打开一个政府网站，网安网站点进“通知公告”栏目，检查页面跳转到一张空白表格，网安网站连标题都没改——这是检查上周帮朋友查资料时撞见的真事。网安网站检查，网安网站查的检查就是这类东西。不是网安网站看网站设计好不好看，是检查看它有没有“裸奔”。

很多人以为网站检查就是网安网站扫漏洞。对，检查但不全对。网安网站漏洞扫描器跑一遍，检查能报出几百条“疑似SQL注入”“疑似XSS”，网安网站可真正要命的检查往往是那些扫描器看不见的：后台弱口令、目录遍历、网安网站备份文件直接挂在根目录下。我见过一个区级单位网站，`/backup.zip` 直接能下载，里面是整站源码加数据库配置文件。扫描器没报，因为它不认为一个zip文件算漏洞。

检查的第一步，其实是看“暴露面”。用`fofa`或`shodan`搜一下单位名称，看有多少资产挂在公网上。经常能搜到测试环境、旧版系统、甚至OA的登录页。有个案例：某单位主站做得严严实实，但一个二级子域名指向了2016年的老CMS，后台路径都没改，`/admin/login.php`，弱口令`admin/123456`直接进。这种问题，主站扫描器永远扫不出来。

再说端口。很多单位觉得开了443就安全了。可你扫一下全端口，会发现8080上跑着Tomcat管理页，7001上跑着WebLogic。这些端口往往没有WAF保护，直接暴露。我习惯用`nmap`先跑一遍`-sV -p-`，看服务版本。如果看到`Apache Tomcat 7.0.81`这种老版本，基本可以判定有已知反序列化漏洞。别急着打，先记下来。

弱口令是另一个重灾区。不是只有`admin/123456`才算弱口令。有些系统用单位缩写加年份，比如`gzxx2023`，这种在字典里一跑就出来。更隐蔽的是“默认口令未改”：某品牌防火墙的默认账号`admin/admin`，装完没人动。你从外网访问它的管理端口，直接进。这种问题，检查时得拿着厂商默认口令表一个个试。

文件上传点也得盯。很多网站有“附件上传”功能，限制不严的话，传个`.jsp`或`.php`上去，直接拿shell。我见过一个上传点，前端校验了后缀，但抓包改一下`Content-Type`就绕过了。后端只检查了MIME类型，没检查文件内容。传个图片马，配合文件包含，照样执行。

检查完这些，还得看日志。不是看有没有日志，是看日志里有没有异常。比如同一IP在凌晨三点连续请求`/admin`路径几百次，或者`User-Agent`里带着`sqlmap`。很多单位日志开了但没人看，等于没开。我一般会拉最近一周的access log，用`grep`筛一下`404`和`500`，再看看有没有`../`这种路径穿越特征。

最后说个容易忽略的：第三方组件。网站用了`jQuery 1.7`、`Bootstrap 3.0`，这些老版本有XSS漏洞。还有`Struts2`，版本不对直接远程命令执行。检查时得把前端引用的JS库版本都记下来，跟CVE库对一遍。别觉得前端漏洞不重要，反射型XSS照样能偷Cookie。

网安网站检查不是一次性的活。今天修了SQL注入，明天可能因为上新功能又开了个口子。我习惯每季度把资产重新扫一遍，重点看新开的端口和新上的子域名。毕竟，攻击者永远在找那个你没注意到的角落。

(责任编辑：热点)