擁有著自動檢測本地或者遠程主機安全弱點的程序被稱為掃描器，它能購非常快速并且準備的發現掃描目標中的漏洞并提供給掃描者。

1、什么是Web掃描器

Web 掃描器可以自動地檢查Web 應用程序的安全弱點和風險，它主要通過探測和分析Web應用的響應，從而發現其中潛在的安全問題和架構缺陷。

掃描器的兩個特點：

● 自動檢查Web應用程序的安全弱點和風險

● 主要通過探測和分析Web應用的響應來發現安全問題和架構缺陷

這兩個特點告訴我們，Web掃描器其實是一種自動化的安全弱點和風險檢測；它的工作方式和原理主要是通過分析HTTP（s）請求和響應來發現安全問題和風險。

通常情況下，掃描器的使用人群可以分為兩類，一類是產品測試人員，另一類則是安全測試人員。但是他們對掃描器的功能需求和結果訴求卻是完全不一樣的，因此我們有必要了解一下這兩種不同的使用人群。

（1）從產品測試人員角度看

掃描器主要是用來對Web應用程序進行掃描檢測，根據Web漏洞的常見簽名特征，對Web應用進行全面的安全檢測，提前發現可能存在的漏洞，做到事前發現和修復。掃描器作為黑盒自動化測試工具，可以幫助我們在QA環節快速發現業務系統的安全缺陷并修復，在產品快速迭代的同時，保證業務上線前的安全。

（2）從安全測試人員角度看

在對一個目標進行滲透測試時，首先需要進行信息收集，然后再對這些信息進行漏洞審計。其中，信息收集的目的是最大化地收集與目標有關聯的信息，提供盡可能多的攻擊入口；漏洞審計則是對這些可能的攻擊入口進行安全分析和檢測，來驗證這些攻擊入口是否可以被利用。由于這兩個環節的工作更多是具有發散性的，因此人工的工作量就會非常大。這個時候就我們需要用到Web掃描器，其實它的目的就是盡可能地幫助我們自動完成這兩個環節，方便安全測試人員快速獲取目標可供利用的漏洞以便進行后續滲透工作。

2、掃描器的重要性

掃描器的重要性分為三方面。

（1）業務上線前的安全保障

隨著企業的發展和壯大，公司內部的業務線也會隨之變多，而單純依靠人工檢測肯定沒有辦法完全覆蓋到，因此我們需要引入安全掃描能力，它能夠為業務在上線發布前進行自動化掃描和檢測，從而可以把煩瑣的安全檢測工作通過掃描器自動完成，這樣不僅可以減少人工的工作量，同時還可以極大地縮減檢測時間，保障業務順利發布和上線。

（2）業務運行中的安全監控

安全其實是一個動態的過程，因此對業務持續地安全監控也是必不可少的，我們可以通過掃描器對業務運行中的日志或流量進行動態實時的掃描分析及監控，還可以與企業內部的防火墻或WAF進行協同聯動，從而可以達到事中的安全阻斷，保障業務運行中的安全。

（3）業務運行中的安全預警

在互聯網中避免不了有很多的漏洞被研究員爆出，我們就可以通過掃描器對在公網上的資產進行探測識別和漏洞驗證。這樣就可以快速的解決問題，避免漏洞所帶來的安全風險。