核心要点（TL;DR）
- 网站安全评测应先用自动化扫描覆盖面，再用渗透测试验证点，避免只出报告不改配置。
- 扫描前必须确认授权范围与时间窗口，否则容易触发WAF封禁或法律风险。
- Nuclei加OWASP ZAP可覆盖大部分OWASP Top 10常见问题，成本几乎为零。
- 整改按可利用性与数据影响排序，先堵未授权访问与注入类高危漏洞。
很多站长把「网站安全评测」理解成装个扫描器跑一遍，结果报告里几百条告警无人处理，真正的入口漏洞依然敞着。问题不在工具，而在流程：没有资产清单、没有授权边界、没有验证环节、没有整改闭环。本文按运维和站长能直接动手的顺序，把网站安全评测拆成资产梳理 → 自动化漏洞扫描 → 手工渗透验证 → 优先级整改四步，每步都给命令和检查项，照着做就能跑通首轮自查。
第一步：先理清资产，别急着开扫
扫描前先回答三个问题：有哪些域名和子域、暴露了哪些端口与服务、哪些系统存着敏感数据。资产不全，后面的扫描都是盲人摸象。
- 子域收集：
subfinder -d example.com -silent | sort -u > subs.txt - 端口与服务识别：
nmap -sV -Pn -iL subs.txt -p 80,443,22,3306,6379,8080 -oN ports.txt - 确认指纹：
whatweb -i subs.txt --log-brief=finger.txt
把结果整理成表格，标注每个系统的负责人、是否对外、是否含用户数据。同时明确授权范围与时间窗口，尤其托管在云上的站点，先看服务条款是否允许主动扫描，避免触发平台风控。
第二步：自动化漏洞扫描，先覆盖再深入
自动化扫描的价值是「面」，不是「点」。建议两层：模板化漏洞匹配 + 被动代理爬取。
模板扫描：Nuclei
nuclei -l urls.txt -severity critical,high,medium \
-t cves/ -t exposures/ -t misconfiguration/ \
-rate-limit 50 -o nuclei_result.txt重点看三类结果：暴露的配置文件与备份（.git、.env、backup.zip）、默认口令与未授权接口、已知组件 CVE。注意只采信能复现的条目，模板误报并不少见。
爬取扫描：OWASP ZAP
zap-cli quick-scan -s xss,sqli -r http://target.example.com
zap-cli report -o zap_report.html -f htmlZAP 适合发现表单注入、缺失安全响应头、Cookie 属性问题。扫描时把并发压到 5 以下，避免把业务打挂。扫描完成后先看「报警」里带请求响应的条目，无响应的直接降级。
| 工具 | 擅长 | 局限 |
|---|---|---|
| Nuclei | 已知漏洞、暴露面、配置错误 | 依赖模板，业务逻辑漏洞覆盖弱 |
| OWASP ZAP | 注入、XSS、响应头、会话安全 | 爬虫覆盖有限，误报需人工确认 |
| Nmap | 端口与服务、资产发现 | 不判断业务漏洞 |
第三步：手工渗透验证，把告警变成结论
自动化扫出来的高危项必须手工验证，否则整改无从下手。按 OWASP Top 10 的顺序抽检，优先验证四类：
- 未授权访问：直接访问后台接口、
/actuator、/api/v1/admin，看是否返回数据； - 注入：在搜索、排序、ID 参数处加单引号与
sleep(5)，观察报错与响应延迟； - 越权：用普通账号替换请求中的用户 ID，确认是否返回他人数据；
- 文件上传与路径穿越：尝试上传
.php、.jsp与../../etc/passwd，看是否被拦截。
验证时使用测试账号和测试数据，禁止对生产库执行写操作。每条结论记录请求、响应、复现步骤与影响，形成可交付的验证清单，而不是只贴扫描器截图。
第四步：按优先级整改，形成闭环
整改顺序遵循「可利用性 × 数据影响」：先修未授权访问、注入、命令执行、文件上传，再处理信息泄露与配置类问题，最后统一做版本升级。每项修复后必须复测并留存记录。
- 高危：24 小时内修复，临时可用 WAF 规则或下线入口兜底；
- 中危：一周内排期，纳入版本发布计划；
- 低危：随迭代收敛，避免长期堆积。
在防护层面，可以借助 AegisX 的 Web 防护与主机基线能力，把未授权访问、异常注入请求和暴露的敏感路径纳入持续监控，让一次性评测变成日常防护。
自查清单：上线前逐项打勾
- 资产清单完整，子域与端口有负责人；
- 扫描已获授权，时间窗口与并发受限；
- 高危项全部手工复现并记录证据；
- 后台、接口、备份文件无未授权访问；
- 安全响应头、Cookie 属性、TLS 配置达标；
- 整改项有负责人、截止时间与复测记录。
行动建议：今天先跑一遍子域收集与 Nuclei 高危模板扫描，把结果按上表分类；本周内完成高危项手工验证与修复，并把扫描任务设为每周定时。网站安全评测不是一次性报告，而是持续收敛暴露面的过程。
常见问题（FAQ）
网站安全评测需要停机吗？会影响线上业务吗？
通常不需要停机。漏洞扫描以只读探测为主，建议在业务低峰期执行并限制并发；渗透测试中的上传、越权、注入验证可能写入数据，应使用测试账号与独立测试环境。扫描前备份配置并开启日志，出现异常立即停止任务。
没有授权可以扫描自己的网站吗？
自有且自运营的站点可自行评测，但若站点部署在云厂商或托管机房，需先确认服务条款是否允许主动扫描，避免触发平台风控。对第三方站点、子域名或合作方系统，必须取得书面授权并约定时间窗口与测试边界，否则可能构成违法。
免费工具能替代商业漏扫吗？
多数场景可以覆盖基础面。Nuclei模板库加OWASP ZAP能发现常见注入、配置错误与组件漏洞，但商业漏扫在资产发现、误报控制和合规报告上更完整。建议免费工具做日常自查，关键系统上线前再做一次商业或人工渗透复核。
扫描结果几百条漏洞，先修哪些？
按可利用性与数据影响排序：先修未授权访问、SQL注入、命令执行、文件上传等可直接获取数据或控制服务器的高危项，再处理信息泄露与配置类中危，最后统一收敛低危与版本升级。每项修复后复测并留存记录。
多久做一次网站安全评测比较合适？
建议每季度一次完整评测，重大版本上线或架构变更后追加一次；日常用Nuclei定时任务做每周增量扫描，配合WAF告警与日志审计。关键业务系统可提高频率，并把新暴露的域名与端口纳入资产清单持续监控。