Nessus扫描Linux系统漏洞

Nessus扫描Linux服务器，扫描最常暴露的统漏问题不是漏洞本身，而是扫描配置疏漏和过时软件包。我见过太多团队把精力花在追踪CVE编号上，统漏结果忽略了一个更扎心的扫描事实：默认安装的Linux发行版，开箱即有一堆“低危”项，统漏比如SSH允许root登录、扫描未禁用ICMP重定向。统漏这些条目在Nessus报告里往往被标记为“Info”或“Low”，扫描但恰恰是统漏内网横向移动的跳板。

拿我去年处理的扫描一台CentOS 7来说，Nessus扫出37个结果，统漏真正的扫描高危只有2个，一个是统漏Apache Struts2的远程代码执行（CVE-2017-5638），另一个是扫描内核的本地提权漏洞。但最让我头疼的却是那12条“Medium”——OpenSSH版本太老，支持的密钥交换算法里还留着diffie-hellman-group1-sha1。攻击者不需要多高深的技术，用Metasploit的模块就能降级握手，强行爆破会话。你光看CVSS分数会低估它，但实际利用链通畅得很。

扫描前得做点功课。Nessus默认配置是“safe checks”，这会导致部分插件不主动触发破坏性测试。比如检测Samba漏洞时，如果不开“Enable unsafe checks”，它只会报“可能受影响”，不会真去尝试利用。Linux管理员得权衡：合规巡检用默认档没问题，但红队演练或重大更新后，必须开深度扫描。代价是时间——全端口加插件全开，一台8核16G的机器可能要跑3小时，期间CPU飙到90%是常态。我建议错峰跑，凌晨2点开始，早晨起来看报告，正好。

报告里的“Plugin Output”别跳过。那才是诊断的核心。有一次Nessus报“SSH Server CBC Mode Ciphers Enabled”，光看标题以为只是算法弱，点开输出才看到具体是哪几个cipher被检测到，以及OpenSSH的版本号。顺着版本号去查发行版的安全公告，发现厂商早已推送补丁，但系统因为没启用自动更新，停留在三个月前的版本。修复很简单，yum update openssh一条命令的事，但如果你不读输出，可能还在纠结要不要改sshd_config。

另一个坑是误报。Nessus对Linux的本地提权检测，经常拿内核版本和CVE数据库比对，但发行版会backport安全补丁而不改版本号。比如Ubuntu 20.04的内核版本是5.4.0-42，Nessus可能报“CVE-2021-3493影响”，实际上Canonical已经通过补丁修复了，但内核版本字符串没变。这时候你得看发行版的安全通知，或者用ubuntu-security-status命令验证。盲目按Nessus报告去升级内核，反而可能引入新问题。

修复完别急着关报告。重新扫描一次，对比差异。有个细节：Nessus的“Plugin Family”分类里，Linux相关的有“Debian Security Checks”、“Ubuntu”、“CentOS Local Security Checks”等。如果你扫的是CentOS，却看到Debian的插件在跑，多半是扫描策略里勾选了“All”而不是“Local”。这会导致大量不相关的检查，拖慢速度还增加误报率。我习惯自定义策略，只保留目标系统对应的Family，再额外加几个通用项，比如“SSL/TLS”和“Web Servers”。

最后说句实在话——Nessus只是探照灯，不是修理工。它告诉你哪里漏了，但怎么补得靠对系统底层的理解。比如它报“/etc/shadow 文件权限过于宽松”，修复就是chmod 640 /etc/shadow，但你要知道为什么是640而不是600——因为组用户里可能有需要读取的系统进程。这种细节，扫描器永远不会教你。