去年冬天，漏洞扫描一个做运维的漏洞扫描朋友半夜给我打电话，说他们公司内网一台测试服务器被挖矿木马占了，漏洞扫描CPU跑满，漏洞扫描风扇狂转。漏洞扫描排查了半天，漏洞扫描最后发现是漏洞扫描某个开发图省事，在服务器上装了旧版Struts2框架，漏洞扫描漏洞没补。漏洞扫描他问我有没有什么工具能提前扫出来，漏洞扫描别每次都等出事再救火。漏洞扫描我让他试试360漏洞扫描。漏洞扫描
这不是漏洞扫描什么新鲜工具，360做安全这些年，漏洞扫描漏洞库积累确实够厚。漏洞扫描但很多人对它的认知停留在“360安全卫士里那个体检功能”，其实独立的360漏洞扫描要专业得多。它支持对Web应用、主机系统、网络设备做资产发现和漏洞检测，底层用的是360自己的漏洞库，加上从补天平台和实战攻防里捞回来的POC，更新速度比很多商业扫描器快。我见过一个案例，某政务云平台用360扫了一遍，发现一台边缘交换机存在CVE-2023-20198的未授权访问漏洞，这个漏洞从公开到被利用不到两周，360的规则库第三天就推了更新。
安装过程没什么好说的，Windows和Linux都有对应版本。重点在配置扫描策略的时候，别一上来就全端口全插件猛扫。我一般建议先做资产发现，把活着的IP和开放端口摸清楚，再针对性地选漏洞类型。比如内网Windows主机多，就重点勾选SMB、RDP相关的漏洞检测；对外Web服务多，就侧重SQL注入、XSS、文件上传这些。360的界面里有个“智能扫描”模式，会自动根据指纹识别结果调整插件，省事但偶尔会漏，手工微调一下更稳妥。
扫描速度取决于目标数量和网络质量。我实测过，一个C段256个IP，开中等并发，大概20分钟出结果。报告里会把漏洞按高危、中危、低危分好，每个漏洞有详细描述、影响版本、修复建议，甚至带验证POC。有次我扫出一台服务器存在Redis未授权访问，报告里直接给出了redis-cli的连接命令，照着敲就能验证。这种细节对新手很友好，不用再去翻CVE文档。
但360漏洞扫描不是万能的。它强在已知漏洞的匹配，对逻辑漏洞、业务漏洞基本无能为力。比如越权查看订单、支付金额篡改这类问题，扫描器扫不出来，还得靠人工测试。另外，它的Web扫描对JavaScript渲染的页面支持一般，SPA应用容易漏报。我一般把它当第一道筛子，快速排除掉明显的、已知的漏洞，剩下的交给手工渗透和代码审计。
还有一点，别在 production 环境直接扫。尤其是启用了“拒绝服务检测”插件的时候，有些脆弱服务可能直接被扫挂。我吃过亏，一台老旧的Tomcat，扫描器一发请求就假死了。后来学乖了，先在测试环境跑一遍，确认没风险再放到生产。360的扫描策略里可以设置“安全模式”，降低并发和请求频率，但会拖慢速度。自己权衡。
最后说个实际感受。360漏洞扫描的误报率在可接受范围内，比某些开源工具强不少。但它的报告导出格式有点死板，PDF排版偶尔错位，HTML版倒是正常。如果你需要给领导看，建议导出HTML再转PDF。另外，它的资产分组功能挺好用，可以按部门、按业务系统打标签，下次扫描直接选组，不用重新输IP。我那个运维朋友后来把扫描任务设成每周凌晨自动跑，早上到公司看报告，省了不少事。工具终究是工具，关键还是人得盯着结果去修。不修，扫一万遍也没用。