goby漏洞库

Goby的漏洞漏洞库不是PoC的简单堆砌。它更像一张持续生长的漏洞攻击面地图，把资产、漏洞指纹和漏洞三者绑在一起。漏洞你扫到一个资产，漏洞Goby会告诉你它是漏洞什么、跑什么服务、漏洞可能踩中哪些已知漏洞。漏洞这个联动逻辑，漏洞是漏洞它和纯PoC仓库最大的区别。

我最早用Goby是漏洞2020年，当时它的漏洞漏洞库只有几百条。现在翻一眼更新日志，漏洞几乎每周都在往里塞新东西。漏洞CVE编号、漏洞CNVD、还有不少自研的检测规则。数量上去了，但真正让我留下来的，是它对"可利用性"的判断。很多扫描器只告诉你"可能存在漏洞"，Goby会尽量给一个验证路径。比如某个ThinkPHP的RCE，它会直接尝试发一个无害的payload，看回显里有没有特定字符串。有，才标红。没回显，标黄。这个细节省了我大量手工复核的时间。

漏洞库的入口在Goby主界面左侧，点进去能看到分类：Web应用、中间件、数据库、网络设备、工控。每个分类下按厂商或协议再分。我常翻的是"网络设备"和"中间件"两块，因为这两类资产在实战里最容易出弱口令和未授权访问。库里的条目不是干巴巴的编号，点开有描述、影响版本、参考链接，还有Goby自己写的检测逻辑说明。有些条目会附上"利用条件"，比如是否需要认证、是否依赖特定配置。这个信息比CVSS评分实用得多。

更新机制值得单独说。Goby的漏洞库走的是在线增量更新，启动时自动拉。我试过在断网环境里手动导入离线包，也能用，但会缺一些刚出的规则。它的更新频率跟得上热点。Log4j2刚爆那会儿，我印象里Goby在当天晚上就推了检测规则。速度比很多商业扫描器还快。当然，快也有代价——偶尔会碰到规则误报。比如某次一个Struts2的规则，把正常返回也标成漏洞。反馈后下一个版本就修了。这种迭代节奏，用起来像在跟一个活跃的社区打交道，而不是买了一个死盒子。

自定义这块，Goby允许你写自己的PoC，用YAML格式，然后丢进本地库。我写过几个内部系统的检测规则，语法不算复杂，照着官方示例改就行。写完能在扫描时直接调用，和内置规则混在一起跑。这个设计对红队很友好——你不需要等官方更新，自己就能补盲区。不过YAML的调试体验一般，报错信息不够具体，有时候得靠猜。希望后面能加个本地校验工具。

漏洞库和指纹库是联动的。你扫一个IP，Goby先识别指纹，比如"Shiro"或"Fastjson"，然后自动匹配该指纹下的所有漏洞规则。这个逻辑减少了无效发包。我试过扫一个纯静态的Nginx，它不会去跑数据库类的PoC。精准度上，比无差别轰炸的扫描器高不少。但指纹识别本身会出错，一旦认错，后面的漏洞匹配就全偏了。所以实战里我习惯先看指纹结果，确认无误再跑漏洞扫描。

最后提一个我常用的功能：漏洞库支持按"最近添加"排序。点一下，就能看到过去一周新增了哪些规则。这个列表我每周一早上会刷一遍，相当于一个轻量的威胁情报源。看到感兴趣的CVE，直接搜资产里有没有对应指纹，有就扫，没有就记下。整个过程不超过十分钟。Goby漏洞库的价值，不在它收录了多少条，而在它把"发现资产"和"验证漏洞"之间的路修得足够短。你不需要在多个工具之间倒腾数据，一个界面里就能从IP走到利用点。这种流畅感，是用过之后很难回去的。