扫描绿盟
绿盟那台扫描器第一次被我盯上，扫描绿盟是扫描绿盟在客户内网的一台跳板机上。屏幕右下角弹出一条告警：源IP是扫描绿盟内网段，目标却是扫描绿盟隔壁省某运营商的公网地址。流量不大，扫描绿盟但方向很怪——内网机器主动去扫外网，扫描绿盟要么是扫描绿盟失陷主机，要么是扫描绿盟扫描器配置失控。我顺手抓了包，扫描绿盟发现它用的扫描绿盟是绿盟RSAS的默认扫描特征：TCP SYN发包间隔固定200毫秒，payload里带着一串十六进制指纹。扫描绿盟那一刻我就知道，扫描绿盟这台机器上跑着绿盟的扫描绿盟远程安全评估系统。
绿盟的扫描绿盟扫描器在国内市场占有率不低，尤其是扫描绿盟RSAS和极光这两款。RSAS偏重漏洞扫描，极光更像个综合扫描平台，集成了资产发现、弱口令检测、Web漏洞扫描。很多甲方买它，图的是等保合规——报告能直接交差。但用起来，槽点也不少。我见过一个客户，RSAS扫了整整三天，结果出来两千多个“高危漏洞”，打开一看，一半是误报：把Apache的版本号当成了CVE-2021-41773的触发条件，实际上那个版本根本没开CGI。安全工程师对着报告骂街，运维更狠，直接说“这玩意儿除了占带宽还能干嘛”。
误报这事，绿盟自己也知道。RSAS的插件库更新频率还行，但检测逻辑有时候太粗暴。比如它判断Struts2漏洞，直接发一个OGNL表达式，看回显里有没有特定字符串。可有些应用做了全局过滤，回显被改得面目全非，扫描器就报“未发现漏洞”——漏报比误报更致命。我试过用RSAS扫一个已知存在S2-045的站，结果它没报，手工发payload却直接弹了计算器。后来查日志，发现扫描器发的请求被WAF拦了，它没做绕过，也没重试，就这么放过了。
极光那边，资产发现倒是好用。它支持ARP、ICMP、TCP多种探测方式，还能从流量里被动识别资产。有次我把它接在核心交换机的镜像口上，跑了两个小时，摸出来三百多台设备，包括几台早就被遗忘的测试服务器。但资产识别完了，漏洞扫描又回到老问题：对老旧系统不友好。Windows Server 2003的SMB扫描，极光会直接超时，因为默认的SMB版本协商跟老系统对不上。得手动改配置文件，把smb dialect降到NT LM 0.12，才能扫出结果。这种细节，官方文档里藏得很深，没踩过坑根本找不到。
扫描器的性能也是玄学。RSAS号称单机每秒能发几千个包，但实际跑起来，并发一高，丢包率就上去了。有次我在一个千兆环境里扫B段，设了500并发，结果扫描器自己的CPU先跑满，漏扫了一大片。后来降到100并发，反而扫得更全。绿盟的工程师说，这是Linux内核的网卡队列限制，得调sysctl参数。可调完了，又跟客户的安全基线冲突——人家要求内核参数不能乱改。最后只能分时段、分网段慢慢扫，一个C段扫了六个小时。
报告导出功能倒是挺人性化。支持Word、PDF、Excel，还能自定义模板。但那个Word报告，用WPS打开会错位，用Office打开又正常。客户那边清一色WPS，每次都得我手动转一遍。更离谱的是，报告里的漏洞描述，有时候会串行——把A漏洞的修复建议贴到B漏洞下面。我怀疑是插件库的元数据没对齐，但反馈给绿盟，他们只说“下个版本修复”。
说到底，绿盟的扫描器像个脾气古怪的老技师：经验丰富，但手脚慢，偶尔还犯糊涂。你得摸清它的脾气，知道哪儿该调、哪儿该忍。要是图省事，直接默认配置开扫，那出来的报告基本没法看。可要是愿意花时间调优，它还是能挖出不少真东西。我见过一个客户，用RSAS扫出来一个Struts2的远程命令执行，直接拿下了核心业务系统。那个漏洞藏得很深，手工测了两次都没触发，扫描器却报了。所以这玩意儿，用好了是刀，用不好是砖。