Metasploit 的全漏 vuln scan 模块其实是个被低估的工具。很多人一上来就 exploit，洞扫结果目标系统根本没打补丁，描教白忙活半天。全漏真正的洞扫攻击流程应该是先扫漏洞，再挑软柿子捏。描教

打开终端，全漏输入 msfconsole，洞扫等 banner 刷完。描教别急着敲命令，全漏先想想你要扫什么。洞扫内网 IP 段？描教单台服务器？还是某个端口范围？这决定了后续参数怎么填。

核心命令就一条：use auxiliary/scanner/vuln/ 然后按 Tab 键。全漏你会看到几十个模块，洞扫从 SMB 到 SSH 到 Web 中间件，描教全覆盖。比如 smb_ms17_010 这个，专打永恒之蓝漏洞——2017 年 WannaCry 用的那个。别笑，现在内网里没打补丁的 Windows 7 还是一抓一大把。

选好模块，show options 看参数。RHOSTS 填目标 IP，THREADS 设成 10，跑得快些。有个细节：如果目标有防火墙，最好把 RPORT 改成实际开放的端口，不然扫描直接超时。

跑起来之后盯着屏幕。状态栏显示 [+] 表示发现漏洞，[-] 表示没有。这个过程可能很无聊，尤其扫大网段时，能盯着咖啡杯发呆五分钟。但别走开——有些漏洞只在特定版本的服务上出现，比如 Apache Struts 的某个版本，扫出来结果可能就一条，但就这一条就能让你拿下 shell。

扫完别急着收工。把结果存下来，services -p 445 看看哪些主机开了 445 端口，再结合刚才的漏洞报告，手动确认一遍。自动扫描经常误报，比如把打了补丁的系统也报成 vulnerable。这时候就得自己验证：auxiliary/scanner/smb/smb_ms17_010 模块里有个 CHECK_DLL 选项，设为 true 会检测 DLL 是否存在，准确率高不少。

有个真实案例。去年帮朋友做内网渗透测试，扫一个 /24 网段，总共 254 台机器。用 vuln/smb/ms17_010 扫完，报了 12 台 vulnerable。手动验证后，真正能打进去的只有 3 台——其他都是装了杀软但没彻底修复的。但就靠这 3 台，横向移动到域控，整个过程不到两小时。

最后说点反直觉的。Metasploit 的漏洞扫描模块其实不如 Nessus 或 OpenVAS 全面，但它有个优势：直接产出可用的 exploit 匹配。扫出漏洞后，search 命令一搜，对应的 exploit 模块就在那，无缝衔接。这点是商业扫描器比不了的。

别迷信全自动。扫描器只是帮你缩小范围，真正决定成败的是你对目标服务的理解。比如看到 8080 端口开着，先想想是不是 Jenkins，再想想 Jenkins 有没有未授权访问的 CVE——这种判断，机器永远教不会你。