网站漏洞在线扫描检测

打开浏览器，网站输入一个网址，漏洞敲回车之前你永远不知道对面那台服务器上跑着什么版本的线扫Nginx、有没有把`.git`目录暴露在公网、描检后台登录接口是网站不是还在用`admin/123456`。这不是漏洞危言耸听，是线扫我上个月帮朋友看他的小电商站时的真实经历——一个在线扫描工具跑了不到三分钟，就吐出了十七个中高危漏洞，描检其中一个是网站数据库配置文件可以直接通过URL下载。

在线扫描这件事，漏洞本质上就是线扫让一台远端的机器替你干那些手工测试里最枯燥的活：爬取页面里的所有链接和表单，往每个输入框里塞各种畸形字符串，描检然后观察服务器返回的网站状态码、响应时间、漏洞报错信息有没有异常。线扫听起来简单，但真正决定扫描质量的，是它的漏洞特征库和请求构造策略。我见过一些免费工具，扫来扫去就报个“缺少X-Frame-Options头”，这种低危项列一长串，看着热闹，实际意义不大。好的扫描器会区分优先级——SQL注入、命令执行、文件包含这类能直接拿到服务器权限的，应该排在XSS和CSRF前面。

拿SQL注入来说，手工测试时你会先扔一个单引号看报不报错，再试`and 1=1`和`and 1=2`对比页面差异，接着判断数据库类型是MySQL还是MSSQL，最后才尝试用`union select`拖数据。在线扫描器做的是同样的事，只是它把这几百个请求压缩在几秒内发完，并且能同时测试GET、POST、Cookie、HTTP头里的每一个参数。我注意到一个细节：很多扫描器对JSON格式的请求体支持很差，而现在的Web应用大量使用`application/json`传参，这导致扫描结果里经常漏掉API接口的注入点。你要是拿扫描报告当唯一依据，可能会误判一个站很安全。

另一个容易被忽视的地方是扫描器的爬虫能力。如果它爬不到某个隐藏的`/admin/upload.php`，那这个文件有没有任意文件上传漏洞就永远不会被检测到。我习惯在扫描前先手动跑一遍目录爆破，把发现的路径导进扫描器里作为补充入口。有些商业扫描器支持导入Burp Suite的站点地图，这个功能很实用——你平时浏览网站时Burp已经帮你记下了所有请求，直接喂给扫描器，覆盖面比纯自动爬取大得多。

误报率是判断一个扫描器好不好用的硬指标。我遇到过某国产工具把每个带`?id=`的页面都标成“疑似SQL注入”，点进去看详情，理由仅仅是“参数值包含数字且页面返回200”。这种报告除了制造焦虑没有任何价值。真正靠谱的扫描器会在报漏洞时给出请求包和响应包的对比，让你能自己判断是不是误报。没有这个功能的，基本可以放弃。

最后说一个实际使用中的坑：别在业务高峰期扫生产环境。有些扫描器会发送大量并发请求，轻则拖慢数据库响应，重则触发WAF封IP，甚至把某些脆弱的老系统直接打挂。我一般选凌晨两三点，并且把并发线程数调到5以下。扫描完成后，报告里的高危项要手工复现一遍再修——直接照着报告改代码，有时候会把正常功能改坏。工具是工具，判断还得靠人。

本文地址：http://www.79wt.cn/news/1030f1699880.html