漏洞扫描与 Web 安全基础

难度：进阶 | 前置知识：nmap 端口扫描、指纹识别、目录爆破

前三篇文章完成了信息收集的三层递进：nmap 回答"目标开了哪些端口"，masscan 回答"全网哪些 IP 存活"，指纹识别和目录爆破回答"目标用了什么技术栈、有哪些隐藏路径"。但侦察的终点不是信息列表——而是漏洞。漏洞扫描器就是连接"知道目标长什么样"和"知道目标哪里薄弱"的桥梁。

1.1 漏洞扫描的三种类型

漏洞扫描不是"一个工具扫一切"。根据扫描位置和深度，分为三种截然不同的类型：

本篇聚焦前两种——网络漏洞扫描和 Web 应用扫描。主机基线扫描属于防御方向，在后续防御模块讲解。

1.2 漏洞扫描的核心逻辑：指纹匹配

所有漏洞扫描器的核心逻辑都是同一个模式：发送探测包 → 对比响应与已知漏洞特征库 → 命中则报告漏洞。这和上一篇学过的指纹识别原理一脉相承——指纹识别对比的是"技术栈特征库"，漏洞扫描对比的是"漏洞特征库"。

理解了这个模式，就能明白不同工具的差异本质上是特征库和探测方式的差异：Nikto 的特征库是 Web 服务器配置缺陷规则集，Nessus 的特征库是数万条 CVE 插件，Nuclei 的特征库是社区维护的 YAML 模板。

1.3 MITRE ATT&CK 映射

漏洞扫描在 MITRE ATT&CK 框架中映射为 T1595.002 Active Scanning - Vulnerability Scanning，属于侦察战术（TA0043）下的子技术。与 nmap 的 T1595.001（Scanning IP Blocks）和 masscan 的 T1595（Active Scanning）属同一战术族。

上一篇用 WhatWeb 识别了目标的技术栈——"这台服务器跑的是 Apache 2.4.58 + PHP 8.3"。知道了技术栈之后，下一步自然是"这些组件有没有已知漏洞？"Nikto 就是回答这个问题的工具。

Nikto 是一个用 Perl 编写的开源 Web 服务器安全扫描器，当前版本 2.6.1（2026 年 7 月 31 日发布）。它不像 Nessus 那样扫描系统级漏洞，而是专注于 Web 层面的配置缺陷：危险的 CGI 脚本、过时的软件版本、默认的备份文件、暴露的管理后台、缺失的安全头。

2.1 基本使用

Nikto 在 Kali 中已预装。最简单的用法只需一个参数——目标 URL：

执行后 Nikto 会开始逐项检查，输出实时滚动。一次完整扫描大约 30 秒到 5 分钟（取决于目标响应速度和检测项数量）。

2.2 关键参数

Nikto 2.6.x 引入了更快的扫描引擎和改进的报告格式。以下参数在实际使用中最常用：

-Tuning 参数是 Nikto 的核心调优选项。数字含义：1=上传漏洞、2=显示文件、3=信息泄露、4=Cross-Site Scripting、5=远程检索、6=DoS、7=其他、8=命令执行、9=SQL 注入。默认不启用 6（DoS）和 9（SQL 注入）——因为这两类测试可能对目标造成实际影响。加上 x 前缀表示"排除"，如 x6 表示排除 DoS 测试。

2.3 真实扫描输出解读

对一台运行 Apache 2.4.58 + PHP 8.3 的靶机执行标准扫描，输出示例如下：

逐行解读这些发现：

Nikto 专注于 Web 配置审计，但如果你需要扫描整个网络——操作系统漏洞、数据库服务漏洞、网络设备漏洞——Nessus 才是工业级工具。Nessus 当前版本 10.12.4（2026 年 8 月 19 日发布），拥有超过 33 万个漏洞检测插件，是全球企业使用最广泛的漏洞扫描器。

3.1 Nessus vs Nikto 定位对比

简单记忆：Nikto 是"Web 配置体检"，Nessus 是"全身 CT 扫描"。实战中两者互补——先 Nikto 快速扫一遍 Web 层，再 Nessus 深度扫一遍系统层。

3.2 安装与初始化

Nessus 不在 Kali 默认安装中，需要从 Tenable 官网下载 Debian 安装包。家庭版（Nessus Essentials）免费，最多扫描 16 个 IP，足够学习使用。

初始化时选择"Nessus Essentials"（免费版），输入注册码后 Nessus 会下载并编译全部插件。这个过程不可跳过——插件编译完成后才能开始扫描。

3.3 扫描策略选择

Nessus 提供多种预置扫描策略，初学者常困惑"该选哪个"。以下是学习阶段最常用的三种：

3.4 漏洞严重等级

Nessus 使用 CVSS（通用漏洞评分系统）对漏洞分级。理解等级含义是解读报告的前提：

Nikto 和 Nessus 是传统漏洞扫描器的代表——特征库由官方维护，用户只能等更新。Nuclei 代表了新一代扫描器的思路：用 YAML 模板描述漏洞检测规则，任何人都能编写和分享模板。这种模式让 Nuclei 的模板库以惊人的速度增长——截至 2026 年 9 月，社区模板已覆盖超过 9000 个 CVE。

Nuclei 当前版本 3.11.1（Kali 仓库 2026 年 8 月 25 日更新），用 Go 语言编写，天然支持高并发。与 Nikto 的 Perl 实现相比，Nuclei 的扫描速度快一个数量级。

4.1 模板：漏洞的 YAML 描述

Nuclei 的核心概念是"模板"——一个 YAML 文件，描述了"发什么请求、匹配什么响应"。一个最简单的检测 XSS 的模板长这样：

这个模板的逻辑：向目标 URL 的 /search?q= 参数注入 XSS payload，如果响应体中包含未过滤的 payload 字符串，说明存在反射型 XSS。模板的 YAML 结构让检测逻辑一目了然——这是 Nuclei 能快速社区化的关键。

4.2 基本使用

Nuclei 在 Kali 中已预装。首次使用前需要更新模板库：

-severity 参数是最实用的过滤选项——生产环境扫描时通常只关注 critical 和 high，避免被大量 low 级别的信息噪音淹没。-tags 参数可以按漏洞分类筛选，如 cve 只跑 CVE 检测，tech 只做技术栈指纹识别。

4.3 三种扫描器定位总结

工具会找漏洞，但你得知道"什么样的漏洞值得找"。OWASP Top 10 是 Web 应用安全风险的全球共识——由开放式 Web 应用程序安全项目（OWASP）每 3-4 年发布一次，根据真实漏洞数据统计排名。2025 版是最新的正式发布版。

理解 OWASP Top 10 的价值不在于"背下来 10 个名字"，而在于建立风险分类思维——看到一个漏洞时能迅速归类"这属于哪一类风险、哪类工具能发现它、后续渗透该怎么做"。

5.1 2025 版完整列表

5.2 关键变化解读

2025 版相比 2021 版有两个重要变化值得关注：

前面三章分别学了 Nikto、Nessus、Nuclei 三款扫描器。实战中不会只用一个——而是将它们组合成流水线，各取所长。以下是一个完整的漏洞扫描工作流，从目标输入到结构化报告输出。

6.1 四阶段流水线设计

6.2 自动化扫描脚本

将四阶段串联成自动化脚本，避免手动逐个执行。以下脚本接收一个目标 IP，依次运行 Nikto 和 Nuclei，将结果合并为 JSON 报告：

6.3 报告解读与优先级排序

扫描完成后，面对几十甚至上百条漏洞，如何排优先级？三条原则：

漏洞扫描工具的威力越大，使用边界就越重要。本篇涉及的 Nikto、Nessus、Nuclei 都是主动扫描工具——它们会向目标发送大量探测请求，即使不造成损害，行为本身也受法律约束。

7.1 法律红线

7.2 授权测试环境

本系列所有实操练习都在自建靶机上完成。以下是推荐的安全练习环境：

7.3 负责任披露原则

如果在扫描中意外发现了他人系统的漏洞（例如公网扫描时发现某网站暴露了 phpinfo），正确的做法是负责任披露：

以下练习按难度分为三级，建议在自建 DVWA 或 Metasploitable 2 靶机上完成。

Level 1：基础 — Nikto 扫描 DVWA

Level 2：进阶 — Nuclei CVE 扫描与报告

Level 3：挑战 — 编写自定义 Nuclei 模板