去年冬天，主机一个朋友所在的漏洞公司被拖库了。攻击者没用什么零日漏洞，扫描就是主机利用了一台服务器上没打补丁的Apache Struts2。那台机器对外只开放了8080端口，漏洞运维觉得“内网隔离做得挺好”，扫描结果呢？主机扫描器一跑，漏洞明晃晃挂在那儿，漏洞像没关的扫描后门。

主机漏洞扫描这件事，主机说到底是漏洞拿已知的“病历本”去对号入座。扫描器本身不创造漏洞，扫描它只是主机认识漏洞。你给它一个CVE编号，漏洞它知道这个编号对应哪个组件、扫描哪个版本、触发条件是什么。然后它去目标主机上翻文件、发请求、比对版本号，像海关查护照一样，看你是不是名单上的人。

很多人把扫描等同于“安全”。装个Nessus，每周跑一次，报告出来一堆中危高危，然后呢？丢给运维，运维说“这机器不能重启”，安全说“那你写个例外申请”。漏洞扫描最大的价值不是扫出来，是扫出来之后有人真的去修。我见过太多企业，扫描报告攒了几百份，Excel里标记“已修复”的条目，实际上去机器上一查，补丁根本没打——只是扫描策略里把那台机器排除了。

扫描方式分两种，无凭据和有凭据。无凭据扫描就像站在门外敲门，问“你家装的什么锁”，能拿到的信息有限，误报率也高。有凭据扫描是直接拿钥匙进门翻抽屉，能看到装了哪些软件包、注册表里写了什么、内核版本是多少。后者准确得多，但很多团队不敢用——怕扫描器本身成了攻击入口。这个顾虑合理，所以凭据得单独管理，扫描器不能和域控睡一张床。

有个细节值得说：版本比对不是万能的。有些发行版会把补丁往回移植，版本号看着老，实际漏洞已经修了。反过来，有些自己编译的软件，版本号写着最新的，但编译选项关掉了安全特性。扫描器报“可能存在漏洞”，不是它瞎报，是它只能看到版本号。这时候需要人工确认，或者上带PoC的验证扫描。但PoC扫描有风险，打崩服务的案例不少，生产环境慎用。

频率怎么定？见过每月扫一次的，也见过每天扫的。每天扫不是不行，但得看你的变更频率。如果一周都不重启一台机器，每天扫出来的结果一模一样，除了浪费CPU和存储，没别的意义。比较务实的做法是：重大漏洞爆发时临时加扫，常规周期跟着变更走——发版后扫、上新机器后扫、网络策略调整后扫。别为了KPI凑扫描次数。

最后说个真实场景。某次帮人看一台被入侵的机器，问运维“上次扫描是什么时候”，答“三个月前”。再问“扫出来什么”，答“有个中危的SSH配置问题，觉得不影响就没管”。攻击者就是从那个SSH配置进去的——允许了密码登录，密码是弱口令。扫描器三个月前就说了，没人听。工具不背锅，人才是。

漏洞扫描不是银弹，它只是把已知问题摆到台面上。台面上没人动手，摆再多也是摆设。

(责任编辑：知识)