scan漏洞攻击

凌晨两点，漏洞安全运营中心的攻击大屏突然弹出一片红色告警。某台Web服务器在十分钟内收到了来自全球四十多个IP的漏洞请求，路径全是攻击/admin/config.php.bak、/.git/HEAD、漏洞/backup.zip这类东西。攻击值班的漏洞同事扫了一眼，说了句“又是攻击扫站的”，然后开始拉黑IP。漏洞

这就是攻击scan漏洞攻击的日常面貌。它不炸服务器，漏洞不偷数据，攻击甚至不会让页面变慢。漏洞它做的攻击事情只有一件：挨个敲门，看哪扇门没锁。漏洞

扫的不是漏洞，是“你可能忘了关的门”

很多人把scan攻击理解成“利用漏洞”，其实不太准确。扫描阶段的目标是发现暴露面，而不是直接攻破。攻击者手里通常有一份字典，里面塞满了常见的敏感路径、备份文件名、配置目录、管理后台地址。然后写个脚本，对着目标域名一条条试。

我见过一个真实案例。某公司开发在部署时把.env文件留在了Web根目录下，里面写着数据库密码和云存储密钥。这个文件没有任何漏洞——代码写得没问题，框架也是最新的。但扫描器找到了它，因为/.env就在字典的前五十行里。从扫描到拿到数据库权限，整个过程不到四分钟。

所以scan攻击的核心逻辑特别朴素：不猜密码，不绕WAF，只找那些本来不该对外开放的东西。

扫描器比你想象的更“笨”，也更“勤”

有人觉得扫描器很智能，其实大部分scan工具的工作方式极其机械。以最常见的目录扫描为例，它做的事情就是：拿字典里的路径，拼到目标URL后面，发请求，看返回码。200就是存在，403就是有权限控制但路径对，404就是没有。

但它的可怕之处在于不厌其烦。一个人手动试五十个路径就烦了，扫描器可以试五万条，而且换着User-Agent、换着代理IP、控制着请求间隔，尽量不触发频率限制。

更麻烦的是，现在很多扫描行为混在正常流量里。比如/api/v1/users?id=1这种请求，你很难判断对方是在正常调用接口，还是在做参数枚举。我见过一个攻击者用三天时间，每天只扫几十个路径，慢到几乎不会触发任何告警阈值。等发现的时候，他已经拿到了三个后台入口。

防守方最容易犯的错：只盯着“漏洞”，不盯着“暴露”

不少团队把安全精力全放在修CVE上，补丁打得很勤快。但scan攻击打的是另一条路——你根本不知道自己的资产里有哪些东西暴露在公网。

比如测试环境忘了下线，比如Git仓库的.git目录能直接访问，比如Swagger文档没加认证，比如备份文件命名太规律被猜到了。这些东西在漏洞扫描器眼里可能不算“漏洞”，但在攻击者眼里就是敞开的门。

有个做法很实用：自己先扫自己一遍。拿常见的目录字典跑一遍自己的域名，看看能翻出什么。你翻出来的东西，攻击者也能翻出来。区别只是你比他早一步。

写在后头

scan漏洞攻击不会上头条，因为它不够“炫”。没有勒索弹窗，没有数据泄露的爆炸新闻。它更像一种背景噪音，每天都在发生。但很多严重的入侵事件，起点就是某一次不起眼的扫描——攻击者找到了一个不该存在的入口，然后顺着它往里走。

把暴露面收窄，比修一百个漏洞都管用。至少，别让.env躺在Web目录里。