漏扫和渗透

上周三凌晨两点，漏扫我盯着Burp Suite的和渗扫描进度条，屏幕上跳出一个高危SQL注入。漏扫客户那套刚上线的和渗电商系统，WAF日志干干净净——因为漏扫工具压根没触发WAF规则。漏扫这就是和渗漏扫和渗透最直观的区别：一个在门外敲敲门，一个翻墙进了客厅还顺手泡了杯茶。漏扫

漏扫工具本质上是和渗模式匹配机器。它们拿着预置的漏扫POC库，对着目标IP批量发包，和渗比对响应特征。漏扫Nessus扫一台Web服务器，和渗能给你列出两百个CVE编号，漏扫其中一百八十个是和渗组件版本过期。我见过最离谱的漏扫报告，某金融客户的内网扫描结果里赫然写着“Apache Log4j2远程代码执行”，实际版本是2.17.1。扫描器只认版本号字符串，不认补丁回溯。运维团队花三天排查，最后发现是扫描插件没更新。

渗透测试是另一回事。去年给一家物流公司做评估，漏扫报告显示“无高危漏洞”。我手动翻了翻他们的API文档，发现有个/v1/order/export接口需要传order_id参数。试着改成order_id=1' AND 1=1--，返回200。再试order_id=1' AND 1=2--，返回500。布尔盲注，漏扫根本没覆盖这个路径——因为爬虫没爬到，接口藏在JavaScript混淆代码里。花了四十分钟写脚本跑出数据库名，又用sqlmap的--os-shell拿到服务器权限。整个过程漏扫工具全程沉默。

漏扫的误报率能到30%以上。某次客户拿着扫描报告质问我：“这个Struts2漏洞怎么回事？”我看了眼URL，是个静态HTML页面。扫描器看到.jsp后缀就往上套Struts2的POC，压根不管实际返回内容。渗透测试得先确认框架、版本、实际路由，再决定打哪个点。这活儿像老中医把脉，扫描器就是个电子血压计——数值异常不代表有病，数值正常不代表没病。

但漏扫也不是没用。资产盘点阶段，它比人眼快得多。几千个IP段，漏扫跑一晚上能标出所有开放端口和已知漏洞。渗透测试师拿到这份清单，相当于有了张地图。只不过地图上标的是“此处可能有雷”，实际踩不踩得响，得自己拿棍子戳。我习惯把漏扫结果当输入，不是当结论。Nessus报的每个漏洞，手动验证一遍，能砍掉一半误报，剩下的一半里再挑出真正能串联利用的。

渗透测试的“渗透”二字，重点在路径规划。一个低危的信息泄露，可能配合弱口令进后台，再通过文件上传拿shell。漏扫只会把这三步拆成三个独立漏洞，分别标成低危、中危、高危。实际上它们是一条链。我见过最漂亮的利用链：GitHub泄露的邮箱→邮箱弱口令→邮箱里找到VPN账号→VPN密码同邮箱密码→内网扫描发现Jenkins未授权→Jenkins脚本执行拿域控。漏扫在这条链里只能看到最后两步。

成本也不一样。漏扫工具一年授权费几万到几十万，渗透测试按人天算，一天八千到两万。甲方总想用漏扫替代渗透，省预算。我理解，但这两件事解决的不是同一个问题。漏扫回答“我有哪些已知漏洞”，渗透回答“我到底能不能被攻破”。前者是体检报告，后者是实战演习。体检报告说血脂偏高，不代表你明天会心梗；体检报告全正常，也不代表你跑得过马拉松。

最后说个真事。某次项目，漏扫报告三百页，客户让我“按报告修就行”。我挑了报告里标为“信息泄露”的一条，URL是/backup/2023.zip。下载解压，里面是数据库配置文件，明文密码。用这个密码登进phpMyAdmin，直接导出用户表。整个过程漏扫只给了个“低危”标签。客户后来问我为什么低危变高危，我说：漏洞本身不分高低，分高低的是它在你系统里的位置。