漏洞扫描与识别：扫描器原理与实战
漏洞扫描这件事，说白了就是给目标系统做一次“安全体检”。你想想看，一个网络里跑着几十上百台设备，光靠人工去翻配置、查补丁，根本不现实。所以我们需要自动化工具——漏洞扫描器。
我最早接触这行的时候，觉得扫描器就是个“点一下出报告”的黑盒子。后来在一次红蓝对抗中，我亲手用Nessus扫出了一个被忽略的RCE漏洞，帮团队拿下了关键节点。嗯，从那以后我再也不敢小看扫描器的原理了。
漏洞扫描器的工作原理
扫描器不是魔法，它背后就三板斧：
- 端口探测：先摸清目标开了哪些端口，跑什么服务。我用的是TCP SYN扫描，速度快，隐蔽性也还行。
- 服务识别：根据端口和响应特征，判断是Apache还是Nginx，是MySQL还是PostgreSQL。
- 漏洞匹配：把服务版本号跟漏洞库里的特征做比对。匹配上了，就报一个漏洞。
这里有个坑——版本号不准。我在项目中遇到过，某台服务器明明打了补丁，但banner信息还是旧版本号。扫描器直接报了高危，其实是误报。
核心逻辑：扫描器 = 端口扫描 + 服务指纹 + 漏洞特征库。三者缺一不可。
Nessus实战：从安装到出报告
Nessus是我用得最多的商业扫描器。它插件多、报告漂亮，适合给客户看。我个人习惯用Nessus Professional，社区版也能用，就是限制16个IP。
安装与配置
# 下载Nessus（以Ubuntu为例）
wget https://www.tenable.com/downloads/api/v1/public/pages/nessus/downloads/.../Nessus-10.7.0-ubuntu1404_amd64.deb
sudo dpkg -i Nessus-10.7.0-ubuntu1404_amd64.deb
sudo systemctl start nessusd
# 访问 https://localhost:8834 完成初始化
# 输入激活码，等待插件编译（约10-15分钟）
我的经验：第一次启动后插件编译很慢，别急。我建议先去喝杯咖啡，回来基本就好了。如果卡住，重启一下nessusd服务。
创建扫描任务
- 点击“New Scan”，选择扫描模板（基本网络扫描、Web应用扫描等）。
- 填写目标IP或域名，支持CIDR格式，比如
192.168.1.0/24。 - 配置认证凭据（可选）。加了凭据能扫出更多本地漏洞，比如弱密码、未授权访问。
- 设置扫描策略：端口范围、扫描速度、插件组。
我记得有一次，客户说“扫不出漏洞”，我过去一看——扫描策略里把“高危插件”全关了。嗯，这种低级错误其实挺常见的。
结果分析与报告导出
扫描完成后，Nessus会按严重程度分级：
| 严重级别 | CVSS分数 | 含义 |
|---|---|---|
| Critical | 9.0-10.0 | 可远程执行代码，无需认证 |
| High | 7.0-8.9 | 可能导致权限提升或数据泄露 |
| Medium | 4.0-6.9 | 信息泄露或配置不当 |
| Low | 0.1-3.9 | 信息收集类，风险较低 |
报告导出我一般选HTML或PDF，给客户看比较直观。内部复盘时用CSV，方便做数据统计。
OpenVAS：开源替代方案
如果你预算有限，OpenVAS（现在叫Greenbone）是个好选择。它开源、免费，插件库也很大。我在一次内部演练中用过它，效果不输Nessus。
部署与启动
# 使用Docker快速部署
docker pull greenbone/openvas
docker run -d -p 443:443 --name openvas greenbone/openvas
# 等待初始化完成（约20分钟）
docker logs -f openvas
注意：OpenVAS初始化时下载插件很慢，建议挂代理或换国内镜像源。我曾经等了一个小时还没好，最后发现是网络问题。
扫描配置对比
| 特性 | Nessus | OpenVAS |
|---|---|---|
| 插件数量 | 约15万+ | 约10万+ |
| 扫描速度 | 快（商业优化） | 中等 |
| 报告质量 | 精美，可定制 | 基础，需手动调整 |
| 价格 | 付费（约$3,000/年） | 免费 |
| 适用场景 | 客户交付、合规审计 | 内部自测、预算有限 |
漏洞验证与误报排除
扫描器报出来的漏洞，不能全信。我见过太多人拿着报告直接交差，结果一半是误报。为什么？因为扫描器只能“猜”，不能“确认”。
验证方法
- 手动复现：用curl、nmap、metasploit等工具，尝试触发漏洞。比如扫描器报了一个SQL注入，你就手动构造payload试试。
- 查看日志：去目标服务器上翻应用日志、系统日志。如果扫描器说“存在弱密码”，你登录上去看看/etc/shadow就知道了。
- 交叉验证：用两个不同的扫描器扫同一个目标。如果Nessus和OpenVAS都报同一个漏洞，那基本稳了。
关键原则：扫描器是“怀疑”，验证才是“确认”。不要拿扫描报告当最终结论。
常见误报类型
- 版本误判：服务banner被篡改或隐藏，扫描器匹配了错误的CVE。
- 补丁绕过：系统打了补丁但版本号没变，扫描器依然报漏洞。
- 配置差异：扫描器认为某个配置不安全，但实际业务需要这么配。
- 网络干扰：防火墙、WAF拦截了探测包，导致扫描器误判服务状态。
我曾经遇到过一个经典案例：扫描器报了一台Linux服务器有“OpenSSH远程代码执行漏洞”，CVSS 9.8。我手动验证时发现，那台机器根本没开SSH端口——是防火墙把端口转发到了另一台设备上。嗯，这就是典型的网络干扰误报。
误报排除流程
- 查看漏洞详情，确认影响版本和利用条件。
- 登录目标系统，检查实际版本和补丁情况。
- 尝试手动触发漏洞，看是否成功。
- 如果确认误报，在扫描器中标记为“误报”，避免下次再出现。
我的习惯：每次扫描后，我会花30%的时间做验证，70%的时间写报告。验证这一步省不得，否则报告就是废纸。
小结
漏洞扫描不是“一键出报告”那么简单。你得懂原理，才能用好工具；你得会验证，才能避免被误报坑。Nessus和OpenVAS各有优劣，选哪个看你的场景和预算。但不管用哪个，记住一句话：扫描器是助手，不是裁判。