内容摘要：按网段扫漏洞这事儿，我干过最刺激的一次，是在一家连锁酒店的机房。对方IT主管拍着胸脯说“内网绝对干净”，结果我拿了个脚本，对着他们办公网段 /24 扫了一圈，不到十分钟，打印机、监控硬盘录像机、甚至前

按网段扫漏洞这事儿，按网我干过最刺激的段扫洞一次，是描网在一家连锁酒店的机房。对方IT主管拍着胸脯说“内网绝对干净”，络漏结果我拿了个脚本，按网对着他们办公网段 /24 扫了一圈，段扫洞不到十分钟，描网打印机、络漏监控硬盘录像机、按网甚至前台那个点餐用的段扫洞老旧Windows 7收银机，全亮了红灯。描网那台收银机开着SMB共享，络漏密码是按网admin，共享文件夹里躺着近三个月的段扫洞住客身份证扫描件。

网段扫描的描网逻辑其实特简单，像查户口。你先把一个IP段想象成一栋楼，比如192.168.1.1到192.168.1.254，一共254户。扫描器就是挨家挨户敲门，问一句“在家吗？开了哪些服务？”有的门开着HTTP（网页服务），有的门开着RDP（远程桌面），有的门干脆连密码都没设，裸奔。

但真正有意思的不是扫出开放端口，而是怎么根据网段特性去猜漏洞。办公网段（比如10.0.0.x）和服务器网段（比如172.16.1.x）完全两码事。办公网里全是员工电脑，装了各种乱七八糟的软件，漏洞大概率出在浏览器插件、Flash老版本、或者某个共享文件夹权限配置错误。服务器网段就规矩多了，可一旦出事就是大事——数据库端口暴露在公网，或者Redis未授权访问，直接被人拖库。

我习惯拿Nmap先做存活探测，再配合Masscan快速扫端口。别一上来就全端口扫，慢且容易被防火墙盯上。先扫常见端口，22、80、443、3389、445、3306、6379，这些是漏洞重灾区。扫到445端口开放，就试试永恒之蓝（MS17-010）——别笑，2024年了，我还在某制造企业的办公网里扫出过三台中了永恒之蓝的机器，系统是Windows 7 SP1，补丁停在2017年。那三台机器是车间排产电脑，工控软件不敢乱更新，结果成了内网跳板。

扫到网段后，别急着打。你得先看IP段的分配规律。比如192.168.10.1到50是财务部，那这个段里的主机多半装了用友或者金蝶，数据库端口1433或1521经常开着。我上次扫一个客户的财务段，发现一台Oracle数据库的1521端口暴露在内网任意主机可达，而且用的是弱口令system/oracle。这比打什么Web漏洞都直接，拖出财务表，整个公司工资、流水全在手里。

网段扫描最烦的是遇到VLAN隔离和ACL。你以为扫了个C段，结果里面其实划了十几个虚拟局域网，不同部门之间互相不通。这时候扫描结果会大量假死——主机显示在线但端口全过滤。别慌，换个思路，试着从已经拿下的跳板机做二层扫描，用ARP协议直接问网关“谁在这个广播域里”，这样能绕过大部分三层过滤。

有一次我扫一个教育网的/16段，那叫一个刺激。整个段有六万多台设备，里面混杂着学生宿舍的路由器、实验室的Linux服务器、教务处的Windows老机器。扫到一半，某个宿舍楼的交换机直接被我扫挂了——原因是并发连接数太高，把那种家用级小交换机的背板带宽打满了。那晚宿管阿姨打电话骂了我半小时。所以啊，扫大网段一定得控制速率，每秒发几百个包就够了，别贪快。

最后说句实在话，按网段扫描的核心不是工具多牛，而是你得懂这个网段里住的是谁。扫之前花十分钟看看IP分配表，比盲扫一小时管用。漏洞不是扫描器发现的，是你根据业务逻辑推断出来的。打印机、摄像头、门禁控制器，这些物联网设备永远比正经服务器好打——它们不更新固件，密码万年不变，而且都连着内网。扫到它们，等于拿到内网的钥匙。