360扫描网站

我打开360网站扫描的扫描网站页面，输入了自家博客的扫描网站网址。三秒钟后，扫描网站结果出来了——五个安全风险，扫描网站其中两个被标红，扫描网站显示“高危”。扫描网站

说实话，扫描网站我有点懵。扫描网站那博客是扫描网站我上个月刚搭的，用的扫描网站WordPress最新版，插件只装了三个，扫描网站主题是扫描网站官方商店下载的。哪来的扫描网站高危？点开详情一看，原来是扫描网站服务器端口扫描的记录，说我的扫描网站SSH端口暴露在公网上，建议修改默认端口。这算什么高危？我冷笑一声，关掉了页面。

但第二天，我又打开了它。这次扫的是公司官网，一个用了十年的老站。结果更吓人——SQL注入漏洞、XSS跨站脚本、文件上传漏洞，密密麻麻列了十几条。我挨个点开看，有些确实存在，比如后台登录没有验证码，暴力破解的风险很大。有些则明显是误报，比如把正常的图片路径当成了文件包含漏洞。

360这个扫描工具，说白了就是个自动化体检的玩意儿。它不会真正模拟攻击，只是用规则库去匹配网页源码和服务器响应头。规则库更新得勤快，但误报率也高得离谱。你拿它扫个政府网站，能给你报出五十个漏洞，其中四十八个是“潜在风险”，剩下的两个是“建议优化”。真正能用的信息，可能就藏在那些不显眼的黄色警告里。

有一次我拿它扫描自己写的测试站，故意放了一个有SQL注入的搜索框。它报了，但报的位置不对，把错误指向了另一个正常页面。我顺着它的报告找半天，最后自己用Burp Suite手动测才定位到问题。从那以后，我就把它当参考，不当作权威。

但话说回来，这工具对普通站长还是有点用的。我认识一个开网店的朋友，完全不懂技术，网站模板是淘宝买的。他每隔两个月用360扫一次，看到红标就截图发给模板卖家，让对方改。虽然每次都被卖家骂“外行瞎指挥”，但至少他有个依据去催人干活。这大概就是这类工具的生存土壤——给不懂技术的人一个“我检查过了”的心理安慰。

扫描结果里还有一项“暗链检测”，我挺感兴趣。以前见过一些被黑的网站，首页代码里被植入隐藏链接，指向赌博或色情网站，用户看不见，但搜索引擎能抓到。360这个检测项确实能识别出大部分已知的暗链特征。我试着在一个测试页里手动加了段隐藏的div标签，里面放了个百度链接，它立刻就报出来了。灵敏度不错，就是不知道对新型的混淆手法有没有效果。

用了几次之后，我逐渐摸清了它的脾气。如果你只是想知道自己的网站有没有被挂马、有没有明显的漏洞，扫一下，心里有个数。但如果你指望它帮你找出所有安全问题，那不如直接请个渗透测试工程师来，一顿饭的钱，比这工具靠谱十倍。

我最后那次扫描，是在凌晨两点。网站流量低，服务器负载小，扫起来不卡。结果出来，还是那几个老问题——端口暴露、缺少安全头、cookie没加HttpOnly。我盯着屏幕看了一会儿，忽然觉得这工具挺像体检中心的基础套餐，查得出你血压高血脂高，但查不出肿瘤和心脏病。真要命的问题，它根本看不见。

关掉页面之前，我顺手点了“重新扫描”按钮。屏幕上转了几圈，又弹出一模一样的报告。我笑了笑，把浏览器关了。