Nmap 扫出 22 端口开着，漏洞版本是扫描 OpenSSH 7.2p2。这玩意儿在 Kali 里敲一行命令就能拿到，漏洞但真正有意思的扫描是接下来发生的事。

我习惯先用 nmap -sV -T4 192.168.1.0/24 把整个网段摸一遍。漏洞速度别调太快，扫描T4 足够，漏洞T5 有时候会丢包，扫描反而浪费时间。漏洞扫完你会得到一张表：哪些主机活着，扫描开了什么端口，漏洞跑着什么服务。扫描这张表就是漏洞后面所有动作的起点。

OpenVAS 是扫描 Kali 里自带的重型武器。第一次用建议直接 gvm-setup，漏洞它会自动下载漏洞库，大概要等二十分钟到半小时。装完之后浏览器打开 https://127.0.0.1:9392，默认账号密码在安装日志里。界面不算友好，但能干活。新建一个 Target，填上刚才扫出来的 IP，然后建 Task，选 Scan Config 里的 Full and fast。跑一次全量扫描，小网段大概四十分钟，大网段可能跑一晚上。结果出来后会按 CVSS 分数排好，红色高危的优先看。

但 OpenVAS 有个毛病——太重了。有时候你只想快速确认某个服务有没有已知漏洞，没必要启动整个扫描引擎。这时候 searchsploit 就派上用场了。比如刚才那台机器跑着 Apache 2.4.18，直接 searchsploit apache 2.4.18，本地 ExploitDB 库里匹配的结果立刻列出来。看到 EDB-ID 之后 searchsploit -x 12345 就能查看详情，-m 直接复制到当前目录。整个过程不到十秒。

Nikto 是另一个轻量选择，专门针对 Web 服务。nikto -h http://192.168.1.100 跑起来很快，它会检查几千个潜在危险文件、过时的服务器组件、还有配置错误。输出有点乱，但仔细看能发现不少东西。我遇到过一台测试机，Nikto 报出 /backup/ 目录可以直接列文件，里面躺着整个数据库的 SQL 导出。这种问题 OpenVAS 不一定能扫出来，因为不算标准 CVE。

说个真实案例。上个月帮朋友看他们公司内网的一台 Jenkins。Nmap 扫到 8080 端口，版本是 2.138。searchsploit 直接匹配到 CVE-2018-1000861，反序列化 RCE。用 Metasploit 里的 exploit/multi/http/jenkins_metaprogramming 模块，设好 RHOSTS 和 TARGETURI，run 下去就拿到 shell 了。从扫描到立足，前后不到十五分钟。Jenkins 那台机器上还存着生产环境的 SSH 密钥，后面的事就不用细说了。

Kali 里还有个工具叫 Legion，算是半自动化的扫描+利用框架。图形界面，适合不想记命令的时候用。它会自动调用 nmap、nikto、sslscan 等一堆工具，把结果汇总到一个界面里。但自动化程度越高，你越容易忽略细节。我一般只用它做初步信息收集，真正要深入的时候还是回到命令行。

漏洞扫描这件事，工具只是辅助。核心在于你对目标服务的理解。知道 Apache 的目录遍历怎么触发，明白 Redis 未授权访问能干什么，比会敲几个命令重要得多。Kali 把工具都给你装好了，但怎么用、什么时候用哪个、结果怎么解读，这些没人能替你完成。

最后提一句：别在生产环境直接跑 aggressive 扫描。我之前见过有人用 nmap -A 扫客户的线上服务器，结果触发了 IDS 告警，还被对方运维打电话过来骂了一顿。测试环境随便折腾，生产环境先拿授权，再调低并发和速率。这是规矩。