很多人装完Kali第一件事就是何利打开终端敲 nmap，然后盯着满屏输出发呆——扫出来一堆端口，行漏但不知道下一步该干嘛。洞扫漏洞扫描不是何利“跑个工具等结果”这么简单，它更像是行漏一套侦察流程：先摸清目标长什么样，再针对性地找弱点。洞扫

我习惯从主机发现开始。何利假设目标网段是行漏 192.168.1.0/24，直接用 nmap -sn 192.168.1.0/24 做一次ping扫描，洞扫看看哪些IP是何利活的。这一步很快，行漏几秒钟就能列出在线主机。洞扫别小看这个动作，何利跳过它直接扫端口，行漏你可能会把大量时间浪费在根本不存在的洞扫设备上。

拿到存活主机列表后，下一步是端口和服务识别。比如目标 192.168.1.105，跑一条：

nmap -sV -sC -p- 192.168.1.105 -oN scan_result.txt

-sV 探测服务版本，-sC 加载默认脚本，-p- 扫全部65535个端口，-oN 把结果存下来方便回头查。这个过程可能几分钟到十几分钟不等，取决于网络状况和目标响应速度。扫完你会看到类似“22/tcp open ssh OpenSSH 8.9p1”、“80/tcp open http Apache 2.4.52”这样的信息。这些版本号就是漏洞扫描的切入点。

接下来才是重头戏。Kali自带OpenVAS（现在叫Greenbone Vulnerability Management），但配置起来挺折腾——要初始化数据库、更新漏洞源、设置扫描策略。如果你只是想快速验证某个服务有没有已知漏洞，用 searchsploit 更直接。比如扫出来Apache 2.4.52，直接：

searchsploit Apache 2.4.52

它会列出Exploit-DB里所有匹配的漏洞条目。看到有远程代码执行的，再进一步用Metasploit验证。这种方式比全量漏洞扫描快得多，适合渗透测试前期快速定位高价值目标。

Nmap自身的NSE脚本也是个宝藏。比如想检查SMB服务有没有MS17-010（永恒之蓝）漏洞：

nmap --script smb-vuln-ms17-010 -p 445 192.168.1.105

输出会直接告诉你“VULNERABLE”还是“NOT VULNERABLE”。类似的脚本还有 http-vuln-* 系列、ssl-* 系列，覆盖了常见Web和加密服务的漏洞检测。我平时会先跑一遍 nmap --script vuln 对目标做一次快速漏洞体检，虽然不如专业扫描器全面，但胜在轻量、不依赖额外配置。

如果要正经做一次完整的漏洞评估，OpenVAS还是得配。启动 gvm-setup 之后等它同步完NVT源，通常要半小时到一小时。然后在Web界面里新建Target、新建Task、选扫描配置（我一般用“Full and fast”），点开始。扫描时长取决于目标规模，单台主机大概十几分钟。报告里会按CVSS评分列出漏洞，高危的排前面，附带修复建议。这个报告拿给运维或者客户看比较直观。

有个坑得提一下：漏洞扫描的结果经常有误报。比如某个CVE说某版本有漏洞，但目标实际打了补丁或者配置了缓解措施，扫描器还是报出来。所以扫完不能直接交差，得手动验证几个关键项。拿Web漏洞举例，扫描器说存在SQL注入，你就得用sqlmap或者手工payload确认一下，不然报告里写一堆假阳性， credibility直接归零。

另外，别在没授权的情况下扫任何东西。Kali里的工具默认配置往往带有侵略性——Nmap的 -T4 以上、OpenVAS的完整扫描，都可能触发IDS告警甚至导致服务崩溃。自己搭靶机练手，或者拿到书面授权再动手。

说到底，Kali只是工具箱，漏洞扫描的核心在于你对目标服务的理解。知道Apache和Nginx的差异、清楚SMB和Samba的版本对应关系、能看懂HTTP响应头里的蛛丝马迹——这些比会敲几条命令重要得多。工具扫出来的东西是线索，不是结论。