漏洞扫描参数

上周帮朋友排查一台被入侵的漏洞服务器，日志里明晃晃写着对方用的扫描是一个多月前就公开的漏洞。漏洞扫描工具早就报过警，参数但报告里那一长串参数没人细看，漏洞默认配置跑完就归档了。扫描这事儿不赖工具，参数赖我们对参数的漏洞理解太粗糙。

端口扫描范围是扫描最基础的，但很多人懒得改。参数默认扫1-10000，漏洞结果对方把服务开在30001端口，扫描直接漏掉。参数我习惯先跑一遍全端口，漏洞再针对开放端口做深度探测。扫描全端口慢？参数也就多等几分钟，比被攻破后花几天收拾强。

并发线程数是个双刃剑。调高了确实快，但容易触发目标设备的防护机制。有一次我拿默认50线程去扫客户的内网设备，刚跑两分钟就把人家的入侵检测系统给激怒了，直接封了我扫描机的IP。后来学乖了，内网用10线程慢慢磨，外网才敢开到30以上。你得根据目标环境判断，别一根筋。

协议类型的选择更有意思。大多数人只扫TCP，觉得UDP没用。但很多关键服务，比如DNS、SNMP、DHCP，都跑在UDP上。记得有次测试一个视频监控系统，TCP扫下来干干净净，换UDP一测，SNMP居然开着默认社区字符串public，直接能读设备配置。这要是被恶意利用，整个监控网络都得瘫痪。

漏洞检测插件的选择也得动脑子。全量插件扫一次，几百个CVE全上，耗时不说，误报率高得吓人。我一般先根据目标系统类型和版本做预判，比如扫Windows服务器就重点启用MS系列插件，扫Linux就侧重内核和常见服务相关检测。这样效率高，结果也更有参考价值。

还有个容易被忽略的参数——超时时间。默认5秒看着合理，但遇到网络延迟高的目标，响应稍微慢点就判定超时，产生大量假阴性。我见过有人拿默认参数扫海外节点，结果报告显示一片绿，手动验证却发现好几个高危漏洞。把超时调到15秒，重新扫，问题全暴露了。

口令爆破的字典选择也是参数的一部分。很多人懒得分场景，一个通用字典走天下。结果弱口令测不出来，因为字典里根本没有目标系统默认出厂密码。我习惯针对设备厂商和型号准备专用字典，像某国产路由器出厂密码admin/admin，通用字典里真就没有。

最后说下报告输出格式。别只导出HTML就完事，CSV格式适合做数据对比，XML格式方便导入其他分析工具。我通常三种都导，HTML给人看，CSV给自己做历史对比，XML留着跟其他扫描器的结果做交叉验证。

参数这东西，不是设一次就一劳永逸。每次扫描前花几分钟过一遍，根据目标特征做调整，比盲目追求"全"和"快"靠谱得多。工具是死的，人是活的，参数调不好，扫描结果就是废纸一堆。