《名小子漏洞软件》最早出现在几个不入流的漏洞下载站，界面糙得像2005年的软件个人主页。但它的漏洞功能列表写得很直白：扫描局域网内所有设备，自动匹配已知漏洞库，软件一键尝试利用。漏洞我盯着那行“支持Windows XP到Windows 11”看了半天，软件这跨度比很多正规安全工具都大。漏洞
下载下来只有4.7MB，软件解压后是漏洞个单文件exe，没签名，软件没数字证书。漏洞我扔进沙箱跑了一遍，软件行为倒是漏洞干净——只读注册表、发ARP包、软件连445和3389端口。漏洞但真正让我愣住的是它的漏洞库，居然带时间戳，最新一条是2024年3月的CVE-2024-21762，Fortinet SSL VPN的预认证RCE。
它不是给安全研究员用的
界面就三块：左边设备列表，中间漏洞勾选框，右边一个巨大的“执行”按钮。没有任何日志输出，没有payload定制，连超时设置都藏在右键菜单里。我试着扫了自己搭的测试环境，一台未打补丁的Windows Server 2008 R2，三秒后弹出一个cmd窗口——权限是SYSTEM。
这玩意儿压根没打算让你理解漏洞原理。它把MS17-010、CVE-2019-0708这些老牌漏洞的利用代码全打包成黑盒，点一下就跑。有个做渗透测试的朋友看了说：“这不就是脚本小子的自动化武器库吗？”话虽难听，但准确。名小子把Metasploit的模块调用、Payload生成、监听配置全砍掉，只留一个“打”的动作。
漏洞库更新靠抓取
我抓了它的更新请求，发现它每隔六小时去三个地方拉数据：NVD的JSON feed、GitHub上几个exploit仓库的commit记录、还有一个挂在中东某VPS上的私有API。那个私有API返回的格式很奇怪，像是人工筛过的——只保留有公开PoC且利用成功率高于70%的漏洞。这解释了为什么它的库比很多商业扫描器还新，但总数只有两千多条。
有个细节：它对国产设备特别上心。某次更新后突然多了几十条针对某品牌路由器的命令注入，我查了查，那些CVE编号在NVD上还处于“Awaiting Analysis”状态。作者大概率是中文圈的人，或者至少盯着国内安全社区的动态。
谁在用它
我在一个Telegram群里看到有人发截图，用名小子扫了某大学的实验楼网络，勾了永恒之蓝和EternalRocks，十分钟拿了十七台机器的最高权限。底下有人问“会不会留痕”，发图的人回：“它只打内存，不写盘，重启就没了。”
但这话不全对。我逆向看了它的利用模块，部分Payload确实只在内存执行，可有些老漏洞的利用链会落地一个tmp文件。作者显然知道这点，所以在设置里藏了个“清理痕迹”选项，默认勾选。点下去会删掉系统日志里特定Event ID的记录——这操作已经踩到法律红线了。
一个危险的便利
安全圈有句话：工具越简单，破坏力越大。名小子把漏洞利用的门槛从“会写Python”降到“会点鼠标”，这跟把枪放在幼儿园门口没区别。我见过一个高中生用它在网吧内网扫了一圈，就为了免费上机。他根本不知道MS17-010是什么，只知道“这个勾能开别人电脑”。
作者在关于页面留了句话：“仅供学习，请勿用于非法用途。”下面紧跟着一行小字：“使用本工具造成的任何后果与作者无关。”典型的免责声明，但配上那个硕大的“执行”按钮，显得格外讽刺。
我删了样本，清空了沙箱。这东西不该出现在任何人的硬盘里——除非你清楚自己在做什么，以及可能面对什么。