatWeb 提供三档扫描强度，分别对应不同的请求量和识别深度：

日常使用推荐 Aggressive（-a 3）级别。Stealthy 虽然最快但漏报率高，很多插件需要访问特定路径才能确认。Aggressive 级别会在识别出初步指纹后，访问该技术特有的验证路径（如 WordPress 的 /wp-login.php）来二次确认，在速度和准确率之间取得了较好的平衡。

Wappalyzer 是一款浏览器扩展（Chrome / Firefox / Edge 均支持），能够在你浏览网页时实时检测当前页面使用的技术栈。最新版本 6.12.x（2026 年 8 月更新），可识别超过 1000 种技术，涵盖 CMS、Web 框架、服务器软件、JavaScript 库、CDN、分析工具、支付系统等数十个类别。

与 WhatWeb 这类命令行工具相比，Wappalyzer 的最大优势在于它运行在真实浏览器环境中，能够执行 JavaScript、渲染页面，检测到那些需要动态加载才会出现的技术特征（如 React、Vue 等前端框架的 DOM 特征、动态注入的脚本等）。命令行工具只能拿到初始 HTML 响应，无法检测纯前端渲染的应用。

Wappalyzer 提供浏览器扩展版和命令行版两种形式。日常侦察推荐使用浏览器扩展，在浏览目标网站时自动识别：

安装扩展后，访问任意网页，点击工具栏中的 Wappalyzer 图标即可展开技术栈面板，按类别（CMS、JavaScript 库、Web 服务器、CDN 等）分组展示识别结果。每个技术项旁显示置信度图标，点击可查看检测依据。

两款工具各有所长，在实际侦察中通常配合使用而非二选一：

目录爆破（Directory Brute-forcing），也叫目录扫描或路径枚举，是通过尝试大量常见目录名和文件名，从 Web 服务器上发现那些没有链接指向但真实存在的路径的过程。这些隐藏路径往往包含管理后台、备份文件、API 文档、测试页面等敏感内容，是 Web 渗透测试中最重要的攻击面来源之一。

目录爆破的基本逻辑非常简单：准备一个包含大量可能路径名的字典（wordlist），逐个向目标服务器发送 HTTP 请求，根据响应状态码和响应大小判断该路径是否存在。真正的技术含量在于字典的质量和结果的过滤——好的字典能在 1 分钟内找到关键路径，差的字典跑一小时也一无所获。

Kali Linux 内置了多个优秀的字典集，最常用的是 dirb 的默认字典和 seclists 项目：

字典选择的策略是：先用小字典快速扫描，发现路径后再用对应技术栈的专用字典深入。比如指纹识别发现目标是 WordPress，就不用跑通用大字典，直接用 WordPress 插件和主题字典，命中率会高得多。

目录爆破中最核心的判断依据是 HTTP 响应状态码，但不能简单地认为"200 就是存在，404 就是不存在"。实际情况要复杂得多：

最容易踩的坑是自定义 404 页面。很多网站会配置自定义错误页，此时访问不存在的路径也可能返回 200 状态码（内容是"页面未找到"）。这种情况下需要用响应大小来辅助判断——所有"假 200"的响应大小通常是相同的，通过过滤掉固定大小的响应就能排除干扰。

gobuster 是用 Go 语言编写的目录爆破工具，由 OJ Reeves 和 Christian Mehlmauer 维护。最新版本 3.8.2（Kali 2026.1 内置），最大的特点是速度快、并发高、模式多。Go 语言的协程模型让它在高并发场景下比传统的 dirb（Perl 编写）快 5-10 倍。

gobuster 的目录扫描模式（dir mode）是最常用的功能。基本命令结构为 gobuster dir -u URL -w 字典路径：

默认输出格式如下，状态码、大小、路径一目了然：

gobuster 不止能扫目录，它支持五种工作模式，每种模式用不同的子命令调用：

ffuf（Fuzz Faster U Fool）是目前最流行的 Web 模糊测试工具，由 joohoi 用 Go 语言编写。最新版本 v2.2.0，它的核心设计理念是"FUZZ 关键字"——你可以在 URL、Header、POST 体的任意位置放置 FUZZ 占位符，ffuf 会用字典中的每个词替换它并发送请求。这种灵活性让 ffuf 不仅能做目录爆破，还能做参数模糊测试、虚拟主机发现、API 端点探测等几乎所有 HTTP 层的枚举任务。

ffuf 的目录爆破用法和 gobuster 类似，但语法更简洁。注意 URL 中必须包含 FUZZ 关键字，它会被字典中的词替换：

ffuf 的过滤和匹配系统是它最大的优势之一。你可以基于状态码、响应大小、行数、单词数甚至正则表达式来筛选结果。这在处理自定义 404 页面、WAF 拦截等场景时特别有用：

ffuf 支持在请求的多个位置同时放置 FUZZ 占位符，这是 gobuster 不具备的能力。结合不同的攻击模式（clusterbomb / pitchfork / sniper），可以实现复杂的多参数组合测试：

前面分别学习了指纹识别和目录爆破的工具用法，现在把它们串成一条完整的侦察流水线。实战中，正确的顺序是：先指纹识别，后目录爆破——因为指纹识别的结果决定了用什么字典、扫什么路径。一上来就用通用大字典乱扫，既浪费时间又容易触发告警。

下面这个脚本将上述流程自动化：先跑 WhatWeb 识别技术栈，根据结果选择对应的字典，然后用 ffuf 进行分层目录爆破。读者可以在此基础上扩展更多技术栈的字典匹配逻辑。