漏洞扫描工具免费版，漏洞别高兴太早

我上周帮朋友看一台被勒索病毒加密的扫描服务器，日志里显示攻击者早在三个月前就利用了一个SMB漏洞。工具朋友一脸茫然：“我装了防火墙啊，免费还是漏洞企业级的。”可问题恰恰出在他没扫过漏洞——防火墙挡的扫描是外部流量，挡不住内网里一台打印机被攻破后横向移动。工具

免费版漏洞扫描工具，免费市面上不少。漏洞Nessus Essentials、扫描OpenVAS、工具微软的免费Defender Vulnerability Management（旧版叫ATP），还有国内一些厂商的漏洞社区版。它们能扫出常见CVE，扫描给出修复建议，工具对个人站长或小微企业来说，够用。但“够用”和“好用”之间，隔着一条叫“误报率”的河。

拿OpenVAS举例，部署完第一次全盘扫描，几百个“高危”警报能把你吓出冷汗。点开详情一看，一堆是版本号过旧但实际不受影响，或者需要特定配置才能触发的伪漏洞。你得一个个手工验证，比不扫还累。Nessus Essentials相对智能，但免费版限制扫描16个IP——对一台服务器够，对稍微大点的内网，你得精打细算哪台机器“值得”被扫。

有个细节很多人忽略：免费版通常不更新漏洞库，或者延迟更新。安全圈有个笑话——“用免费版扫出来的漏洞，都是别人已经打过的疫苗。”这话有点绝对，但逻辑没错。新爆出的0day，免费版往往要等一两周才入库，而攻击者利用的速度是按小时计的。我见过一个案例，某小公司用免费版扫完没发现异常，结果第二天被Log4j漏洞打了——那漏洞当时爆出来才三天，免费版库里还没有。

但别急着否定免费工具。对预算紧张的个人开发者，或者只想确认自家博客有没有裸奔，免费版是极好的起点。我自己的VPS就用Nessus Essentials每周扫一次，配合系统自带的unattended-upgrades自动打补丁，基本能堵住90%的已知漏洞。剩下的10%靠什么？靠手动检查配置，比如SSH是否允许密码登录，Redis是否绑定了0.0.0.0——这些免费版扫不出来，但比任何CVE都致命。

有个反直觉的用法：把免费版当“基线检查器”，而不是漏洞探测器。它扫出的“中危”项，比如开放了不常用的端口、启用了旧版TLS，往往比那些“高危”更有参考价值。高危漏洞你打了补丁就完事，中危项反映的是系统整体卫生状况。我习惯每月跑一次，把结果导成PDF，对比上月差异——新增的开放端口比新增的CVE更值得警惕。

最后说句实在话：免费版最大的坑不是功能阉割，而是让你产生“我扫过了所以安全”的错觉。扫描只是安全的一环，它不覆盖配置错误、不覆盖弱口令、不覆盖供应链攻击。我那位朋友现在学乖了，每周扫一次，但更重要的是他把所有默认密码都改了，还关掉了不必要的SMB共享。工具是拐杖，走路还得靠自己。