Nessus 扫 Web 网站，扫描很多人第一步就卡在插件上。扫描默认策略跑完，扫描报告里干干净净，扫描就以为没事了。扫描其实 Web 扫描跟主机扫描是扫描两套逻辑，选错模板等于白扫。扫描

我通常直接建一个 User Defined 策略，扫描在 Plugin 里只勾 Web Servers 和 CGI abuses 两栏。扫描别全选，扫描全选跑得慢，扫描还容易触发 WAF 封 IP。扫描有一次我图省事用了 Web Application Tests 这个模板，扫描扫到一半目标站直接 403，扫描换 IP 才恢复。扫描后来学乖了，把 Scan Speed 降到 Normal，Max Concurrent Checks 改成 5，稳得多。

目标填法也有讲究。如果你写 http://example.com，Nessus 默认只扫 80 端口。想扫 443 得手动加 https://example.com，或者干脆在 Port Scanning 里指定 80,443,8080,8443。我见过有人只填域名，结果报告里全是主机层漏洞，Web 漏洞一个没出，还怪 Nessus 不准。

认证扫描是另一个坑。很多 Web 漏洞藏在登录后，比如 XSS 或 SQL 注入。Nessus 支持 HTTP Login 配置，但表单字段得自己抓。用 Burp 拦截登录请求，把 username、password、csrf_token 这些字段名填进去。注意 Login Page 要写完整 URL，Login Submission URL 写 POST 的目标地址。有一次我漏了 CSRF token，Nessus 一直提示登录失败，查了半天才发现是 token 没取。

扫完之后别只看 Critical 和 High。Medium 里的 Web Server 类问题经常被忽略，比如 HTTP TRACE Method Enabled 或者 Missing HttpOnly Cookie。这些单看危害不大，但组合起来能搞出 XSS 链。我习惯按 Plugin ID 排序，把同一类问题归在一起看。比如 Plugin 11213 是 HTTP TRACE，Plugin 42880 是 Cookie 缺失 HttpOnly，一起修效率高。

报告导出选 .nessus 格式，别直接给客户 PDF。PDF 里漏洞描述是固定模板，客户看不懂。用 Nessus Client 打开 .nessus 文件，右键 Export 成 HTML，再手动加一列 修复建议。比如 Plugin 98126 是 SSL Certificate Expiry，直接写“联系运维续签证书，建议提前 30 天”。客户要的是能落地的东西，不是一堆 CVSS 分数。

最后说个真事。上个月扫一个政府站，Nessus 报了个 Plugin 42411，phpMyAdmin 目录遍历。我手动验证，发现是 /phpmyadmin/ 没删，但访问返回 403。Nessus 的 Match 规则太宽，把 403 也当成了漏洞。所以扫完 Web 站，至少抽三条手动复现。工具是辅助，判断还得靠人。