去年秋天，网站一个做跨境电商的查漏朋友半夜给我打电话，说网站被谷歌标了“此站点可能损害您的网站计算机”。他以为是查漏误报，结果三天后数据库里多了二十万条陌生订单。网站事后复盘，查漏漏洞出在一个两年前就该删掉的网站测试页面上——那个页面至今还能上传任意文件。

网站查漏洞这件事，查漏多数人想得太复杂。网站不是查漏非得买几十万的扫描器，也不是网站非要养一个安全团队。真正管用的查漏第一步，往往是网站拿眼睛看。打开你的查漏网站，从首页点到每一个角落，网站看看有没有奇怪的参数、有没有不该出现的老页面、有没有直接暴露在外的后台入口。我见过一个日活五万的论坛，管理员密码是admin123，后台地址就是域名后面加/admin。这种漏洞不需要工具，需要的是别偷懒。

手动看完一遍，再上工具。开源方案里，OWASP ZAP 和 Nikto 够用了。ZAP 能爬取整个站点，自动测试SQL注入、跨站脚本这些常见问题。Nikto 更直接，对着域名跑一遍，它会告诉你服务器版本、可能存在的危险文件、配置错误。别指望一次扫完就万事大吉。扫描器会漏报，也会误报。看到“疑似SQL注入”的提示，得手动验证——在参数后面加个单引号，看页面报不报数据库错误。报错，基本就是真的。

有人觉得小网站没人盯。恰恰相反，自动化爬虫每天扫描全网IP段，专挑那些半年没更新的WordPress、没打补丁的ThinkPHP。攻击成本太低了。一个批量扫描脚本跑一晚上，能筛出几千个有已知漏洞的站点。你的网站不一定要有价值，只要存在漏洞，就可能被当成跳板或者肉鸡。

查漏洞的频率比查什么更重要。新代码上线前跑一次扫描，插件更新后手动点一遍关键功能，每季度做一次完整检查。别等出事再查。我见过一个团队，每次发版前用Jenkins自动跑ZAP扫描，发现高危漏洞直接阻断部署。这个习惯坚持了两年，他们没被黑过。另一个团队嫌麻烦，结果被挖矿脚本占了服务器，CPU跑满才发现。

查到漏洞之后呢？修。别拖。SQL注入就参数化查询，XSS就输出转义，文件上传就白名单校验。修完再扫一遍，确认漏洞真的没了。有时候修了一个漏洞会引入新的，比如加了过滤规则但没考虑编码绕过。复查不是不信任自己，是漏洞这东西本来就狡猾。

最后说一个容易被忽略的点：日志。网站查漏洞不只是找入口，也得看有没有人已经进来过。翻翻访问日志，看看有没有大量404请求、有没有奇怪的User-Agent、有没有深夜从陌生IP访问后台的记录。我帮一个客户查漏洞时，在日志里发现有人连续三天尝试登录后台，每次换一个用户名。虽然没成功，但说明已经被盯上了。后来加了IP白名单和登录失败锁定，才算踏实。

查漏洞不是一次性任务，是日常习惯。就像出门前检查有没有带钥匙，不复杂，但忘了会出事。