网站在线漏洞检测

打开一个网站，网站随手在URL后面加个单引号，线漏页面直接甩出一段SQL报错——这种事到今天还能碰到。洞检去年某地方政务平台被通报，网站起因就是线漏搜索框没过滤参数，攻击者用联合查询拖走了整张用户表。洞检在线漏洞检测不是网站什么高深操作，它更像给网站做一次“体检”，线漏只不过查的洞检是代码层面的毛病。

最常被扫出来的网站问题，排前三的线漏是SQL注入、跨站脚本（XSS）和文件包含。洞检SQL注入的网站原理不复杂：后端把用户输入直接拼进数据库查询语句，输入里带点特殊字符就能改变原意。线漏我见过一个电商站点，洞检商品详情页的id参数用1 and 1=1和1 and 1=2分别请求，返回内容一个正常一个空白，注入点就暴露了。XSS则更隐蔽，评论区插一段<script>标签，如果前端没转义，其他用户浏览时脚本就在他们浏览器里跑起来，cookie可能直接被发到攻击者服务器。

在线检测工具有两类。一类是黑盒扫描器，比如AWVS、Xray，它们模拟攻击流量，往参数里塞payload，看响应特征判断有没有漏洞。另一类是交互式扫描，像Burp Suite的主动扫描模块，需要你手动浏览网站，它记录所有请求再逐个测试。黑盒工具跑得快，但误报率高。有次我用某开源扫描器测一个静态博客，它报了一堆XSS，实际上那些页面根本没有用户输入点，全是误判。交互式扫描准确些，可你得先把网站功能点走一遍，漏了某个接口就测不到。

手工验证永远比工具靠谱。扫描器告诉你/api/getuser?name=test可能存在注入，你手动把test换成test'，看返回是不是500错误或者数据库报错信息。再试试test' AND 1=1--和test' AND 1=2--，对比响应长度差异。这步花不了几分钟，但能过滤掉大部分误报。XSS的手工验证更直接：输入<img src=x onerror=alert(1)>，看弹不弹窗。不弹不代表安全，可能被过滤了但过滤不完整，试试大小写混写、双写、编码绕过。

检测频率是个现实问题。新上线的功能、改了参数传递方式的接口、第三方组件升级后引入的新漏洞，这些都需要重新扫。我习惯在每次发版后跑一遍轻量扫描，只测改动过的URL和参数。全量扫描放在每月一次，挑凌晨低峰期跑，避免影响正常用户。扫描器本身也会给服务器带来压力，并发线程别开太高，尤其是小带宽的站点。

发现漏洞之后的修复优先级得看利用难度和影响范围。一个需要登录才能触发的存储型XSS，危害通常比未授权的SQL注入低。但别拖，我见过一个反射型XSS被搁置三个月，后来被人组合进钓鱼页面，骗走了管理员的session。修复方式无非几种：参数化查询解决注入，输出编码解决XSS，白名单校验解决文件包含。改完记得复测，有时候开发只修了报告里那个URL，同一功能的其他接口还漏着。

在线漏洞检测不是装个扫描器点开始就完事。它需要你理解每个漏洞的触发条件，能分辨工具报出的真假阳性，还得跟开发讲清楚怎么改。工具只是辅助，脑子才是主力。