```html

常见的漏洞扫描工具

我见过太多人把漏洞扫描工具当“银弹”了。装一个，描工点一下“开始扫描”，漏洞扫然后等着报告出来——好像那些红红黄黄的描工条目就是全部真相。去年帮一个朋友看他们公司的漏洞扫内网，他用了一款挺有名的描工商业扫描器，报告里干干净净，漏洞扫结果我随手用另一款开源工具跑了一遍，描工直接挖出一个Struts2的漏洞扫远程命令执行。他当时脸都绿了。描工工具之间的漏洞扫差距，有时候比人和狗的描工差距都大。

那些绕不开的漏洞扫“老家伙”

说到漏洞扫描，Nmap几乎是描工所有人的起点。但它严格来说不算“漏洞扫描器”，漏洞扫更像一个端口和服务的探测仪。我习惯用它做第一步：nmap -sV -sC 目标IP，几秒钟就能知道对面开了什么端口、跑着什么服务、版本号是多少。版本号一出来，剩下的就是查CVE的事了。Nmap的脚本引擎（NSE）也挺好用，比如--script vuln能跑一些基础的漏洞检测，但别指望它能发现逻辑漏洞或者复杂的注入点。

真正意义上的漏洞扫描器，Nessus是绕不过去的。Tenable家的这个产品，插件库更新极快，覆盖范围从系统补丁到Web应用、数据库、甚至SCADA系统。我印象最深的是它那个“合规审计”功能，能直接对照CIS Benchmark告诉你哪些配置项不合格。不过Nessus的误报率也不低，尤其是扫Web应用的时候，经常把一些正常的参数当成SQL注入。所以扫完必须人工验证，别直接拿报告去交差。

开源阵营里的“狠角色”

OpenVAS（现在叫Greenbone Vulnerability Management）是Nessus的开源替代品。功能上差不太多，但插件更新速度和界面友好度确实不如商业版。我一般把它装在虚拟机里，配合gvm-cli做自动化扫描。有个细节：OpenVAS对中文环境的支持一般，报告里的中文有时候会乱码，得手动改一下编码设置。

Web应用这块，OWASP ZAP和Burp Suite是两座大山。Burp Suite的社区版免费，但很多自动化功能被阉割了。ZAP完全开源，它的“主动扫描”模式能自动爬取网站并测试常见漏洞。我试过用ZAP扫一个内部管理系统，它居然发现了两个存储型XSS——一个在用户昵称字段，一个在文件上传的备注里。不过ZAP的爬虫有时候会陷进无限循环，得手动设置排除规则。

还有一款叫Nikto的，专门扫Web服务器。它不测应用层漏洞，只检查服务器配置问题，比如危险的HTTP方法、默认文件、过时的服务器版本。跑起来很快，nikto -h 目标URL，几秒钟出结果。我一般把它作为ZAP或Burp的补充，先看看服务器层面有没有明显的问题。

别被工具牵着鼻子走

工具再强，也只是工具。我见过有人用AWVS扫出一个“SQL注入”，兴冲冲跑来找我，结果一看，是个搜索框，输入单引号报错，但输入1' and '1'='1又正常了——典型的误报，后端可能只是做了简单的字符过滤，并没有真正拼接SQL。所以任何扫描结果，尤其是高危漏洞，必须手动复现。抓包、改参数、看回显，这一步省不了。

另外，扫描策略比工具本身更重要。你拿Nessus去扫一个电商网站，如果直接开“全面扫描”，大概率会把数据库拖垮，或者触发WAF封IP。我一般会先做资产梳理，分清哪些是核心业务、哪些是测试环境，然后针对性地选插件集。比如扫Linux服务器，就重点开“Ubuntu Security Notices”和“CIS Compliance”；扫Web应用，就只开OWASP Top 10相关的插件。

最后说个实在的：漏洞扫描只是安全工作的起点，不是终点。它帮你找到“可能有问题的地方”，但真正有没有问题、危害多大、怎么修，还得靠人。我见过一个扫描报告里标了“低危”的目录遍历漏洞，结果因为那个目录里存着数据库备份文件，最后演变成了整个数据库泄露。工具给的是分数，人给的是判断。

```

本文地址：http://www.79wt.cn/news/1154e1899866.html