什么软件可以扫描网站漏洞？

去年帮一个做电商的朋友看他的独立站，后台日志里一堆来自乌克兰IP的网站POST请求，路径全是漏洞 /wp-admin/admin-ajax.php。他用的什软扫描还是WordPress 5.4，插件三年没更新。网站我扔了个WPScan过去，漏洞五分钟扫出七个高危漏洞——其中一个能直接上传webshell。什软扫描他当时脸都白了。网站这种事每天都在发生，漏洞区别只在于你有没有趁手的什软扫描工具提前发现。

说到网站漏洞扫描，网站绕不开Burp Suite。漏洞这玩意儿算是什软扫描渗透测试的瑞士军刀，社区版免费，网站够用。漏洞它的Scanner模块能自动爬站、测试SQL注入、XSS、路径遍历这些常见问题。我习惯先用它代理浏览器流量，手动点一遍网站主要功能，让Burp把请求都录下来，然后右键“Scan”丢给扫描器。速度不算快，但误报率比某些国产扫描器低得多。有个细节：社区版没有主动扫描，只有被动扫描——意思是它只分析你走过的流量，不会自己乱发请求。想全自动得买专业版，一年399美元。贵，但值。

要是预算为零，OWASP ZAP是首选。开源，跨平台，Java写的。它的爬虫和主动扫描规则比Burp社区版激进，有时候会怼出一些奇怪的结果。我拿它扫过一个基于Spring Boot的API，它居然发现了actuator端点未授权访问——那个端点返回了全部环境变量，包括数据库密码。ZAP的界面有点乱，菜单层级深，但用习惯了也还好。有个小技巧：把扫描策略调到“Light”模式，否则大站能跑一整天。

Nikto是另一路数。它不搞复杂逻辑，就是拿着一个包含6700多个潜在危险文件的数据库，挨个去请求。什么 /backup.zip、/.git/config、/phpinfo.php，撞大运。速度极快，适合刚拿到一个IP段时快速摸底。缺点也明显：噪音大，容易被WAF封。我一般配合代理池用，或者只在内网扫。有一次扫一个客户的内网CMS，Nikto直接翻出了 /adminer.php，数据库管理界面裸奔，连密码都没改。

商业软件里，Acunetix和Netsparker（现在叫Invicti）是两个老牌选手。Acunetix的强项是JavaScript-heavy的SPA应用，它能执行页面里的JS，抓取动态生成的链接。我见过一个用React写的后台，Burp爬不到几个页面，Acunetix硬是爬出了两百多个接口。Netsparker有个“证明漏洞”的功能，扫出SQL注入后会直接dump出数据库版本和当前用户，截图存证。这功能对写报告很友好，但别在客户生产环境用——它真的会拖库。

国产的，知道创宇的ZoomEye不算扫描器，是网络空间测绘。但配合他们的“Pocsuite”框架，可以批量验证漏洞。比如你想找某个CMS的任意文件上传，写个POC，ZoomEye搜出所有目标，Pocsuite批量打。这组合适合做资产梳理后的定向排查。不过要小心法律边界，未授权的扫描在国内属于违法行为。

说个冷门的：Nuclei。基于YAML模板的快速扫描器，社区模板库更新极快。一个CVE公布后几小时内就有模板。我拿它扫过Log4j2，一条命令 nuclei -u https://target.com -t cves/2021/CVE-2021-44228.yaml，直接出结果。轻量，并发高，适合集成到CI/CD流水线里。缺点是模板质量参差不齐，有些写得糙，误报难免。

工具再多，核心还是人。我见过有人拿AWVS扫出“SQL注入”就兴冲冲报给客户，结果是个布尔盲注，实际不可利用——参数被过滤了，只是响应时间有微小差异。也见过漏扫工具没报的漏洞，手动测出来的。比如一个订单查询接口，参数是 order_id=123，工具只测了数字型注入，没试 order_id=123 AND 1=1 这种。所以别迷信自动化，扫描器是帮你省力的，不是替你思考的。

最后提一嘴合规。扫描之前，拿到书面授权。别拿扫描器去扫政府网站、学校官网，哪怕只是“看看”。刑法285条、286条不是闹着玩的。自己搭个靶场，DVWA、Pikachu、Vulhub，随便扫。真实环境里，先问清楚哪些路径不能碰，哪些时间段可以扫。我一般会要一个测试账号，把扫描器的请求头改成和正常用户一样，避免触发风控。

工具列表放这儿，自己挑：Burp Suite、OWASP ZAP、Nikto、Acunetix、Nuclei、WPScan（针对WordPress）、JoomScan（针对Joomla）、Sqlmap（专注SQL注入）。够用了。剩下的，靠经验。