去年冬天，进行一个做跨境电商的网站朋友半夜给我打电话，说网站被挂马了，安全首页跳转到博彩页面。漏洞我问他上次扫漏洞是扫描什么时候，他沉默了几秒，进行说“从来没扫过”。网站这种事我见过太多次——不是安全技术不到位，是漏洞根本没把扫描当回事。

网站安全漏洞扫描，扫描说白了就是进行用工具模拟攻击者，看你的网站站点哪里能被打进去。它不神秘，安全但很多人要么懒得做，漏洞要么做一次就以为一劳永逸。扫描我见过一个运维，用AWVS扫完报告里全是红色高危，他直接把报告删了，说“眼不见心不烦”。这跟体检发现肿瘤然后撕掉报告有什么区别？

扫描分两种：黑盒和白盒。黑盒就是站在外面，只知道域名，像小偷踩点。白盒是你给工具账号密码，甚至源码，让它从内部翻。大部分中小团队只做黑盒，因为简单。但黑盒扫不出逻辑漏洞，比如越权查看订单、支付金额篡改。这些得靠白盒加手动测试。我自己的习惯是，黑盒扫完先别急着修，拿Burp Suite手动过一遍关键接口，往往能挖出工具漏掉的东西。

工具选择上，别迷信商业软件。AWVS确实强，但一年几万块，小公司扛不住。开源方案里，OWASP ZAP够用，虽然界面丑，误报多点，但配合自定义脚本能覆盖八成常见问题。Nikto扫服务器配置，Sqlmap专攻注入，Nmap看端口。组合起来，比单一工具靠谱。有个做SaaS的客户，一直用某国产商业扫描器，结果被一个简单的SSRF漏洞打穿。后来我用ZAP加手写POC，十分钟就复现了。工具是死的，思路是活的。

扫描频率这事，别听厂商忽悠“每天扫”。生产环境每天扫，流量和误报能把你逼疯。我的做法：开发阶段每次提交代码触发CI里的SAST扫描；预发布环境每周一次DAST；生产环境每月一次，且必须避开业务高峰。大促前加一次全量。去年双十一前，我帮一个电商客户扫出个未授权的API，能批量查用户手机号。修复后他们老板说“这比多卖一百万都值”。

扫描报告出来，优先级怎么排？CVSS评分高不代表必须马上修。一个需要内网访问的高危漏洞，实际风险可能低于公网的中危。我通常按“可利用性×影响面”排。能直接拿shell的，半夜也得爬起来修。只是信息泄露的，排期下个版本。但有一种情况例外：涉及支付或用户密码的，不管评分多少，立刻处理。这是底线。

最后说个真事。某次我扫一个政府网站，发现Struts2漏洞，直接能执行命令。联系他们技术，对方说“我们用了WAF，扫不出来”。我让他关掉WAF再扫，他照做后沉默了。WAF不是免死金牌，它只是挡子弹的沙袋，不是防弹衣。漏洞扫描要穿透WAF看本质，否则就是自欺欺人。

别把扫描当任务。它更像刷牙——每天做嫌烦，但隔太久不做出问题就是大问题。工具跑起来，报告看起来，该修的修。网站活着，比什么都强。