我想针对我公司的网站和交易所运行一些安全扫描脚本，http://www.hackertarget.com打破它？
答案1
我不喜欢在生产服务器上运行这样的脚本，尽管生产需要它，但我完全赞成在用户和流程不会受到影响的时候运行它们。例如，在我指定的维护时段内。如果您有这样的可用时段，那么没有理由不运行该脚本。如果没有，那么您肯定需要谨慎行事。
在我看来，你对运行脚本越紧张，你就越有理由这样做。你应该对自己的系统有信心。最好让它在受控条件下崩溃，而不是让别人按照他们的条件去做。
编辑：开始之前请确保您有良好的备份。;)
答案2
我不太愿意在生产系统上运行任何类型的扫描脚本，原因如下：
- 正如 Frank 所说，意外的流量可能会对你正在测试的系统造成 DoS 攻击，从而导致生产故障
- 由于您正在编写（并且期望）全面的漏洞扫描，因此您可能会在同一窗口中错过任何合法攻击。对于测试系统，这没什么大不了的，因为无论如何，扫描完成后您都会将系统脱机。但是，对于生产系统，有人可能会破坏它，您将需要处理大量日志。
- 如果您不完全相信“测试人员”会为您的最大利益着想，谁能保证他们会跟踪您的弱点以供“以后使用”？
尽管如此，在我让一家公司扫描我的服务器之前，我在网上阅读了大量关于他们的评论，以确保他们是合法的，如果他们可以选择先进行侵入性较低的扫描，我会监控对生产系统的影响，并分阶段“加强”扫描，最后进行侵入性更强的扫描。这样，你就不会因为一次对所有服务器进行攻击而导致服务器瘫痪——你会预料到的。
答案3
根据产生的流量大小，您的服务器可能会遭受 DoS 攻击，即服务器崩溃，尽管它可能受到限制，但相反，扫描所需的时间也会增加。
此外，根据经验，模糊输入（SQL 注入、XSS 检测）的 Web 漏洞扫描程序倾向于让应用程序将其存储在状态中，即网站崩溃。
我建议，如果您想执行漏洞扫描，请复制整个网站（脚本+数据库）并分别对其进行模糊测试。