Nessus漏洞扫描实战：在Kali Linux上评估Windows 0系统安全

1. 项目概述：为什么今天还要折腾Nessus和Win2000？

看到这个标题，你可能会觉得有点“复古”。Nessus作为老牌漏洞扫描器，Win2000更是二十多年前的操作系统，这两者组合在一起，似乎和当下的云原生、零信任安全趋势格格不入。但恰恰是这种“复古”组合，在安全学习和企业内网渗透测试中，有着不可替代的实战价值。

首先，Nessus是安全领域的“瑞士军刀”，其扫描引擎的准确性、插件的丰富度以及报告的详尽程度，至今仍是许多商业和开源工具追赶的目标。掌握Nessus，就等于掌握了一套标准化的漏洞评估方法论。其次，Win2000这类老旧系统，并没有从我们的网络中消失。在许多传统行业、工控环境甚至一些企业的边缘服务器上，你依然可能偶遇它们。这些系统往往因为“稳定”而被保留，却也是内网横向移动中最脆弱的跳板。通过Nessus对Win2000进行扫描，你能最直观地看到什么是未打补丁的高危漏洞、什么是弱口令、什么是默认配置风险，这种视觉化的学习效果，远比阅读CVE描述要深刻得多。

本教程的目标，就是带你完整走一遍从零搭建Nessus环境，到成功扫描一台Win2000靶机并解读报告的全过程。无论你是刚入门安全的新手，想理解漏洞扫描的基本流程；还是有一定经验的从业者，需要在内网评估中快速定位老旧系统风险，这篇手把手的实战记录都能给你提供直接的参考。我们会基于最常见的Kali Linux环境进行，过程中会穿插我踩过的坑和总结的技巧，确保你能一次成功。

2. 环境准备与工具选型背后的逻辑

工欲善其事，必先利其器。在开始动手之前，理清工具选型的思路，比盲目操作更重要。这里我们选择“Kali Linux + Nessus Essentials + 虚拟机Win2000”这套组合，每一环都有其考量。

2.1 为什么是Kali Linux？

Kali Linux几乎是渗透测试的标准发行版，预装了海量安全工具。选择它来运行Nessus，主要有三个原因：

1. 环境纯净且一致：Kali提供了一个开箱即用的、为安全测试优化的Linux环境，避免了在不同发行版上安装依赖的麻烦。特别是Nessus的一些底层库依赖，在Kali上基本都已满足。
2. 便于后续扩展：扫描只是第一步。当Nessus发现漏洞后，你很可能需要利用Metasploit、Nmap等工具进行进一步的验证或利用。在Kali上，这些工具触手可及，形成了完整的工作流。
3. 社区支持强大：任何在Kali上安装Nessus遇到的问题，几乎都能在网络上找到解决方案，降低了学习成本。

如果你没有物理机安装Kali，使用VMware Workstation或VirtualBox创建一台Kali虚拟机是更推荐的选择。为虚拟机分配至少4GB内存和40GB磁盘空间，能保证Nessus运行流畅。

2.2 Nessus版本选择：Essentials是最优起点

Nessus有多个版本：完全商业的Professional版、功能受限但免费的Essentials版（原名Home版），以及面向企业的Manager、Cloud等。对于学习和个人测试，Nessus Essentials是不二之选。

• 免费：无需支付任何费用。
• 功能足够：允许你扫描最多16个IP地址，这对于学习、测试单台或少数几台靶机完全够用。它包含了完整的漏洞检测插件库，报告功能也齐全。
• 合法合规：直接从Tenable官网注册获取，使用完全合法，避免了破解版带来的安全风险、法律风险和功能不稳定问题。

注意：网络上流传的所谓“破解版”或激活码（如提到的#42873这类关键词），不仅可能内置后门，窃取你的扫描结果，而且其激活机制极易被Tenable官方封禁，导致扫描引擎无法更新插件，失去检测新漏洞的能力。从学习和职业发展的长远看，使用正版免费许可是最稳妥、最专业的选择。

2.3 靶机选择：Win2000的“教学意义”

为什么是Windows 2000 Server？而不是更新的Win7或Win10？

1. 漏洞典型且集中：Win2000时代是微软安全架构的“蛮荒期”，存在大量经典的、高风险的漏洞，如MS08-067（永恒之蓝的“前辈”）、RPC DCOM溢出等。一次扫描就能看到多种漏洞类型，教学效果突出。
2. 资源占用极低：作为虚拟机靶机，它只需要分配256MB内存和10GB硬盘就能流畅运行，对宿主主机资源几乎无压力。
3. 明确的学习边界：在虚拟机隔离环境中测试这种已终止支持的系统，符合安全研究的道德与法律规范。它明确告诉你：这些攻击手法仅用于授权的学习环境。

你可以从一些合法的漏洞实验平台或归档网站获取Win2000的镜像文件（ISO）。务必确保你的靶机虚拟机网络设置为“仅主机(Host-Only)”或“NAT模式”，确保其与你的物理网络完全隔离，这是安全实验的铁律。

3. Nessus在Kali上的安装与激活详解

有了清晰的规划，我们开始动手。这部分我会详述每一个步骤，并解释其作用，让你知其然更知其所以然。

3.1 下载与安装：绕过常见的依赖坑

首先，访问Tenable官方下载页面。选择Nessus的版本时，根据你的Kali系统架构，通常选择Debian / Kali Linux 64-bit的包。下载的文件名类似Nessus-10.x.x-debian6_amd64.deb。

在Kali终端中，进入下载目录，使用dpkg命令安装：

sudo dpkg -i Nessus-10.x.x-debian6_amd64.deb

第一个常见坑马上出现：依赖错误。dpkg不会自动解决依赖，你可能会看到缺少某些库（如libssl老版本）的错误。别慌，这是Linux软件包管理的常态。解决方法是运行：

sudo apt-get update && sudo apt-get install -f

apt-get install -f会尝试修复损坏的依赖关系，自动安装Nessus所缺的包。这是处理.deb安装包依赖问题的标准操作。

安装成功后，启动Nessus服务：

sudo systemctl start nessusd sudo systemctl enable nessusd # 设置开机自启

使用sudo systemctl status nessusd检查服务状态，确认显示active (running)。

3.2 激活与初始配置：获取并应用许可证

服务启动后，打开浏览器，访问https://localhost:8834。注意是https，Nessus使用自签名证书，浏览器会提示安全风险，这是正常的，点击“高级”->“继续前往”即可。

首次访问，你会看到初始化界面。这里的关键是获取激活码。

1. 前往Tenable官网的Nessus Essentials注册页面，用邮箱注册一个账户。
2. 注册成功后，官网会给你发送一封邮件，里面包含一个激活码（Activation Code），形如XXXX-XXXX-XXXX-XXXX-XXXX。
3. 回到浏览器初始化页面，选择“Nessus Essentials”，将激活码粘贴进去。

接下来是漫长的等待，这是第二个关键点。点击继续后，Nessus会开始下载最新的插件库（Plugin Feed）。这个过程可能需要20分钟到1小时甚至更久，取决于你的网络速度。进度条可能会在某个百分比停留很长时间，请务必保持耐心，不要刷新页面或关闭浏览器。这是Nessus在构建其漏洞检测引擎的核心数据库。

完成后，你需要创建第一个管理员账户。这个账户用于登录Web管理界面，和系统账户无关。建议使用强密码。

3.3 初始登录与界面熟悉

用创建的管理员账户登录后，你就进入了Nessus的Web控制台。主界面主要包括：

• Scans（扫描）：创建、管理、启动扫描任务的核心区域。
• Policies（策略）：定义扫描的“方法”。比如，是进行非 credentialed的端口扫描，还是提供用户名密码进行深度系统检查。
• Resources：查看插件、审计文件等资源。

在创建第一次扫描前，我建议先花几分钟浏览一下“Policies”。里面预置了许多模板，如“Basic Network Scan”（基础网络扫描）、“Advanced Scan”（高级扫描）等。理解策略是灵活运用Nessus的关键。

4. 扫描策略定制：如何为Win2000“量身定做”

直接使用默认模板扫描也能出结果，但针对Win2000这类特定目标，定制策略能提升效率、减少噪音，并更深入地发现问题。

4.1 创建自定义扫描策略

点击“Policies” -> “Create Policy”。我们选择“Advanced Scan”作为起点，因为它提供了最全面的控制项。

• Basic Settings（基本设置）：给策略起个名字，如“Win2000_In-depth_Audit”。描述可以写“针对Windows 2000系统的全面漏洞与配置审计”。

• Discovery（发现）：这里配置主机发现和端口扫描。

  • Ping the remote host：对于同一网段的虚拟机，可以开启。但如果是复杂内网或主机禁ping，可以关闭，转而依赖端口扫描来发现存活主机。
  • Port Scanning：默认的端口扫描器是Nessus自己的nessus_syn_scanner。对于Win2000，我建议修改端口范围。默认的“Default”包含了数万个端口，扫描慢且对老旧靶机可能不必要。可以自定义为1-1000, 3389, 5800-5900, 8080。这样覆盖了常用端口、远程桌面（3389）、VNC（5800-5900）和常见Web端口（8080），速度更快。
  • Consider Unscanned Ports as Closed：这个选项建议勾选。它的意思是，如果某个端口没有明确返回开放或关闭的响应（如被防火墙过滤），Nessus会将其视为关闭，从而避免对这些端口进行后续耗时的漏洞检测，极大加快扫描速度。

• Assessment（评估）：这是策略的核心，决定检查什么漏洞。

  • General：保持默认即可。
  • Brute Force（暴力破解）：强烈建议为Win2000启用。Win2000常见弱口令或默认口令（如Administrator/空密码）。你可以在这里配置针对SMB、RDP、Telnet等服务的暴力破解字典。Nessus自带字典，对于学习够用。
  • Web Applications：如果Win2000上跑了IIS（大概率跑了），可以启用Web应用扫描。但注意，老版本IIS的漏洞可能不在通用Web扫描插件中，更多依赖于系统插件。
  • Windows：重点区域。确保“Microsoft Windows”相关的插件家族是启用的。特别是“Windows : User Management”（检查用户配置）、“Windows: MS Bulletins”（检查微软补丁）是发现系统级漏洞的关键。

• Report（报告）：可以设置报告生成的偏好，如将“Informational”级别的结果隐藏，让报告更聚焦中高危漏洞。

• Advanced（高级）：这里可以设置性能、并发连接数等。对于扫描单台虚拟机，默认设置即可。如果扫描卡住，可以适当降低Max Simultaneous Checks per Host（每主机最大同时检查数），比如从10降到5，以减少对靶机的压力。

保存这个策略，我们就有了针对Win2000的“扫描蓝图”。

4.2 关于Credentialed Scan（凭证扫描）的考量

凭证扫描是指向Nessus提供目标系统的用户名和密码，让其以“授权用户”的身份登录系统，检查补丁、软件版本、安全策略、注册表项等。这能发现更多非授权扫描看不到的漏洞，例如未安装的KB补丁。

对于Win2000靶机，如果你知道其管理员密码（或使用了弱密码），强烈建议配置凭证扫描。

1. 在策略的“Credentials”标签页下，添加“Windows”凭证。
2. 输入用户名（如Administrator）和密码。注意：在实验环境中可以这样做，在生产环境中绝对禁止明文存储生产系统密码，需使用凭据保险箱等功能。
3. Nessus会使用这些凭证通过SMB或WMI协议登录系统，进行深度检查。

即使你暂时不知道密码，也可以先进行非凭证扫描，利用前面启用的暴力破解功能，说不定就能帮你“猜”出密码，然后再用这个密码进行二次深度扫描。

5. 执行扫描与实时监控

策略准备好后，扫描就变得简单了。

5.1 创建并启动扫描任务

点击“Scans” -> “Create Scan” -> “User Defined”，选择我们刚才创建的“Win2000_In-depth_Audit”策略。

• Scan Name：输入任务名，如“Scan_Win2000_Target1”。
• Targets：这里输入你的Win2000靶机的IP地址。务必确认IP正确，并且Kali主机能ping通它（在Host-Only模式下，两者应在同一网段，如192.168.xx.xx）。你可以输入单个IP，或多个IP（用逗号分隔），甚至一个IP段（如192.168.1.1/24）。
• 其他设置：可以保持默认，或者设置一个定时启动（Schedule）。

点击“Save”后，扫描不会立即开始。你需要在扫描列表中找到它，点击“Launch”按钮。此时，扫描任务进入队列并开始执行。

5.2 扫描过程监控与解读

点击正在运行的扫描任务，进入“Details”页面。这里可以看到实时动态：

• Hosts：显示扫描中的主机及其状态（Scanning, Completed）。
• Vulnerabilities：实时滚动显示发现的漏洞，按严重程度（Critical, High, Medium, Low, Info）分类。
• Activity：显示扫描进度的百分比和当前正在执行的检查项目。

扫描时间因策略而异。一个针对Win2000的全面扫描（包含暴力破解），可能在15-45分钟内完成。如果时间异常漫长（超过2小时），可能是网络不通或靶机无响应。此时可以点击“Pause”暂停，检查网络配置和靶机状态。

在这个过程中，你可以观察Nessus发现了哪些开放端口（如135、139、445、3389），这是理解目标系统服务暴露情况的第一手资料。

6. 报告深度解析：从漏洞列表到风险理解

扫描完成后，状态变为“Completed”。点击“Report”即可查看结果。一份典型的Nessus报告包含大量信息，我们需要有重点地看。

6.1 报告概览与主机摘要

报告首页是一个“Executive Summary”（执行摘要），以饼图和条形图展示漏洞数量分布（严重、高危、中危等）。这是给管理层看的。作为技术人员，我们更应关注“Hosts”选项卡。

点击你的靶机IP地址，进入主机详情页。这里会列出在该主机上发现的所有问题，默认按严重性排序。

6.2 剖析一个典型的高危漏洞条目

我们以Win2000上最常见的MS08-067（Microsoft Windows Server Service RPC请求缓冲区溢出漏洞）为例，看看如何解读。

1. 漏洞标题（Plugin Name）：通常直接写明漏洞的CVE编号或微软公告编号（MSXX-XXX）和简要描述。
2. 严重等级（Severity）：显示为“Critical”（严重）或“High”（高）。
3. 家族（Family）：属于“Windows : Microsoft Bulletins”。
4. 描述（Description）：详细说明了漏洞的原理——Server服务在处理特制RPC请求时存在缓冲区溢出，远程攻击者可能利用此漏洞执行任意代码。会提及受影响的系统（Windows 2000 SP4就在其中）。
5. 解决方案（Solution）：明确告诉你“请安装微软安全公告MS08-067中提到的补丁”。对于已停止支持的系统，还会提示“考虑升级到受支持的操作系统”。
6. 输出（Output）：这是最关键的部分！它显示了Nessus的检测证据。例如，它可能会显示：“通过检查SMB协议版本和操作系统版本，确认目标系统为Windows 2000 SP4，且未检测到对应的补丁文件（如netapi32.dll的版本号低于安全版本）”。这让你知道漏洞判定不是空穴来风。
7. CVE/CVSS信息：列出相关的CVE编号（如CVE-2008-4250）和CVSS v2/v3基础评分（如CVSS v2: 10.0），量化了风险程度。
8. 参考信息（See Also）：提供微软公告链接、安全研究文章链接等，方便你进一步查阅。

6.3 关注中低危漏洞与信息类发现

不要只盯着高危漏洞。许多中低危发现包含了宝贵的安全态势信息：

• NetBIOS/SMB信息泄露：可能会暴露出主机名、域信息、共享列表。这是内网信息收集的关键。
• SSL/TLS支持弱加密套件：如果Win2000上运行了HTTPS服务，很可能会报告支持已破译的SSLv3、弱加密算法（如RC4）。这虽然可能不直接导致系统被攻破，但违反了现代安全合规要求。
• 默认或易猜的账户：暴力破解成功后，会直接列出发现的用户名和密码。
• 远程桌面（RDP）服务启用：这是一个攻击面。如果结合弱口令或后续的漏洞（如BlueKeep），风险极高。

信息类（Informational）发现也很有用，比如“Windows计算机名称”、“ICMP时间戳响应”等，它们帮助你更精确地识别目标。

6.4 报告导出与归档

Nessus支持导出多种格式的报告：HTML（适合阅读）、PDF（适合交付）、CSV（适合导入数据库分析）、Nessus格式（用于导入其他Nessus实例）。对于学习，导出HTML格式即可，它保持了交互性和颜色高亮。

7. 常见问题排查与实战技巧实录

即使按照教程操作，你也可能会遇到一些问题。下面是我在多次实践中总结的常见坑点和解决技巧。

7.1 扫描失败或主机无响应

问题现象：扫描启动后，进度长时间卡在0%或1%，随后状态可能变为“Canceled”或“Aborted”，日志显示“Host appears down”或超时。

排查思路：

1. 网络连通性：这是首要原因。在Kali终端里，用ping <靶机IP>测试基础连通性。如果不通，检查：
   • 虚拟机网络设置：确保Kali和Win2000靶机处于同一网络模式（同为NAT或同为Host-Only）。
   • 防火墙：检查Win2000的防火墙是否关闭（对于实验靶机，建议关闭）。在Win2000中，早期版本可能没有内置防火墙，但如果有，需要禁用。
   • IP地址：确认Win2000获取到的IP地址与你扫描时输入的一致。可以在Win2000中运行ipconfig查看。
2. 靶机服务状态：确保Win2000的Server服务和Workstation服务是启动的（控制面板->管理工具->服务）。Nessus的许多扫描（特别是SMB相关）依赖这些服务响应。
3. Nessus性能设置：如果网络和主机都正常，但扫描缓慢或中断，可能是并发检查数太高导致靶机“吃不消”。回到扫描策略的“Advanced”选项卡，降低Max Simultaneous Checks per Host（例如从10改为3），并增加Network Receive Timeout和Network Send Timeout的值（例如从5秒改为30秒）。

7.2 漏洞检出数量为零或极少

问题现象：扫描顺利完成，但只发现几个开放端口，几乎没有漏洞报告。

可能原因与解决：

1. 靶机过于“干净”：你安装的Win2000镜像可能已经集成了SP4和所有关键补丁。这不是坏事，但不符合学习目的。你需要寻找一个“原版”或明确标注存在漏洞的Win2000靶机镜像。
2. 扫描策略过于宽松：检查你的扫描策略，是否禁用了关键的插件家族？确保“Windows”相关的家族，尤其是“Windows: Microsoft Bulletins”是启用的。
3. 端口未开放导致检测无法进行：许多漏洞检测（如MS08-067）需要通过与目标端口（如445/SMB）通信来触发。如果目标防火墙屏蔽了445端口，Nessus就无法进行深度检测。先用Nmap快速扫描确认端口开放情况：nmap -sV -p 135,139,445,3389 <靶机IP>。
4. Nessus插件未更新：虽然初始化时下载了插件，但偶尔更新会失败。在Nessus的Web界面，点击“Resources” -> “Plugins”，查看插件总数和最后更新时间。可以手动点击“Update Plugins”进行更新（需要重启nessusd服务）。

7.3 暴力破解成功但未在报告中清晰显示

问题现象：你确信靶机有弱口令，但报告里没有明确的“Credentials found”条目。

排查方法：

1. 在扫描报告的“Host”详情页，使用筛选功能，在“Family”中选择“Brute force attacks”或“Service detection”。这里会列出暴力破解尝试的记录。
2. 更有效的方法是，查看扫描的详细日志。在扫描任务的“Details”页面，点击“Download Export” -> “Nessus (.nessus)”格式。这是一个XML文件。用文本编辑器打开，搜索“password”或“successful login”等关键词，可能会找到包含凭证的明文输出，这些信息有时不会直接呈现在HTML摘要报告里。

7.4 Nessus服务启动失败或Web页面无法访问

问题现象：sudo systemctl status nessusd显示服务失败，或浏览器访问https://localhost:8834无法连接。

解决步骤：

1. 检查端口占用：Nessus默认使用8834端口。运行sudo netstat -tlnp | grep 8834，看是否有其他进程占用。如果有，需要停止该进程或修改Nessus配置（/opt/nessus/etc/nessus/nessusd.conf中的port项）。
2. 查看错误日志：Nessus的主要日志在/opt/nessus/var/nessus/logs/目录下。查看nessusd.messages文件尾部：tail -f /opt/nessus/var/nessus/logs/nessusd.messages，寻找错误信息。常见错误包括权限问题、磁盘空间不足、许可证无效等。
3. 重新加载服务：尝试完全重启服务：

   sudo systemctl stop nessusd sudo systemctl daemon-reload sudo systemctl start nessusd

4. 磁盘空间：确保/opt分区有足够空间（至少几个GB），插件更新需要空间。

7.5 实战技巧：让扫描更高效、更精准

1. 先侦察，后扫描：在发起全面漏洞扫描前，先用nmap -sS -sV -O <靶机IP>进行快速端口扫描和版本探测。根据结果（开放了哪些端口，运行什么服务），在Nessus策略中精准启用对应的插件家族。例如，如果只开了80端口，就主要启用Web扫描插件，关闭不必要的SMB、RDP插件，能极大缩短扫描时间。
2. 利用“扫描模板”功能：对于经常扫描的同类目标（如所有Windows服务器），在配置好一个完美的策略后，可以点击策略页面的“Export”将其导出为.nessus文件。以后在新环境中直接“Import”即可使用，无需重复配置。
3. 关注“依赖关系”：在策略的插件配置中，你可以看到有些插件是“依赖”于其他插件结果的。例如，检测某个IIS漏洞的插件，可能依赖于“Web Server Detection”插件先识别出IIS服务。如果依赖插件被禁用或失败，后续插件就不会运行。理解这个链条，有助于你诊断为什么某个预期中的漏洞没有被发现。
4. 合规性检查（Audit Files）：Nessus的强大之处不止于漏洞扫描，还能做合规性审计。你可以上传针对Windows 2000的安全基线配置文件（.audit文件），让Nessus检查密码策略、审计策略、用户权限分配等是否符合标准（如CIS Benchmark）。这对于构建全面的系统安全评估报告非常有价值。