内容摘要：kali漏洞扫描：一把趁手的刀，别指望它替你思考 凌晨两点，我盯着屏幕上的Nmap输出，那台测试服务器开着22、80、443三个端口。常规操作，但真正让我后背发凉的，是443端口上挂着的那个老版本Op

kali漏洞扫描：一把趁手的漏洞刀，别指望它替你思考

凌晨两点，扫描我盯着屏幕上的工具Nmap输出，那台测试服务器开着22、漏洞80、扫描443三个端口。工具常规操作，漏洞但真正让我后背发凉的扫描，是工具443端口上挂着的那个老版本OpenSSL——心脏滴血漏洞，2014年曝光的漏洞老家伙，至今还在互联网上晃荡。扫描kali里敲一行openssl s_client -connect target:443，工具几秒钟就能验证。漏洞工具不复杂，扫描复杂的工具是你愿不愿意信这个结果。

Kali Linux里塞了六百多个工具，漏洞扫描这块，Nmap、OpenVAS、Nikto、wpscan各管一摊。Nmap是侦察兵，扫端口、识别服务版本，-sV参数一加，版本号全给你扒出来。OpenVAS是重炮手，装上之后跑一次全扫描，能吐出一份几十页的PDF报告，CVSS评分、漏洞描述、修复建议写得明明白白。但说实话，我很少全信那份报告——它经常把低危问题标成中危，把需要特定条件才能触发的漏洞说得像随时会爆炸。

有一次渗透测试，目标是个政府网站，OpenVAS报了个“SQL注入高危”，我按着报告里的URL去复现，手工构造payload试了半小时，全是403。后来发现是WAF拦了扫描器的流量特征，但手工绕一下就能过。工具告诉你“这里有洞”，但洞能不能被利用、利用条件是什么，得你自己去试。扫描器是给你指路的，不是替你走路的。

Nikto对Web服务器的检查更细，但它那种基于特征库的匹配方式，误报率能高到让你怀疑人生。默认配置跑一遍，十有八九会报出一堆“可能存在的文件”——实际上那些路径根本不存在，只是响应码恰好是404之外的数字。我后来习惯用-tuning参数把检测项调窄，只留真正有价值的几类，不然光筛误报就能耗掉一下午。

wpscan专门对付WordPress站点，扫插件漏洞、弱密码、用户枚举，精准得很。但前提是你得知道目标用的是WordPress——很多时候你扫完端口还得先看一眼响应头里的X-Powered-By，或者直接curl首页源码找wp-content字样。工具链是一环扣一环的，别指望单个工具能包打天下。

这些工具的共同点是：它们只能暴露“已知的未知”。零日漏洞、逻辑漏洞、业务层面的越权，扫描器一概看不见。我见过一个电商站，扫描器全绿，但注册个普通账号，把订单号改成别人的，就能看到对方的收货地址——这种问题，Nmap扫一万遍也发现不了。

所以我的习惯是，扫描器只用来做前期信息收集，真正花时间的是后续的手工验证。kali的价值在于把常用的东西集成在一起，省去到处找工具的麻烦，但别被它那副“全副武装”的样子唬住——工具是死的，漏洞是活的，中间隔着的是你的判断力。用Nmap扫出端口，用OpenVAS找出可疑点，再用Burp Suite手工去试，最后用Metasploit验证利用。这一套流程走下来，你才会对“漏洞”俩字有点实感。

对了，扫描之前先确认你有授权。别拿kali对着公网IP乱扫，那是给自己找麻烦——我见过一个哥们儿拿Nmap扫了隔壁公司的IP段，结果对方安全团队直接报警，警察上门查水表。工具本身没错，用的人得清楚边界在哪儿。扫描器输出的是可能性，你输出的才是结论。