goby漏洞扫描工具使用手册

凌晨两点，漏洞甲方打来电话说内网被穿了。扫描使用手册我打开goby，工具输入目标IP段，漏洞三分钟后拓扑图上冒出十几个红点，扫描使用手册其中一台数据库服务器赫然标着"MS17-010"。工具这就是漏洞我要写这份手册的原因——别等到应急响应时才想起工具怎么用。

goby不是扫描使用手册传统意义上的扫描器。它把资产测绘、工具漏洞检测和攻击验证揉在了一起。漏洞第一次打开界面，扫描使用手册左边是工具资产列表，右边是漏洞拓扑图，中间那个搜索框能直接输入语法，扫描使用手册比如app="weblogic" && country="CN"，工具这东西比fofa的web界面还顺手。扫描前先做一件事：在设置里调线程。默认100线程跑大段IP容易把目标打挂，我习惯内网用50，外网用200，具体看带宽和目标性能。

资产发现是第一步。goby的主动扫描支持ARP、ICMP、TCP三种探测方式。内网直接选ARP，秒级出存活列表。外网段就老老实实跑TCP全端口，虽然慢点，但能发现非标端口上的业务系统。有个细节——扫描时勾上"智能识别"，它会自动关联web指纹和中间件版本。上周扫一个政府网站，就是靠这个功能在8080端口识别出老旧的struts2框架，省了手动验证的功夫。

漏洞检测这块，goby的插件库是灵魂。默认带的POC有三千多个，但别指望全是新的。真正值钱的是自定义POC功能。在"漏洞管理"里点新建，填上请求包和匹配规则。比如检测某个未授权访问，只需构造一个GET请求，看返回包是否包含特定字符串。写POC时注意编码问题，中文响应体要用UTF-8，不然匹配会失败。我吃过这个亏，一个OA系统的漏洞POC改了三次编码才跑通。

拿到漏洞列表后别急着点验证。goby的"攻击验证"模块会真实发包，可能对业务产生影响。稳妥做法是先在测试环境复现，或者用"--verify"参数只做无害验证。去年某厂商的运维直接点了利用按钮，结果把生产库删了——goby的利用模块是真实攻击代码，不是玩具。

拓扑图这个功能被很多人忽略，其实它是最有价值的。扫描完成后，goby会自动绘制网络关系，标出关键路径。比如发现web服务器连着两台数据库，而数据库又对运维网段开放了3389，那攻击路径就清晰了。报告导出支持PDF和HTML，给客户看的时候记得把高危漏洞的截图放进去，比纯文字列表有说服力得多。

日常使用中我总结几个小技巧。第一，资产分组按业务线划分，别全堆在一个项目里，不然排查时眼睛会瞎。第二，定时任务设每周三凌晨跑一次，避开业务高峰，结果自动发邮件到安全组。第三，goby的指纹库更新很快，每月至少同步一次，老版本连log4j都识别不出来，那才尴尬。

最后说个真人真事。上个月红蓝对抗，蓝队用goby扫出我们预留的蜜罐，顺手点了漏洞验证。结果触发了蜜罐的溯源反制，反手抓到了蓝队扫描器的真实IP和指纹。所以用goby时记得挂代理，别把自己暴露在目标视野里。工具是把双刃剑，用好了是利器，用不好就是投案自首。