怎么查一个网站有没有漏洞

我第一回干这事，网站是有没有漏拿自己搭的一个破博客练手。后台登录框就杵在那儿，网站用户名填 admin' OR '1'='1，有没有漏密码随便敲几个字符，网站回车。有没有漏页面没报错，网站直接进了。有没有漏那一刻的网站感觉不是兴奋，是有没有漏背后发凉——原来漏洞离我这么近。查网站漏洞，网站本质上就是有没有漏模拟攻击者的思路，去试探那些程序员没考虑到的网站边界情况。

最直接的有没有漏手段是手工测试。打开浏览器，网站盯着 URL 里的参数。比如 product.php?id=5，你把 5 改成 5'，看页面返回什么。如果蹦出 MySQL 语法错误，SQL 注入的门就虚掩着了。再试 5 AND 1=1 和 5 AND 1=2，页面显示是否不同。不同，基本可以确认。这法子笨，但管用。早年很多电商网站栽在这上面，订单参数没过滤，被人拖了整库用户数据。

XSS 也类似。找个评论框或者搜索框，输入 <script>alert(1)</script>。提交后如果弹窗，说明脚本被当代码执行了。更隐蔽的是存储型 XSS，你留的恶意脚本会存进数据库，每个访问该页面的用户都中招。我见过一个论坛，签名档里塞了窃取 Cookie 的代码，管理员一登录，权限就被人顺走了。

手工测效率低，得靠工具。Burp Suite 是绕不开的。把它设成代理，浏览器流量全走它。你正常点击网站，Burp 在中间把每个请求都截下来。改参数、重放、扫描，一气呵成。它的 Scanner 模块能自动跑常见漏洞，但别全信——误报和漏报都有。我习惯先让 Scanner 跑一遍，再自己盯着那些可疑的请求手动验证。比如它报了个 CSRF，我得去看表单里有没有 token，token 是不是每次请求都变。

OWASP ZAP 是另一个选择，免费，开源。启动后输入目标 URL，点那个大红色的“Attack”按钮，它就自己爬站、测漏洞。适合快速摸底。但自动扫描有个毛病：它分不清“危险”和“可疑”。有回它报我博客有命令注入，我一看，只是参数里有个分号被误判了。所以工具结果得人眼过一遍。

还有一种笨办法但极其有效：翻源码。右键查看页面源代码，看有没有注释掉的测试接口、默认密码、隐藏的表单字段。我见过一个后台，登录框旁边注释里写着 <!-- 测试账号: test / test123 -->，开发忘了删。直接进去，里面功能全裸奔。还有 JavaScript 文件，别跳过。里面可能硬编码了 API 密钥、内部 IP、甚至数据库连接串。用浏览器开发者工具的 Sources 面板，一个个看，不亏。

子域名也值得挖。主站防得严，dev.example.com 或 old.example.com 可能还跑着三年前的代码，漏洞一抓一把。用 subfinder 或 amass 这类工具枚举子域名，然后挨个访问。我曾在 test. 开头的子域上找到一个未授权的 Jenkins 面板，点两下就能执行系统命令。那网站主站可是花了钱买 WAF 的。

别忘了端口。网站开放 80 和 443 是正常的，但 8080、8443、3306 呢？用 nmap 扫一下。有次我发现目标服务器开着 6379，Redis 未授权访问。连上去 info 命令一敲，服务器信息全出来。再写个 SSH 公钥进去，直接拿 shell。这比在 Web 层面费劲找 SQL 注入快多了。

查漏洞这事，心态要摆正。你不是在“证明自己厉害”，是在帮人找问题。未经授权扫别人的站，违法。我所有测试都在自己搭建的靶场或者有书面授权的客户环境里做。DVWA、bWAPP、Pikachu 这些靶场，够你练手了。真要对线上站动手，先拿授权书，白纸黑字那种。

最后说个细节：日志。你测的时候，服务器会记录你的请求。别用真实 IP 干敏感操作，除非你不在乎被溯源。代理链、VPS、Tor，看情况用。但更重要的是，测完把发现的问题写清楚：漏洞位置、复现步骤、危害、修复建议。别甩个截图就完事。开发看不懂，你等于白测。

漏洞永远查不完。今天修了 SQL 注入，明天可能冒出个 SSRF。保持好奇，保持敬畏。每次点下“发送”之前，问自己：这个参数，后端真的处理干净了吗？