Kali Linux 自带一堆扫描工具，洞扫但很多人装完就愣住——nmap、描教nikto、洞扫openvas 到底先开哪个？描教我见过有人对着目标机狂扫三天，结果连个开放端口都没记全。洞扫问题不在工具，描教在流程。洞扫

先搞清楚一件事：漏洞扫描不是描教“一键日站”。它更像体检，洞扫分步骤来。描教我习惯从最外层开始摸，洞扫一层层往里剥。描教

第一步：别急着扫，洞扫先摸清存活主机

直接上 nmap -sn 192.168.1.0/24 做 ping 扫描。描教这步不碰端口，洞扫只问“谁在线”。有次我帮朋友看他的小服务器，他直接跑 nmap -A 扫全网段，结果被机房封了 IP。先 -sn 找出活着的机器，再针对性扫，省时省事。

如果目标禁 ping，加 -Pn 跳过主机发现。但别滥用，扫整个 /16 段时 -Pn 会让扫描时间爆炸。

第二步：端口扫描，但别只扫 TCP

常规操作：nmap -sS -sV -p- 目标IP。 -sS 是 SYN 半开扫描，快且隐蔽；-sV 探版本；-p- 扫全 65535 个端口。很多人只扫 top 1000，漏掉高位端口上的 Redis 或数据库。

UDP 别忽略。nmap -sU --top-ports 50 目标IP 查常见 UDP 服务。DNS、SNMP、DHCP 都跑在 UDP 上，这些服务出漏洞往往更致命。我遇到过一台机器 TCP 端口全关，UDP 161 开着默认 community string，直接拿到系统信息。

第三步：用 Nikto 查 Web 层，但别全信它

发现 80 或 443 端口后，nikto -h http://目标IP。它会报一堆潜在问题：缺失安全头、备份文件、过时组件。但 Nikto 的误报率不低，它说“发现 /backup/ 目录”，可能只是返回了 200 的自定义 404 页面。

我的做法：Nikto 结果当线索，手动 curl 验证。比如它报 /admin.php.bak，你就 curl -I 看返回码和 Content-Type。真存在再深入。

第四步：OpenVAS 做系统级扫描，但配置要调

Kali 里装 OpenVAS（现在叫 Greenbone）不算难，apt install openvas 然后 gvm-setup。默认扫描配置太激进，容易把目标打挂。我一般把“max concurrently scanned hosts”降到 2，超时调到 10 秒以上。

建任务时选“Full and fast”就够。别选“Denial of Service”那类，除非你明确要测抗压能力。扫完看报告，重点盯 CVSS 7 分以上的。低危漏洞先放放，修高危的。

第五步：手动验证，别当报告搬运工

扫描器说“Apache 2.4.49 存在 CVE-2021-41773 路径穿越”，你得手动试：curl --path-as-is http://目标/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd。返回 root:x:0:0 才算数。扫出漏洞不验证，等于没扫。

还有，别在没授权的情况下扫任何公网 IP。我见过有人拿 Kali 扫学校官网，第二天就被叫去喝茶。扫描前书面授权，扫描时控制速率，扫描后清理日志——这是底线。

工具是死的，思路是活的。nmap 告诉你门在哪，nikto 告诉你窗户没关，OpenVAS 告诉你墙有裂缝。但最后翻进去看有没有人的，还是你自己。