去年冬天，漏洞一个做跨境电商的线扫朋友半夜给我打电话，说网站被挂了马，漏洞用户数据可能泄露。线扫我让他别急，漏洞先跑一遍在线扫描。线扫他问，漏洞那玩意儿靠谱吗？线扫我说，总比你手动翻日志强。漏洞

漏洞在线扫描，线扫说白了就是漏洞把扫描器架在云端，你填个域名，线扫它从外面模拟攻击流量，漏洞挨个端口、线扫挨个路径去试。漏洞跟本地装个Nessus或者OpenVAS不一样，你不需要配环境、不需要维护规则库，打开浏览器就能用。方便是真方便，但坑也不少。

它到底在扫什么

扫的东西分几层。最表层是端口和服务识别——比如你开了8080，上面跑的是Tomcat还是Nginx，版本号多少。别小看版本号，Apache 2.4.49那个路径穿越漏洞（CVE-2021-41773）就是靠版本比对揪出来的。再往深一点，扫描器会去试常见路径：/admin、/.git、/phpmyadmin、/actuator/env。我见过一个案例，某公司把Spring Boot的actuator端点暴露在公网，扫描器一访问/actuator/heapdump，直接下载了堆内存快照，数据库密码明文躺在里面。

再深一层就是真正的漏洞验证了。比如SQL注入，扫描器会构造 ?id=1' AND 1=1-- 和 ?id=1' AND 1=2--，对比返回内容差异。XSS的话，插一段 <script>alert(1)</script> 看会不会原样弹回来。这些操作听起来粗暴，但对付那些年久失修的站点，一打一个准。

免费的和收费的差距在哪

我用过不少。免费档里，OWASP ZAP的在线版算良心，但扫描深度有限，爬虫经常被JS渲染的页面卡住。商业化的像Acunetix、Invicti，贵有贵的道理——它们能处理SPA应用，能自动登录，能识别验证码后面的页面。有个做金融的客户，他们的后台登录带短信验证码，免费扫描器到登录页就停了，啥也扫不到。换了商业版，配置好Cookie和Token，半小时出了17个高危。

但收费的也不是万能。误报率是个大问题。我见过扫描器把某个正常返回500的接口标成“潜在SQL注入”，其实人家只是没处理好空参数。你要是全信报告，开发团队得累死。

几个实际踩过的坑

第一，别在业务高峰期扫。扫描器发的请求量不小，我试过对一个日活几千的小站做全量扫描，结果Nginx的access.log瞬间暴涨，磁盘IO打满，正常用户访问变慢。后来学乖了，凌晨三点跑，或者限速到每秒5个请求。

第二，扫描器不是越新越好。有些老漏洞，比如Struts2的S2-045，新版本扫描器默认不测了，觉得太老。但很多企业内部系统就是没升级，你不测就漏了。得手动勾选那些“过时”的检测项。

第三，扫描报告不能直接丢给老板。一堆英文术语加CVSS评分，没人看得懂。我一般会自己过一遍，把误报删掉，把真正能利用的挑出来，配上复现步骤和修复建议。比如“这个接口存在未授权访问，攻击者可直接获取用户手机号，建议加Token校验”，比“CVE-2023-XXXX高危”有用得多。

我的使用习惯

日常巡检，我挂个免费扫描器在VPS上，每周定时跑一次，结果发到Slack频道。发现异常再人工确认。新业务上线前，必做一次全量扫描，重点看认证绕过和越权。至于那些核心支付系统，在线扫描只是第一步，后面还得上人工渗透测试。机器能发现80%的常见问题，剩下20%的逻辑漏洞，得靠人脑子。

说到底，漏洞在线扫描就是个筛子，孔大孔小看你选什么型号。别指望它帮你把活全干了，但没它，你连从哪下手都不知道。