打开一个网站，网站浏览器地址栏左边那个小锁图标，漏洞点开能看到证书信息。查询但证书只证明连接是网站加密的，跟网站本身有没有漏洞是漏洞两码事。很多人搞混这一点，查询以为https就等于安全，网站其实差得远。漏洞

去年有个做电商的查询朋友找我，说后台老有人尝试登录，网站问我怎么查自己网站有没有漏洞。漏洞我让他先装了个Wappalyzer插件，查询看看网站用了什么技术栈。网站结果显示是漏洞WordPress 5.8，PHP 7.4。查询这两个版本都有已知漏洞，PHP 7.4早在2022年就停止安全支持了。他听完愣了半天，说服务器是找人代管的，自己从来没注意过版本问题。

查漏洞这件事，第一步不是去扫，是先搞清楚自己有什么。域名、IP、开放端口、CMS类型、插件列表、服务器系统版本，这些信息拼在一起，基本能画出攻击面。很多人跳过这步直接上扫描器，结果扫出一堆误报，反而不知道从哪下手。

常用的工具就那么几个。Nmap扫端口，WhatWeb识别指纹，WPScan专门针对WordPress。想省事的话，OWASP ZAP或者Burp Suite社区版都能做基础扫描。但工具只是辅助，关键还是看结果怎么解读。比如Nmap报了个3306端口开放，如果这是MySQL且允许外网访问，那就是个严重问题。但如果服务器防火墙只允许内网IP连，风险就低很多。同一个结果，配置不同，结论完全不一样。

在线查询平台也有用。像Shodan、Censys这类搜索引擎，能直接查到某个IP暴露了哪些服务。我试过把自己服务器的IP丢进Shodan，发现它记录了我三个月前临时开的一个测试端口。那个端口我早关了，但Shodan的缓存还在。这说明什么？你临时开过的东西，互联网可能一直记着。

漏洞库要常看。CVE Details、NVD这些地方能按产品名搜已知漏洞。比如搜“Apache 2.4.49”，会看到CVE-2021-41773，路径穿越漏洞，CVSS评分7.5。再看自己服务器版本，如果正好是2.4.49，那就得马上处理。这种查询不需要什么技术门槛，关键是养成习惯。

有人觉得小网站没人盯着，不会被攻击。实际情况是，自动化扫描器每天都在全网跑，不分大小。我自己的一个个人博客，上线第三天就收到过WordPress的暴力破解尝试。攻击者根本不看你是谁，只认版本号。你用了有漏洞的插件，就可能被批量利用。

查完漏洞之后怎么办？能升级就升级，不能升级就找替代方案或者加防护规则。比如某个插件作者跑路了不再更新，那就换一个功能类似的。服务器系统版本太老，要么升级要么迁移。打补丁这件事没有捷径，拖着不处理，等于把门开着。

最后说个细节。很多人查漏洞只查主站，忘了子域名和API接口。主站做得再严实，一个测试用的子域名可能就跑着旧版本应用。我见过一个案例，主站是新的，但dev子域名还挂着两年前的代码，数据库连接信息直接写在配置文件里，通过浏览器就能访问到。这种漏洞扫描器不一定报，得靠人工去看。

查漏洞不是一次性的活。网站改版、加新功能、换服务器，每次变动都可能引入新问题。把它当成定期体检，比出了问题再救火强得多。

(责任编辑：娱乐)