1. 项目概述为什么你需要Nuclei如果你是一名安全工程师、渗透测试人员或者是一名对网络安全充满好奇的开发者那么“Nuclei”这个名字你大概率不会陌生。它早已不是圈内的小众工具而是成为了现代自动化漏洞扫描领域的事实标准之一。简单来说Nuclei是一个基于YAML模板的、高性能的漏洞扫描器。它的核心魅力在于“社区驱动”和“模板化”。想象一下每当一个新的CVE公共漏洞和暴露被披露全球的安全研究员们会迅速编写一个对应的YAML模板描述如何检测这个漏洞。你只需要更新一下模板库就能立刻拥有检测这个最新威胁的能力而无需等待商业扫描器漫长的更新周期。这种敏捷性在漏洞利用窗口期越来越短的今天是至关重要的。我最初接触Nuclei是因为厌倦了传统商业扫描器那昂贵的授权费用、笨重的客户端和动辄数小时的扫描时间。我需要一个轻量、快速、能集成到CI/CD流水线中并且能让我自己定制检测逻辑的工具。Nuclei完美地契合了这些需求。它用Go语言编写单文件二进制开箱即用它支持从HTTP、TCP到DNS、SSL、Headless浏览器等多种协议更重要的是它背后有一个极其活跃的社区维护着数千个高质量的检测模板覆盖了从高危的远程代码执行到低危的信息泄露等几乎所有常见漏洞类型。这篇指南就是为你准备的。无论你是想在自己的个人服务器上做一次安全自查还是想在公司的红蓝对抗演练中快速部署一个扫描节点又或者只是想学习一下现代安全工具的使用从零开始搞定Nuclei的安装与基础配置是你要走的第一步。我会带你绕过我踩过的那些坑用最直接、最稳定的方式在几分钟内让Nuclei在你的机器上跑起来并理解它的核心工作方式。2. 核心思路与方案选型如何“正确”地安装Nuclei在开始敲命令之前我们先花点时间理解一下Nuclei的“生态”。这能帮你避免很多后续的困惑。Nuclei的安装不仅仅是下载一个可执行文件那么简单它实际上包含两个核心部分引擎Nuclei Binary和模板库Nuclei Templates。引擎就是nuclei这个命令行程序本身负责解析模板、发送请求、匹配响应。模板库则是一个独立的Git仓库里面存放了所有由社区贡献的.yaml格式的检测规则文件。引擎在运行时会去指定的路径默认是~/.config/nuclei/templates加载这些模板。因此一个完整的安装流程通常包含两步1. 安装引擎2. 获取/更新模板库。官方和社区提供了多种安装方式每种方式都有其适用场景和考量。2.1 安装方式对比与选型理由1. 使用Go安装go install这是最“原生”的方式适合Go语言开发者或希望从源码构建的用户。命令go install -v github.com/projectdiscovery/nuclei/v3/cmd/nucleilatest优点直接获取最新开发分支的代码适合尝鲜或为Nuclei项目做贡献。缺点要求本地已安装特定版本的Go环境目前要求Go 1.24.2。对于只想使用工具的用户来说增加了环境配置的复杂度。且go install安装的二进制文件默认在$GOPATH/bin下需要确保该路径在系统的PATH环境变量中。我的建议除非你有明确的Go开发需求否则不推荐新手使用这种方式作为生产环境的首选。2. 下载预编译二进制文件这是我最推荐也是绝大多数用户应该使用的方式。ProjectDiscovery团队为每个发布版本在GitHub Releases页面提供了跨平台Windows, Linux, macOS的预编译二进制文件。优点简单直接下载、解压、运行无需任何运行时依赖。版本稳定下载的是经过测试的正式发布版本比开发分支更稳定。易于管理可以方便地备份、迁移或同时安装多个版本。缺点需要手动下载和更新但我们可以通过脚本自动化这个过程。选型理由这是平衡了易用性、稳定性和可控性的最佳方案。它避免了环境依赖的麻烦二进制文件可以放在任何地方通过软链接或直接添加到PATH即可全局调用。后续的版本升级也可以通过脚本或手动替换完成非常清晰。3. 使用包管理器如Homebrew, apt, yum对于macOS用户可以通过Homebrew安装brew install nuclei。一些Linux发行版如Arch Linux的AUR也可能有社区维护的包。优点与系统包管理器集成更新方便brew upgrade nuclei。缺点版本可能不是最新的因为包维护者需要时间跟进上游发布。对于安全工具来说及时获取包含最新CVE检测模板的引擎更新非常重要。我的建议macOS用户如果习惯Homebrew生态可以使用。Linux用户如果发行版仓库版本够新也可以考虑。但如果你发现包管理器里的版本落后官方Release好几个版本请果断切换到预编译二进制方式。4. 使用Docker官方提供了Docker镜像projectdiscovery/nuclei:latest。命令docker run -it projectdiscovery/nuclei:latest -version优点环境完全隔离无需在宿主机安装任何依赖非常适合在CI/CD流水线中作为一次性任务执行。缺点每次运行都需要拉取镜像命令行参数传递稍显繁琐需要处理文件挂载、网络等问题。不适合需要频繁交互式使用的场景。我的建议这是自动化扫描、集成测试场景下的绝佳选择。在本指南中我们会重点讲解二进制安装但会在最后补充Docker的使用方法。注意无论选择哪种安装方式请务必从官方渠道GitHub Release页面或官方文档指定的命令下载。从第三方不明来源下载安全工具本身就是一个巨大的安全风险。基于以上分析本指南将采用“下载预编译二进制文件”作为核心安装方案因为它普适性最强步骤最清晰也最能让你理解工具的组织结构。3. 分步实操手把手安装与验证理论说完了我们开始动手。以下操作以Linux/macOS系统为例Windows系统的思路完全一致只是命令和路径稍有不同我会在关键处注明。3.1 第一步下载最新的Nuclei二进制文件首先我们需要确定当前最新的稳定版本。最可靠的方法是访问其GitHub Release页面https://github.com/projectdiscovery/nuclei/releases。但我们也可以通过命令行快速获取。打开你的终端执行以下命令来获取最新版本号并下载。这里我们使用curl和jq一个JSON处理工具来解析GitHub API。# 获取最新版本的Tag名例如 v3.3.2 LATEST_VERSION$(curl -s https://api.github.com/repos/projectdiscovery/nuclei/releases/latest | jq -r .tag_name) # 根据你的系统架构下载对应的压缩包 # 对于Linux (amd64/x86_64架构) wget https://github.com/projectdiscovery/nuclei/releases/download/${LATEST_VERSION}/nuclei_${LATEST_VERSION#v}_linux_amd64.zip # 对于macOS (arm64架构即Apple Silicon M系列芯片) # wget https://github.com/projectdiscovery/nuclei/releases/download/${LATEST_VERSION}/nuclei_${LATEST_VERSION#v}_darwin_arm64.zip # 对于macOS (amd64架构即Intel芯片) # wget https://github.com/projectdiscovery/nuclei/releases/download/${LATEST_VERSION}/nuclei_${LATEST_VERSION#v}_darwin_amd64.zip # 对于Windows (amd64架构) # 可以在PowerShell中使用Invoke-WebRequest -Uri https://github.com/projectdiscovery/nuclei/releases/download/${LATEST_VERSION}/nuclei_${LATEST_VERSION#v}_windows_amd64.zip -OutFile nuclei.zip实操心得如果你没有安装jq可以先用sudo apt install jqDebian/Ubuntu或brew install jqmacOS安装或者直接去Release页面手动查看最新版本号并替换命令中的${LATEST_VERSION}。wget命令中的${LATEST_VERSION#v}是一个参数扩展用于去掉版本号前的v字符因为压缩包文件名中不包含v。例如v3.3.2会变成3.3.2。如果你在中国大陆从GitHub下载可能速度较慢或失败。可以考虑使用代理或者寻找可靠的镜像源。但再次强调务必确保文件来源可信。3.2 第二步解压并安装到系统路径下载完成后是一个zip压缩包。我们需要解压它并将可执行文件放到一个方便调用的位置。# 解压下载的zip文件 unzip nuclei_*.zip # 解压后你会得到一个名为 nuclei 的可执行文件。 # 将其移动到系统级的可执行文件目录例如 /usr/local/bin需要sudo权限 sudo mv nuclei /usr/local/bin/ # 或者如果你没有sudo权限或者想安装在用户目录下可以放到 ~/.local/bin 并确保该路径在PATH中 # mkdir -p ~/.local/bin # mv nuclei ~/.local/bin/ # echo export PATH$HOME/.local/bin:$PATH ~/.bashrc # 对于bash # echo export PATH$HOME/.local/bin:$PATH ~/.zshrc # 对于zsh # source ~/.bashrc 或 source ~/.zshrc验证安装是否成功nuclei -version如果安装正确你会看到类似v3.3.2的输出显示当前Nuclei的版本号。这表明引擎已经就绪。3.3 第三步初始化与模板安装引擎装好了但如果没有模板Nuclei就像没有子弹的枪。首次运行任何扫描命令时Nuclei会自动检查模板目录。如果目录为空它会提示你是否下载社区模板库。但我们更推荐主动初始化。方法一使用内置命令更新模板推荐这是最标准的方式。Nuclei提供了专门的命令来管理模板。# 更新 nuclei 模板到最新版本 nuclei -ut这个命令会从官方仓库拉取最新的模板到默认目录~/.config/nuclei/templates。第一次运行会花费一些时间因为要下载整个模板库几百MB。完成后会显示类似Templates added in latest release: 15的信息。方法二手动克隆模板仓库适合网络环境特殊或需要定制如果你更喜欢手动控制或者需要离线部署可以手动克隆模板仓库。# 创建Nuclei配置目录如果不存在 mkdir -p ~/.config/nuclei # 进入目录并克隆模板库 cd ~/.config/nuclei git clone https://github.com/projectdiscovery/nuclei-templates.git templates # 后续更新模板 cd ~/.config/nuclei/templates git pull验证模板是否就位# 列出可用的模板标签 nuclei -tgl # 或者列出所有模板输出会很长 # nuclei -tl如果命令能成功执行并返回一系列标签如cve,dns,files,fuzzing等恭喜你Nuclei已经全副武装准备投入战斗了。3.4 第四步基础配置与环境调优安装完成但为了让Nuclei跑得更顺畅我们还需要进行一些基础配置。Nuclei的配置文件位于~/.config/nuclei/config.yaml。首次运行某些命令后会自动生成我们也可以手动创建或修改。1. 配置模板目录可选如果你把模板库放在了非默认位置需要告诉Nuclei。# ~/.config/nuclei/config.yaml templates-directory: /path/to/your/custom/templates2. 配置Interactsh服务器用于OAST检测Interactsh是ProjectDiscovery提供的免费带外Out-of-Band交互服务器。对于检测Blind SQLi、SSRF、XXE等需要外部服务器回调确认的漏洞至关重要。默认配置即可使用其公共服务器但如果你有高频率扫描需求或对隐私有要求可以自建。# ~/.config/nuclei/config.yaml interactsh: server-url: https://interact.sh # 默认可改为自建服务器地址 token: # 如果使用自建服务器可能需要token在命令行中你也可以通过-interactsh-server和-interactsh-token参数临时指定。3. 调整性能参数重要默认的并发和速率限制可能不适合你的网络环境或目标。扫得太猛可能把目标打挂或者被WAF封禁。# ~/.config/nuclei/config.yaml rate-limit: 150 # 每秒最大请求数对于单个目标可以调低如50对于资产普查可以调高需谨慎 concurrency: 25 # 并行执行的最大模板数 bulk-size: 25 # 每个模板并行分析的最大主机数 timeout: 10 # 请求超时时间秒 retries: 1 # 失败重试次数我的经验是对内网扫描可以适当提高并发如-c 50 -rl 500对公网重要目标务必调低如-c 10 -rl 30并加上-headless等耗资源模板的并发控制-headless-concurrency 2。4. 核心功能上手从第一个扫描命令到实战工具装好了配置也调了现在让我们真正用它做点事情。理解Nuclei的命令行参数是高效使用的关键。它的参数非常多但掌握几个核心的就能应对80%的场景。4.1 你的第一次扫描针对单个目标我们从最简单的开始扫描一个测试网站例如http://testphp.vulnweb.com这是一个故意设计有漏洞的练习网站。nuclei -u http://testphp.vulnweb.com这个命令会使用所有模板对目标进行扫描。输出会实时显示在终端发现漏洞时会打印出详细信息包括漏洞类型、严重等级、匹配的模板ID和请求响应片段。但直接全量扫描通常不是好主意因为模板太多扫描时间会很长。噪音太大会触发大量低危或信息类发现。对目标不友好可能发送大量无关请求。因此我们几乎总是配合过滤参数来使用。4.2 精准打击使用标签和严重性过滤Nuclei模板都有tags和severity字段。我们可以利用它们进行精准扫描。示例1只扫描高危和严重的漏洞nuclei -u http://testphp.vulnweb.com -s high,critical-s参数用于指定严重性等级info, low, medium, high, critical。示例2只扫描与特定技术栈相关的漏洞比如目标是一个WordPress站点。nuclei -u http://target-wp-site.com -tags wordpress-tags参数可以指定一个或多个标签。你可以用nuclei -tgl查看所有可用标签。示例3组合过滤并输出详细报告nuclei -u http://testphp.vulnweb.com \ -tags cve,wordpress \ # 标签CVE漏洞 和 WordPress相关 -s high,critical \ # 严重性高危和严重 -es info,low \ # 排除严重性信息和低危-es 是 -exclude-severity -etags fuzzing,misc \ # 排除标签模糊测试和杂项 -o scan_results.txt \ # 输出到文件 -jsonl # 输出格式为JSON Lines便于后续处理这个命令就是一个比较实用的扫描命令雏形聚焦于目标可能存在的、真实的高危CVE和框架漏洞过滤掉干扰项并将结构化的结果保存下来。4.3 批量扫描与输入处理实战中我们很少只扫一个目标。Nuclei支持从文件读取目标列表。准备一个目标文件targets.txthttp://target1.com https://target2.com/api 192.168.1.100 app.staging.company.com进行批量扫描nuclei -l targets.txt -tags cve -s high,critical -o batch_results.jsonl-l参数指定包含目标列表的文件。Nuclei会自动识别每行的格式URL, IP, 域名。更高级的输入Nuclei还可以接受来自其他工具如subfinder,httpx的JSONL格式输入并从中提取URL。这是ProjectDiscovery工具链的常见工作流subfinder -d example.com -silent | httpx -silent | nuclei -tags cve -s high -o results.txt这个管道pipeline的意思是1.subfinder发现example.com的子域名2.httpx探测这些子域名中存活的HTTP服务3.nuclei对这些存活的URL进行漏洞扫描。4.4 使用自定义模板Nuclei的真正威力在于自定义模板。假设我们发现了一个新的、未公开的API信息泄露端点/_/api/debug/users我们可以快速编写一个模板来检测它。创建一个文件custom-info-disclosure.yamlid: custom-api-debug-exposure info: name: Custom Application Debug API Exposure author: yourname severity: medium description: Detects exposure of a debug API endpoint that may leak sensitive user information. reference: - https://internal-wiki/security-guidelines tags: exposure,api,debug http: - method: GET path: - {{BaseURL}}/_/api/debug/users matchers-condition: and matchers: - type: status status: - 200 - type: word words: - username - email - id condition: or然后使用它进行扫描nuclei -u http://target.com -t /path/to/custom-api-debug-exposure.yaml如果目标存在该路径且响应包含username、email或id等关键词就会被标记为发现。通过这种方式你可以将任何重复性的安全检查工作模板化、自动化。5. 高级配置与集成实战掌握了基础命令我们可以看看如何将Nuclei集成到更自动化的工作流中以及一些提升效率的高级技巧。5.1 配置扫描策略-scan-strategy当扫描大量目标时扫描策略会影响效率和隐蔽性。-scan-strategy auto默认Nuclei自动决定。-scan-strategy host-spray主机喷洒。将一个模板在所有目标上执行完再执行下一个模板。这对目标更友好因为来自你IP的请求频率相对较低但扫描总时间可能更长。-scan-strategy template-spray模板喷洒。将一个目标用所有模板扫完再扫描下一个目标。这会快速对一个目标完成全面检测但可能因为请求过于密集而触发目标的防护机制。如何选择对单个重要目标进行深度扫描用template-spray。对大量目标进行广谱扫描如全公司资产普查用host-spray或auto。在红队演练中需要保持隐蔽用host-spray并大幅降低-rate-limit。5.2 使用项目模式-project避免重复请求如果你需要多次、分批次扫描同一批资产使用-project参数可以显著提升效率。nuclei -l all_assets.txt -tags cve -project首次运行会在临时目录默认/tmp创建一个项目文件夹记录每个主机、每个路径的扫描状态。后续再次运行即使换了模板时Nuclei会跳过那些已经请求过的、相同的请求只发送新的或未完成的请求。这在CI/CD流水线中非常有用可以避免对同一服务反复进行相同的检测。5.3 与CI/CD集成Docker方式在GitLab CI或GitHub Actions中使用Docker镜像是最干净的方式。GitHub Actions 示例name: Nuclei Security Scan on: schedule: - cron: 0 2 * * * # 每天凌晨2点运行 push: branches: [ main ] pull_request: branches: [ main ] jobs: nuclei-scan: runs-on: ubuntu-latest steps: - name: Run Nuclei Scan uses: docker://projectdiscovery/nuclei:latest with: args: -u https://${{ secrets.SCAN_TARGET }} -tags cve,exposure -s medium,high,critical -o nuclei-results.jsonl -jsonl env: SCAN_TARGET: ${{ secrets.PRODUCTION_URL }} - name: Upload Results uses: actions/upload-artifactv4 with: name: nuclei-report path: nuclei-results.jsonl这个工作流会在代码推送或每天定时对生产环境URL进行中高危漏洞扫描并将结果保存为制品。你可以进一步添加步骤例如解析JSONL结果如果发现严重漏洞则失败并通知。5.4 结果管理与报告生成默认的终端输出不够持久化。Nuclei支持多种输出格式-o results.txt纯文本。-jsonl results.jsonlJSON Lines格式最适合自动化处理可以用jq等工具轻松过滤分析。-markdown-export ./report/将结果导出为Markdown文件每个发现一个文件包含请求响应详情便于人工复核。-sarif-export results.sarifSARIF格式可以导入到GitHub Advanced Security、GitLab等平台的代码安全面板。生成一个易读的HTML报告第三方工具 虽然Nuclei本身不直接生成HTML但社区有工具可以转换。例如先用-jsonl输出然后使用nuclei-report-converter需单独安装或简单的Python脚本转换。nuclei -l targets.txt -s high,critical -jsonl -o results.jsonl # 假设使用一个转换脚本 python3 jsonl_to_html.py results.jsonl output.html6. 避坑指南与常见问题排查即使按照指南操作你也可能会遇到一些问题。下面是我在长期使用中总结的一些常见“坑”和解决方案。6.1 模板更新失败问题执行nuclei -ut时卡住或报错template update failed。原因与解决网络问题连接GitHub不稳定。可以尝试设置Git代理或使用镜像源。手动克隆模板库见3.3节方法二也是一种选择。权限问题模板目录~/.config/nuclei/templates的写入权限不足。检查目录所有者或用sudo运行不推荐可能造成用户文件权限混乱。磁盘空间不足清理磁盘空间。版本不匹配极少数情况下最新引擎与最新模板可能存在临时兼容性问题。可以尝试指定上一个模板版本nuclei -ut -ud ~/.config/nuclei/templates-backup先备份或者等待官方修复。6.2 扫描速度慢或卡住问题扫描进程占用CPU/内存不高但进度缓慢。排查检查目标响应用curl或浏览器手动访问目标看是否本身响应就慢。调整并发参数默认的-c 25和-rl 150可能不适合你的网络或目标。对于延迟高的目标降低并发和速率限制可能反而更快减少超时重试。尝试-c 10 -rl 30 -timeout 30。排除“重型”模板headless无头浏览器和fuzzing模糊测试模板非常消耗资源且速度慢。初次扫描时可以用-etags headless,fuzzing排除它们。使用-stats参数运行命令时加上-stats和-stats-interval 5可以每5秒显示一次统计信息了解扫描进度、请求速度、匹配数量帮你判断是否在正常工作。6.3 误报与漏报问题报告了不存在的漏洞误报或没报告存在的漏洞漏报。处理理解模板逻辑用-td参数查看触发警报的模板内容。nuclei -td -id CVE-XXXX-XXXX。仔细看它的matchers匹配器和extractors提取器部分理解它是如何判断漏洞存在的。很多时候误报是因为匹配规则过于宽松。验证请求使用-debug或-debug-req参数让Nuclei打印出它发送的实际请求和接收的响应。将请求复制到Burp Suite或浏览器中重放手动分析响应这是判断误报/漏报最直接的方法。调整模板对于已知的误报可以在命令中用-exclude-id参数排除特定模板ID。对于重要的资产可以考虑克隆社区模板到本地修改其匹配条件使其更精确然后使用你的自定义模板。关注严重性info级别的发现很多是技术指纹、目录列表等不一定代表漏洞需要人工研判。专注于high和critical级别的结果。6.4 被WAF/防火墙封禁问题扫描一段时间后所有请求返回403/429错误码或连接超时。缓解策略降低攻击性这是首要措施。大幅降低速率限制和并发数-rl 10 -c 5。增加延迟-rate-limit-duration 2s每秒最多10个请求相当于每个请求间隔100ms再叠加2秒的持续时间限制会更温和。使用随机User-Agent虽然Nuclei默认会使用一些User-Agent但你可以通过配置文件或-H参数添加更常见的浏览器UA头来伪装。分散扫描不要一次性扫完所有路径。用-tags分批次、分天扫描。使用代理池-proxy如果条件允许配置多个代理IP轮询使用可以分散流量。nuclei -l targets.txt -proxy http://proxy1:8080,socks5://proxy2:1080。接受现实对于防护严密的商业WAF自动化扫描很难不被发现。此时扫描的目的可能更多是确认WAF是否在正常工作而非深入漏洞挖掘。6.5 内存消耗过高问题扫描大量目标时Nuclei进程占用内存持续增长。原因与解决模板数量过多尤其是同时加载了所有模板。始终使用-tags或-s进行过滤只加载需要的模板。结果缓存使用-project模式可能会在内存中缓存更多状态。对于一次性扫描可以不使用此模式。Headless模板每个Headless浏览器实例都会消耗大量内存。严格控制-headless-concurrency默认10对于内存有限的机器可以设置为2或3。升级版本新版本的Nuclei通常会在性能优化和内存管理上有所改进。确保你使用的是较新的稳定版。记住Nuclei是一个强大的工具但它的输出永远需要安全工程师的专业判断。不要盲目相信自动化工具的结果将其作为你发现潜在风险、缩小排查范围的得力助手而不是最终的裁决者。把它融入你的工作流定期、有策略地对资产进行扫描才能最大程度发挥其价值。