打开NVD（美国国家漏洞数据库）的通过网站，在搜索框里敲下“Apache Log4j”，软件不到一秒，查漏CVE-2021-44228就跳了出来——CVSS评分10.0，通过远程代码执行，软件影响版本从2.0-beta9到2.14.1。查漏这就是通过软件名称查漏洞最直接的用法：你知道一个软件的名字，想知道它有没有已知的软件安全问题，搜一下就行。查漏

但很多人不知道的通过是，光搜一个名字远远不够。软件我见过有人查“Chrome”发现几百条CVE，查漏然后慌了，通过以为自己的软件浏览器千疮百孔。实际上那些漏洞大多只影响特定版本、查漏特定平台，甚至特定配置。软件名称只是入口，版本号才是钥匙。

拿WordPress来说。你搜“WordPress”，NVD返回的结果超过一万条。可如果你用的是最新版6.7，真正相关的可能只有个位数。漏洞数据库里躺着的大多数问题，早在你安装之前就被修掉了。所以查漏洞的正确姿势是：软件名 + 版本号。比如“WordPress 6.4.2”或者“OpenSSH 8.9p1”。

去哪儿查，怎么查

NVD是最常用的，免费、数据全、更新也算及时。但它的搜索界面有点笨，你得学会用关键词组合。另一个选择是CVE.org，官方CVE编号的源头，不过信息比NVD简略。如果查的是商业软件，比如Oracle、Cisco，直接去厂商的安全公告页面往往更准——NVD偶尔会漏掉一些厂商自己发布的补丁信息。

开源软件还有个地方叫GitHub Security Advisories。比如你搜“lodash”，会看到一堆原型污染漏洞，每个都标明了影响范围和修复版本。这个比NVD更贴近开发者的实际使用场景。

我自己的习惯是：先用NVD搜软件名，看最近三年的CVE列表。如果某个CVE的CVSS评分超过7.0，而且影响我用的版本，再去翻厂商的公告确认细节。别只看NVD的摘要，点进去看完整描述，有时候漏洞触发条件很苛刻，比如需要本地访问或者特定配置，那风险就低很多。

名字搜不准的情况

有些软件名称太通用，搜出来一堆无关结果。比如“Spring”——你搜这个，NVD会返回Spring Framework、Spring Boot、Spring Security混在一起。得加上限定词，比如“Spring Framework 5.3.0”。

还有拼写变体。Apache的Struts2，有人写“Struts 2”，有人写“Struts2”，NVD两种都认，但结果排序可能不同。更麻烦的是那些被收购或者改名的软件。比如“Jenkins”以前叫“Hudson”，你搜Hudson也能找到老漏洞，但新版本只叫Jenkins。

我遇到过最坑的一次是查一个国产OA系统的漏洞。软件名是中文的，NVD里根本没有。最后是在CNVD（国家信息安全漏洞共享平台）上找到的。所以查漏洞不能只盯着一个库，国内的CNNVD、CNVD也得看看，尤其是政企软件。

查到了然后呢

查到漏洞只是第一步。你得判断三件事：你的版本是否在影响范围内、漏洞利用是否需要特殊条件、有没有可用的补丁或缓解措施。比如Log4j那个漏洞，影响范围极广，但如果你用的是Java 8u191以上版本，默认配置下JNDI远程加载是被禁用的，风险就降了一档。

别看到CVE就急着升级。有的漏洞只影响Windows，你在Linux上跑就不用慌。有的漏洞需要攻击者已经拿到低权限账户，那优先级可以往后排。查漏洞的目的是做决策，不是制造焦虑。

最后说个真实案例。去年有个朋友的公司被扫出“Apache HTTP Server 2.4.49”存在路径穿越漏洞（CVE-2021-41773）。他们运维第一反应是连夜升级到2.4.50。结果2.4.50又出了个新漏洞CVE-2021-42013，还得再升。其实当时只要在配置里加一条Require all denied就能临时挡住。查漏洞查到最后，拼的是对软件本身的理解，不是搜索技巧。

(责任编辑：知识)