半夜两点，免费我盯着屏幕上那个红得刺眼的漏洞漏洞报告，后背发凉。扫描那是工具一个电商项目的后台登录接口，SQL注入漏洞，免费危害等级“严重”。漏洞修复它只花了我十分钟，扫描但发现它——靠的工具是一个免费的、连注册都不用的免费扫描工具。
很多人对“免费”二字有天然警惕，漏洞觉得免费的扫描东西要么藏后门，要么能力阉割。工具但就漏洞扫描这个细分领域，免费免费工具不但能用，漏洞有些甚至比商业版更锋利。扫描OWASP ZAP，开源的，界面丑得像上个世纪的遗产，可它抓逻辑漏洞的能力，能把某些一年收几十万授权的商业软件按在地上摩擦。我见过几个甲方安全团队，对外报告里写的是商业扫描器结果，私下复测全用ZAP——便宜是一回事，关键是它敢把原始请求和响应细节全摊开给你看，不像某些商业工具，给个“高危”结论就完事，你想深挖还得加钱买报告模块。
另一个被低估的是Nuclei。它不算传统扫描器，更像一个漏洞模板引擎，用YAML写检测规则，社区里每天更新几百条新模板。零日漏洞公开后几小时内，Nuclei模板就出来了。你拿它扫自家资产，等于站在整个社区的肩膀上。有一次我拿它扫一个老旧的内部系统，挖出一个被遗忘的Jenkins未授权访问，那个实例里躺着生产环境的数据库备份——如果用商业工具，这种非标准端口的服务大概率扫不到，因为商业工具更关注“已知资产”，而Nuclei是主动打猎。
免费工具还有个隐藏优势：社区。遇到奇葩报错，去GitHub提issue，作者可能当天就回复你。商业工具的客服工单，你催三天，回复是“请提供更多网络环境信息”。这不是说商业工具一无是处，它们有报表、有合规模板、有SLA，适合给管理层看。但真刀真枪找漏洞，免费工具往往更直接。
说个反面案例。有个朋友的公司买了某大厂的企业版扫描器，每年续费六位数，结果一次等保测评里，测评机构用免费工具扫出了三个高危漏洞，其中一个是Struts2的经典RCE，那台服务器都上线两年了。商业扫描器没扫出来，不是技术不行，是它的规则库更新滞后，而且默认配置为了“避免误报”牺牲了攻击面覆盖。朋友后来学乖了，商业版留着应付检查，日常巡检全用开源工具。
当然，免费工具也有坑。你得自己配置扫描策略，自己写报告，出了问题没人背锅。但换个角度想，这正是学习的机会——你被迫理解每个漏洞的原理，而不是把工具当黑盒。我见过不少安全工程师，简历里写“精通Nessus”，实际只会点“开始扫描”。而用免费工具的人，至少得会读原始报文。
最后说个实在的。如果你预算为零，又想把基础安全做扎实，组合拳是：ZAP做Web应用层扫描，Nuclei做资产漏洞匹配，加上一个开源的主机扫描器比如Lynis。三个工具全免费，覆盖了绝大多数常见风险。别迷信“免费没好货”，在漏洞扫描这个领域，好货往往免费——因为真正热爱安全的人，写工具是为了解决问题，不是为了卖钱。