在线web漏洞扫描

打开一个电商网站，漏洞随手在搜索框里敲了个单引号，扫描页面直接甩回来一段MySQL报错——这种事我见过不下十次。漏洞在线Web漏洞扫描工具干的扫描就是类似的事，只不过它把这种“手气”变成了系统化流程。漏洞你输入一个URL，扫描它爬取链接、漏洞测试参数、扫描构造恶意payload，漏洞然后告诉你哪儿漏了。扫描听起来很自动化，漏洞但实际用起来，扫描坑比想象的漏洞多。

拿我上周测的扫描一个小企业站举例。用某款开源扫描器跑了一遍，漏洞报告说存在SQL注入。我手动验证，发现那个参数确实有异常，但只在特定User-Agent下触发。扫描器没提这个前提条件。如果运维照着报告直接改代码，可能改错地方。在线扫描的第一层局限就在这儿：它依赖通用规则，而真实环境里的漏洞往往带着业务逻辑的“土味”。

扫描器到底在扫什么

多数在线工具的核心是爬虫加漏洞库匹配。爬虫顺着链接爬，把带参数的URL丢进测试队列。然后对每个参数注入测试字符串，比如 ' OR 1=1 --、，再看响应里有没有数据库报错、弹窗、或者状态码变化。XSS、SQLi、命令注入、文件包含，这几类占了大头。

但爬虫本身就会漏东西。JavaScript动态生成的链接、需要登录才能访问的页面、POST表单里的隐藏字段——很多扫描器处理不好。我试过用某知名在线服务扫一个SPA应用，结果它只扫了首页，因为路由全是前端控制的。报告显示“未发现漏洞”，实际后台有个未授权的API接口赤裸裸地暴露着。

误报和漏报，你选哪个

在线扫描的误报率普遍偏高。一个参数返回了包含“error”字样的页面，扫描器可能就标记为SQL注入。实际上那只是网站自己的错误提示。反过来，漏报更隐蔽。盲注、时间盲注、存储型XSS，这些需要交互或延迟判断的漏洞，在线工具经常测不出来。

有个做安全的朋友跟我说过，他拿在线扫描器当“初筛”用，扫完再手动过一遍。我觉得这个定位比较准。指望它给出完整报告，不现实。它更像一个不知疲倦但不太聪明的实习生，能帮你翻一遍表面，深层的逻辑漏洞还得自己来。

用的时候注意几件事

别拿在线扫描器去扫别人的站。未授权扫描在法律上属于灰色地带，严重了算非法侵入。自己公司的资产，最好也先拿到书面授权。另外，扫描器发出的请求会留在目标服务器的日志里，如果目标有WAF，你的IP可能直接被封。

还有一点，在线工具意味着你的目标URL、扫描结果都经过第三方服务器。如果目标站是内网或者有敏感数据，别用在线版。本地装个Burp Suite或者AWVS，虽然重点，但数据不出自己机器。

我自己的习惯是：在线工具只用来做公开站点的快速体检，扫完导出报告，然后逐条手动验证。验证通过的漏洞，再写PoC复现。整个过程下来，在线扫描大概能省30%的体力活，剩下的70%还是得靠人。工具再方便，也替代不了对业务的理解。一个参数在A页面是安全的，在B页面就可能因为拼接方式不同而出问题。这种事，扫描器看不出来。