去年秋天，服务我给一个客户做内网渗透测试。器漏刚扫了十分钟，洞检Nmap就报出一台老旧的测工Jenkins服务器，端口8080敞开，服务版本号是器漏2.138。我心里一沉——这版本有个反序列化漏洞，洞检CVE-2018-1000861，测工能直接拿shell。服务客户运维说那台机器“早就不用了”，器漏可它还在跑，洞检还在监听，测工还在等着被人打。服务这就是器漏漏洞检测工具存在的意义：你永远不知道哪个角落藏着一扇没锁的门。

漏洞检测工具分两类。洞检一类是扫描器，像Nessus、OpenVAS、Nexpose，它们拿着庞大的漏洞库去比对目标指纹。另一类是专项检测脚本，比如针对Struts2的S2-045，或者针对Log4j的JNDI注入探测。扫描器胜在覆盖面广，但误报率高得让人头疼。我见过OpenVAS把一台正常运行的Nginx报出七个“高危漏洞”，实际上全是版本号匹配过宽导致的假阳性。专项脚本则精准得多，可你得先知道目标跑的是什么。

选工具得看场景。外网打点，我习惯先用Nmap做端口和服务识别，再上Nuclei跑一遍社区模板。Nuclei快，模板更新勤，YAML写起来也顺手。内网横向移动阶段，fscan更实用，它把端口扫描、漏洞探测、弱口令爆破揉在一起，一个二进制文件扔进去就能跑。但fscan的漏洞检测逻辑比较粗暴，主要靠回显匹配，遇到不返回内容的漏洞就抓瞎。这时候得换xray，它的反连平台能捕获无回显的漏洞，比如Log4j2的DNS外带。

有个细节值得说：很多工具默认只扫Web漏洞，可真正的入口往往在非Web服务上。Redis未授权、MongoDB未授权、Docker API未授权——这些用Nmap的脚本引擎就能发现。我习惯在Nmap里挂上--script redis-info和--script mongodb-info，扫端口的同时就把配置问题看了。省事，也省得漏掉那些“不起眼”的服务。

工具再好，也替代不了人的判断。去年有个项目，扫描器报了一堆“SSL弱加密套件”，客户急着要修。我看了下，那台服务器只在内网跑，且只接受特定IP访问，实际风险几乎为零。反过来，扫描器没报的，未必就安全。有次我手工测一个文件上传接口，工具没检测出任何问题，可我改了个Content-Type头，直接传了个jsp上去。工具是按规则匹配的，规则之外的东西，得靠人去看。

写检测脚本的时候，我越来越倾向于“轻量级”方案。不用把整个漏洞库搬进来，针对目标环境写几个精准的POC就够了。比如检测Shiro反序列化，核心就是发一个带特定Cookie的请求，看返回头里有没有rememberMe=deleteMe。二十行Python，比装个重量级扫描器快得多。当然，这种做法的前提是你对目标足够了解。

最后说个教训。有次我用某商业扫描器扫一个客户的生产环境，扫到一半数据库挂了——扫描器发的畸形包把老版本的MySQL打崩了。客户虽然没追究，但我从此养成了习惯：扫描前先问清楚，哪些服务不能碰，哪些端口不能扫。工具是死的，人是活的。你手里的扫描器能发现漏洞，也能制造故障。用之前，想清楚后果。

(责任编辑：焦点)