常用的漏洞扫描工具不包括网络扫描器

前几天有个刚入行的朋友问我：“你们平时说的漏洞扫描，是漏洞扫不是就是拿Nmap扫一圈？”我愣了两秒。这问题其实挺典型的描工——很多人把“扫端口”和“扫漏洞”当成一回事。但如果你翻一翻主流安全团队的包括工具清单，会发现一个反直觉的网络事实：常用的漏洞扫描工具，压根不包括网络扫描器。扫描Nmap、常用Masscan、漏洞扫Zmap这些名字，描工从来不会出现在“漏洞扫描器”那一栏里。包括它们待在另一个抽屉，网络贴着“资产发现”或“端口扫描”的扫描标签。

为什么？常用因为这两类工具解决的是完全不同的问题。网络扫描器干的漏洞扫事，是描工敲门。它问的是“这个IP的80端口开着吗？”“那台主机的22端口有没有响应？”——只关心通不通、开没开。至于门后面是金库还是厕所，它不负责。漏洞扫描器则要推门进去翻抽屉，看的是“这个Apache版本有没有CVE-2021-41773？”“那个登录页面能不能SQL注入？”一个在门口数门牌号，一个进屋查水电煤气。你让Nmap去测Log4j，它连JNDI是什么都不知道。

有人会抬杠：那OpenVAS、Nessus、Qualys这些不也带端口扫描功能吗？没错，它们内置了类似Nmap的模块，但那只是前置动作。就像你去医院体检，护士先量身高体重——那是流程的一部分，但没人管体检叫“量身高”。漏洞扫描器的核心引擎是插件库：Nessus有超过16万个插件，每个插件对应一个具体的漏洞检测逻辑，从HTTP响应头里的版本号到TCP/IP协议栈的指纹特征，甚至发一个精心构造的畸形包看目标会不会崩溃。网络扫描器可没这个耐心。

再说个更实际的区分。你拿Nmap去扫一台Web服务器，它告诉你80/tcp open http。然后呢？没有然后了。你拿Acunetix去扫同一个目标，它会爬取所有链接、分析JavaScript、尝试注入点、比对CVE数据库，最后给你一份报告：URL /api/v1/user 存在SQL注入，参数 id 可布尔盲注。前者是地图，后者是藏宝图。地图告诉你哪里有路，藏宝图标出哪里埋了雷。安全工程师要的是排雷，不是画路网。

我自己的工具箱里，Nmap永远和Masscan放在“信息收集”分类下，旁边是Shodan和Censys。而Nessus、OpenVAS、AWVS、Burp Suite这些才归到“漏洞评估”。分类混乱的人，通常也会把“渗透测试”和“漏洞扫描”混为一谈——前者是模拟攻击链，后者只是自动化检查。你见过哪个渗透测试报告只贴Nmap结果的？那叫端口清单，不叫漏洞报告。

所以下次再有人把网络扫描器当漏洞扫描工具用，你可以直接告诉他：Nmap能告诉你门没锁，但不知道屋里有没有人、有没有枪、抽屉里是不是藏着账本。漏洞扫描器才会踹门进去翻。两码事。工具用错地方，不是工具的问题，是分类没搞清。

顺带一提，现在有些云原生安全平台把容器镜像扫描、IaC扫描也叫“漏洞扫描”，那是另一个维度的扩展了。但无论怎么扩，网络扫描器始终不在那个名单里。它更像一把尺子，量的是距离，不是深度。