免费网站漏洞扫描：被动扫描能发现什么，又有哪些局限

简要回答：Ostorlab 的免费网站扫描会检查站点的 TLS、安全响应头和存在已知漏洞的组件，而不对其发起攻击。它采用被动方式，因此可以在生产环境运行。输入您拥有或获准测试的 URL，报告就会通过电子邮件发送给您。

被动扫描能发现什么

• TLS 问题。过期或安全性较弱的证书、旧版协议和弱密码套件。
• 缺失的安全响应头。Content-Security-Policy、Strict-Transport-Security、X-Frame-Options 以及其他可阻止常见浏览器攻击的响应头。
• 存在已知漏洞的组件。过时的 JavaScript 库、CMS 版本，以及存在公开 CVE 的服务器软件。
• 暴露的信息。泄露您所运行软件信息的版本横幅和页面。

这些是攻击者最先发现的问题，因为自动化工具每天都在扫描整个互联网寻找它们。

被动扫描无法发现什么

被动扫描不会登录、提交表单或发送攻击载荷。这意味着它无法发现：

• 访问控制失效，例如用户 A 可以读取用户 B 的数据（IDOR、BOLA）
• 业务逻辑漏洞，例如重复应用折扣
• 只有提交表单或调用 API 才会触发的注入漏洞

这些问题导致了大多数严重数据泄露事件。发现它们需要在登录后开展主动测试。Ostorlab 的面向 Web 的 Agentic Deep Scan 会像攻击者一样探索应用。完成测试配置后，它可以处理 SSO 和 MFA 登录，并以可复现的证据证明每项发现。有关动态测试的一般原理，请参阅 DAST（动态分析）如何工作？。

免费扫描还是 Agentic Deep Scan？

在 Web 示例报告中查看主动测试会报告哪些内容。

在您自己的站点上试用：免费扫描网站。

常见问题

免费网站扫描可以安全地用于生产环境吗？ 可以。它仅爬取页面并读取响应，不提交表单，也不发送载荷。

我需要拥有该网站吗？ 是的。您必须拥有该站点或获准对其测试，并在表单中确认这一点。

免费扫描会测试我的 API 吗？ 不会。API 测试属于 Agentic Deep Scan 的功能。

被动网站扫描和主动网站扫描有何区别？ 被动扫描读取站点暴露的信息：证书、响应头和组件版本。主动扫描会登录并发送测试请求，以发现访问控制、逻辑和注入漏洞。