开源程序漏洞高发，CMS站点定期扫描方案

开源CMS（如WordPress、Drupal、Joomla）因为代码公开，漏洞容易被批量利用，等收到主机商警告再处理往往已经晚了。
定期扫描的核心思路是：用自动化工具按计划检查站点，发现已知漏洞或异常配置后立即修复，把被动应急变成主动巡检。
下面按准备、操作、避坑、验证四步展开，零基础也能照着做。

扫描前先理清环境与工具选型

动手前先确认两件事：你的CMS类型和版本，以及服务器是否允许安装外部工具。
查看版本通常可以在后台“仪表盘-更新”或文件/wp-includes/version.php中找到。

常用扫描工具按场景分三类：

• WPScan：针对WordPress的专用漏洞扫描器，能检测核心、插件、主题的已知漏洞。
• Nuclei：基于模板的通用扫描器，支持CMS、中间件、CVE检测，适合多站点统一巡检。
• Nikto：老牌Web服务器扫描器，可发现危险文件、过期组件。

零基础建议从WPScan入手，如果站点较多再叠加Nuclei。
安装WPScan需要Ruby环境，Nuclei则直接下载二进制即可。

部署WPScan并执行首次扫描

以Ubuntu/Debian为例，先安装依赖：

sudo apt update
sudo apt install ruby-full build-essential libcurl4-openssl-dev libxml2-dev libxslt1-dev zlib1g-dev -y
sudo gem install wpscan

安装完成后，运行一次基础扫描，把结果保存到文件方便对比：

wpscan --url https://你的域名 --enumerate vp,vt,u --api-token 你的token --output /var/log/wpscan-$(date +%F).txt

参数说明：--enumerate vp 扫描漏洞插件，vt 扫描漏洞主题，u 枚举用户；--api-token 需要在WPScan官网免费注册获取，用于拉取漏洞库。
如果暂时没有token，可以先去掉该参数，但漏洞库可能不完整。

扫描结束后，重点看输出中的[!
]和[+]标记，它们分别表示发现漏洞和确认信息。

用Nuclei补充通用漏洞巡检

Nuclei适合检查非WordPress站点或需要覆盖CVE的场景。
下载并安装：

wget https://github.com/projectdiscovery/nuclei/releases/latest/download/nuclei_linux_amd64.zip
unzip nuclei_linux_amd64.zip
sudo mv nuclei /usr/local/bin/
nuclei -update-templates

对单个站点执行扫描，只输出高危和中危结果：

nuclei -u https://你的域名 -severity critical,high,medium -o /var/log/nuclei-$(date +%F).txt

如果管理多个站点，可以把域名写入targets.txt，每行一个，然后运行nuclei -l targets.txt。

关键判断条件：Nuclei的模板库更新频繁，建议每次扫描前先执行nuclei -update-templates，否则可能漏掉新披露的漏洞。

把扫描做成定时任务

手动扫描容易忘，用cron每天或每周自动跑一次。
编辑当前用户的定时任务：

crontab -e

加入下面两行（每天凌晨3点扫描，日志按月存放）：

0 3 * * * /usr/local/bin/wpscan --url https://你的域名 --enumerate vp,vt --api-token 你的token --output /var/log/wpscan-$(date +\%Y\%m).txt >/dev/null 2>&1
30 3 * * * /usr/local/bin/nuclei -u https://你的域名 -severity critical,high -o /var/log/nuclei-$(date +\%Y\%m).txt >/dev/null 2>&1

保存后可以用crontab -l确认。
如果担心日志占满磁盘，再加一条清理任务，比如0 4 * * 0 find /var/log -name 'wpscan-*' -mtime +30 -delete。

重要提示：扫描会产生大量请求，可能触发服务器WAF或CDN拦截。
建议把扫描服务器IP加入白名单，或降低扫描频率。

常见报错与避坑清单

• 扫描结果全是“无法连接”：检查域名是否解析正确、防火墙是否放行、是否开启了强制HTTPS但扫描用了HTTP。
• WPScan提示“API limit reached”：免费token有每日请求限制，可以错峰扫描或升级套餐，也可以只扫描插件不枚举用户。
• Nuclei报“no templates provided”：忘记更新模板，执行nuclei -update-templates即可。
• 扫描后站点变慢：扫描线程过高导致，WPScan加--max-threads 5，Nuclei加-c 10 -rl 20限制并发。
• 扫出漏洞但不会修：优先看漏洞详情里的修复建议，通常升级插件/主题到最新版就能解决。无法立即升级的，先禁用对应组件。

最容易踩的坑：把扫描工具装在Web目录下，导致工具本身被下载利用。
务必装在/usr/local/bin或用户家目录，不要放在网站根目录。

怎么验证扫描真的有效

扫描方案是否生效，不看有没有装工具，而看三个结果：

1. 日志文件按日期生成，内容非空且包含扫描摘要；
2. 对已知漏洞组件（比如旧版Contact Form 7）能准确报出CVE编号；
3. 修复后重新扫描，对应告警消失。

可以手动制造一个测试场景：安装一个已知有漏洞的旧版插件，跑一次扫描，确认能检出，再升级插件后复查。
这一步能帮你验证整条链路是否通畅。

关于扫描频率和修复节奏

没有统一标准，但可以按这个原则判断：新披露的高危漏洞（如远程代码执行）出现后24小时内应主动扫描一次；
常规巡检每周一次足够；
站点数量多时，用Nuclei批量跑，WPScan只针对重点站点。扫描只是发现手段，修复才是目的，扫出高危漏洞后应优先升级或下线组件，不要只记录不处理。

如果扫描报告里出现大量低危信息泄露（如readme.html暴露版本号），可以顺手在Web服务器配置中禁止访问这类文件，减少攻击面。