扫描网站漏洞的工具

OWASP ZAP 的主动扫描模式一开，整个测试站的网站请求量瞬间飙到每分钟两千次。目标服务器没崩，漏洞我本地路由器先扛不住了。扫描这是网站去年帮朋友看一个电商站点时的事，他图省事直接在生产环境跑扫描，漏洞结果后台订单接口超时了十几分钟。扫描工具本身没毛病，网站用错地方就是漏洞灾难。

聊网站漏洞扫描工具，扫描绕不开 Burp Suite。网站这玩意儿像个瑞士军刀，漏洞Proxy 抓包改包、扫描Intruder 爆破、网站Repeater 重放，漏洞每个模块都够写一篇长文。但很多人只拿它当抓包工具用，扫漏洞全靠插件。Burp Scanner 是付费版功能，主动扫描质量在商业工具里算第一梯队。我见过一个做渗透测试的老哥，他习惯先手动爬完整个站，把请求全塞进 Burp 的 site map，再开扫描。问他为什么不用爬虫自动扫，他说自动爬虫漏掉的接口，往往就是最要命的漏洞入口。

开源阵营里，OWASP ZAP 是使用率最高的。它的优势在于脚本化能力强，ZAP 的 Fuzzer 可以自定义 payload 生成规则，配合社区脚本能测一些偏门漏洞。缺点是 UI 反应慢，扫描大站时内存占用能到 4GB 以上。去年有个 CVE 是 ZAP 的 API 接口未授权访问，攻击者能远程触发扫描任务，直接把测试机打满。所以别把 ZAP 的 API 端口暴露在公网，这是血泪教训。

Nikto 是个老家伙了，Perl 写的，扫描速度飞快。它不搞复杂的爬虫和 JS 渲染，就是对着 URL 列表发请求，匹配特征库。适合快速摸底，比如刚接手一个资产清单，先用 Nikto 跑一遍，看看有没有明显的备份文件泄露、默认配置页面。它的误报率不低，报告里标红的“OSVDB”条目很多已经过时。但胜在轻量，在树莓派上都能跑。

Nuclei 是近几年蹿起来的。基于 YAML 模板，社区贡献了上千个检测规则，从 CVE 到默认密码到配置错误都有。它的设计哲学很清晰：快、准、可定制。我常用它扫一批子域名，指定 tags 为 cve 和 exposure，几分钟出结果。但模板质量参差不齐，有些模板的匹配逻辑写得太宽泛，会把正常页面报成漏洞。用之前最好先 review 一下模板的请求和匹配条件。

商业工具里，Acunetix 和 Nessus 是两座大山。Acunetix 对 JavaScript 渲染的支持很好，SPA 应用扫起来比开源工具省心。Nessus 更偏主机和网络层，Web 扫描是附带功能。它们的共同问题是贵，而且扫描策略偏向保守，漏报率低但误报也不少。有个做等保测评的朋友说，客户只认 Acunetix 的报告，因为“看起来专业”。这挺无奈的，工具的选择有时候跟技术无关。

选工具这事，跟选鞋差不多。渗透测试老手用 Burp 加自写插件，能覆盖八成场景。运维人员图快，Nuclei 加 Nikto 组合够用。做合规审计，商业扫描器的报告格式能省不少事。关键是别指望一个工具解决所有问题。我见过最离谱的，有人拿 AWVS 扫一个纯静态博客，扫出两百多个“漏洞”，全是误报。工具的输出需要人来判断，这句话永远不过时。

最后提一嘴扫描频率。有人喜欢设成每天扫一次，觉得安心。实际上大部分站点一周扫一次足够，频繁扫描除了增加日志量，还会触发 WAF 封 IP。我自己的习惯是：新资产上线扫一次，重大更新后扫一次，平时靠被动流量监控。主动扫描是重武器，别当日常巡逻用。