安全漏洞扫描工具

去年秋天，安全一个朋友的漏洞公司被拖库了。原因说出来有点丢人——他们对外网开放的扫描一台测试服务器上，跑着三年前版本的工具Struts2。攻击者没用什么高级0day，安全就是漏洞一个公开的远程命令执行漏洞，扫描器一扫就出来了。扫描事后复盘，工具运维说那台机器"早就忘了"。安全安全漏洞扫描工具在这种场景下的漏洞价值，不是扫描帮你发现未知威胁，而是工具把你已经忘记的、但攻击者永远不会忘记的安全东西翻出来。

扫描器本质上做两件事：探测和比对。漏洞探测是扫描主动发请求，看目标怎么回应；比对是拿回来的指纹去跟漏洞库对照。听起来简单，但实际用起来差别巨大。

漏扫不是银弹

很多人对扫描工具抱有不切实际的期待。买一个回去，跑一遍，以为漏洞就清零了。我见过最离谱的案例是一家企业每周跑一次全量扫描，报告出来几千条告警，没人看得完，最后变成"扫描器在跑，但没人管结果"的状态。工具本身没问题，问题在于流程没有闭环。

扫描器能发现的东西是有边界的。它擅长发现已知的、有明确指纹特征的漏洞——未打补丁的组件、配置错误、弱口令、开放的危险端口。但业务逻辑漏洞呢？比如越权查看别人的订单、优惠券无限领取。这类问题扫描器基本无能为力，因为它不理解你的业务语义。

三类工具，别搞混

市面上常说的"漏扫"其实混在一起了，拆开看至少有三类：

网络层扫描器，代表是Nessus、OpenVAS、Nmap的脚本引擎。它们关注的是主机和服务的暴露面：这台机器开了什么端口，跑的是什么服务，版本是多少，有没有对应的CVE。速度快，覆盖面广，但误报率也不低。

Web应用扫描器，AWVS、Burp Suite的主动扫描模块、xray属于这一类。它们模拟浏览器行为，爬取URL和参数，然后注入payload测试SQL注入、XSS、SSRF这些。对现代前后端分离的应用来说，爬虫能不能爬全，直接决定扫描效果。SPA应用经常把这类扫描器搞得晕头转向。

代码级扫描，SAST工具如Semgrep、Fortify，直接读源码找危险模式。优点是能定位到具体行号，缺点是误报高得吓人。一个中等规模的Java项目跑一遍，几千条告警起步。没有调优和基线，根本没法用。

实际使用中的几个坑

扫描器跑在生产环境上是有风险的。有些payload会导致服务崩溃，有些爬虫会触发业务限流，有些注入测试会往数据库里写脏数据。我自己的习惯是：能镜像就镜像，能在预发布环境跑就不碰生产。实在要在生产上扫，至少避开业务高峰，并且提前跟开发和运维打好招呼。

另一个坑是"扫描频率"。每天扫一次和每季度扫一次，效果天差地别，但每天扫一次带来的告警疲劳也是真实存在的。比较务实的做法是：对核心资产高频扫，对边缘资产低频扫，新上线的东西必须扫。别追求"全量覆盖"这个虚名。

还有个容易被忽略的点——扫描器自己的漏洞。扫描器通常需要高权限运行，能访问大量内网资产。它本身就是个高价值目标。我见过把AWVS直接暴露在公网上的，等于给攻击者送了一个内网跳板。

选型看什么

别只看漏洞库大小。漏洞库大不代表覆盖好，很多条目是凑数的。看三个东西：对你的技术栈识别准不准、误报你能不能忍、报告能不能直接给开发看。最后一条特别重要。一份只有IP和CVE编号的报告，开发看了想打人。能定位到具体URL、参数、请求包、修复建议的报告，才有推动力。

开源工具里，Nuclei这两年起得很快。基于YAML模板，写POC门槛低，社区模板更新也快。缺点是它更像一个POC批量验证框架，不是完整的资产管理加扫描平台。搭配起来用比较合理。

说到底，扫描工具就是个手电筒。它能照亮你已知范围之外的一小块地方，但别指望它替你走完整个黑暗的走廊。