漏洞扫描的网站

上周帮朋友看一个刚上线的电商站，后台跑的扫描是某开源CMS。我随手在地址栏后面加了 ' 和 "，漏洞页面直接甩回来一段MySQL报错——表名、扫描字段、漏洞甚至数据库版本号全在屏幕上。扫描朋友脸都绿了。漏洞这不是扫描个例。你随便找个在线漏洞扫描的漏洞网站，输入域名，扫描等几十秒，漏洞出来的扫描报告能吓死人：SQL注入、XSS、漏洞目录遍历、扫描备份文件泄露……有些站甚至把.git文件夹扔在根目录，漏洞跟把家门钥匙插在锁上没区别。

漏洞扫描网站到底怎么干活的？说白了，它就是个自动化爬虫加规则库。你给它一个URL，它先像普通用户一样点来点去，把链接、表单、参数全扒出来。然后针对每个输入点，塞一堆恶意payload。比如看到?id=1，它不会只试1' OR '1'='1，还会试时间盲注、报错注入、布尔盲注，甚至用sqlmap的API跑一遍。整个过程像在给网站做胃镜，管子伸进去，哪儿有溃疡一清二楚。

但别指望这些网站能挖出逻辑漏洞。我见过一个扫描报告给某银行站打了“低风险”，理由是没有SQL注入。结果呢？转账接口的amount参数可以传负数，直接给自己账户加钱。这种业务逻辑问题，扫描器根本看不懂。它只认模式：union select、<script>、../etc/passwd。你让它去理解“优惠券可以无限叠加”或者“越权查看他人订单”，门儿都没有。

免费扫描网站还有个通病——误报率能气死人。有次我扫一个静态博客，报告说存在“HTTP响应拆分漏洞”。我盯着那个%0d%0a的payload看了半天，最后发现是CDN节点返回的header里带了换行符，跟源站半毛钱关系没有。另一个常见坑是“备份文件泄露”，扫描器会去猜www.zip、backup.tar.gz，猜中了就报高危。可有时候那只是个空文件，或者根本是别人故意放的蜜罐。你得手动验证，不能全信。

“扫描器是锤子，看什么都像钉子。但网站是活的，有的钉子其实是螺丝。”

那怎么用才不坑自己？我的习惯是：先拿扫描结果当线索，不是判决书。它说存在XSS，我就手工构造一个<img src=x onerror=alert(1)>，看弹不弹窗。它说存在SQL注入，我就用sqlmap带--level=3 --risk=2再跑一遍，确认能拖库才算数。另外，别在扫描器里填真实账号密码。有些网站会记录你的请求，包括cookie。你前脚扫完，后脚就有人拿你的session去干坏事。

至于选哪个扫描网站，我常备三个：Nmap的http-vuln-*脚本用来快速摸底，Nikto查已知文件泄露，OWASP ZAP做被动扫描。在线的话，Pentest-Tools和HackerTarget的免费版够用，但别传敏感目标。有个做安全的朋友更绝——自己搭了个Docker，里面跑OpenVAS，每天凌晨自动扫内网，报告直接发邮件。他说：“靠别人网站扫，等于把家底亮给陌生人看。”

最后说个真事。某次我用在线扫描器测一个政府站，报告显示“严重：Apache Struts2远程代码执行”。我心跳加速，赶紧手动验证。结果发现是扫描器把?redirect=参数里的${ }当成了OGNL表达式。实际上那个站用的是Nginx，连Java都没装。所以你看，漏洞扫描的网站就是个辅助工具，跟听诊器似的。它能告诉你心脏有杂音，但到底是二尖瓣狭窄还是 just 衣服摩擦，得你自己上手听。

别偷懒。扫完，动手验。该修的修，该忽略的忽略。网站安全这事，没有一键解决方案。