```html

Kali指定IP漏洞扫描

你手头有个目标IP，比如 192.168.1.105，漏洞想知道它到底开了哪些端口、扫描跑了什么服务、指定有没有已知漏洞。漏洞别急着上 nmap 一顿乱扫——先想清楚你要的扫描是“发现”还是“验证”。

上周我帮朋友看一台暴露在公网的指定测试机，IP 是漏洞 203.0.113.47。他之前用某在线工具扫了一遍，扫描报告说“存在高危漏洞”，指定但点进去全是漏洞“可能”“疑似”。我拿 Kali 重新走了一遍流程，扫描结果发现那台机器只开了 22 和 443，指定OpenSSH 版本是漏洞 8.9p1，压根没有匹配的扫描 CVE。在线工具报的“漏洞”其实是基于版本猜测，误报。所以指定 IP 扫描的第一步不是扫，是确认目标存活和基本指纹。

nmap -sn 203.0.113.47

如果对方禁 ping，加 -Pn 跳过主机发现。接着快速摸一遍常见端口：

nmap -sS -T4 -F 203.0.113.47

-sS 是 SYN 半开扫描，快且相对隐蔽；-T4 是速度模板，别用 -T5，容易丢包或触发 IDS。-F 只扫 top 100 端口。看到结果后，再针对开放端口做服务版本探测：

nmap -sV -sC -p 22,443 203.0.113.47

-sV 探版本，-sC 跑默认脚本。这一步能拿到 SSH 的精确版本、HTTPS 证书信息、甚至 HTTP 标题。比如那次输出里，443 端口返回了 nginx 1.24.0 和证书里的域名 test.internal.example.com。这就是线索。

假设 443 端口跑的是 nginx 1.24.0，你想查它有没有已知漏洞。Kali 里可以用 searchsploit 本地查：

searchsploit nginx 1.24

如果没结果，再考虑用 nmap 的 http-vuln* 脚本。比如查 CVE-2023-44487（HTTP/2 Rapid Reset）：

nmap -p 443 --script http-vuln-cve2023-44487 203.0.113.47

注意，不是所有脚本都叫这个名字。你得先用 ls /usr/share/nmap/scripts/ | grep http-vuln 看一眼实际文件名。我见过有人直接抄博客里的脚本名，结果报错“script not found”，然后怪 Kali 不好用——其实是自己没查。

对于 Web 服务，nikto 比 nmap 脚本更细。但 nikto 扫指定 IP 时，如果目标有虚拟主机，必须加 -h 指定 Host 头，否则扫的是默认站点：

nikto -h https://203.0.113.47 -vhost test.internal.example.com

再说个真实翻车案例。有次我用 nmap -sV --script vulners 扫一台内网 IP 10.0.0.88，输出里赫然写着“CVE-2021-41773 Apache 路径穿越”。我差点直接写报告。但多看了一眼——那台机器跑的是 Apache 2.4.49 吗？-sV 显示的是 2.4.54。vulners 脚本匹配错了版本范围。后来手动验证，确实不存在该漏洞。所以任何脚本输出，都要交叉验证。别做“截图工程师”。

如果你要扫整个 C 段但只关心特定 IP，可以用 --exclude 排除其他主机，或者干脆把 IP 列表写进文件：

nmap -sV -p 1-1000 -iL targets.txt -oA scan_result

-oA 同时输出三种格式，方便后续用 xsltproc 生成 HTML 报告。但说实话，报告再好看，不如自己对着终端输出一条条看。我习惯先 grep open 过滤端口，再 grep -E 'CVE|vuln' 找漏洞线索。

最后提一句 Metasploit。指定 IP 扫描时，db_nmap 能把结果直接导入数据库，然后 hosts 和 services 命令查看。但别指望它自动帮你打——check 方法只对部分模块有效。更多时候，你还是在命令行里手动拼参数。

扫描这件事，工具是死的，思路是活的。指定 IP 只是缩小了范围，不代表可以无脑下一步。先 ping，再端口，再服务，再版本，最后才碰漏洞脚本。每一步的输出都看一眼，别直接扔给下一个工具。Kali 里没有“一键日穿”的按钮，如果有，那一定是骗你的。