安全工作者必备三件套：Shodan、VirusTotal、CVE 详解与对比
在网络安全的日常工作中，有三样东西几乎每天都会打交道——Shodan（资产发现）、VirusTotal（威胁检测）、CVE（漏洞追踪）。本文将围绕这三个核心工具/体系，梳理它们的功能、用法和区别，帮助初学者快速建立整体认知。
一、Shodan —— 互联网设备搜索引擎
1.1 它是什么？
Shodan 被称为"黑客的 Google"，但它搜索的不是网页，而是全球联网的设备和服务。它 24 小时不间断扫描互联网上的 IP 地址，记录开放端口、运行的服务、版本 Banner 等信息并建立索引。
官网：https://www.shodan.io
1.2 主要用途
| 场景 | 说明 |
|---|---|
| 安全研究 / 渗透测试 | 发现暴露在公网的数据库（MongoDB、Elasticsearch、Redis），查找未打补丁的漏洞设备 |
| 企业资产自查 | 审计自有公网资产，检查是否有不该暴露的服务（内部系统、数据库端口等） |
| 威胁情报 | 追踪恶意 C2 服务器、僵尸网络节点，监测漏洞在全球的影响范围 |
| 学术研究 | 统计 IoT 设备分布、互联网协议部署情况（IPv6 采用率、HTTPS 普及率等） |
| 竞争情报 | 分析目标公司的技术栈和基础设施 |
1.3 常用搜索语法
product:"Apache"port:80# 运行 Apache 的 80 端口服务country:"CN"port:3389# 中国境内开放的远程桌面org:"Google"# Google 拥有的 IP 段资产vuln:CVE-2021-44228# 受 Log4j 漏洞影响的设备"default password"port:23# 使用默认密码的 Telnet 服务city:"Beijing"port:22# 北京地区开放的 SSH1.4 注意事项
- Shodan 本身是合法情报工具，但未经授权访问他人系统是违法的
- 仅用于授权测试、教育研究或自有资产审计
- 免费版功能有限，专业版支持 API 调用和更多导出
二、VirusTotal —— 恶意文件在线检测平台
2.1 它是什么？
VirusTotal 是 Google（Chronicle）旗下的在线恶意软件分析平台。核心原理是：用 70+ 杀毒引擎同时扫描同一个文件/URL/域名/IP，综合各引擎结果判断其是否恶意。
官网：https://www.virustotal.com
2.2 主要功能
| 功能 | 说明 |
|---|---|
| 文件扫描 | 上传文件，70+ 引擎同时检测，返回各引擎判定结果 |
| URL 扫描 | 输入网址，检查是否被列入恶意网站黑名单 |
| 域名 / IP 查询 | 查看 WHOIS 信息、关联恶意活动、历史解析记录 |
| 文件哈希查询 | 输入 MD5 / SHA-1 / SHA-256，无需上传即可查询历史分析结果 |
| 沙箱行为分析 | 在虚拟环境中运行文件，观察文件写入、注册表修改、网络连接等行为 |
2.3 典型使用场景
收到可疑邮件附件 → 提取哈希丢到 VT 查询 → 5/70 引擎报警？ 可疑下载链接 → URL 扫描 → 被标记为钓鱼网站 应急响应 → 批量查询 IOC（域名、IP、哈希）→ 关联溯源 恶意软件分析 → 利用沙箱报告了解样本行为 → 编写检测规则2.4 注意事项
- 免费版上传的文件是公开的：会被安全社区共享，敏感文件务必使用企业版私密上传
- 不能只看评分：少量报警可能是误报，全绿也不代表绝对安全（可能是新样本/免杀）
- API 功能强大，可集成到自动化工作流和 SOAR 平台
三、CVE —— 全球漏洞命名标准
3.1 它是什么？
CVE（Common Vulnerabilities and Exposures，通用漏洞与披露）是由MITRE维护的全球漏洞编号标准，由美国国土安全部资助。它为每一个公开已知的安全漏洞分配唯一编号，让全球安全社区能统一引用和交流。
查询入口：https://nvd.nist.gov ｜ https://cve.org
3.2 编号格式解析
CVE-2024-3094 │ │ │ │ │ └── 序列号（当年第 3094 个漏洞） │ └─────── 年份 └─────────── 固定前缀（这个编号就是 2024 年震惊业界的xz-utils 后门漏洞）
3.3 相关概念
| 概念 | 全称 | 说明 |
|---|---|---|
| CVE ID | — | 漏洞唯一标识符 |
| CNA | CVE Numbering Authority | 编号分配机构（如微软、Apple、Google 等 200+ 个组织） |
| CVSS | Common Vulnerability Scoring System | 漏洞评分系统，0–10 分，分 Base / Temporal / Environmental 三组 |
| NVD | National Vulnerability Database | NIST 维护的增强数据库，补充 CVSS 评分和修复方案 |
| CPE | Common Platform Enumeration | 受影响产品与版本的标准化描述格式 |
3.4 生命周期
发现漏洞 → CNA 分配 CVE-ID（预留态）→ 厂商修复 / 协调披露 → CVE 正式公开 → 收录进 NVD → 补充 CVSS 评分、受影响范围、修复建议3.5 典型场景
- 漏洞管理：扫描器发现漏洞 → 输出 CVE → 运维按 CVSS 排优先级修复
- 应急响应：新高危 CVE 爆出 → 安全团队判断：自家在用吗？是否受影响？要不要紧急修？
- 威胁情报：APT 报告中列出利用的 CVE，企业据此自查
- 安全研究：追踪厂商历史 CVE，评估其安全记录
四、三件套横向对比
| 维度 | Shodan | VirusTotal | CVE |
|---|---|---|---|
| 本质 | 联网设备搜索引擎 | 恶意文件 / 威胁检测平台 | 漏洞命名与追踪标准 |
| 搜索对象 | 服务器、IoT、摄像头、工控设备 | 文件、URL、域名、IP | 软件漏洞编号 |
| 核心产出 | 暴露的资产清单与服务信息 | 多引擎检测报告、沙箱行为分析 | 漏洞编号 + CVSS 评分 + 受影响版本 |
| 回答什么 | “我们有哪些资产暴露在公网？” | “这个文件 / 链接是不是恶意的？” | “这个漏洞有多严重？我们受影响吗？” |
| 维护方 | Shodan LLC | Google（Chronicle） | MITRE + NIST |
| 是否公开 | 扫描结果对会员可见 | 免费版上传文件对社区公开 | 完全公开 |
五、三者如何配合使用？
在实际安全工作中，这三者经常联动作战：
① 通过 CVE 获取最新漏洞信息（编号、评分、影响版本） ↓ ② 用 Shodan 搜索互联网上受该漏洞影响的设备（暴露面评估） ↓ ③ 通过 VirusTotal 查询攻击该漏洞的恶意样本哈希、C2 域名 ↓ ④ 综合三者情报，完成漏洞应急 → 威胁狩猎 → 加固防御六、总结
- Shodan告诉你"外面有什么"——你的资产暴露面有多大
- VirusTotal告诉你"这个有没有毒"——文件和链接是否恶意
- CVE告诉你"漏洞有多严重"——统一语言描述安全缺陷
三者在安全从业者的工具箱里各司其职，配合使用能覆盖从漏洞发现 → 资产暴露评估 → 恶意样本分析的完整链路。对于刚入门的安全爱好者，建议先从这三个工具开始，逐步熟悉它们的使用方式和应用场景。
本文为原创整理，如有疏漏欢迎指正。
发布日期：2026-07-21
