隨著網站業務所承載內容的日益增多且重要性日益增強，網站本身的價值也越來越大，隨之由網站漏洞帶來的安全性問題也愈發嚴峻。新開通網站、新增專欄的準入質量評估，網站系統日常運行狀況的檢查預防和風險掌控，這些已成為各行業每年安全大檢查中的關鍵要素。作為具體落實定期檢查工作的安全人員，也急需選擇一款優秀的網站掃描產品進行高效徹底的Web脆弱性評估檢查，而如何選擇一款真正實用的產品成為一個比較糾結的難題。

常見Web掃描方案的優劣勢

目前常見的支持Web掃描解決方案的產品有很多，大家比較熟悉的有集成Web掃描模塊的多合一系統掃描器，網上可免費下載的開源掃描器軟件以及近幾年剛嶄露頭角的獨立Web掃描器產品等，都可以進行一定程度的Web安全掃描和漏洞發現。那么面對如此琳瑯滿目的選擇時，大家如何細致區分辨識其差異，就需嚴格立足于實際需要，最終做出***的判斷。

多合一的系統掃描器，通常會集主機掃描、配置核查、Web掃描及弱口令掃描于一身，是一款強大全面的多功能產品。但多合一的高度封裝導致其在進行安全掃描時，除不能分配全部計算資源在Web掃描方面，掃描引擎自身還要兼顧到全方位的權衡與調優。反觀目標Web應用呈現的種類多樣性、規模龐大性和運行特殊性，在面對動輒上萬、十萬甚至***別網頁數量的網站時，這種多合一產品就表現得差強人意，使用起來有種牛拉火車的感覺;同時，高效執行掃描評估就必須具備高并發的網頁鏈接爬蟲識別和Web插件交互邏輯判斷能力，這一現實的沖突導致多合一掃描器在Web掃描及性能體驗方面效果平平，優勢不突出。

網上開源的Web掃描器軟件，盡管完全免費并可以發現一些基本的漏洞信息，但其在***時間發現新爆Web漏洞和漏洞趨勢跟蹤分析、修補方面，完全不具備后期支撐能力。而且在人性化設計及低學習門檻方面也存在太多先天的不足，其性能與穩定性更是與商業軟件相差甚遠。

面對綜上同類產品，困惑于Web掃描場景需求種種局限的我們，很欣喜地看到了近幾年聲名鵲起的Web掃描器產品。它作為一款自動化評估類工具，依據制定的策略對Web應用系統進行URL深度發現并全面掃描，尋找出Web應用真實存在的安全漏洞，如跨站點腳本、SQL注入，命令執行、目錄遍歷和不安全的服務器配置。Web掃描器產品可以通過主動生成統計分析報告來幫助我們正確了解Web應用漏洞的詳細分布、數量和風險優先級，并對發現的安全漏洞提出相應有力的改進意見供后續修補參考，是幫助我們高效徹底地進行Web脆弱性評估檢查的堅實利器。

Web掃描器的三個誤區

針對現有市面上諸多品牌的Web掃描器，大家在評價它們孰優孰劣時時常過于片面極端，主要表現為三個認識誤區。

誤區1：多就是好!

認為漏洞庫條目多，檢查出來的漏洞多就是好。Web掃描器面對龐大繁多、千差萬別的應用系統，為提升檢測性能，多采用高效率的Web通用插件，以一掃多，其不再局限于某個專門應用系統，深層次聚合歸并，盡可能多地發現多種應用系統的同類漏洞。同時，對于掃描出來的非誤報漏洞，若同屬某一頁面不同參數所致的相同漏洞，歸納整理，讓最終呈現的漏洞報表簡約而不簡單，避免數量冗余、雜亂無章。故若以毫無插件歸并能力，僅靠大量專門Web系統插件、羅列各類漏洞列表數量多來博取贊許的Web掃描器，其本質存在太多的不專業性。

誤區2：快就是好!

認為掃描速度快耗時短的就是好。網站規模日趨復雜，日常檢查時我們期待Web掃描器能有更高效率地完成掃描任務，這點無可厚非，但檢查的本質是要***限度地提前發現足夠多的漏洞，并***時間制定后續相應的修補計劃。故在面對同一目標站點時，Web掃描器若能在單位時間內檢測出來的有效存在漏洞數越多，這個快才是真的好。

誤區3：小就是好!

認為掃描過程中對目標業務影響小就是好!這句話本身也沒有問題，只要Web掃描器在執行掃描過程中，對目標系統負載響應和網絡鏈路帶寬占用，影響足夠小，也就是我們常說的“無損掃描”，它就具備了一款優秀Web掃描器應有的先決條件。但是，這必須是在能***限度發現Web漏洞的前提下才能考慮的關鍵因素，脫離這個產品本質，就本末倒置了。

五個基本評優標準

那么，評優一款Web掃描器，我們該從何處著手?具體的判斷標準有哪些呢?

全——識別種類繁多的Web應用，集成最全的Web通用插件，通過全面識別網站結構和內容，逐一判斷每一種漏洞可能性，換句話說，漏洞掃描的檢測率一定要高，漏報率務必低，最終才能輸出全面詳盡的掃描報告。這就要求其在Web應用識別方面，支持各類Web語言類型(php、asp、.net、html)、應用系統類型(門戶網站、電子政務、論壇、博客、網上銀行)、應用程序類型(IIS、Apache、Tomcat)、第三方組件類型(Struts2、WebLogic、WordPress)等;插件集成方面，支持國際標準漏洞分類OWASP ***0和WASC插件分類模板，允許自定義掃描插件模板，***時間插件更新速度等。

準——較高的漏洞準確性是Web掃描器權威的象征，可視化分析可助用戶準確定位漏洞、分析漏洞。而誤報是掃描類產品不能回避的話題。Web掃描器通過通用插件與目標站點任一URL頁面進行邏輯交互，通過可視化的漏洞跟蹤技術，精準判斷和定位漏洞，并提供易讀易懂的詳細整改分析報告。除此之外，一款好的Web掃描器還要更具人性化，在漏洞發現后，允許掃描者進行手工、自動的漏洞批量驗證，進而雙重保障較高的準確性結果。

快——快速的掃描速度，才能在面對越來越大的網站規模，越發頻繁的網站檢查時游刃有余，進度保障。一款快速的Web掃描器除了有強勁馬力的掃描引擎，高達百萬/天的掃描速度，還要具備彈性靈活的集群掃描能力，任意增添掃描節點，輕松應對可能苛刻的掃描周期時間要求。

穩——穩定可靠的運行過程，對目標環境近乎零影響的Web掃描器，才能在諸行業大面積投入使用，特別是一些對業務影響要求苛刻的行業會更受青睞，畢竟沒有人能夠接受一款評估類產品，會對目標造成額外的損傷。市面上現在已有一些Web掃描器產品，其通過周期探尋目標系統，網絡鏈路，自身性能負載等機制，依據目標環境的負載動態變化而自動調節掃描參數，從而保障掃描過程的足夠穩定和幾乎零影響。此外，隨著網站規模，檢查范圍的不斷擴大，保證持續穩定的掃描執行和統計評估，盡量避免掃描進度的半途而廢，也提出了較高的可靠性運行要求。

易——人性化的界面配置，低成本的報表學習和強指導性修補建議。尤其是漏洞分布詳情和場景重現方面，市面上大多數Web掃描器的報表都需要專業安全人員的二次解讀后，普通的安全運維檢查人員才能看懂，才知道長達百頁報表給出的重要建議和下一步的具體修補措施，這無疑給使用者造成了較高的技術門檻，那么如何解決此易讀、易用問題，就成為評定其優劣與否的一個重要指標。

總之，一款優秀的Web掃描器產品，它需要嚴格恪守五字核心方針，全、準、快、穩、易，做到全方位均衡，這樣才能做到基本優秀。同時，隨著網站檢查訴求的日益多元化，它若能附帶一些差異化特性，滿足大家不同場景的網站安全運維掃描要求，如網站基本信息搜集，漏洞全過程時間軸跟蹤，逐步可視化的漏洞驗證和場景重現，自動修補直通車等，定會大大增加該款掃描器的評優力度。