# 漏洞扫描器结果的正确打开方式（渗透/等保/复测通用） > 核心一句话：**扫描器只是告警工具，不是判定漏洞的结论；必须人工验证，区分误报、低风险、真实可利用漏洞，不能直接复制报告。** > 适用工具：Nessus、AWVS、Xray、Goby、Nuclei、绿盟、启明星辰等 ## 一、拿到扫描报告第一步：基础过滤（先筛垃圾） 1. **确认扫描范围** 核对IP/域名、端口清单，排除不属于本次测试的资产；排除测试过程中临时下线的主机。 2. **按风险等级初步分级** - 严重(Critical)：可直接拿权限、远程代码执行、未授权访问、SQL注入 - 高危(High)：文件上传、SSRF、弱口令、组件漏洞（Shiro/Fastjson/Log4j） - 中危(Medium)：XSS、CSRF、目录遍历、缺少安全响应头、敏感信息泄露 - 低危(Low)：版本泄露、Banner信息、Cookie缺少部分属性 - 信息(Info)：仅信息收集，**不属于漏洞**（如Web标题、中间件版本探测） > 重点：**信息级告警很多人误当成漏洞写入报告**，需要剔除。 3. 过滤重复告警 同一漏洞在多个页面重复触发（例如全站统一的X-Frame-Options缺失，几十条重复），**合并为一条**，不要逐条列出。 ## 二、核心流程：每条告警都要人工验证（最重要环节） > 扫描器判定存在 ≠ 真实存在；扫描器判定高危 ≠ 可利用 ### 验证标准四步法 1. **复现**：手动尝试复现漏洞，使用Burp/浏览器验证，保留请求包+响应包截图证据 2. **判断可利用条件** - 是否需要登录权限？ - 是否需要特殊请求头/参数？ - 是否有WAF、权限、网络策略阻断利用？ 3. **判定影响范围** - 影响单页面 / 整个站点 / 整个服务器？ - 是否能获取敏感数据、执行命令、拿下服务器权限？ 4. **确认误报** 典型误报场景： - 防火墙拦截，扫描器误判端口开放 - 页面返回特征匹配，但输入无法触发漏洞（假注入、假XSS） - 内网资产，但公网不可访问 - 版本号识别错误（伪装Banner，实际已经升级修复） ### 常见扫描器误报清单 1. SQL注入：页面返回特殊关键字，实际存在强过滤/预编译，无法注入 2. XSS：仅页面反射输出，有CSP/输入过滤，无法执行JS 3. 远程代码执行：版本号匹配，但已经打补丁，无法EXP利用 4. 端口开放：内网端口，公网无法访问 5. 弱口令：账号锁定、IP白名单，外部无法登录 ## 三、漏洞信息标准化整理（写报告直接套用） 每一条验证后的漏洞，报告内至少包含： 1. 漏洞标题 + 风险等级 2. 受影响资产（IP+端口+URL） 3. 漏洞描述 4. 验证复现步骤（请求包+截图证据） 5. 风险影响 6. 修复建议 7. 参考CVE编号（如有） > ❌ 错误写法：直接复制扫描器原始描述，不附带人工验证截图 > ✅ 正确写法：扫描器发现，人工验证确认存在，附上Burp抓包截图 ## 四、不同类型漏洞快速核验要点 |漏洞类型|核验重点|常见误报点| |---|---|---| |SQL注入|看是否可查询数据，布尔/时间盲证验证|页面报错关键字匹配，输入被过滤| |XSS|能否成功执行alert弹窗|CSP防护、输入转义，仅标签回显无法执行脚本| |组件漏洞（Log4j/Shiro）|确认版本+尝试触发Payload；看补丁状态|Banner伪造、版本识别错误| |未授权访问|不登录是否可直接访问管理接口|存在IP白名单，仅扫描器内网可访问| |弱口令|尝试登录验证，确认账号可登录|账号IP限制、账号锁定策略| |安全头缺失|人工curl查看响应头，确认返回内容|反向代理/负载均衡导致扫描结果和真实访问不一致| ## 五、扫描结果的取舍原则（报告精简） 1. **可利用、有实际危害 → 保留，重点描述** 2. **存在，但利用条件极苛刻（内网+高权限）→ 降级风险等级，备注利用条件** 3. **无法复现、误报 → 直接剔除报告，备注为误报** 4. **信息类告警（仅版本探测）→ 单独放信息收集章节，不作为漏洞** ## 六、扫描实操避坑（容易踩的坑） 1. **扫描时间窗口**：业务高峰期扫描会造成业务卡顿；优先业务低峰期 2. **WAF干扰**：WAF会拦截payload，造成漏报/误报；测试前确认是否临时放行扫描器IP 3. **多轮扫描差异**：单次扫描存在偶然性；高危漏洞建议2次复测确认 4. **不要依赖单一扫描器**：推荐多工具交叉验证（例：Xray + Nuclei） 5. **修复复测**：修复完成后，**重新扫描+人工复测**，不能只看扫描器输出 ## 七、快速工作流（日常渗透测试使用） ``` 1. 执行扫描 → 导出原始报告 2. 去重 + 剔除Info信息类告警 3. 按严重/高危优先，逐条人工复现验证 4. 区分：真实漏洞 / 误报 / 仅信息泄露 5. 整理证据包（请求包、响应包、截图） 6. 撰写正式报告，给出修复建议 7. 修复完成后复测验证 ``` ## 八、一句话速记口诀 > 扫描器只做发现，人工验证定真假； > 先看能不能利用，再写进报告。