去年秋天，网站安全一个做独立站的网站安全朋友半夜给我发消息，说网站被挂马了。网站安全首页被跳转到博彩页面，网站安全Google Search Console发来安全警告，网站安全流量三天内掉了七成。网站安全他用的网站安全虚拟主机自带防护，问客服，网站安全客服说"建议您升级到更高套餐"。网站安全他问我有没有办法自己查。网站安全我让他去360网站安全平台（webscan.360.cn）输域名测一下，网站安全五分钟出结果，网站安全检测出首页被注入了一段混淆过的网站安全JS，藏在某个插件目录里。网站安全这事让我重新审视这个工具——它不算新，网站安全但很多人没真正用起来。

360网站安全平台的核心功能是远程检测，不需要你在服务器装任何东西。输入域名，它模拟爬虫访问你的页面，分析返回的HTML、JS和响应头。检测项覆盖SQL注入、XSS跨站、挂马、敏感信息泄露、服务器配置缺陷等。我试过十来个站点，发现它对挂马和暗链的识别率确实高，尤其是那种把恶意代码拆成多段、用eval拼接的变种，它能还原出可疑片段。但别指望它像WAF那样实时拦截——它是体检工具，不是保镖。

说回我朋友那个站。检测报告里标红了一条：eval(function(p,a,c,k,e,d)...)，位置在/wp-content/plugins/old-cache/init.php。他早就不用的插件，文件夹没删。攻击者通过这个废弃插件的已知漏洞上传了webshell。清理很简单，删文件夹、改数据库密码、更新WordPress核心。但如果没有这份报告，他可能还在一个个文件翻。

360网站安全有个容易被忽略的细节：它支持检测子域名和特定端口。比如你跑了个api.example.com:8080，直接输进去也能扫。这对开发环境暴露在公网的人很有用。我见过一个案例，某公司测试环境的Swagger接口没加认证，360扫出来提示"API文档未授权访问"，他们才想起来防火墙规则没配。

不过它也有局限。检测频率有限制，免费用户一天好像只能扫几次。对于需要持续监控的站，得手动定期跑。另外，它不检测业务逻辑漏洞——比如越权查看订单、优惠券无限刷，这些得靠人工渗透或代码审计。别把360的结果当圣旨，它更像一个快速筛查工具，帮你排除掉80%的明显问题。

我自己的习惯是：新站上线前扫一遍，服务器迁移后扫一遍，装完新插件再扫一遍。花五分钟，比事后救火划算。有一次扫出个"目录遍历"警告，原因是Nginx的autoindex on没关，任何人能直接列出上传目录里的所有文件。关掉就好，但没扫之前我根本不知道。

最后说个实操建议。360网站安全的报告里，每个风险项都有"详情"和"修复建议"。别只看风险等级，点进去看它给出的请求示例和响应片段。有次它报"XSS"，我一看示例参数是?q=<script>alert(1)</script>，而我的代码里其实做了转义，只是响应头缺了X-XSS-Protection。补上就行，不用大改。工具是死的，看懂报告才是活的。