在线网站漏洞扫描

去年秋天，线网一个做跨境电商的站漏朋友找我，说网站被挂马了。洞扫我问他怎么发现的线网，他说谷歌搜索结果显示“该网站可能被黑客入侵”，站漏流量直接掉了四成。洞扫我打开他的线网站扫了一遍，十分钟后告诉他：你用的站漏那个老版本WordPress插件，三年前就被爆出SQL注入漏洞了。洞扫他愣了半天，线网说这插件早就不更新了，站漏但一直能用就没管。洞扫

这就是线网在线扫描存在的意义。它不需要你装什么软件，站漏打开浏览器输入域名，洞扫几分钟后一份报告就出来了。听起来简单，但背后的逻辑其实挺有意思——扫描器本质上是在模拟攻击者的行为，只不过它不搞破坏，只负责敲门。

扫描器到底在扫什么

一个在线扫描器拿到你的域名后，会做几件事。先爬取页面，把表单、参数、URL结构全抓出来。然后针对每个输入点，塞进一堆测试 payload——比如 ' OR 1=1 -- 这种经典 SQL 注入字符串，或者 这种 XSS 探测代码。接着看服务器返回什么。如果数据库报错信息直接吐回页面上，那基本可以确定有问题。

还有一类扫描针对已知漏洞库。比如你的服务器跑了 Apache 2.4.49，扫描器一比对 CVE 列表，立刻标记“路径穿越漏洞”。这种扫描速度快，但误报率也高——有时候版本号对上了，实际配置却打了补丁。

我自己常用的几个在线工具里，Sucuri SiteCheck 偏重恶意软件检测，它能告诉你谷歌有没有拉黑你的站、页面里有没有被注入挖矿脚本。Detectify 的免费版更偏技术漏洞，但只扫首页。Acunetix 有在线试用，扫得深，但免费额度少得可怜。

别指望一键解决所有问题

说句实在话，在线扫描的结果只能当参考。我见过扫描报告显示“无高危漏洞”的站，三天后被拖库。原因很简单：扫描器没登录后台，不知道你后台有个上传接口能直接传 PHP 文件。逻辑漏洞、业务漏洞、权限绕过，这些在线工具基本扫不出来。

另一个坑是误报。有次帮人看一个站，扫描器报了一堆 XSS，我逐个验证，发现大部分是它把 JSON 响应里的内容当成了反射型 XSS。实际上前端做了转义，根本弹不出窗。所以拿到报告别慌，先手动验证几个。

怎么用才不白用

我的习惯是：新站上线前扫一遍，主要看有没有低级的配置错误，比如目录列表暴露、phpinfo 页面没删、备份文件能直接下载。这些在线工具一抓一个准。日常运维的话，每个月扫一次，对比报告看新增了什么。别天天扫，除了浪费配额没意义。

还有一点，扫描之前最好确认你拥有这个域名。有些工具会要求你上传一个验证文件到根目录，或者加一条 DNS TXT 记录。别嫌麻烦——这是防止有人拿扫描器去攻击别人的站。

最后说个真事。上个月一个读者发来他的扫描报告，说“高危漏洞”那一栏写着“HTTP 头缺少 X-Content-Type-Options”。他紧张得不行。我告诉他，这玩意儿在现代浏览器里影响微乎其微，除非你让用户上传文件还允许他们直接访问。他松了口气。所以你看，扫描器给的是线索，不是判决书。真正做决定的，还是得靠人。