渗透测试效率规则

⛔ 规则 1: 禁止盲目手动枚举

触发场景: 用 curl 逐个测试路径（如 /upload, /admin/upload, /bank/upload ...）

规则:

• 对同一类型路径（如文件上传端点），手动 curl 最多尝试 3 个最可能的路径
• 3 次 404 后 立即停止手动枚举，改用工具：

  # ✅ 用 gobuster/dirsearch 一次扫完
  gobuster dir -u http://target -w /usr/share/wordlists/dirb/common.txt -q -t 20 --timeout 10s 2>&1 | head -50
  

• ⛔ 绝不逐个 HEAD 请求 20+ 个猜测路径 — 这是浪费时间

⛔ 规则 2: 长时间工具必须加 timeout

触发场景: 运行 sqlmap、nikto、dirsearch 等扫描工具