安恒的安恒安全漏洞扫描器抓到第一个漏洞时，往往不是漏洞靠什么高深算法，而是扫描靠“问问题”。就像你去医院体检，原理医生先问你哪疼、安恒安全过往病史，漏洞再开检查单。扫描扫描器也一样，原理它先跟目标端口握个手，安恒安全问一句“你是漏洞谁”，然后根据回答决定下一步怎么查。扫描

这套逻辑的原理核心叫“指纹识别”。安恒的安恒安全引擎里塞了几万条规则，每条规则对应一种服务或应用的漏洞“特征”。比如你访问某个Web服务，扫描返回的HTTP头里带“Server: nginx/1.18.0”，扫描器立刻知道这是Nginx，接着去查这个版本有没有已知CVE。要是返回的是“Server: Apache-Coyote/1.1”，那目标大概率是Tomcat，扫描器就换一套Tomcat专用的探测包。这跟老中医看舌苔差不多——不同的苔色对应不同的方子。

但光靠指纹不够。很多服务会伪装，或者版本号被改过。安恒的扫描器会做“主动探测”：往目标发一个精心构造的请求，看它怎么回应。比如发一个畸形的HTTP请求，如果返回400且带特定错误页，就能确认是某个中间件。这种探测包本身不带攻击载荷，只是试探反应，所以不会触发WAF的拦截规则。我见过一个案例，某台服务器把Apache的版本号改成了“Microsoft-IIS/10.0”，但扫描器发了一个Apache特有的“TRACE”请求，返回了“405 Method Not Allowed”且带Apache的默认错误格式，指纹立刻被纠正过来。

识别完目标，下一步是“匹配漏洞”。安恒的漏洞库不是简单堆CVE编号，而是把每个漏洞拆成“前置条件+探测方法+判断依据”。比如“Struts2 S2-045”漏洞，前置条件是目标用了Struts2且版本在某个区间，探测方法是发一个带特定OGNL表达式的Content-Type头，判断依据是看返回里有没有执行结果。这三步缺一不可，否则要么漏报，要么误报。

误报是扫描器最头疼的事。安恒的做法是“二次确认”。第一次探测发现疑似漏洞，不会直接标红，而是换一种无害的方式再验证一遍。比如怀疑有SQL注入，第一次发一个单引号看是否报错，第二次发一个“AND 1=1”和“AND 1=2”对比返回差异。两次都符合才判定为漏洞。这就像警察办案，光有口供不行，还得有物证。

扫描速度也是个问题。全端口全漏洞扫一遍，目标没崩，网络先崩了。安恒的引擎会做“自适应限速”：先发几个包测延迟，如果目标响应慢，就自动降低并发数。我实测过，扫一台普通Web服务器，默认配置下每秒大概发30-50个请求，不会把带宽跑满。但如果你手动把并发调到500，目标可能直接503。

最后说个细节。安恒的扫描器在报告里会标注“漏洞置信度”，分“确认”“疑似”“信息”三档。很多用户只看“确认”那一栏，其实“疑似”里往往藏着真问题。比如某个端口返回了“SSH-2.0-OpenSSH_7.4”，扫描器标为“信息”，但如果你知道这个版本有用户名枚举漏洞，就得手动去查。工具是死的，人是活的。

这套原理不复杂，难的是规则库的维护和误报率的平衡。安恒每周更新几千条规则，背后是一堆安全研究员在手工验证。扫描器再智能，也替代不了人的判断。

(责任编辑：焦点)