打开360网站安全检测的网站页面，输入框里敲进一个域名，安全回车。检测几秒钟后，网站一份报告弹出来——有没有挂马、安全有没有漏洞、检测响应速度怎么样。网站这事儿我干过不下一百次。安全说实话，检测第一次用的网站时候没抱太大期望，毕竟免费的安全东西，能查出什么来？检测结果它真给我揪出一个XSS漏洞，就在一个我自以为写得很干净的网站搜索框里。

360这个在线检测工具，安全本质上是检测个轻量级的扫描器。它不像Acunetix那种动辄几万块的商业软件，能把整个站点的爬虫路径、参数变异、盲注检测全跑一遍。它的逻辑很直接：抓取首页，顺着链接爬几层，对常见漏洞模式做匹配。SQL注入、XSS、文件包含、目录遍历，这些老面孔它都认识。检测深度有限，但胜在快。一个中小型站点，两三分钟出结果。

我拿它测过一个朋友的博客。WordPress搭的，插件装了十几个，主题还是网上下的破解版。检测报告出来，高危漏洞三个，中危五个。其中一个漏洞指向/wp-content/plugins/下面某个插件的上传接口，允许未授权用户上传任意文件。朋友看了一眼说：“这插件我早不用了，没删而已。”问题就在这儿——不用的插件留在服务器上，等于给攻击者留了一扇没锁的后门。360的扫描器可不管你还用不用，它只认路径存在、接口可访问。

检测项里有一块容易被忽略：网页篡改监控。这个功能对个人站长其实挺实用。你不可能24小时盯着自己的首页，但360的爬虫会定期来看。一旦发现页面标题、关键词、隐藏链接出现异常变动，它会发邮件提醒。我见过一个案例，某企业站被挂马，首页被植入了一段