用途：对 Web 服务器与应用进行授权安全评估，发现危险文件、默认文件、信息泄露、过期软件版本及服务器配置问题。
主要能力：Nikto 支持单主机、多端口与主机列表批量扫描，可扫描 HTTP/HTTPS、指定端口、使用代理、携带认证凭据与 Cookie。通过 -Tuning 选择检查类型（如文件上传、信息泄露、注入、SQL 注入、认证绕过、软件识别、管理控制台等），-Plugins 限定插件（如 ssl、apache_expect_xss），-update 更新插件库，-list-plugins 查看插件。支持输出 txt、HTML、CSV、XML 报告。
基础用法示例： nikto -h http://example.com nikto -h example.com -p 80,443,8080 nikto -h https://example.com -ssl nikto -h hosts.txt nikto -h http://example.com -o results.html -Format html
性能与规避：可用 -timeout、-maxtime、-Pause、-no404、-followredirects 控制时长与负载；-useragent random、-evasion、代理与自定义 User-Agent 用于授权测试下的躲避检测。
工作流：确认书面授权与范围、识别目标主机与端口、初始侦察、全面评估、分类发现、记录修复建议、生成报告、确认无测试残留。
适用场景：外部边界评估、内部 Web 应用评估、SSL/TLS 检查、带认证扫描、批量扫描，以及 CI/CD 与 SIEM 集成。
限制与注意：Nikto 流量大且易被检测，会触发 IDS/IPS 告警并可能影响生产性能；可能产生误报，需人工验证；应使用 -Pause 限速并在批准窗口内执行。必须先获得明确书面授权，仅扫描授权主机与端口。