360的免费描免费在线漏洞扫描，入口藏得不算深，线漏但很多人第一次用会愣一下——它不叫“漏洞扫描”，洞扫而是免费描挂在360安全大脑或者360网站安全检测的页面里。你输入域名，线漏点一下“立即检测”，洞扫剩下的免费描就是等。我拿自己一个闲置的线漏小博客试过，三年前的洞扫老WordPress，插件半年没更新。免费描扫描大概跑了四分钟，线漏结果出来：高危漏洞两个，洞扫中危五个，免费描低危一堆。线漏具体是洞扫什么？一个是Contact Form 7的旧版本存在文件上传绕过，另一个是XML-RPC接口没关，可能被爆破。这结果不算意外，但能这么快指出来，确实省了我手动翻CVE的时间。

免费的东西，你得知道它免费在哪。360这套扫描底层用的是爬虫加指纹识别，再匹配它自己的漏洞库。它不会做真正的渗透测试，不会尝试利用漏洞，只是看版本号、看响应特征、看已知路径。所以它能告诉你“你的jQuery版本是1.12.4，存在XSS漏洞”，但不会验证这个XSS能不能真的弹窗。这个区别很重要。我见过有人扫完看到“无高危漏洞”就放心了，其实如果网站有自定义的SQL注入点，扫描器根本爬不到那个参数。免费扫描更像体检里的血常规，能筛出常见毛病，但查不出早期肿瘤。

操作上有个细节值得说。扫描前它会让你选“深度扫描”还是“快速扫描”。快速扫描只查首页和常见路径，深度扫描会爬站内链接，但耗时更长，而且可能触发你服务器上的WAF。我建议先快速扫一遍，看看有没有误报。有一次我帮朋友扫一个电商站，快速扫描报了“备份文件可下载”，结果一看是robots.txt里写了个/backup/目录，实际访问是403。这种误报在免费工具里很常见，因为扫描器只看HTTP状态码，不判断内容。

另一个实际问题是频率限制。同一个域名，免费用户一天只能扫三次。我试过连续扫同一个站，第三次之后提示“今日次数已用完”。如果你要扫多个子域名，得换IP或者等第二天。这个限制对个人站长够用，但如果你管着十几个站，就得排期。还有个坑：扫描结果只保留七天。七天后想对比历史数据，得自己截图或者导出PDF——导出功能倒是免费，但PDF里不会标出两次扫描的差异，得人眼比对。

那这东西到底适合谁用？我观察下来，两类人最受益。一是刚上线的小网站主，花五分钟扫一遍，把明显的高危漏洞补上，比如过期的插件、暴露的phpinfo、目录列表。二是乙方安全工程师，去客户现场之前先扫一遍，心里有底，谈方案时能直接指着报告说“你看这个CVE-2023-XXXX，你们还没修”。但别指望它替代专业渗透测试。我见过一个案例，某政府站用360免费扫描显示“安全”，结果后来被手工注入拿下了——因为注入点在一个POST参数里，扫描器压根没提交过那个表单。

最后说个真实体验。有次我扫一个客户的站，报告里写“发现phpMyAdmin登录页面”，建议“限制访问”。客户说他们早就改了路径，还加了IP白名单。我一看，扫描器访问的是/phpmyadmin/，返回200，但实际那个路径是蜜罐，专门骗扫描器的。所以免费扫描的结果，得结合你自己的架构判断。它是个好用的起点，不是终点。用完记得把报告里的“建议”逐条过一遍，别直接扔给运维就完事。