网站漏洞怎么自查？AI 渗透测试工具清单与修复优先级（2026 实战）

这些头不修不会立刻被黑，但它们是”低成本高收益”的一类动作，一个 nginx 配置文件就能补齐，优先级应该排在前面。

六、第三步：应用层自查，按 OWASP 的顺序走

外部扫描结束后，进入真正花时间的一层。这里不要”想到哪查到哪”，按 OWASP Top 10 的类别顺着走，不容易漏。

6.1 注入类

自查动作不是去猜 payload，而是检查代码里有没有拼接 SQL。所有数据库查询必须走参数化（预处理语句）。PHP 里 PDO 开 ATTR_EMULATE_PREPARES = false，不要用字符串拼 WHERE id = $id。

如果你用现成的建站程序或框架，这一层基本由程序本身负责，你要做的是保持版本最新，别用改过源码的”优化版”。

6.2 跨站脚本（XSS）

自查方法很简单：找一个会把用户输入回显到页面的地方（搜索框、评论、个人资料），输入一段带尖括号的文本，提交后看页面源码——如果尖括号原样出现在 HTML 里没被转义，就是存储型或反射型 XSS。

修复靠输出编码，不靠输入过滤。HTML 上下文用 htmlspecialchars($s, ENT_QUOTES, 'UTF-8')，JS 上下文用对应的 JSON 编码，别一套函数处处用。

6.3 越权（这类最容易被忽略，也最致命）

登录用户 A 改成用户 B 的 ID，能不能看到 B 的订单？普通用户直接访问管理员接口 URL，会不会返回数据？这类问题扫描器基本扫不出来，因为请求格式完全合法，只是权限判断缺失。

自查方法是人肉走一遍业务流：把所有”带 ID 参数”的接口列出来，换 ID、换角色、去掉 token 各试一次，看返回。这一层是 AI 帮不上忙的地方，必须人工。

6.4 文件上传与目录遍历

两个检查点：上传目录能不能执行脚本（.php/.jsp/.asp 是否被解析）、路径参数里加 ../ 能不能跳出限定目录。

上传目录的正确做法是禁止脚本执行，而不只是限制扩展名。nginx 里给上传目录单独一段配置直接拒绝 PHP：

location ^~ /uploads/ {
    location ~ .(php|php5|phtml|jsp|asp)$ { deny all; }
}

另外把上传文件名重命名成随机串 + 校验真实 MIME（读文件头，不看扩展名），能挡掉绝大多数上传型 getshell。这块的完整踩坑可以看站内那篇《PHP2Shell 漏洞修复指南》，讲得比这里细。

6.5 信息泄露

按这几个 URL 手工试一遍，命中任何一个都要立刻处理：

https://你的域名/.git/config
https://你的域名/.env
https://你的域名/backup.zip
https://你的域名/wp-config.php.bak
https://你的域名/phpinfo.php

.git 目录泄露是最常见的严重问题——拿到 .git 就等于拿到完整源码，里面的数据库密码、密钥一应俱全。部署时务必用 git archive 导出干净文件，或者确认 web 根目录下没有 .git。

6.6 弱口令与后台暴露

后台地址全站扫描器都知道，改成非默认路径只能降噪不能防住。真正有效的是三条：登录失败次数限制（比如 5 次锁 15 分钟）、强制强密码、能开二次验证就开。

给自己的管理账号跑一次弱口令核对（只对你自己的账号跑）：确认不在常见口令列表里，且不与任何其他站点重复。后台账号泄露的后果比漏洞严重得多。

七、第四步：WordPress / 建站程序专项检查

大量中小站点跑在 WordPress 上，它有自己的一套自查清单，单独列出来。其他建站系统（织梦、帝国、Z-Blog 等）思路基本一致：版本、插件、接口、目录权限。

7.1 版本与插件

看点网站在源码里有没有暴露版本号（?ver= 参数、meta generator 标签），以及能不能枚举出用户和插件列表。WordPress 的 REST 接口默认就能列出作者：

curl -s https://你的域名/wp-json/wp/v2/users

如果这条直接返回用户名列表，说明用户枚举是通的，等于把爆破的一半工作量送出去了。处理方式是禁用 REST 用户端点，或者限制只对登录用户开放。

插件是 WordPress 最大的风险面——核心程序更新很勤，插件却常年不升。做法很朴素：只装必须的插件，不用就删掉（不是停用，是删除），保留的每周看一次更新。

7.2 xmlrpc 与登录保护

xmlrpc.php 是老牌的爆破入口，一次请求可以试几百个密码。不用离线发布工具的话，直接禁掉：

location = /xmlrpc.php { deny all; }

另外确认登录页有限流，后台 cookie 走 HTTPS，wp-config.php 权限收到 640 以内。

7.3 目录与文件权限

一张表说明白该设成什么：