首页/安全/漏洞与攻击面速查/whatweb 指纹识别的正确用法
扫描与验证方法50 条

whatweb 指纹识别的正确用法

指纹识别输出的是线索:框架、组件与版本提示,需要与响应头、页面特征交叉验证;识别到框架不等于存在漏洞。

漏洞与攻击面速查安全更新于 2026-10-12

常用命令

常用命令
whatweb -a 3 https://example.com            # -a 1~4 逐级更主动
whatweb --log-json=whatweb.json -a 1 https://example.com
# 对多站点批量识别
whatweb -i urls.txt --log-brief=out.txt
a 级别1 隐蔽(默认)至 4 激进,激进级别请求量明显增大
输出要点插件名+版本+插件置信度注释
交叉验证Server/X-Powered-By 头、favicon 哈希、错误页特征
版本号被刻意隐藏或伪造时,指纹只是弱信号;对关键系统以人工确认为准。

易错点

  • 以指纹识别的版本直接判定存在某 CVE,未做任何人工确认

数据来源与参考

  • whatweb 官方文档(Aggression 级别与插件)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌