漏洞评估不是漏洞列项万能的。它扫不出业务逻辑缺陷，评估也抓不住那些需要人脑串联多步操作才能触发的可检权限绕过。但如果你问它能检测什么，测下答案比很多人想象的漏洞列项要具体。

上个月帮一家做SaaS的评估团队看他们的扫描报告，三百多个"高危"里真正能打的可检不到十个。剩下那些全是测下版本号比对出来的误报——Apache的banner写着2.4.49，扫描器就喊CVE-2021-41773，漏洞列项可人家早就打了补丁只是评估没改版本字符串。这事说明漏洞评估的可检第一层能力：识别已知组件的已知漏洞。它靠的测下是指纹匹配加CVE库比对，快、漏洞列项覆盖面广，评估但前提是可检你的资产指纹得准。

再往下走一层，它能检测配置层面的问题。比如TLS版本是不是还开着1.0，HTTP响应头里有没有漏掉X-Frame-Options，Redis有没有设密码就绑在0.0.0.0上。这些东西不需要多复杂的逻辑，规则写死了就能查。我见过一个内部系统，扫描器报了个"SSL中等强度加密套件"，运维觉得无所谓，结果等保测评直接扣分。配置类漏洞的特点就是：单看每一条都不致命，叠在一起就是筛子。

端口和服务暴露是另一块。nmap能扫出来的东西，漏洞评估工具基本都能做——哪些端口开着、跑着什么服务、版本号多少。去年有个客户，外网扫描发现8080端口开着Tomcat管理页面，弱口令admin/admin直接进去了。这种就是典型的"暴露面+弱口令"组合拳。扫描器不一定能爆破成功，但它会告诉你"这里有个管理接口，建议检查认证"。它标记的是风险位置，不是利用结果。

Web应用层面，漏洞评估能覆盖一部分OWASP Top 10。SQL注入、XSS、路径遍历这些有明确payload特征的，爬虫加规则库能抓到不少。但别指望它测CSRF——那需要理解业务语义。也别指望它测越权——它不知道用户A应该看到什么、不应该看到什么。我自己的经验是：扫描器报的SQL注入，手工验证后大概六成是真的；扫描器没报的，手工测出来的更多。所以它是个筛子，不是终点。

还有个容易被忽略的：补丁缺失检测。这跟第一点有点像但不完全一样。组件漏洞看的是CVE，补丁缺失看的是系统层——Windows的KB号、Linux的包版本。有些工具能连WSUS或者yum源做比对，告诉你哪台机器三个月没打补丁了。这个能力在合规场景下比渗透测试还重要，因为审计员就看这个。

那它测不了什么？业务逻辑漏洞首当其冲。比如一个电商网站，优惠券可以叠加使用导致零元购——扫描器根本不知道"叠加"是什么意思。还有竞态条件、支付金额篡改、验证码复用，这些都需要人工构造请求序列。另外，它测不了"漏洞组合"。单独一个信息泄露可能只是低危，单独一个CSRF可能只是中危，但两个串起来就能接管账户。扫描器是按条目报的，不会帮你串链条。

最后说个实操观察：漏洞评估的质量极度依赖配置。同一个工具，默认策略扫出来的东西和调过爬虫深度、认证信息、排除规则的策略，结果能差三倍。很多人抱怨扫描器误报多，其实是没花时间做策略调优。我一般会先跑一遍发现资产，手动确认关键路径，再针对性开规则。这样出来的报告，开发团队才愿意看。

所以回到标题——漏洞评估能检测已知漏洞、错误配置、暴露服务、部分Web漏洞、补丁缺失。它检测不了逻辑缺陷、权限设计问题、需要多步交互的攻击链。把它当雷达用，别当导弹用。