Nessus 曾经是漏洞我最常用的漏洞扫描工具，直到 2023 年 Tenable 把免费版从 16 个 IP 限制砍到 5 个。扫描那天我帮一家小公司做内网核查，工具个好扫到第六台机器时直接报错，漏洞现场尴尬得不行。扫描后来换用 OpenVAS，工具个好功能不差，漏洞但部署一次要折腾大半天，扫描光同步漏洞库就等了一个多小时。工具个好所以你要问“哪个好”，漏洞答案完全取决于你手头有多少台机器、扫描有没有专职安全人员、工具个好以及能不能接受命令行操作。漏洞

先说商业工具里口碑最稳的扫描 Nessus Professional。它的工具个好插件更新频率极高，一个 CVE 公布后通常 24 小时内就能检测。我去年跟踪 Log4j2 漏洞，Nessus 在官方补丁发布前 12 小时就推了远程检测插件。操作界面也友好，扫完直接给修复优先级，不用自己算 CVSS 加权。缺点就一个字：贵。一年授权费接近 3 万人民币，小团队根本扛不住。而且它扫 Web 应用很弱，SQL 注入、XSS 这类需要爬虫和交互的漏洞基本漏报。

如果你预算为零，OpenVAS（现在叫 Greenbone Vulnerability Management）是首选。它开源免费，漏洞库更新也算及时。我拿它和 Nessus 做过对比测试：同一台 Windows Server 2019，Nessus 报了 47 个漏洞，OpenVAS 报了 39 个，漏掉的主要是注册表配置类问题。部署确实麻烦，我在 Ubuntu 22.04 上编译安装花了 40 分钟，中间还因为 PostgreSQL 版本冲突卡了一次。但装好之后挺省心，Web 界面虽然丑，功能该有的都有。适合有 Linux 基础、愿意折腾的安全爱好者。

专扫 Web 应用的，AWVS（Acunetix）比 Nessus 强太多。我拿 DVWA 靶场测试，AWVS 能自动识别出 12 种漏洞，包括二阶 SQL 注入和存储型 XSS。Nessus 只报了 3 个。但 AWVS 对非 Web 服务完全没反应，你拿它扫 SSH 弱密码或者 SMB 漏洞，它直接告诉你“目标不是 Web 应用”。价格也不便宜，一年 1.5 万起步。另一个选择是 Burp Suite Professional，严格说它是渗透测试工具，但社区版加插件也能做被动扫描。我习惯用 Burp 抓包时顺便开 Scanner 插件，经常能捡到 Nessus 漏掉的逻辑漏洞。

国内工具里，Xray 值得提一句。长亭科技出的，社区版免费，支持主动和被动扫描。它的优势是反连平台做得好，能检测 Log4j2、Fastjson 这类需要外带数据的漏洞。我去年用 xray 扫一个 Spring Boot 应用，准确报出了 Actuator 未授权访问和 Jolokia 反序列化。但社区版限速严重，扫大站点能把人急死。而且它主要针对 Web，主机层漏洞基本不管。

还有一类是云原生扫描器，比如 Trivy 和 Grype。它们不扫传统主机，专查容器镜像和文件系统里的依赖漏洞。我现在的 CI 流程里就挂了 Trivy，每次构建自动扫一遍基础镜像。速度快，10 秒内出结果。但它不检测配置错误和运行时漏洞，别指望拿它替代 Nessus。

实际选型时，我一般建议组合使用。主机层用 OpenVAS 或 Nessus 做基线核查，Web 层用 AWVS 或 xray 做深度检测，CI 里挂 Trivy 做依赖扫描。没有哪个工具能包打天下。上周我帮一个客户做等保测评，他们只买了 Nessus，结果 Web 漏洞部分被测评机构扣了 20 分。后来补了 xray 才过。工具是死的，人是活的。搞清楚你要解决什么问题，比问“哪个好”重要得多。