<漏洞扫描记录> 周三凌晨两点十七分，漏洞防火墙日志弹出一条告警。扫描目标IP指向内网测试服务器，记录端口445，漏洞漏洞编号CVE-2020-0796——永恒之黑。扫描这名字起得挺唬人，记录实际上就是漏洞SMB协议的一个远程代码执行漏洞，微软三月份就出了补丁，扫描但测试环境没人管。记录我盯着屏幕看了几秒，漏洞确认是扫描扫描器在自动探测，不是记录真实攻击，才把悬着的漏洞心放回肚子里。 这类记录我攒了三年，扫描从最初的记录焦虑到现在的麻木，中间隔着一百多次误报和三次真实入侵。第一次出事是2021年秋天，某台暴露在公网的Jenkins服务器被爆破成功，攻击者上传了挖矿脚本。那台机器配置不高，CPU却飙到百分之四百，运维同事半夜打电话问我是不是在跑什么大任务。我登录上去，看到/tmp目录下躺着一个叫kdevtmpfsi的文件，瞬间明白发生了什么。那次之后，我把所有扫描记录都导出来做了个Excel表格，按漏洞类型、严重程度、修复状态分门别类，强迫症似的每天更新。 表格里最刺眼的一行是CVE-2019-0708，蓝屏漏洞。那台机器是财务部的老旧Windows Server 2008，用来跑金蝶系统，业务部门死活不让停机升级。我在记录里标注了“风险接受”，但每次看到这行字心里都发毛。后来我学聪明了，在交换机上把445端口单独隔离，又加了一条ACL限制访问来源，才算勉强睡得着觉。 扫描记录最烦人的不是漏洞本身，而是误报。某次扫描把公司内部DNS服务器报成存在SQL注入漏洞，我排查了半天，发现是扫描器把正常的递归查询请求当成了攻击载荷。这类情况占记录总量的四成左右。我慢慢练就了一双火眼金睛，能根据响应时间、请求特征、源IP行为判断是真漏洞还是扫描器发神经。有次新来的实习生看着记录问我：“这些高危漏洞是不是意味着我们随时会被打穿？”我指了指旁边那台打印服务器：“那台机器挂着CVE-2021-34527，PrintNightmare，打印服务远程执行代码，但它在隔离VLAN里，连不到外网，连内网其他机器也访问不了它。漏洞是死的，人是活的，网络架构有时候比补丁更管用。” 当然，这不代表能躺平。上周扫描发现某台新上线的NAS设备存在默认口令漏洞，管理员账号密码还是admin/admin。我截图发给负责的同事，他回了个尴尬的表情，说以为内网设备没人会注意。我直接把那条记录标成红色，抄送了部门领导。第二天再看，密码已经改了，扫描结果里那条高危项旁边多了个绿色的“已修复”标记。 说回凌晨那条永恒之黑告警。我打开扫描器控制台，确认是例行月度扫描任务触发的，目标IP确实存在漏洞，但系统版本是Windows 10 1903，补丁没打全。我按流程创建工单，填好资产归属、漏洞描述、修复建议，转给桌面运维组。处理完这些，窗外天已经蒙蒙亮。我合上笔记本，想着明天还得跟进那条工单的进度——漏洞扫描记录的意义从来不是扫出多少问题，而是每个问题最终都有人去解决。那些躺在表格里的红色标记，如果没人管，迟早会变成凌晨三点真正响起的告警声。