打开一个网站，网站随便点几下，漏洞你可能已经触发了某个漏洞扫描工具的扫描警报。这不是工具危言耸听——去年我帮朋友检查他的小型电商站，用了一款开源扫描器，网站十分钟内就扒出了三个SQL注入点和两个XSS漏洞。漏洞他当场愣住，扫描说自己用了付费防火墙。工具工具扫出来的网站东西，防火墙根本没拦住。漏洞

网站漏洞扫描工具，扫描说白了就是工具自动化地往你的网站发各种恶意请求，看它会不会吐出不正常的网站东西。跟手动测试比，漏洞它快、扫描不知疲倦、覆盖面广。但别指望它能包治百病。我见过太多人把扫描报告当成圣旨，扫完没发现高危就安心睡觉。这种心态比漏洞本身更危险。

它到底在扫什么

常见的扫描目标就那么几类：SQL注入、跨站脚本（XSS）、命令注入、文件包含、目录遍历、弱口令、敏感文件泄露。工具会构造大量payload，比如在URL参数里塞 ' OR 1=1 --，或者往表单里填 <script>alert(1)</script>，然后分析响应。如果页面报数据库错误，或者脚本原样弹回来，它就知道有戏。

但这里有个坑。很多现代网站用前端框架渲染，扫描器看到的HTML跟用户浏览器看到的完全不是一回事。我试过用某商业扫描器扫一个Vue写的后台，报告说“未发现XSS”，实际上手动测一下，路由参数直接反射到DOM里，照样弹窗。扫描器没执行JavaScript，它只看了初始HTML源码。

开源和商业的差别在哪

开源阵营里，OWASP ZAP和Nikto是常客。ZAP功能全，能做代理、爬虫、主动扫描，但配置起来得有点耐心。Nikto更像一把老式冲锋枪，专扫服务器配置问题，速度快，误报也高。商业工具比如Burp Suite Pro、Acunetix，贵有贵的道理——爬虫更聪明，能处理登录会话，报告也好看。但别迷信价格。我见过Acunetix漏掉一个明显的盲注，因为那个注入点需要延迟几秒才返回数据，而默认超时设得太短。

选工具得看场景。个人博客，ZAP加个Nuclei模板就够了。企业内网几百个资产，还是得靠商业扫描器加人工复核。最怕的是拿个开源工具扫完，报告都不看就扔给开发，开发改了两个参数就上线。漏洞还在，只是扫描器不报了。

扫描器不会告诉你的三件事

第一，逻辑漏洞它基本无能为力。比如你可以在A用户页面通过修改ID查看B用户的订单，这种越权问题扫描器很难自动发现，因为它不知道“这个ID不该属于当前用户”。第二，业务流漏洞更别想。优惠券重复使用、支付金额篡改，这些得靠人脑去推。第三，扫描器会漏报也会误报。误报浪费开发时间，漏报让你以为安全。我习惯把扫描结果当线索，不是结论。

还有个细节：扫描本身可能搞垮网站。有次我对一个老旧CMS跑全量扫描，payload里带了大量并发请求，直接把数据库连接池打满，网站宕了五分钟。后来学乖了，生产环境扫描一定限速，或者干脆在镜像环境跑。

怎么用才不白用

别一上来就扫全站。先手动走一遍主要功能，记下参数、接口、上传点。然后拿扫描器针对这些点做定向扫描，比无脑爬虫高效得多。扫描频率也别太密，一周一次足够，代码没变扫了也白扫。报告里的每个“高危”都手动验证一遍，确认了再修。修完别急着关工单，用同样的payload再打一次，看是否真的堵住了。

最后说句实在的：扫描工具是拐杖，不是腿。它能帮你发现已知的、模式化的错误，但对抗不了精心设计的攻击。真正靠得住的，还是开发时把参数化查询写对，输出时把转义做全，权限校验别偷懒。工具只是最后一道提醒。