基于Kali的基于内网漏洞扫描

凌晨两点，某甲方机房的内洞扫交换机指示灯规律闪烁。我坐在角落的网漏折叠椅上，笔记本屏幕上是基于Kali的默认壁纸——那个骷髅头正对着我笑。内网渗透的内洞扫活儿干了五年，每次扫描前心跳还是网漏会加速，因为内网永远比互联网更脏，基于也更真实。内洞扫

第一步从来不是网漏直接上Nmap。先看一眼IP段，基于用arp-scan -l把活着的内洞扫机器捞出来。这工具糙，网漏但快，基于几秒钟就能让整个C段暴露在眼前。内洞扫打印机、网漏摄像头、老旧服务器，它们安静地躺在那里，像一群不设防的羊。真正要盯的是那些开了3389和445端口的家伙——它们通常承载着公司最核心的数据，却往往跑着Windows Server 2003。

拿下一台机器后别急着提权。先跑enum4linux，这名字听着像老古董，但对付域环境依然管用。它会告诉你共享文件夹里有没有人把密码存在Excel里，或者某个离职员工的账号是否还挂着域权限。有一次我扫到某制造企业的MES系统服务器，开放了SMBv1，永恒之蓝漏洞直接打穿，管理员密码居然是"admin123"。当时我盯着屏幕愣了几秒——2025年了，这种密码还能出现在生产网段。

内网扫描最让人上瘾的是横向移动的瞬间。你用mimikatz抓到了明文密码，然后发现它居然能登录财务部的数据库服务器。那种感觉像拿到了一串万能钥匙，每一扇门后面都是新的惊喜。但别得意太久，内网里的威胁往往不是漏洞本身，而是管理员对网络拓扑的漠视。VLAN隔离形同虚设，核心业务和办公区混在一起，扫描器跑一圈下来，连食堂的刷卡机都开着Telnet服务。

真正专业的扫描必须控制节奏。全端口扫一遍要花四十分钟，期间流量会异常飙升，再迟钝的IDS也该报警了。我习惯用masscan快速探测开放端口，再用Nmap针对性地做版本识别和服务指纹。关键是别搞出动静——把-T2参数加上，每次只发几个包，像猫走路一样轻。有一次我扫描某物流公司的仓储系统，发现一台Linux服务器开着Redis服务，没设密码，直接写入SSH公钥就能登录。那台机器上跑着整个华东区的订单数据库，备份策略形同虚设，连异地容灾都没有。

扫描报告比攻击过程更考验功力。别罗列一堆CVSS分数，那玩意儿甲方看不懂。你得告诉他们：打印机端口暴露可能导致内网被植入勒索病毒；某台服务器存在弱口令，而它恰好能访问核心业务网段。用具体的业务场景去解释漏洞，比任何技术术语都有说服力。上个月我给某医院做评估，发现PACS影像系统的服务器居然开放了FTP匿名访问，里面全是患者的CT片子。这事要是被媒体知道，比漏洞本身严重得多。

写这份东西的时候，隔壁工位的同事正用Kali破解一个WiFi密码。他用的工具是aircrack-ng，跑了半小时还没出结果。我瞥了一眼，那路由器用的是WPA2-PSK，密码是"88888888"加电话号码后四位。内网安全的真相往往很荒诞——技术漏洞是表象，人的懒惰才是根源。扫描器能发现一切，唯独发现不了管理者的疏忽。

凌晨四点，扫描结束。我合上笔记本，窗外城市的灯光稀稀拉拉。内网里还有多少台机器开着默认密码，多少条规则形同虚设，没人知道。Kali只是个工具，它不会帮你思考，只会忠实地把每一个弱点摊开在眼前。而你要做的，是决定先看哪一块伤疤。