linux 漏洞扫描

凌晨三点，洞扫我被电话吵醒。洞扫机房一台CentOS 7服务器被植入挖矿程序，洞扫CPU跑满，洞扫日志里全是洞扫陌生IP的SSH爆破记录。检查后发现，洞扫漏洞是洞扫OpenSSH 7.4的老版本——CVE-2018-15473，用户名枚举加上弱口令，洞扫两天就沦陷了。洞扫这不是洞扫个案，我见过太多Linux服务器，洞扫裸奔在公网上，洞扫像没锁门的洞扫仓库。

Linux漏洞扫描，洞扫说白了就是洞扫给系统做体检。但它不是装个软件点一下扫描按钮就完事。真正的扫描，得先搞清楚你手里有什么资产。我见过某公司买了最贵的商业扫描器，结果扫描范围只覆盖了30%的服务器——剩下70%是临时起的容器、开发测试机、甚至员工私自搭的跳板机。扫描器再强，扫不到的地方就是盲区。

拿工具来说，开源界有OpenVAS、Nessus（社区版）、Lynis，命令行党喜欢用Nmap配合NSE脚本。但工具只是拐杖，关键得会看结果。OpenVAS扫出一堆“高危”，里面一半是误报——比如它会把Samba的某个旧版本标记为漏洞，但你的发行版已经打了补丁，版本号没变而已。这时候你得会查CVE详情，比对发行版的安全公告（像Ubuntu的USN、Red Hat的RHSA），而不是傻乎乎地照着报告去“修复”。

我习惯的流程分三步。第一步，资产盘点：用Nmap扫全网段，发现所有开放22、80、443端口的机器，再用masscan快速确认，别漏了UDP服务。第二步，版本指纹：对每个端口做banner抓取，ssh -V、curl -I，甚至用nmap的service probe。第三步，针对已知漏洞的专项检查——比如查OpenSSL的心脏滴血（CVE-2014-0160），直接发一个恶意心跳包，看响应里有没有多余数据。这比任何扫描器都准，因为它是直接验证，而不是猜。

但扫描本身有风险。有一次我对生产库跑Nmap的脚本扫描，结果触发了一个老版本的Oracle监听器崩溃，数据库直接重启。客户脸都绿了。所以扫描前必须确认：目标系统能不能扛住主动探测？有些设备，比如老款路由器、工控机，一个SYN包都可能让它死机。对这类系统，只能做被动扫描——监听网络流量，分析版本信息，虽然慢，但安全。

扫描完，真正的战场在修复。多数人栽在“扫描报告500页，修复无从下手”。我的做法是分优先级：先处理能被远程利用、无需认证的漏洞（比如未授权访问、远程代码执行），再管需要本地权限的提权漏洞，最后才是信息泄露这类低危。别追求“清零”——那不可能，Linux的生态太杂，第三方软件、内核模块、容器镜像，总有扫不到的角落。目标应该是：把暴露面缩到最小，让攻击者需要付出极高成本才能得手。

记得有次帮朋友公司做渗透测试，扫描发现他们的一台GitLab服务器版本极老，存在任意文件读取漏洞。我利用它读出了/etc/shadow的哈希，然后离线破解了root密码。整个过程不到20分钟。他们惊讶：这太容易了。我说，因为你们根本没做过定期扫描。后来他们买了商业服务，每季度扫一次，但半年后我再去看，发现新的漏洞又冒出来了——新部署的K8s集群没配网络策略，Pod间可以互相访问，等于把防火墙拆了。

所以漏洞扫描不是一次性任务，它得融入日常。我自己的服务器，每周用crontab跑一次Lynis做本地审计，每月手动跑一次Nmap外部扫描，每季度用OpenVAS做全面检查。但最管用的，其实是最笨的方法：关注CVE邮件列表，订阅你用的发行版安全公告，一有更新就评估影响。工具能扫出已知漏洞，但扫不出你自己配置上的愚蠢——比如把SSH端口改成2222就以为安全了，这种心理安慰比漏洞本身更危险。

说到底，扫描是给你一张地图，但走不走、怎么走，还是你自己的事。Linux系统漏洞层出不穷，今天修了Log4j，明天可能又出来个类似的。保持警惕，定期扫描，别等凌晨三点的电话响起来才后悔。

(责任编辑：焦点)