MySQL的洞扫漏洞扫描工具，市面上多如牛毛。描工但真正用得顺手、洞扫能让人放心的描工，其实就那么几个。洞扫我自己折腾过不少，描工从开源免费到商业付费，洞扫踩过的描工坑比写过的SQL还多。 先说最常用的洞扫，Nessus。描工这玩意儿几乎是洞扫业界的默认标准了。它的描工MySQL插件库更新勤快，新出的洞扫CVE基本三天内就能覆盖到。去年我帮一家电商公司排查数据库安全问题，描工用Nessus扫出一台内网测试机的洞扫MySQL 5.7存在提权漏洞，版本太老，官方早就停止维护了。要不是扫出来，那台机器可能一直裸奔到天荒地老。不过Nessus的毛病也明显——贵，而且扫描时的网络流量大得吓人，生产环境晚上跑一次，监控图表直接拉满警报。 开源的也有好东西。Sqlmap严格来说不算扫描工具，它更偏向注入测试。但如果你拿它配合一些基线检查脚本，能发现不少配置层面的问题。比如MySQL的root账号默认空密码，或者允许远程root登录，这类低级错误用脚本就能揪出来。我见过不少开发环境，root密码直接写在代码配置文件里，连加密都省了，Sqlmap一跑一个准。 还有个偏门但实用的工具，叫做MySQL Enterprise Audit。这玩意儿是Oracle官方的，不便宜，但胜在精准。它不走漏洞库匹配的老路，而是通过审计日志和行为分析找异常。比如某个账号凌晨三点批量导出用户表，或者连续失败登录次数突然飙升，这些行为特征它都能捕捉到。我有个朋友在金融公司做DBA，他们合规检查必须用这个，因为监管要求的是行为审计，不是单纯的版本比对。 工具选型之外，更关键的是扫描策略。别指望一把梭子扫完所有库就能高枕无忧。MySQL的漏洞分两类，一类是软件本身的bug，比如提权、拒绝服务，这类靠版本更新就能解决；另一类是配置不当造成的，比如弱口令、开放了不必要的存储过程。前者用自动化工具扫，后者得靠人工经验去判断。有一次我用工具扫了个库，报告显示全是绿色，但仔细一看，那个库的binlog日志居然没开，主从复制全靠手工同步，这要是数据挂了连恢复都难。工具不会告诉你这些，它只看技术指标，不看业务逻辑。 最后提醒一句，扫描工具输出的一大堆报告，别直接扔给运维就完事。你得自己先过一遍，分辨哪些是真实风险，哪些是误报。我遇到过最离谱的一次，工具把MySQL的performance_schema库当成漏洞报出来，说是存在未授权访问风险，实际上那是系统自带的性能监控库，压根不需要权限。要是真按报告去“修复”，把那个库删了，整个数据库性能监控就全废了。 工具是死的，人是活的。挑个顺手的，定期跑一遍，配合人工review，比装十个扫描器都管用。别迷信“全自动扫描”这种鬼话，数据库这玩意儿，永远需要人来兜底。

(责任编辑：知识)