打开一个网站，网站三秒内没加载出来，安全多数人直接关掉走人。检测但网站 owner 更该关心的工具是另一件事：这站点有没有被挂马、有没有暗链、网站服务器有没有对外暴露不该开的安全端口。360网站安全检测工具就是检测干这个的，输入域名，工具等几分钟，网站出一份报告，安全告诉你站点当前的检测安全状况。

我第一次用它是工具在2016年，帮一个做外贸的网站朋友看他的企业站。那站用的安全是某开源CMS，后台密码还是检测admin/123456。360的检测结果里直接标红了一条“存在弱口令风险”，朋友当时还嘴硬说没人会猜。结果两周后站点被注入，首页被跳转到博彩页面。这事之后他老老实实改了密码，又装了WAF。360这个工具的报告不算特别深，但对中小站长来说，够用——它能把最容易被利用的低级漏洞先给你筛出来。

它到底检测什么

核心模块分几块。一个是漏洞扫描，主要针对常见的SQL注入、XSS跨站、命令执行、文件包含这些。原理不复杂，就是往参数里塞测试payload，看返回内容有没有异常。另一个是挂马检测，爬取页面里的iframe、script标签，比对恶意代码特征库。还有端口扫描，看21、22、3306、6379这些敏感端口有没有直接暴露在公网。最后会给一个安全评分，满分100，低于60的基本就是“裸奔”状态。

有个细节值得说：它的端口扫描用的是外部节点发起，跟你自己在本机跑nmap结果可能不一样。防火墙规则如果只针对特定IP放行，外部扫描不一定能发现。所以报告说“端口安全”不代表真的安全，得结合自己服务器的iptables或安全组规则一起看。

实际用起来什么感受

界面很朴素，甚至有点老旧。提交域名后排队，快的时候两三分钟，慢的时候十几分钟。报告出来是一页长图加文字列表，每条风险有简要说明和修复建议。修复建议写得比较笼统，比如“建议对参数进行过滤”，不会告诉你具体用哪个函数。对新手来说，知道有问题但不知道怎么改，这是它比较尴尬的地方。

另外它只能检测公网可访问的页面。后台登录后的功能、API接口、需要认证的路径，它扫不到。所以别指望它覆盖全部攻击面。我一般把它当“体检初筛”，查出问题后再用Burp Suite或者AWVS做深度测试。两者定位不同，360这个更适合快速摸底。

免费版的边界

免费用户每天有次数限制，好像是3次还是5次，记不太清了。检测深度也有限制，比如不会做全网爬取，只扫首页和少量内链。企业版要收费，功能多些，但中小站长用免费版基本够。有个坑要注意：检测过程中会往你的表单里提交测试数据，如果站点有留言板或评论功能，可能会留下垃圾记录。建议检测前先备份数据库，或者临时关掉写入功能。

还有一点，360本身是商业公司，检测报告里偶尔会推荐自家的云防护产品。这不算硬伤，但看报告时心里有数就行。工具就是工具，别把它当权威。真正的安全靠的是持续更新、最小权限原则和定期审计，不是扫一次就完事。

最后说个观察：很多站长用完这个工具，看到评分90以上就放心了。但安全评分高不等于没漏洞，只是没被已知规则命中。我见过评分95的站，因为一个自定义接口没做鉴权，被人拖走了全部用户数据。工具能帮你排除常见问题，剩下的还得靠人。