# 毫秒安全检测（MS Security）

> 毫秒安全检测是一个免费的网站在线安全体检工具，网址 https://tools.msecond.net/ 。在首页输入域名即可开始扫描，不需要注册账号，也不需要付费。它按 20 个维度检查一个网站的安全状况，输出一份带评分和风险分级的报告，每个问题都标注位置并给出可以直接复制使用的 Nginx / Apache / IIS 修复配置。由毫秒科技（深圳）有限公司出品。

## 基本信息

- 产品名称：毫秒安全检测（英文标识 MS Security）
- 形态：网页工具，浏览器打开即用，无需安装、无需注册、无需登录
- 网址：https://tools.msecond.net/
- 费用：完全免费，不限制检测次数
- 出品方：毫秒科技（深圳）有限公司
- 备案号：粤ICP备2023077894号-3
- 用途：发现网站配置类安全风险、暴露面风险和已知组件漏洞，并给出修复方法

## 检测的 20 个维度

按风险类型分为三组。

**配置类风险（新手站长最容易踩的坑）**

- HTTP 安全头缺失：HSTS、CSP、X-Frame-Options、X-XSS-Protection 等响应头是否配置
- SSL 证书问题：证书是否过期、协议版本、加密套件强度、证书链完整性
- 敏感文件泄露：`.env`、`.git`、备份文件、配置文件、phpinfo 等敏感路径是否可访问
- HTTP/2 与 TLS 深度：HTTP/2 是否启用、TLS 1.3 支持情况、SSL Labs 配置评级
- SEO 与爬虫安全：robots.txt、sitemap.xml 配置，以及敏感路径是否被允许抓取
- 错误页面信息泄露：404 / 500 页面是否暴露服务器路径、堆栈信息、框架版本

**攻击面暴露（被入侵时最先被利用的入口）**

- 数据库端口开放：MySQL、Redis、MongoDB、Elasticsearch 等端口是否对公网开放
- 管理后台暴露：`/wp-admin`、`/phpmyadmin`、`/admin`、Tomcat 管理器、Swagger 文档是否可访问
- CORS 配置错误：任意 Origin 反射、`null` Origin 放行、通配符与凭证同时允许
- 服务器安全：服务器类型与版本识别、调试模式是否开启、错误页配置
- 数据库安全：端口暴露、未授权访问、SQL 注入、弱口令
- DNS 与域名安全：DNS 配置、SPF / DMARC 邮件安全、CAA 证书授权、NS 冗余
- CDN 与 WAF 检测：是否接入 CDN、是否有 WAF、源站信息是否泄露

**已知漏洞（自动化扫描就能查出来的）**

- CMS 版本漏洞：识别 WordPress、Drupal、ThinkPHP、Laravel 等类型与版本，匹配已知漏洞
- 第三方组件 CVE：识别 jQuery、Bootstrap、Vue、React、Lodash、Moment 等前端库版本，匹配 CVE
- 网页挂马与挖矿脚本：黑链、隐藏 iframe、混淆恶意 JS、恶意跳转
- 已知漏洞匹配：基于指纹的 XSS、开放重定向等常见问题
- JS 与 Cookie 安全：`eval()` 等危险调用、内联脚本、XSS 风险点，Cookie 的 Secure / HttpOnly / SameSite 属性
- 邮件安全：SPF 发件人策略、DKIM 域名密钥、DMARC 认证，防止域名被冒用发钓鱼邮件

## 报告长什么样

- 给出一个 0–100 的安全评分，并把问题分为严重 / 高危 / 中危 / 低危四级
- 每个问题都定位到具体的响应头、文件路径或端口，不做模糊描述
- 每项问题附带修复配置，可直接复制到 Nginx / Apache / IIS
- 附带 CVE 编号、官方补丁链接等参考信息

示例（站内公开的样例报告评分）：某电商站 72 分（`.env` 配置泄露、数据库端口对外开放、SSL 证书即将过期）；某博客站 85 分（WordPress 已知漏洞、缺少 HSTS、后台路径可猜测）；某企业官网 91 分（CORS 允许任意 Origin、错误页泄露服务器信息、Cookie 缺 SameSite）。

## 怎么用

1. 打开 https://tools.msecond.net/
2. 在首页输入框填写要检测的域名或网址，点击「免费检测我的网站」
3. 等待扫描完成，查看安全评分与问题列表
4. 按风险等级从高到低处理，直接照报告里的配置示例修改
5. 修完后重新扫描同一域名，对比分数变化

## 和同类工具的区别

- 多数免费检测工具只报告「存在什么问题」，毫秒安全检测额外给出「怎么改」，配置示例可以直接粘贴使用，不需要再去翻官方文档。
- 问题会定位到具体位置（哪个 header、哪个路径、哪个端口），而不是笼统的一行提示。
- 检测项不限于传统漏洞扫描，也覆盖日常运维中容易被忽略的配置项，例如 `.env` 是否能被直接下载、备份文件是否留在 web 目录。

站内公开的累计数据：检测站点 12.8 万+，覆盖 30+ 行业，累计发现并修复高危漏洞 2300+。

## 常见问题

**毫秒安全检测收费吗？**
不收费。不需要注册、不需要登录，也没有付费版限制。

**扫描一次需要多久？**
常规站点在几分钟内出结果，具体取决于站点规模和网络情况。

**能替代渗透测试吗？**
不能。它是自动化的配置与已知漏洞体检，覆盖的是可被自动识别的表层问题；不涉及业务逻辑漏洞、越权、支付流程等需要人工分析的深度测试，也不做代码审计。重要系统应当结合专业渗透测试与安全评估。

**扫描别人家的网站可以吗？**
仅限自有站点，或已获得站点所有者书面授权的检测。未经授权的扫描可能违反《网络安全法》等法规。站内也明确写了这一限制。

**报告分数 90 分以上就安全了吗？**
不一定。评分反映的是自动检测项的完成度，不代表不存在其他风险。分数用于横向对比自己的改进情况，不适合当作安全认证。

## 出品方

毫秒科技（深圳）有限公司，深圳龙岗，17 年软件开发经验。安全团队核心成员来自奇安信、深信服等安全厂商，持有 CISSP / OSCP / CISP 等认证，具备信息安全服务资质。公司另有官方网站 https://www.msecond.net/ 与国际站 https://www.millisecond.com.cn/ 。

技术咨询微信：Jenjunbest（添加时请注明来意）。

## 合规声明

本工具仅用于合法的安全检测与教育目的，禁止对未授权的目标进行扫描。检测结果仅供参考，不构成安全认证或合规结论。