漏洞扫描服务到底能扫什么？漏洞范围比你想的宽

上周帮一家电商公司做安全评估，客户指着他们的扫描扫描ERP系统问：“这个能扫吗？”我点头。又指着办公区的服务范围考勤机：“这个呢？”我愣了一下——那台设备跑着Linux系统，连着一个老旧的支持SMB共享，理论上当然能扫。包括但实际执行时，漏洞扫描器刚发几个探测包，扫描扫描考勤机直接死机了。服务范围
这事让我意识到，支持很多人对漏洞扫描的包括“范围”理解太窄。它不只是漏洞扫服务器和网站，而是扫描扫描覆盖所有联网的资产。

网络设备：路由器、服务范围交换机、支持防火墙，包括一个都别漏

核心交换机上的漏洞比想象中可怕。去年某制造企业被勒索，入口就是一台未打补丁的边界路由器，CVE-2018-0171，思科的老洞，扫描器三秒钟就能发现。可多数企业只盯着Windows服务器，把网络设备当“哑巴盒子”忽略。
扫描这些设备时，要注意SNMP社区字符串是否默认、Web管理界面是否暴露、固件版本是否过旧。防火墙的SSL VPN模块尤其容易出问题——那些漏洞往往直接通向内网。

Web应用：不只是主页，还有API和后台

很多人以为扫了域名首页就算扫了Web。实际漏洞常藏在子路径里：/admin、/api/v1、/upload。上个月扫一个政府网站，首页干净得很，但一个未授权访问的API接口泄露了三千条公民身份证号。
真正的Web扫描要覆盖所有参数点、JSON结构、文件上传功能，甚至WebSocket接口。SQL注入、XSS、越权这些老问题，在自定义API里反而比传统页面更常见。

数据库与中间件：默认端口是重灾区

Redis没设密码直接暴露在公网，这种事我见过不下十次。扫描器会检查MongoDB、Elasticsearch、MySQL、PostgreSQL的未授权访问，还有弱口令。中间件方面，Tomcat的manager后台、WebLogic的反序列化、JBoss的JMX控制台，都是扫描清单上的常客。
有些扫描工具能识别特定中间件版本，直接匹配已知漏洞库，效率很高。但注意，扫描数据库时可能触发锁定策略，生产环境要调低并发。

云资产与容器：新范围，别用老思路

现在企业把业务搬上云，扫描范围就得扩到对象存储桶（比如AWS S3）、Kubernetes的API Server、Docker Registry。一次扫描中我发现客户的K8s Dashboard没有认证，任何人都能创建Pod——这比传统服务器漏洞严重得多。
云环境里，安全组规则、IAM权限配置错误也算“漏洞”。扫描器现在能检查这些配置项，但需要云厂商API的授权，跟传统端口扫描完全两回事。

终端设备：PC、笔记本、服务器，甚至IoT

别忽略员工的办公电脑。它们可能带着过期的浏览器插件、未修复的远程桌面漏洞。去年Log4j爆发时，很多内网扫描就是从终端设备发现攻击面的。
IoT设备更麻烦——打印机、摄像头、门禁控制器，它们往往跑着精简版Linux，漏洞不少但补丁机制混乱。扫描这些设备时，容易误报，需要人工复核。但总比完全看不见强。

说到底，漏洞扫描的范围取决于你的资产清单。如果你连自己有多少台设备、多少个IP段都不清楚，扫描范围就是一句空话。先摸清家底，再谈覆盖范围。扫描器能帮你发现盲区，但前提是——你得让它扫那些“想不到”的地方。