网站在线扫描

网站扫描这活儿，网站我干过不少。线扫干得多了，网站就发现一个挺有意思的线扫规律——真正该被扫描的，往往不是网站那些看起来漏洞百出的站点。

去年接了个活儿，线扫一个做跨境电商的网站小公司，网站是线扫外包给熟人做的，三年没动过。网站老板急得不行，线扫说最近老被黑客骚扰，网站后台时不时蹦出些看不懂的线扫英文日志。我打开扫描器，网站先跑了个基础端口扫描，线扫结果出乎意料——80和443端口干净得很，网站倒是8080端口敞开着，上面挂了个测试用的管理后台，密码还是admin/admin。这要搁在黑客眼里，简直就是大半夜没关门的金库。

扫描这事儿，说白了就是给网站做个体检。但体检也得讲究个顺序。我最常干的是先摸端口，看看哪些门是开着的。这步特像小偷踩点——当然，是合法的踩点。开着22端口，说明有SSH服务，得防着暴力破解；开着3306，那八成是MySQL，如果暴露在公网上，那就得小心SQL注入了。但光看端口不够，还得看服务版本。老版本的Apache、Nginx，漏洞一抓一大把，就像老房子里的电线，看着没事，一碰就冒火星。

真正考验技术的是Web层面的扫描。XSS跨站脚本、SQL注入、文件上传漏洞，这些名词听着玄乎，其实原理都挺直白。拿SQL注入来说，就是网站没把用户输入的东西当回事，直接拼进数据库查询语句里。我见过一个极端案例——某政府网站的信息公开栏，输入框连基本的转义都没做。我试着输入了个单引号，页面直接报错，数据库类型和版本号都吐出来了。这要是被有心人利用，整个库都能拖走。但扫描器也不是万能的，它只能发现已知的漏洞模式。真正精明的攻击者，往往走的是逻辑漏洞——比如越权访问，你登录了普通账号，试着改URL里的ID参数，可能就摸到别人的订单了。这种漏洞，扫描器基本瞎了，得靠人工去测。

说句实在话，很多小站长对扫描这事儿有误解。他们觉得，装了防火墙、买了SSL证书就万事大吉。其实不然。扫描报告出来的时候，最怕看到那种“全绿”的结果——不是网站真安全，而是扫描器压根没测出深度。我见过最讽刺的案例，某金融类App的后台，用的是某知名云厂商的WAF，扫描结果漂亮得很。结果呢？攻击者压根没走Web入口，直接搞了个钓鱼页面，模仿登录框，用户一输账号密码就进了人家口袋。扫描扫的是技术漏洞，但人心里头的漏洞，再强的工具也补不上。

所以我现在做扫描，都习惯跟客户说清楚——这玩意儿就是个探照灯，能照见明面上的坑，但照不见草丛里的蛇。真正靠谱的做法，是扫描加人工渗透加代码审计，三管齐下。当然，对小公司来说，预算有限，那就至少做到定期扫描、及时补丁、后台地址改掉、密码别用弱口令。这几条做到了，能挡住九成以上的脚本小子。

最后说个真事。上个月帮朋友扫了个个人博客，WordPress站点，插件装了一堆。扫描器报了个高危——某个图片优化插件有文件上传漏洞。朋友说这插件用了两年了，一直没事。我没多劝，让他自己看报告里的漏洞描述。他沉默了一会儿，说：“那我现在删？”我说：“删完记得把上传目录里的可疑文件也清一遍。”他照做了，后来告诉我，真在uploads文件夹里发现了个陌生的PHP文件，打开一看，是个后门。那一刻他后背发凉，我倒是见怪不怪——这年头，网站被黑，十有八九不是被攻破的，是自己把门留缝了。