去年秋天，局域具我帮一家小公司排查网络卡顿。网漏老板拍着桌子说“肯定有人偷网”，洞检结果我扫了一遍内网，测工发现三台打印机开着Telnet，局域具默认密码没改。网漏更离谱的洞检是，一台测试服务器的测工445端口直接暴露在办公网段，谁都能连。局域具这不是网漏偷网，这是洞检门没锁。

局域网漏洞检测工具，测工干的局域具就是这种粗活。它不负责挡黑客，网漏只负责告诉你：你家哪扇窗户是洞检纸糊的。很多人以为内网等于安全区，这个念头比漏洞本身更危险。外网有防火墙盯着，内网呢？同事的U盘、访客的手机、一台忘了下线的旧设备，都可能变成跳板。

常见的工具有几类。Nmap算老牌侦察兵，扫端口、认服务、猜系统，一条命令下去，几十秒就能画出内网活地图。但它只告诉你“门开着”，不告诉你“门后面有没有人拿刀”。OpenVAS和Nessus这类漏洞扫描器更狠，它们会顺着端口往里探，比对CVE库，告诉你这台机器有没有永恒之蓝、那台Web服务是不是还挂着Struts2的老洞。我见过一个运维用Nessus扫出十七个高危，脸都绿了——其中六个在财务的电脑上。

轻量级的也有。比如arp-scan，一条命令列出所有在线设备，谁偷偷接了个路由器一目了然。还有nbtscan，专门翻Windows共享的老底，很多公司文件服务器权限乱得像菜市场，它一跑，谁都能看。

工具本身不复杂，复杂的是怎么用。有人扫完导出一份PDF，往领导邮箱一扔，完事。这跟没扫一样。漏洞检测的核心不是“发现”，是“排序”。一个内网扫出两百个漏洞很正常，但哪个能直接拿到域控？哪个只是信息泄露？哪个修复只要重启服务？我习惯按“攻击路径”排：从一台普通PC出发，几步能摸到核心数据。通常不超过三步的，优先修。

还有个坑：别在上班时间扫。Nmap全端口扫描能把一台老交换机的CPU干到90%，Nessus的插件测试可能让某些老旧业务系统直接崩掉。我吃过亏，下午两点扫生产网段，结果一台医疗设备蓝屏，护士站炸了锅。后来学乖了，先问清楚哪些IP不能碰，扫的时候限速，--max-rate调低，或者干脆夜里跑。

工具替代不了判断。有次我扫出一台机器开着1433端口，SQL Server，弱密码。按流程该报高危。但一查，那是台已经下线的旧服务器，网线都没插，IP是静态配的，早没人管了。这种“僵尸资产”在内网里特别多，扫出来吓人，其实没风险。反过来，有些机器只开了80端口，但Web应用有个SQL注入，能直接拖库。工具给的评分不高，实际要命。

所以我的习惯是：扫完先别急着写报告，手动验证前五个“看起来最危险”的。用curl试试那个可疑的URL，用hydra跑一下默认口令，确认了再写。误报浪费别人的时间，漏报浪费自己的信誉。

最后说个真事。某次扫完，发现一台开发机的22端口对全网开放，密码是123456。我登进去看了一眼，里面存着生产数据库的配置文件。开发小哥图方便，把测试机当跳板用。他没恶意，但攻击者不需要恶意，只需要一个入口。局域网漏洞检测工具就是帮你找这种入口的。别指望它万能，但它能让你在被人摸进来之前，先自己摸一遍。

(责任编辑：休闲)