OpenVAS 装完第一次跑扫描，漏洞我盯着屏幕等了四十分钟。扫描进度条卡在 87% 不动，工具风扇声大得像要起飞。免费最后弹出一份报告，漏洞高危漏洞 23 个，扫描中危 61 个——那台测试服务器我明明上周才打过补丁。工具后来才发现，免费它把 Debian 的漏洞版本号误判了，把 openssl 1.1.1k 当成了有心脏出血漏洞的扫描 1.0.1 分支。免费工具的工具第一课：你得学会跟误报共处。

这不是免费说免费的就不好。Nessus 专业版一年两万多，漏洞对个人和小团队来说纯属烧钱。扫描真正常用的工具开源方案就那么几个，各有各的脾气。

Nmap：别只拿它当端口扫描器

很多人觉得 Nmap 就是个扫端口的，装完敲个 nmap 192.168.1.1 看到 22、80、443 开着就完事了。其实它的 NSE 脚本引擎才是宝藏。比如 --script vuln 这个参数，能直接调用漏洞检测脚本库。我试过扫一台没打 MS17-010 补丁的 Windows Server 2008，命令跑完直接给出 EternalBlue 的检测结果，连利用代码的参考链接都附上了。

速度是个问题。全端口加漏洞脚本，扫一个 C 段能跑一整夜。我的做法是先 -sS -p- 快速摸清开放端口，再针对具体端口跑对应脚本。比如看到 445 就上 smb-vuln-*，看到 3306 就跑 mysql-*。这样能把时间从八小时压到四十分钟左右。

OpenVAS：重，但值

Greenbone 社区版，现在叫 OpenVAS，安装体验堪称灾难。Kali 下 apt install openvas 之后还要跑 gvm-setup，那个脚本会编译一堆东西，没个二十分钟下不来。装完默认只监听 127.0.0.1，想远程访问得改 gsad 的配置。我第一次弄的时候忘了同步 NVT 源，扫出来的结果全是“无法检测”，白等半小时。

但它的漏洞库确实全。每周更新一次 feed，覆盖 CVE 数量比很多商业工具还多。我拿它扫过一台老旧的 CentOS 6 机器，报告里连 bash 的 Shellshock 都翻出来了，那台机器运维自己都忘了上面跑着什么服务。缺点是资源占用——4G 内存的虚拟机跑起来勉强够，扫描时 CPU 直接拉满，别指望同时干别的。

Trivy 和 Grype：换个思路

传统漏洞扫描器盯着网络服务，但现在的应用大半跑在容器里。Trivy 是 Aqua 开源的，一条 trivy image nginx:latest 就能列出镜像里所有带 CVE 的包。速度极快，十秒出结果。Grype 类似，和 Syft 配合能生成 SBOM 再扫。

我更喜欢把它们塞进 CI 流程。每次构建镜像后自动跑一遍，有高危就直接 fail 掉 pipeline。比等上线之后再用 OpenVAS 扫要靠谱得多——那时候补丁都打了好几轮了。

几个坑

免费工具最大的问题是误报和漏报。Nessus 的免费版限制 16 个 IP，家庭用够，小公司就捉襟见肘。OpenVAS 的误报率我体感在 15% 左右，特别是对自定义编译的软件，版本识别经常出错。Nmap 的 NSE 脚本更新慢，新漏洞出来到脚本跟进有时差。

我的做法是交叉验证。Nmap 扫到可疑端口，OpenVAS 确认漏洞存在，最后手工 curl 或 nc 验证一遍。三个工具都说有问题，那基本跑不掉。只有一个报，先打个问号。

还有日志。免费工具的报告导出功能普遍简陋。OpenVAS 能导 PDF 和 XML，但排版丑陋。我一般用 gvm-cli 拉 XML 出来自己解析，塞进 Elasticsearch 做趋势分析。这步没有现成方案，得自己写脚本。

工具终究是工具。上周我用 Nmap 扫自己家里的树莓派，发现 22 端口开着，密码还是默认的 raspberry。三个扫描器都没报这个——因为它们不测弱口令。免费工具能帮你发现已知漏洞，但配置错误、弱密码、逻辑缺陷这些，还是得靠人。