漏洞筛查

去年十一月，漏洞筛查我帮一个做跨境电商的漏洞筛查朋友看他的服务器日志。凌晨三点十七分，漏洞筛查一个来自东欧的漏洞筛查IP在四分钟内尝试了六千次登录。失败。漏洞筛查再试。漏洞筛查还是漏洞筛查失败。第六千零一次，漏洞筛查成功了。漏洞筛查

他后来跟我说，漏洞筛查那个账号的漏洞筛查密码是 Admin@123。用了四年，漏洞筛查从没改过。漏洞筛查

这就是漏洞筛查漏洞筛查最荒诞的地方——我们总以为敌人从正门破门而入，实际上大多数时候，漏洞筛查门压根没锁。

一、先搞清楚你在找什么

很多人把漏洞筛查等同于“跑一遍扫描器”。Nessus、OpenVAS、AWVS，装好，填IP段，点开始，等报告。报告出来几百页，红红黄黄一片，看一眼，关掉，下周再说。

这跟体检报告出来只翻最后一页看“建议复查”四个字有什么区别。

漏洞筛查的第一件事不是扫，是画图。你得知道自己有哪些资产——几台服务器、几个域名、哪些端口对外、哪些接口没鉴权、谁有管理员权限、离职员工的门禁卡有没有注销。这些东西不写下来，扫描器扫出来的结果你根本看不懂优先级。

我见过一个团队，扫描器报了一百多个中危漏洞，他们花了两周修完。结果渗透测试的人来了，二十分钟拿到数据库权限——因为一个测试环境的 /api/debug 接口没关，直接返回了生产库的连接串。那个接口不在扫描器的字典里。

二、漏洞不是“有”或“没有”，是“什么时候会被用”

CVSS评分有个毛病：它衡量的是技术严重性，不是业务风险。一个远程代码执行漏洞评9.8分，但如果那台机器在内网最深处、没有任何数据、三个月后就要下线，你花三天去修它，不如去修那个评5.3分的——对外暴露的、存着用户手机号的、上周刚被撞库的登录接口。

我自己的判断标准很粗暴：这个漏洞，如果明天被利用，我能不能在半小时内知道？ 不知道的，优先级往前提。能知道的，按部就班修。

还有一个更粗暴的：修这个漏洞需要重启服务吗？ 需要重启的，排到变更窗口。不需要的，现在就改。

三、筛查的终点不是“修完”，是“能看见”

我待过的一个小团队，没有预算买商业扫描器。我们用 nmap 加 nuclei，写了个脚本每天凌晨跑一遍，结果推到钉钉群。就三个人，谁早上到公司先看一眼，有新的红点就顺手处理。

听起来很土。但半年下来，他们比隔壁用着全套商业方案、但报告积压了三个月的团队，实际修复速度快了不止一倍。

漏洞筛查的本质不是“消灭所有漏洞”——那不可能。是建立一条反馈回路：资产变了，扫描知道；扫描出结果，人能看见；看见了，有人决定修不修、什么时候修。回路断了，再贵的工具都是摆设。

那个跨境电商的朋友后来改了密码，加了双因素认证，把测试接口全关了。上个月他跟我说，又有人在撞他的后台。这次撞了四万次，没进去。

他说这话的时候语气很平。我知道那种平——不是侥幸，是终于把门锁上了之后，听见外面有人拧把手的那种踏实。

(责任编辑：热点)