安全工作者必备三件套Shodan、VirusTotal、CVE 详解与对比在网络安全的日常工作中有三样东西几乎每天都会打交道——Shodan资产发现、VirusTotal威胁检测、CVE漏洞追踪。本文将围绕这三个核心工具/体系梳理它们的功能、用法和区别帮助初学者快速建立整体认知。一、Shodan —— 互联网设备搜索引擎1.1 它是什么Shodan 被称为黑客的 Google但它搜索的不是网页而是全球联网的设备和服务。它 24 小时不间断扫描互联网上的 IP 地址记录开放端口、运行的服务、版本 Banner 等信息并建立索引。官网https://www.shodan.io1.2 主要用途场景说明安全研究 / 渗透测试发现暴露在公网的数据库MongoDB、Elasticsearch、Redis查找未打补丁的漏洞设备企业资产自查审计自有公网资产检查是否有不该暴露的服务内部系统、数据库端口等威胁情报追踪恶意 C2 服务器、僵尸网络节点监测漏洞在全球的影响范围学术研究统计 IoT 设备分布、互联网协议部署情况IPv6 采用率、HTTPS 普及率等竞争情报分析目标公司的技术栈和基础设施1.3 常用搜索语法product:Apacheport:80# 运行 Apache 的 80 端口服务country:CNport:3389# 中国境内开放的远程桌面org:Google# Google 拥有的 IP 段资产vuln:CVE-2021-44228# 受 Log4j 漏洞影响的设备default passwordport:23# 使用默认密码的 Telnet 服务city:Beijingport:22# 北京地区开放的 SSH1.4 注意事项Shodan 本身是合法情报工具但未经授权访问他人系统是违法的仅用于授权测试、教育研究或自有资产审计免费版功能有限专业版支持 API 调用和更多导出二、VirusTotal —— 恶意文件在线检测平台2.1 它是什么VirusTotal 是 GoogleChronicle旗下的在线恶意软件分析平台。核心原理是用 70 杀毒引擎同时扫描同一个文件/URL/域名/IP综合各引擎结果判断其是否恶意。官网https://www.virustotal.com2.2 主要功能功能说明文件扫描上传文件70 引擎同时检测返回各引擎判定结果URL 扫描输入网址检查是否被列入恶意网站黑名单域名 / IP 查询查看 WHOIS 信息、关联恶意活动、历史解析记录文件哈希查询输入 MD5 / SHA-1 / SHA-256无需上传即可查询历史分析结果沙箱行为分析在虚拟环境中运行文件观察文件写入、注册表修改、网络连接等行为2.3 典型使用场景收到可疑邮件附件 → 提取哈希丢到 VT 查询 → 5/70 引擎报警 可疑下载链接 → URL 扫描 → 被标记为钓鱼网站 应急响应 → 批量查询 IOC域名、IP、哈希→ 关联溯源 恶意软件分析 → 利用沙箱报告了解样本行为 → 编写检测规则2.4 注意事项免费版上传的文件是公开的会被安全社区共享敏感文件务必使用企业版私密上传不能只看评分少量报警可能是误报全绿也不代表绝对安全可能是新样本/免杀API 功能强大可集成到自动化工作流和 SOAR 平台三、CVE —— 全球漏洞命名标准3.1 它是什么CVECommon Vulnerabilities and Exposures通用漏洞与披露是由MITRE维护的全球漏洞编号标准由美国国土安全部资助。它为每一个公开已知的安全漏洞分配唯一编号让全球安全社区能统一引用和交流。查询入口https://nvd.nist.gov https://cve.org3.2 编号格式解析CVE-2024-3094 │ │ │ │ │ └── 序列号当年第 3094 个漏洞 │ └─────── 年份 └─────────── 固定前缀这个编号就是 2024 年震惊业界的xz-utils 后门漏洞3.3 相关概念概念全称说明CVE ID—漏洞唯一标识符CNACVE Numbering Authority编号分配机构如微软、Apple、Google 等 200 个组织CVSSCommon Vulnerability Scoring System漏洞评分系统0–10 分分 Base / Temporal / Environmental 三组NVDNational Vulnerability DatabaseNIST 维护的增强数据库补充 CVSS 评分和修复方案CPECommon Platform Enumeration受影响产品与版本的标准化描述格式3.4 生命周期发现漏洞 → CNA 分配 CVE-ID预留态→ 厂商修复 / 协调披露 → CVE 正式公开 → 收录进 NVD → 补充 CVSS 评分、受影响范围、修复建议3.5 典型场景漏洞管理扫描器发现漏洞 → 输出 CVE → 运维按 CVSS 排优先级修复应急响应新高危 CVE 爆出 → 安全团队判断自家在用吗是否受影响要不要紧急修威胁情报APT 报告中列出利用的 CVE企业据此自查安全研究追踪厂商历史 CVE评估其安全记录四、三件套横向对比维度ShodanVirusTotalCVE本质联网设备搜索引擎恶意文件 / 威胁检测平台漏洞命名与追踪标准搜索对象服务器、IoT、摄像头、工控设备文件、URL、域名、IP软件漏洞编号核心产出暴露的资产清单与服务信息多引擎检测报告、沙箱行为分析漏洞编号 CVSS 评分 受影响版本回答什么“我们有哪些资产暴露在公网”“这个文件 / 链接是不是恶意的”“这个漏洞有多严重我们受影响吗”维护方Shodan LLCGoogleChronicleMITRE NIST是否公开扫描结果对会员可见免费版上传文件对社区公开完全公开五、三者如何配合使用在实际安全工作中这三者经常联动作战① 通过 CVE 获取最新漏洞信息编号、评分、影响版本 ↓ ② 用 Shodan 搜索互联网上受该漏洞影响的设备暴露面评估 ↓ ③ 通过 VirusTotal 查询攻击该漏洞的恶意样本哈希、C2 域名 ↓ ④ 综合三者情报完成漏洞应急 → 威胁狩猎 → 加固防御六、总结Shodan告诉你外面有什么——你的资产暴露面有多大VirusTotal告诉你这个有没有毒——文件和链接是否恶意CVE告诉你漏洞有多严重——统一语言描述安全缺陷三者在安全从业者的工具箱里各司其职配合使用能覆盖从漏洞发现 → 资产暴露评估 → 恶意样本分析的完整链路。对于刚入门的安全爱好者建议先从这三个工具开始逐步熟悉它们的使用方式和应用场景。本文为原创整理如有疏漏欢迎指正。发布日期2026-07-21