Kali里扫Linux主机漏洞，扫描最常用的机漏不是某个单一工具，而是洞命一条组合拳。直接说结论：Nmap扫端口和服务，令用然后配合Vulners或Vulscan脚本库做版本比对，扫描最后用Searchsploit验证利用代码。机漏这套流程十分钟能出结果，洞命但坑也不少。令用

先装东西。扫描Kali默认带Nmap，机漏但漏洞脚本得自己备。洞命Vulscan是令用个GitHub项目，克隆到Nmap的扫描脚本目录就行：
git clone https://github.com/scipag/vulscan /usr/share/nmap/scripts/vulscan
Vulners更省事，Nmap 7.4以上自带，机漏直接调。洞命

开扫。假设目标IP是192.168.1.105，先做基础探测：
nmap -sV -p- 192.168.1.105
-sV是版本探测，-p-扫全部65535个端口。别偷懒只扫常见端口，我见过太多人漏了8080上的Tomcat管理后台，结果被人家用默认口令进去了。扫完你会看到类似这样的输出：

22/tcp open ssh OpenSSH 7.9p1 Debian 10+deb10u2
80/tcp open http Apache httpd 2.4.38
3306/tcp open mysql MySQL 5.7.26

拿到版本号，就该让脚本干活了。Vulners用法直接：
nmap -sV --script vulners 192.168.1.105
它会去查CVE数据库，返回每个服务的已知漏洞，带CVSS评分。注意看输出里有没有CRITICAL或HIGH标记的条目。有一次我扫一台Ubuntu 18.04，直接报出OpenSSH 7.9的CVE-2019-6111，属于用户枚举漏洞，虽然不算致命，但给后续爆破提供了线索。

Vulscan更啰嗦，但信息全：
nmap -sV --script vulscan/vulscan 192.168.1.105
它会从ExploitDB、CVE、SecurityFocus等多个源拉数据。缺点是输出巨长，建议加个--script-args vulscanoutput=short精简格式，不然满屏飘英文，你根本找不到重点。

扫出CVE编号后，别急着高兴。很多漏洞是理论性的，实际利用条件苛刻。这时候用Searchsploit验证：
searchsploit CVE-2019-6111
它会告诉你ExploitDB里有没有现成的利用代码。我遇到过这种情况——Nmap报了个Apache 2.4.38的中危漏洞，但Searchsploit翻遍只有DoS的POC，没有RCE。那你得掂量下，值不值得为了一个拒绝服务漏洞去折腾。

有个细节容易踩坑：版本探测不准，漏洞扫描就是瞎扯淡。Nmap的-sV有时候抓到的版本号是错的，尤其对那种改了banner的服务。比如Apache经常在响应头里藏着真实版本，但Nmap可能只识别到Apache httpd没带版本号。这时候手动用curl看响应头：
curl -I http://192.168.1.105
如果看到Server: Apache/2.4.38 (Debian)，就手动指定版本重新扫，别让Nmap瞎猜。

另外提一句，Nmap的漏洞脚本对老旧系统特别有效。前几天我拿一台CentOS 6.5做测试，GNU C library 2.12直接命中CVE-2015-0235（GHOST漏洞），远程代码执行。这漏洞2015年就爆了，但很多内网机器到现在都没打补丁。你扫到这种，直接提权一条龙，根本不用费劲。

最后说个反直觉的事：漏洞扫描结果别全信。Nmap报“高危”不代表一定能打穿，报“低危”也不代表安全。有一次我扫出Samba 4.9.5有个中危的符号链接漏洞，Searchsploit显示有本地提权POC，但实际测试时发现目标开启了SELinux，POC根本跑不动。所以扫描只是第一步，验证才是关键。工具给你指了条路，走不走得通，还得靠你自己踩。

(责任编辑：焦点)