漏洞扫描工具

去年冬天，漏洞我给一家做跨境电商的扫描小公司做安全巡检。老板拍着胸脯说：“我们系统上线前找过外包测过，工具绝对没洞。漏洞”我打开 Nessus，扫描扫了不到十分钟，工具屏幕上跳出一排红色高危——一个没打补丁的漏洞 Apache Struts2，路径直接暴露在公网。扫描老板脸色变了。工具这事让我再次确认：漏洞扫描工具不是漏洞万能药，但不用它，扫描你连自己怎么死的工具都不知道。

先厘清一个概念。漏洞漏洞扫描器本质上是扫描个自动化“找茬机器”。它拿着一个庞大的工具漏洞特征库，挨个儿去问目标系统：“你这里有没有 CVE-2021-44228？那里有没有弱口令？”它不会像渗透测试那样尝试真正攻破你，它只是比对、探测、报告。所以别指望扫完就高枕无忧——它报出来的可能是误报，没报出来的可能是 0day。但它的价值在于：把已知的、低垂的果子先摘干净。

市面上工具分几类。Nessus 是老牌商业货，插件更新快，界面友好，但贵。OpenVAS 是开源替代，功能不差，配置起来能折腾掉你半条命。还有专门扫 Web 的，比如 AWVS、AppScan，对付 SQL 注入、XSS 这类更在行。我见过不少团队用 nmap 脚本凑合，扫端口还行，扫应用层漏洞就力不从心。选哪个？看预算，看团队水平，看你要扫什么。别迷信“一个工具通吃”，那不存在。

实际用起来，坑比想象的多。有一次我扫一个内部管理系统，报告说存在“SSL 弱加密套件”。我兴冲冲跑去跟运维说，对方回了一句：“那台机器根本不开 HTTPS，你扫的是负载均衡的 VIP。”这就是典型的扫描目标定义错误。还有认证扫描——很多工具需要你提供账号密码才能扫到登录后的漏洞，但给什么权限的账号？给低了扫不全，给高了又怕工具本身出问题。我一般建议单独开一个只读账号，扫完就删。

扫描频率也是个现实问题。你不可能天天全量扫，那会把网络搞瘫，尤其那些老旧的工控设备，一碰就重启。我的做法是：外网资产每周一次轻量扫描，内网核心系统每月一次，重大补丁发布后 48 小时内加扫一次。别追求“实时”，安全是个持续过程，不是一锤子买卖。

最后说个真事。某客户买了某知名扫描器，扫完报告全是“信息级”提示，老板觉得钱白花了。我拿过来一看，扫描策略选的是“仅发现主机”，根本没开漏洞检测。工具再好，也得有人会用。漏洞扫描器就像一把扳手，你拿它拧螺丝可以，拿它敲钉子也行，但前提是你得知道往哪儿敲。别把它当神，也别把它当废铁。扫出来的东西，得有人看，有人修，有人复测。否则，报告就是一堆废纸。