漏洞扫描不是漏洞打开工具点一下“开始”就完事。上个月帮朋友看一台对外服务器，扫描他用某开源扫描器跑了一遍，漏洞报告显示“无高危漏洞”，扫描结果三天后就被挖矿脚本入侵了。漏洞问题出在哪？扫描他只扫了Web端口，忘了Redis未授权访问。漏洞

先搞清楚你要扫什么。扫描是漏洞Web应用、主机系统、扫描还是漏洞代码仓库？目标不同，工具和手法完全两回事。扫描扫Web用Burp Suite、漏洞AWVS、扫描Xray；扫主机用Nessus、漏洞OpenVAS、Nmap的脚本引擎；扫代码就用Semgrep、SonarQube。别指望一个工具通吃。

拿主机扫描举例。假设你拿到授权，要对192.168.1.0/24网段做一次检查。第一步不是直接上扫描器，而是先做资产发现。用Nmap的ping扫描快速摸清哪些IP活着：nmap -sn 192.168.1.0/24。这一步很快，几十秒就能列出在线主机。我习惯把结果存成文本，后面跟扫描结果对照，避免漏掉不响应ping但实际开着的机器。

接下来做端口扫描。别一上来就-p-全端口，那会慢得让你怀疑人生。先扫常见端口：nmap -sS -sV -T4 --top-ports 1000 192.168.1.100。看到开放端口后，再针对性地扫全端口。比如发现开了8080，那很可能是个Tomcat或Jenkins，值得单独用-p 8080 --script=all跑一遍脚本。

漏洞扫描器怎么选？Nessus家用版免费，但插件更新慢半拍。OpenVAS完全开源，误报率偏高，需要人工复核。我一般先用Nmap的vuln脚本做快速筛查，比如nmap --script=vuln 192.168.1.100，能查出MS17-010这类经典漏洞。然后再用Nessus做深度扫描，交叉验证。

Web扫描更讲究。Xray的被动扫描模式很好用，挂上代理，手动点一遍网站，它自动记录请求并检测漏洞。主动扫描容易触发WAF，得调低并发、加延时。有一次扫一个政府网站，刚跑5秒IP就被封了。后来换成--rate-limit 10，慢慢扫才跑完。

扫描报告别直接扔给开发。我见过太多“高危漏洞”其实是误报——比如扫出“SQL注入”，实际是参数值里带了单引号被误判。人工验证这一步省不了。用sqlmap手动确认一下：sqlmap -u "http://target.com?id=1" --batch。确认能跑出数据库名，再写进报告。

频率怎么定？别搞什么“每季度一次”的固定套路。核心业务系统，每周扫一次；边缘系统，每月一次；新上线的东西，上线前必须扫。但要注意，扫描本身有风险。有一次扫一台老Windows Server，Nessus的SMB检查直接把服务打挂了。所以生产环境扫描前，先确认有没有做快照或备份。

最后说个容易忽略的点：扫描器自身的漏洞。2021年Nessus爆出过RCE漏洞，攻击者可以构造恶意响应让扫描器执行任意代码。所以扫描器本身也要及时更新，别把它装在内网核心区就不管了。我习惯把扫描器放在独立的VLAN里，只允许它访问目标网段，限制回连。

漏洞扫描只是起点。扫出一堆漏洞没人修，等于白扫。我见过最离谱的案例：某公司连续三年扫描报告里都有同一个Struts2漏洞，开发说“排期紧”，运维说“不归我管”。直到被勒索病毒加密了全部数据库。所以扫描之后，得有人跟、有人修、有人复测。工具再强，流程断了照样出事。