我上周帮朋友排查一个被挂马的站漏网站，后台密码被人改了，洞检数据库里多了一堆赌博链接。测工他用的站漏是某知名CMS，版本停留在三年前。洞检我扫了一遍，测工漏洞清单拉出来有十七项，站漏其中两个是洞检RCE级别的，可以直接上传webshell。测工这种案例我见得太多了，站漏十有八九的洞检入侵都源于已知漏洞没补。

检测工具分两类。测工一类是站漏黑盒扫描，就像从外面敲门试探——你拿AWVS或者AppScan往目标URL上甩一堆恶意payload，洞检看哪个参数会异常响应。测工这类工具对SQL注入、XSS这类老牌漏洞特别敏感，但碰上逻辑漏洞就抓瞎。另一类是白盒审计，直接翻源码，用RIPS或Fortify做静态分析，能挖出开发时埋下的雷。但白盒工具误报率感人，你得有经验去筛。

我自己的习惯是先用Wappalyzer看指纹，确定对方用的什么框架。然后针对性调扫描器配置——你拿扫描Drupal的规则集去打WordPress站点，纯属浪费时间。有个细节很多人忽略：检测前先看robots.txt和网站地图，有些开发者会把后台路径写在里面，省得你瞎猜。

扫描结果出来，别急着看高危漏洞列表。先看响应时间，如果某个参数触发后响应慢了三四秒，大概率存在时间盲注。再去看返回包里的Set-Cookie字段，没有HttpOnly标记的会话Cookie就是活靶子。这些细节自动化工具不会替你标注，但恰恰是实战中最值钱的信息。

有次我检测一个电商站，扫描器报了二十几个中危漏洞，看着吓人，其实大半是误报。真正致命的是后台登录接口没有频率限制，攻击者可以无限次爆破。这种问题工具测不出来，得靠手动验证——我写了个脚本模拟登录，跑了两个小时，果然试出了弱口令。工具是死的，人是活的，别迷信扫描报告。

现在很多新手上来就装个Xray或Nuclei，跑完出报告就以为完事了。但漏洞检测这东西，报告只是起点。你得去验证每个漏洞的真实可利用性，判断攻击路径能不能串联起来。比如一个反射型XSS本身危害有限，但如果它出现在后台管理页面的搜索框里，配合CSRF就能变成存储型攻击。

最后说个反直觉的事：很多网站的漏洞不在应用层，而在服务器配置。我扫描过一台服务器，应用代码干净得不行，但Nginx配置里把错误日志直接暴露在静态目录下，访问日志路径就能看到完整的SQL查询语句。这种问题，任何Web漏洞扫描器都发现不了，得用专门的配置审计工具或手工检查。

工具只是放大镜，真正决定安全性的是你对漏洞原理的理解深度。扫描器能帮你发现门没锁，但门后面藏着什么，还得你自己进去看。