去年帮一个做电商的洞扫朋友看服务器日志，发现有人用AWVS在三天内扫了他八万多次。洞扫日志里密密麻麻的洞扫请求，从SQL注入到XSS payload，洞扫像超市扫码枪一样挨个试。洞扫他那个站点用的洞扫是某国产CMS，后台登录页没做频率限制，洞扫扫描器跑了两小时就爆破出弱口令。洞扫这事让我意识到，洞扫多数人对Web漏洞扫描的洞扫认知还停留在"装个工具点开始"的阶段。

扫描器本质上是洞扫个自动化测试机器人。它把HTTP请求当探针，洞扫往目标URL里塞各种畸形参数——单引号、洞扫