在线网站漏洞检测

去年秋天，线网我帮一个做跨境电商的站漏朋友看他的独立站。网站跑在WordPress上，洞检用了WooCommerce插件，线网页面打开速度还行，站漏外观也没毛病。洞检我随手在地址栏后面加了个单引号，线网回车——页面直接甩出一段MySQL错误，站漏数据库表名、洞检路径、线网甚至部分查询语句全暴露在浏览器里。站漏朋友当时就愣住了。洞检他没做任何防护，线网网站上线八个月，站漏后台日志里已经有几十万次来自全球各地的洞检扫描请求。

这就是在线网站漏洞检测最朴素的入口：一个标点符号。不需要什么高级工具，不需要渗透测试证书，一个单引号就能让大量网站现原形。SQL注入这种上世纪九十年代就出现的漏洞，到今天仍然是互联网上最普遍的伤口之一。OWASP每年更新的十大安全风险里，注入类漏洞几乎从未跌出前三。

在线检测工具分两种路子。一种是自动化扫描器，比如Acunetix、Netsparker、国内的Xray，你把域名输进去，它爬取页面、分析参数、构造恶意请求，最后给你一份报告。另一种是手工测试，安全人员根据经验逐项排查。自动化工具快，但误报率高得离谱——我见过一份扫描报告标了47个高危漏洞，人工复核后真正可利用的只有三个。手工测试准，但一个中等规模的网站全面测下来，没个三五天根本做不完。

真正让我在意的不是工具本身，而是大部分站长对漏洞检测的态度。他们不是不知道有风险，是觉得“我这个小破站没人盯上”。事实恰恰相反。我自己的一个个人博客，纯静态页面，没数据库没后台，上线第一周就收到了来自乌克兰、巴西、越南IP的扫描记录。攻击是自动化的，爬虫不分大小站，只要你的IP在公网上，就在别人的扫描列表里。Shodan和Censys这类搜索引擎把全球联网设备的指纹都扒了个遍，你的服务器什么系统、开了什么端口、跑了什么服务，有心人查一下就知道。

说回检测这件事本身。如果你用CMS建站，第一步永远是把版本号藏起来。WordPress默认会在页面源码里输出meta generator标签，告诉你用的是哪个版本。攻击者拿版本号去WPScan一查，已知漏洞列表直接列出来，连检测都省了。第二步是参数化查询，所有涉及数据库操作的地方，别拼SQL字符串。第三步是输入验证，但别指望前端JavaScript校验能拦住什么——Burp Suite抓个包改一下，前端校验形同虚设。

免费在线检测工具有没有靠谱的？有，但不多。WPScan的在线版可以扫WordPress站点，Sucuri SiteCheck能查恶意代码和基础配置问题，Qualys SSL Labs专门测SSL/TLS配置。这些工具能帮你排除掉一批低级问题，但别把它们当护身符。真正的漏洞检测需要理解业务逻辑——比如一个优惠券功能，能不能重复领取、能不能越权使用别人的券、金额能不能改成负数，这些自动化工具根本测不出来。

最后说个扎心的事实。我见过太多网站，扫描报告出来了，漏洞列得清清楚楚，补丁就是不打。问就是“等下次改版一起弄”。攻击者不会等你改版。从漏洞公开到被大规模利用，窗口期经常只有几天。在线检测只是第一步，检测完不动手，跟没测一样。

本文地址：http://www.79wt.cn/news/1703d1699813.html