nmap script vuln 漏洞：别把扫描器当神，漏洞它只是漏洞你的手电筒

凌晨两点，我盯着终端里滚动的漏洞输出，nmap 的漏洞 vuln 脚本刚报出一个 CVE-2021-44228（Log4j）命中。目标是漏洞个内部论坛，跑着老掉牙的漏洞 Tomcat。那一刻我意识到，漏洞这工具不是漏洞银弹，但没它，漏洞你连子弹都找不到。漏洞

vuln 脚本族是漏洞 nmap 里最容易被误读的部分。它不是漏洞漏洞数据库，不是漏洞 Nessus，更不是漏洞人工渗透测试的替代品。它本质是漏洞一堆 NSE 脚本，通过发送特定探测包，匹配响应特征来推断是否存在已知漏洞。比如 http-vuln-cve2017-5638 会尝试发送畸形 Content-Type 头，看是否触发 Jakarta 解析异常——这招对打了补丁的服务器基本无效，但对没修的，一打一个准。

真实场景里，我见过太多人跑完 `nmap --script vuln target` 就下结论“没漏洞”。错得离谱。vuln 脚本的覆盖范围有限，很多只检查版本号或特定路径，不实际利用。比如它报“可能受影响”，不代表能打进去；它不报，也不代表安全。有一次我扫一台 IIS 服务器，vuln 脚本全绿，但手工测了个 PUT 方法，直接上传了 webshell。脚本没覆盖那个畸形请求，仅此而已。

更坑的是误报。smtp-vuln-cve2010-4344 这个脚本，对某些配置不当的 Exim 会报漏洞，实际却是因为它把“服务器返回 550”误判成“允许 VRFY”。你得学会看脚本源码，确认它到底检查了什么。别偷懒，`--script-trace` 开起来，看实际发了什么包，回了什么内容。否则你就是在拿黑盒子猜答案。

但话说回来，vuln 脚本的价值在于快和广。扫一个网段，先筛出开着 445 端口的机器，再用 smb-vuln-ms17-010 批量测，几分钟就能圈出疑似 EternalBlue 的目标。这比手工一个个试高效太多。关键在于把它当漏斗的第一层，而不是最终判官。

用的时候有几个细节得注意。第一，`--script-args` 能控制超时和并发，默认值在慢速网络上会让你等疯。第二，vuln 脚本可能触发 IDS/IPS 告警，甚至导致目标崩溃——某些 PoC 会实际发送 payload，不是纯探测。我吃过亏，对一个生产数据库跑 http-vuln-cve2017-8917，结果它直接返回 500，后续服务挂了十几分钟。所以，先看脚本描述，分清哪些是“safe”哪些是“intrusive”。

最后说句实在话：nmap script vuln 就像手电筒，能照亮墙角，但看不到墙背后的东西。真正靠谱的做法是结合版本指纹、banner 抓取、甚至手动验证。别指望一条命令解决所有问题。工具是死的，判断是活的。你用它缩小范围，剩下的交给经验。