打开360网站漏洞在线检测的网站页面，输入网址，漏洞点一下按钮，线检几分钟后一份报告就出来了。网站我第一次用的漏洞时候心里直犯嘀咕：这玩意儿真能查出东西？结果它在我一个客户的官网上扫出了SQL注入点，位置在某个新闻详情页的线检id参数上。那个站之前找外包公司做过渗透测试，网站报告写得花里胡哨，漏洞偏偏漏了这个点。线检

360这套检测工具的网站逻辑其实不复杂。它模拟攻击者的漏洞请求，往目标URL里塞各种测试payload——单引号、线检双引号、网站and 1=1、漏洞union select，线检看服务器返回什么。如果页面报数据库错误，或者返回内容出现异常变化，它就把这个位置标红。整个过程是自动化的，不需要你懂SQL语法，也不需要装什么客户端。

但别把它当成万能钥匙。我拿它扫过自己搭的测试环境，一个故意留了XSS漏洞的页面，它没报。后来我手动测，发现是因为那个注入点需要特定的Referer头才能触发，360的爬虫没带这个头。所以它的检测范围有边界，主要覆盖常见的GET/POST参数注入、部分反射型XSS、以及一些已知的CMS漏洞路径。你如果拿它去扫一个纯静态站，报告大概率是绿的，但那不代表绝对安全——只是没有它认识的那种漏洞。

速度方面，单URL扫描通常两三分钟出结果。如果开了深度扫描，时间会拉长到十几分钟，因为它要遍历更多参数和路径。我有次扫一个电商站，深度模式跑了快二十分钟，最后报了三个中危漏洞，两个是Cookie没设HttpOnly，一个是后台登录页没有验证码。这些算不算漏洞？算，但优先级不高。真正要命的是它没扫出来的逻辑漏洞，比如越权查看订单、修改价格参数——这些自动化工具基本无能为力。

用的时候有个细节值得注意：它默认会发送大量请求，如果你的站有WAF或者CDN，可能会触发拦截，导致扫描结果不完整。我一般会先确认目标站没有封IP的策略，或者干脆在测试环境跑。另外，扫描前最好拿到授权。没授权就拿去扫别人的站，哪怕只是“检测一下”，在法律上也是灰色地带。

报告出来后别只看那个总分。点开每个漏洞的详情，看看它给出的验证URL和响应片段。有些是误报，比如把普通的404页面当成了目录遍历。我遇到过好几次，它说某个路径存在敏感文件泄露，打开一看是自定义的错误页，内容里恰好包含了“root”这个词。人工复核这一步省不掉。

说到底，360这个在线检测适合做第一轮筛查。快速、免费、不用配置。发现明显问题后，再上Burp Suite或者AWVS做深度测试。把它当入口，别当终点。

(责任编辑：综合)