凌晨两点十七分，扫描我盯着屏幕上那个跳动的漏洞红色感叹号，手心全是扫描汗。Goby刚扫完内网最后一个C段，漏洞127个存活主机里，扫描有11台开着高危端口。漏洞其中一台是扫描财务部的老服务器，跑着Windows Server 2003，漏洞补丁停在2014年。扫描这玩意儿在互联网上裸奔了快十年，漏洞居然没人管。扫描

Goby这工具，漏洞说白了一句话：把漏洞扫描和攻击验证揉在一起，扫描让你知道“有洞”还让你知道“洞能不能进”。漏洞别的扫描扫描器给你报个CVE编号就完事，它偏不。扫到MS17-010，直接给你调出Metasploit的利用模块，点一下，就能看到是否真的能拿到SYSTEM权限。这种“所见即所得”的验证方式，省了渗透测试人员大半天的验证时间。

我拿它扫过一家做物流系统的公司。客户说他们刚做过等保，应该没啥问题。Goby跑完资产测绘，先发现一个暴露的Nacos控制台，没设密码。接着顺着这个入口，翻到了配置文件里的数据库账号——root，密码是Admin@123。再往下，直接连上了他们的MySQL，里面躺着几十万条用户订单数据。整个过程不到四十分钟。客户后来看报告，脸都绿了。

但Goby最狠的不是扫描本身，是它的“漏洞利用链”思路。它会把单点漏洞串起来，模拟真实攻击者的路径。比如先扫到某个Web应用有SQL注入，再探测出服务器上装了Redis且未授权，然后通过写计划任务反弹Shell。每个步骤都有图形化展示，哪一步失败了，哪一步通了，看得清清楚楚。这种视角对防守方特别有用——你光知道修这个洞没用，得看它能不能被用来撬开下一扇门。

有一次我拿它扫自家测试环境，发现一个Tomcat的AJP协议漏洞（CVE-2020-1938）。Goby直接给出了Ghostcat的利用方式，还附带了读取WEB-INF/web.xml的验证截图。当时我们团队好几个人以为这漏洞只在老版本上有影响，结果一查，测试环境跑的8.5.51，刚好在受影响范围内。要不是Goby把利用细节摆到眼前，我们可能拖到下次升级才处理。

不过话说回来，工具终究是工具。Goby的POC库更新速度赶不上0day，有些新出的漏洞它得等社区贡献。而且它扫描时的流量特征比较明显，稍微好点的WAF都能拦下来。真到红队对抗那种场景，还得靠人工绕。但日常巡检、等保测评、漏洞复核这些活儿，它确实能顶半个初级渗透工程师。

回到开头那台2003服务器。我用Goby确认了MS17-010可以利用，然后在内网横向移动，最终摸到了域控。整个过程从扫描到拿域管权限，用了两个小时。事后写报告时我特意备注：如果不是Goby把每个漏洞的利用条件都标注清楚，光靠手工试，至少得多花一倍时间。这工具就像个放大镜，帮你把暗处的裂缝照得明明白白——至于补不补，那就是人的事儿了。