漏洞的危害越来越严重，发展的趋势也日益严峻。归根结底，产生这些问题的原因是系统漏洞的存在并被攻击者恶意利用。事实证明，绝大多数的网络攻击事件都是利用厂商已经公布而用户未及时修补的漏洞。

　　已经公布的漏洞未得到及时的修补和用户的安全意识有很大的关系，一个漏洞从厂商公布到漏洞被大规模利用的时间虽然在逐渐的缩短，但是最短的也有18天，而18天对于一些安全意识高的用户来说，修补一个安全漏洞应该没有任何问题。

　　校园网信息资产的安全成了校园网良性运行和发展至关重要的大事，需要有技术手段在安全漏洞被黑客利用之前进行自动发现，进而进行有效的防范，而不是亡羊补牢。发现网络操作系统、应用服务、Web应用的漏洞，催生了漏洞扫描系统，从最初的端口扫描，系统服务扫描，网络应用服务扫描，到Web应用漏洞扫描，漏洞扫描技术在不断发展、创新，与黑客的较量也在不断升级。

　　漏洞扫描系统分类

　　漏洞扫描系统是一种自动检测远程或本地主机、操作系统、应用服务的安全弱点的系统，根据不同的标准有不同的分类。

　　根据扫描策略的不同分为主动式漏洞扫描系统和被动式漏洞扫描系统。主动式漏洞扫描系统执行一些脚本文件模拟对系统进行攻击，通过分析系统的反应，从而发现漏洞。被动式漏洞扫描系统通过对系统中不合适的设置，弱口令以及其他同安全规则抵触的对象进行检查而发现漏洞，检测其间没有模拟攻击的行为。

　　根据检测平台的不同分为基于网络的漏洞扫描系统和基于主机的漏洞扫描系统。基于网络的漏洞扫描系统与待检查系统运行于不同的节点上，通过执行一整套综合的扫描方法集，发送精心构造的数据包来检测目标系统是否存在安全漏洞。基于主机的漏洞扫描系统与待检查系统运行于同一节点，执行对自身的检查，它的主要功能为分析各种系统文件内容，查找可能存在的对系统安全造成威胁的漏洞或配置错误。

　　根据检测侧重点的不同分为系统级的漏洞扫描系统和Web应用漏洞扫描系统。随着SQL 注入、跨站攻击、网站挂马、网络钓鱼等Web应用安全问题逐渐成为最严重、最广泛、危害性最大的安全问题，传统的漏洞扫描系统并不能很好的检测这类漏洞，于是Web应用漏洞扫描系统迅速发展起来。就目前的状况，还没有将系统级的漏洞扫描和Web应用漏洞扫描结合地非常好的系统。

　　作为校园网的管理者，我们需要主动式的、基于网络的、能够对系统级漏洞和Web应用漏洞进行扫描的系统，因而下面的技术探讨以主动式的、基于网络的漏洞扫描系统为主。

　　漏洞扫描技术

　　漏洞扫描主要通过以下两种方法来检查目标主机是否存在漏洞：首先进行端口扫描，得知目标主机开启的端口以及端口上运行的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞存在。或是通过模拟黑客的攻击手法，对目标主机系统进行攻击性的安全漏洞扫描，若模拟攻击成功，则表明目标主机系统存在安全漏洞。

　　一次完整的网络漏洞扫描分为3个阶段：

　　第1阶段：发现目标主机或网络。
　　第2阶段：发现目标后进一步搜集目标信息，包括操作系统类型、运行的服务以及服务软件的版本等。
　　第3阶段：根据搜集到的信息判断或者进一步测试系统是否存在安全漏洞。

　　基于网络的漏洞扫描系统的关键部分就是它所使用的漏洞库，它是根据安全专家对网络系统安全漏洞、黑客攻击案例的分析和系统管理员对网络系统安全配置的实际经验形成的一套标准的网络系统漏洞库，然后在此基础上构成相应的匹配规则，由扫描程序自动的进行漏洞扫描的工作。漏洞库信息的完整性和有效性决定了漏洞扫描系统的性能，漏洞库的修订和更新的性能也会影响漏洞扫描系统运行的时间。因此，漏洞库的编制不仅要对每个存在安全隐患的网络服务建立对应的漏洞库文件，而且应当能满足性能要求。

　　基于网络的漏洞扫描系统一般都采用插件技术。插件是由脚本语言编写的子程序，扫描程序可以通过调用它来执行漏洞扫描，检测出系统中存在的漏洞。添加新的插件就可以增加新的功能，扫描出更多的漏洞。插件编写规范化后，用户自己可以用perl、c或自行设计的脚本语言编写的插件来扩充漏洞扫描软件的功能。这种技术使漏洞扫描软件的升级维护变得相对简单，而专用脚本语言的使用也简化了编写新插件的编程工作，使漏洞扫描系统具有很强的扩展性。

　　基于网络的漏洞扫描系统一般由安全漏洞管理控制平台和扫描引擎两大部分构成，系统的体系结构如图1。

图1 系统的体系结构