内容摘要：我花了三个小时扫描一个网站，最后发现它只是个空壳。 那是个看起来很正规的电商平台，SSL证书齐全，页面设计精美，商品分类清晰。但当我用爬虫抓取它的所有链接时，发现整个站点的页面总数不超过二十个。更诡异

我花了三个小时扫描一个网站，扫描网站最后发现它只是扫描网站个空壳。

那是扫描网站个看起来很正规的电商平台，SSL证书齐全，扫描网站页面设计精美，扫描网站商品分类清晰。扫描网站但当我用爬虫抓取它的扫描网站所有链接时，发现整个站点的扫描网站页面总数不超过二十个。更诡异的扫描网站是，每个商品详情页都指向同一个跳转地址——一个需要下载的扫描网站安卓APK文件。

这让我想起去年帮朋友排查的扫描网站一个案例。他的扫描网站公司官网被植入了恶意代码，扫描时发现异常流量全来自某个隐藏的扫描网站iframe。那个iframe指向一个色情网站，扫描网站但页面在正常浏览器里根本看不见——因为它的扫描网站尺寸被设置成了1像素乘1像素，还用了透明背景。搜索引擎的爬虫看不到它，但访问者的浏览器会默默加载。

扫描网站这事，本质上就是跟看不见的东西打交道。你以为在查一个页面，实际上在翻它的内脏。

常用的工具无非那么几款。Nmap扫端口，Burp Suite抓包，Nikto查漏洞，sqlmap测注入。但工具只是拐杖，真正值钱的是你的判断力。我见过有人用AWVS扫出几百个“高危漏洞”，结果全是误报——因为目标网站用的是伪静态URL，参数里根本没SQL语句。

有个细节特别有意思。当你扫描一个网站时，最先暴露的不是技术漏洞，而是人的习惯。比如很多运维会把后台地址改成/admin123或者/manager，以为这样就安全了。实际上，只要用字典跑一遍常见路径，三分钟就能找到登录入口。更离谱的是，有人把备份文件放在根目录，文件名就叫backup.zip。这种扫描根本不需要技术，纯粹是碰运气——但运气往往站在扫描者这边。

去年某知名招聘网站被拖库，事后调查发现漏洞出在一个不起眼的API接口上。那个接口用来处理用户上传的简历附件，但开发者忘了做文件类型校验。攻击者上传了一个PHP文件，直接拿到了服务器权限。整场攻击从头到尾没用到任何高级技巧，就是扫描时发现那个接口返回了异常错误信息，然后顺着试了试。

扫描这件事，说到底是在跟时间赛跑。攻击者在找你的漏洞，你也在找自己的漏洞。区别在于，攻击者只需要找到一个突破口，而你需要堵住所有口子。这本身就不公平。

我自己的习惯是，每拿到一个新项目，先花半天时间手动浏览一遍网站的所有功能。点遍每一个按钮，填遍每一个表单，看每个请求返回什么。这个笨办法比任何自动化工具都管用——因为工具只会按预设规则跑，而人是会联想的。比如看到搜索框，你会想这里能不能注入；看到文件上传点，你会想这里能不能传马；看到密码重置功能，你会想这里能不能越权。

有一次，我在一个政府网站的功能测试里发现，它的身份证号查询接口居然不做权限校验。任何人只要拿到身份证号，就能查到对应的姓名、住址、社保记录。这个漏洞不是扫描器发现的，是我闲得无聊，把查询接口的URL从getInfo.jsp?id=123改成id=456试出来的。

扫描网站最迷人的地方在于，你永远不知道下一个请求会返回什么。可能是一段报错信息泄露了绝对路径，可能是一个注释掉的测试账号，也可能是一整个数据库的导出文件。就像开盲盒，但比盲盒刺激——因为开出来的东西，往往是你原本不该看到的。

当然，这行当也有无聊的时候。大部分网站其实没什么可扫的，尤其是那些用WordPress搭的小博客，漏洞就那么几个，插件一更新就补上了。真正有意思的，永远是那些看起来越安全的地方——银行的网银系统、军工企业的内网、大型社交平台的支付接口。越是戒备森严的地方，越藏着让人兴奋的秘密。

不过我得提醒一句：扫描网站这事，合法和非法之间只隔着一行授权书。没有授权就动手，那叫入侵；有了授权再动手，那叫渗透测试。区别不在于技术，在于你手里有没有那张纸。