凌晨两点，扫漏我盯着屏幕上那台跳动的洞工红色主机图标，第七次尝试用不同的扫漏payload打进去。对方是洞工某省政务系统的一个子节点，CVE-2021-44228的扫漏Log4j漏洞，理论上三分钟就能拿shell。洞工但防火墙后面还套着WAF，扫漏WAF后面还有主机防护，洞工层层叠叠像俄罗斯套娃。扫漏

这不是洞工电影里那种酷炫的黑客攻防。真实情况是扫漏，我手里攥着Nuclei、洞工Xray、扫漏Goby、洞工AWVS这些开源工具，扫漏像拿着扳手和螺丝刀去拆一台精密钟表。扫漏洞这件事，九成时间都在跟误报较劲，剩下的一成，是在跟厂商的“已忽略”状态搏斗。

上周刚处理完一个典型案例。某电商平台的API网关，扫描器报了三个高危，人工复核后发现全是false positive——参数污染被当成了SQL注入，JSONP回调被误判成XSS。但真正致命的问题藏在扫描报告的第二十三页：一个不起眼的越权漏洞，用Burp Suite手工测出来的，因为那个接口只在特定时间段开放，自动化工具根本碰不到。

工具能做的，是扩大覆盖面。一个企业资产可能有上千个域名，人工一个个点过去得累死。但工具的局限同样明显——它只能检测已知的、特征化的漏洞模式。真正的0day，或者需要业务逻辑串联的攻击链，扫描器连门都摸不着。有个朋友在甲方做安全，他们的扫描器每天跑出两百多个“漏洞”，但真正能被打通的，平均每周不到一个。

更麻烦的是，扫描器会制造一种虚假的安全感。老板看到报告上“高危已清零”就以为高枕无忧了，实际上那些被忽略的低危漏洞，组合起来可能就是一条完整的攻击路径。我见过最讽刺的案例：某金融公司扫描报告显示“无中高危”，结果红队用两个低危信息泄露加一个逻辑缺陷，直接打穿了整个内网。

所以我现在的工作方式变了。扫描工具只用来做初筛，生成一份候选清单，然后我拿着清单去手动验证。Nuclei跑出来的模板命中，我会把原始请求翻出来，逐条看响应差异。Xray标红的那个点，我会用sqlmap加--tamper参数重新测一遍。这个过程很枯燥，但往往能揪出真正值得写进报告的东西。

工具是铲子，漏洞是矿石。但矿脉的走向，得靠人自己判断。上周在某个政府网站的JS文件里，我手动翻到一个硬编码的API密钥——扫描器对此毫无反应，因为它不认为这是漏洞。可拿着这个密钥，我调通了对方后台的查询接口，三万多条公民信息就这么裸奔在公网上。

你说工具没用？不，没有Nuclei的指纹识别，我根本不会注意到那个老旧框架。但你说工具够用？那更是扯淡。安全这行，工具决定下限，人决定上限。扫描器能告诉你哪里可能有问题，但只有你能判断这个问题值不值得修，以及——更重要的——还有哪些问题，工具连看都没看到。

天快亮了。我把那台红色主机的状态改成“已确认漏洞”，附上手测的PoC。明天晨会上，大概又有人要问“为什么扫描器没报这个”。我准备好了答案：因为扫描器只会回答它被问到的问题，而真正的漏洞，往往藏在问题之外。