凌晨两点，网站某电商平台的漏洞运维老张被手机震醒。告警群里刷了四十多条消息——他们的扫描商品搜索接口正被脚本疯狂遍历，每秒发出三百次请求，检测每次都在试探不同的网站参数组合。这不是漏洞攻击，是扫描扫描。有人在用自动化工具翻找他们网站代码里的检测裂缝，就像小偷挨个试每户人家的网站门把手。
网站漏洞扫描检测，漏洞说白了就是扫描抢在小偷之前，把自己家门把手挨个拧一遍。检测我见过太多企业栽在这上面。网站去年一家做在线教育的漏洞公司，花大价钱买了防火墙、扫描WAF、入侵检测系统，结果被一个SQL注入漏洞拖垮了整个用户库。事后排查发现，漏洞就藏在三年前写的一个老旧的课程搜索模块里，那个模块早没人维护了，但URL还挂在页面上。扫描器要是能定期跑一遍，这种洞根本活不过一周。
工具分两种，黑盒和白盒。黑盒像蒙着眼摸象，从外部发各种畸形请求，看服务器怎么回应。白盒则直接翻源代码，像拿着设计图纸找承重墙裂缝。前者快，但容易漏掉藏在深层逻辑里的问题；后者准，可对代码量和人员要求都高。现在主流做法是把两者混着用——先用黑盒扫出暴露面，再对关键模块做白盒审计。别迷信单一工具，某知名扫描器曾连续三年没发现自家官网的目录穿越漏洞，最后还是被一个独立安全研究员捅出来的。
扫描频率这事，行业里争论不休。有人坚持每周全量扫，有人觉得每月一次就够。我的看法是，别把时间浪费在固定周期上。代码每次提交都可能引入新漏洞，与其机械地定时扫描，不如把扫描嵌进CI/CD流水线里，每次构建都自动跑一轮快速检测。慢速深度扫描可以放在版本发布前，但那不是例行公事，而是针对新改动做的专项审查。真正有效的扫描，不是次数多，而是时机准。
还有个常被忽略的细节——扫描器自身的误报率。我见过某安全团队被扫描结果淹没，每周收到两千多条告警，其中真正需要处理的不到二十条。狼来了喊多了，团队就麻木了，后来真有漏洞被扫出来，反而因为告警太多没人注意到。工具要调，规则要改，不能装完就撒手不管。好的扫描策略，应该不断把误报样本喂回工具里去训练，让它的判断越来越贴近你的业务实际。
最讽刺的是，很多公司把扫描报告当作安全工作的终点。报告一出，存档了事。可漏洞扫描检测从来不是交付物，而是起点。发现洞不补，等于体检完拿着报告单继续熬夜喝酒。真正要跟进的，是漏洞的生命周期——确认、定级、修复、复测、关闭。缺了任何一环，扫描就只是给管理层看的安慰剂。
回到老张那晚的事。他们后来查清楚，攻击者利用的其实是个已知漏洞，补丁两个月前就发布了，但运维团队怕影响线上稳定性，一直没敢重启服务打补丁。扫描器早就把这个漏洞标红了，可报告躺在工单系统里，优先级排到了下周。你猜怎么着？攻击者比他们的工单系统跑得快多了。