web网站漏洞扫描工具

打开一个网站，站漏随便在搜索框里敲个单引号，洞扫页面直接甩回来一段SQL错误——这种事我去年还碰到过。描工那是站漏个地方性新闻站点，后台用的洞扫老版Drupal，运维大概半年没打过补丁。描工一个单引号就能让它把数据库结构吐出来，站漏你说吓不吓人。洞扫web漏洞扫描工具干的描工就是这种活：替你往输入框里塞脏数据，看网站会不会露馅。站漏

这类工具的洞扫核心逻辑其实不复杂。它们维护一个“攻击载荷库”，描工里面装着各种畸形输入——SQL注入片段、站漏跨站脚本payload、洞扫路径穿越字符串、描工命令注入分隔符。扫描器把这些东西自动填进表单、URL参数、HTTP头，然后分析响应。响应里出现了数据库报错、脚本被原样反射回来、或者服务器返回了不该返回的文件内容，它就标记为疑似漏洞。说白了，就是自动化地“乱敲键盘”，只不过敲得很有章法。

我最早用的是AWVS（Acunetix Web Vulnerability Scanner）。那会儿还是2015年左右，界面丑陋但管用。它爬站的速度很快，能顺着链接把整个站点的输入点摸个遍。有一次扫一个客户的企业官网，它报了个盲注漏洞，我手动验证了半天没复现，后来发现是WAF在特定User-Agent下会放行——AWVS的请求头恰好撞上了那个白名单规则。这事儿让我意识到，扫描器的结果不能全信，也不能不信。误报和漏报是它的两个影子，甩不掉。

开源阵营里，OWASP ZAP和Burp Suite的社区版是绕不开的。ZAP的被动扫描模式挺实用——你正常浏览网站，它就在后台默默记录所有请求和响应，顺带分析有没有明显问题。不主动发攻击包，对生产环境影响小。Burp的Intruder模块严格来说不算全自动扫描器，但配合Payload字典，手工测试效率能翻好几倍。我认识一个做渗透测试的朋友，他几乎不用全自动扫描，嫌噪音太大。他的做法是Burp挂代理，手动点一遍关键功能，同时开着ZAP被动扫描当辅助。人机结合，误报率低很多。

商业工具里，Acunetix和Netsparker（现在叫Invicti）都主打“验证型扫描”——发现疑似漏洞后会再发一个确认请求，看是否真的可利用。这个思路能砍掉大量误报。但价格不便宜，一年订阅费够买好几台服务器。小团队或者个人开发者，大概率还是用ZAP或者Nuclei。Nuclei这两年很火，基于YAML模板，社区贡献的POC模板更新极快。一个刚爆出来的CVE，往往几小时内就有对应的Nuclei模板。跑起来也轻量，一条命令扫一批URL，输出干净。

不过工具再强，也替代不了人对业务逻辑的理解。扫描器能发现“参数id=1换成id=2看到了别人的订单”，但它很难理解“优惠券叠加使用规则被绕过导致零元购”这种逻辑漏洞。后者需要人去看代码、理流程、构造异常操作序列。我见过太多公司买了扫描器，季度扫一次，报告出来修几个中危漏洞，就觉得安全了。真正的风险往往藏在那些扫描器爬不到的地方——需要登录才能访问的API、移动端专用的接口、内部管理后台。

选工具这事，看场景。甲方合规扫描，AWVS或者绿盟极光这类，报告漂亮，能交差。乙方渗透测试，Burp加自写插件，灵活。个人练手或者CI/CD集成，ZAP的Docker镜像拉下来就能跑，Nuclei写个workflow挂在GitHub Actions里，每次提交代码自动扫一遍。别指望一个工具解决所有问题，也别因为误报就弃用。把它当成一个不知疲倦的实习生——能帮你干很多重复劳动，但最终判断还得自己来。