扫码获取 VIP 码
添加管理员微信获取 VIP 码
在软考信息安全工程师、软件设计师以及系统架构设计师的考试中，"漏洞扫描"是一个看似简单、实则暗藏命题陷阱的高频考点。很多考生望文生义，以为漏洞扫描就是"把系统的洞找出来顺便堵上"，这种理解恰恰是命题人最喜欢的挖坑素材。要真正掌握这个知识点，必须先回到国家标准的正式定义。
根据国家标准 GB/T 28458《信息安全技术 安全漏洞标识与描述规范》的界定，安全漏洞是指信息系统在设计、实现、配置或者运行过程中产生的缺陷，这种缺陷一旦被攻击者利用，就可能在未授权的情况下对系统的机密性、完整性和可用性造成破坏。这里的"缺陷"范围很广，既包括程序员在编码时留下的缓冲区溢出、SQL 注入、跨站脚本等代码级问题，也包括管理员在配置服务器时遗留的弱口令、默认账号、未关闭的调试接口等配置级问题，还包括操作系统和应用软件没有及时打补丁所产生的已知漏洞。
而漏洞扫描，则是基于漏洞数据库，通过主动探测等手段，对指定目标的网络设备、主机系统、应用软件的安全脆弱性进行检测，从而发现其中可被利用的安全漏洞的一种安全检测行为。承载这一行为的工具或者系统，就叫做漏洞扫描系统或者漏洞扫描器。它的核心价值在于"发现"——把潜藏在系统深处的脆弱点暴露出来，供安全人员后续处置。
这里有一个必须刻进脑子的关键点：漏洞扫描系统的输出是"漏洞清单"，而不是"修复结果"。它回答的问题是"我的系统哪里有问题"，而不是"我的系统问题已经解决了"。这个边界是软考反复考察的送分点，也是很多考生最容易失分的地方，我们在后面的真题关联部分还会专门展开。
从漏洞的类型上看，软考常考的有这样几类。第一类是配置类漏洞，例如操作系统默认账户未禁用、口令策略过于宽松、共享目录权限过大、安全设备规则配置不当等。第二类是代码类漏洞，典型的有结构化查询语言注入、跨站脚本攻击、跨站请求伪造、任意文件上传等。第三类是协议与实现类漏洞，例如传输控制协议的三次握手机制被利用发起的拒绝服务攻击、网络时间协议或者域名系统的实现缺陷等。第四类是补丁类漏洞，即已经公开但尚未修复的已知漏洞，这类漏洞往往有现成的利用代码在网络上流传，危害最大。
要准确理解漏洞扫描，还需要把它和几个容易混淆的概念区分开。入侵检测系统是在运行过程中被动地监听流量、发现攻击行为，属于事中的、被动的防护；漏洞扫描则是主动发起探测、发现潜在的脆弱点，属于事前的、主动的评估。防火墙是根据访问控制规则对进出流量进行放行或者阻断，解决的是"谁能访问什么"的问题；漏洞扫描解决的是"系统自身有什么弱点"的问题。渗透测试则是在扫描的基础上，由安全人员模拟攻击者，尝试利用漏洞进行实际的入侵验证。这几组概念的分野，正是软考命题人设计干扰项的基本套路。
漏洞扫描系统之所以能自动发现漏洞，靠的是一套环环相扣的技术链路。理解这条链路，比死记硬背任何一句话都管用，因为命题人考察的往往是链路中某个环节的具体机制。这条链路大致可以分为信息收集、服务识别、漏洞匹配和报告生成四个阶段。
漏洞扫描的第一步，是搞清楚目标主机"开着哪些门"。在传输控制协议和用户数据报协议的世界里，"门"就是端口，端口背后是运行的服务。因此，漏洞扫描器首先要做端口扫描，判断目标主机上有哪些端口处于开放状态。
端口扫描的技术手段是软考的一个重要考点。最基础的是 TCP 全连接扫描，也叫三次握手扫描。扫描器向目标端口发送一个 SYN 报文，目标端口如果开放，就会回复 SYN 加 ACK 报文，扫描器再回复一个 ACK 完成三次握手，然后立刻发送 RST 断开连接。这种方式准确率最高，但会在目标系统的日志里留下明显的连接记录，隐蔽性差。为了降低被发现的风险，出现了 TCP 半开扫描，也就是 SYN 扫描。扫描器发送 SYN 后，一旦收到 SYN 加 ACK，就判定端口开放，但并不完成握手，而是直接发送 RST 复位。因为连接没有真正建立，目标系统的应用层日志往往不会记录，隐蔽性大大提高。此外还有 FIN 扫描、NULL 扫描、Xmas 扫描这类隐蔽扫描技术，它们通过发送带有特殊标志位的报文，利用目标系统对非法报文的响应差异来判断端口状态，主要用于绕过某些防火墙和入侵检测系统。对于用户数据报协议端口，则需要用 UDP 扫描，通过观察目标是否返回 ICMP 端口不可达报文来判断端口是否开放。
知道了端口开放还不够，漏洞扫描器还需要知道端口背后跑的是什么服务、什么版本。这一步叫做服务识别，也叫指纹识别。常用的手段有两种。第一种是 Banner 抓取，扫描器连接端口后读取服务主动返回的欢迎信息，这些信息里往往包含软件名称和版本号，例如某 Web 服务器的返回头里会标明自身的版本。第二种是协议特征匹配，通过向目标发送特定的探测报文，观察其响应特征，与内置的指纹库进行比对，从而判断服务的类型和版本。有些高级扫描器还会结合服务的响应顺序、字段格式等细节，进行更精确的操作系统指纹识别，判断目标主机运行的是哪种操作系统及其具体版本。
在掌握了"什么主机、什么端口、什么服务、什么版本"这些信息之后，漏洞扫描器就可以进入最核心的一步——漏洞匹配。它的原理是：将识别到的服务版本信息，与内置的漏洞数据库进行比对，如果发现某个已知漏洞的适用条件与当前目标的状态吻合，就判定目标存在该漏洞。
这里引出了漏洞库这个概念，它是漏洞扫描系统的灵魂。国际上最著名的是通用漏洞披露，也就是 CVE，它为每一个公开的漏洞分配一个唯一编号，形成全球统一的漏洞标识体系。在国内，则有国家信息安全漏洞共享平台和与之配套的国家信息安全漏洞库，它们对国内发现的漏洞进行统一编号和管理。漏洞扫描器的厂商会持续跟踪这些漏洞库，把最新的漏洞特征、影响版本、检测规则同步到扫描引擎中。扫描器的检测能力高低，很大程度上取决于它的漏洞库是否及时更新，这也就是为什么安全人员反复强调"扫描器要定期升级漏洞库"。
需要特别说明的是，漏洞匹配本质上是一种"条件比对"，而非"真实利用"。扫描器判断某个漏洞是否存在，依据的是服务版本号、开放的端口、配置项特征等间接证据，而不是真的把这个漏洞打一遍。这就天然地带来两个后果：一方面，可能存在误报，也就是目标其实没有漏洞，但因为版本号恰好落在某个范围而被判为有漏洞；另一方面，也可能存在漏报，也就是目标确实有漏洞，但因为特征不明显、服务被隐藏等原因没有被识别出来。误报和漏报是漏洞扫描技术绕不开的一对固有矛盾，也是软考命题的落脚点之一。
一次完整的漏洞扫描，通常遵循这样的工作流：首先进行主机发现，通过网际控制报文协议回显请求或者地址解析协议等手段确定目标网段内哪些主机在线；然后对在线主机进行端口扫描，发现开放端口；接着对开放端口进行服务识别和指纹匹配；之后将识别结果与漏洞库比对，形成初步的漏洞列表；最后对部分漏洞进行验证性探测，排除明显的误报，生成最终的漏洞报告。报告中通常会给出漏洞的编号、名称、严重等级、影响的主机和端口、修复建议等信息，供安全人员按优先级处置。
漏洞扫描并不是一个单一的、铁板一块的技术，它有多种分类维度和丰富的产品形态。理解这些分类，有助于在考试中正确判断题干描述属于哪一种扫描方式。
按照扫描器的工作方式，漏洞扫描可以分为主动扫描和被动扫描。主动扫描是扫描器主动向目标发送探测报文，根据目标的响应来判断漏洞，这是绝大多数扫描器采用的方式，优点是速度快、覆盖面广，缺点是会产生一定的网络流量，可能对目标造成影响，也容易被安全设备察觉。被动扫描则是扫描器不主动发送报文，而是旁路监听网络中的流量，从正常通信的数据中分析出系统的漏洞信息，优点是隐蔽、对目标零影响，缺点是发现能力有限，只能发现流量中暴露出来的那部分漏洞。
按照扫描器是否拥有目标的内部信息，又可以分为黑盒扫描、白盒扫描和灰盒扫描。黑盒扫描是扫描器站在攻击者的视角，不掌握目标内部的账号、权限和配置信息，只能从外部进行探测，最能模拟真实的攻击场景，但发现的漏洞范围有限。白盒扫描是扫描器拥有目标的合法凭证，能够登录到系统内部，读取配置文件、查看补丁安装情况，从而发现黑盒扫描难以触及的漏洞，例如未打补丁的操作系统、不安全的本地配置等。灰盒扫描则介于两者之间，拥有部分内部信息。在实际的安全评估中，往往会把黑盒和白盒扫描结合起来使用，互为补充。