10分钟部署Vuls漏洞扫描器：Docker Compose自动化配置指南
项目地址: https://gitcode.com/gh_mirrors/vu/vuls 你是否还在为服务器漏洞扫描的繁琐部署而烦恼？手动安装依赖、配置环境变量、处理权限问题耗费大量时间？本文将带你通过Docker Compose实现Vuls的一键部署与自动更新，让漏洞扫描工作像喝水一样简单。读完本文后，你将获得：
- 无需复杂环境配置的Vuls部署方案
- 自动更新扫描规则库的完整流程
- 多服务器批量扫描的最佳实践
- 扫描结果自动备份与告警配置
为什么选择Docker部署Vuls？
Vuls作为一款无代理（Agent-less）漏洞扫描器，支持Linux、FreeBSD、容器、WordPress等多种环境的安全检测。传统部署方式需要配置Go环境、安装系统依赖、处理SSH密钥等步骤，而Docker容器化部署具有以下优势：
| 部署方式 | 环境依赖 | 安装复杂度 | 更新难度 | 多版本共存 |
|---|---|---|---|---|
| 传统部署 | 高（Go、Git等） | 复杂（需手动解决依赖冲突） | 高（需重新编译） | 困难 |
| Docker部署 | 低（仅需Docker环境） | 简单（一条命令启动） | 低（自动拉取最新镜像） | 容易 |
Vuls项目官方提供了完整的Docker支持，通过Dockerfile定义了标准化的构建流程，确保在任何支持Docker的环境中都能获得一致的运行结果。
准备工作：环境要求与前置条件
在开始部署前，请确保你的环境满足以下条件：
- Docker Engine 20.10+ 与 Docker Compose v2+
- 至少1GB可用内存（扫描大型网络时建议4GB以上）
- 互联网连接（用于拉取镜像和漏洞数据库）
- 目标服务器的SSH访问权限（配置免密登录）
首先通过以下命令检查Docker环境：
docker --version
docker compose version
如果尚未安装Docker，可以使用官方脚本快速部署：
curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh
sudo usermod -aG docker $USER
第一步：获取Vuls项目源码
通过Git克隆项目仓库到本地：
git clone https://gitcode.com/gh_mirrors/vu/vuls.git
cd vuls
项目结构中与容器部署相关的核心文件包括：
- Dockerfile：定义Vuls镜像构建流程
- setup/docker/：容器部署辅助文档
- cmd/scanner/main.go：扫描器主程序入口
第二步：配置Docker Compose服务
创建docker-compose.yml文件，定义Vuls服务及自动更新机制：
version: '3.8'
services:
vuls:
build: .
image: vuls:latest
container_name: vuls-scanner
volumes:
- ./config:/vuls/config
- ./results:/var/log/vuls
- ~/.ssh:/root/.ssh:ro
environment:
- TZ=Asia/Shanghai
- VULS_DB_UPDATE=true
- VULS_SCAN_INTERVAL=24h
restart: unless-stopped
command: scan -config=/vuls/config/config.toml
watchtower:
image: containrrr/watchtower
volumes:
- /var/run/docker.sock:/var/run/docker.sock
command: --interval 3600 --cleanup vuls-scanner
这个配置包含两个关键服务：
- vuls服务：基于项目根目录的Dockerfile构建，挂载配置文件、扫描结果和SSH密钥目录
- watchtower服务：实现容器自动更新，每小时检查一次镜像更新
第三步：配置Vuls扫描规则
在项目目录下创建config文件夹，并生成基础配置文件：
mkdir -p config && cd config
cat > config.toml << EOF
[servers]
[servers.server1]
host = "192.168.1.100"
port = "22"
user = "root"
keyPath = "/root/.ssh/id_rsa"
[servers.server2]
host = "192.168.1.101"
port = "22"
user = "admin"
password = "your-ssh-password"
EOF
配置文件采用TOML格式，支持多种认证方式和扫描参数。详细配置选项可参考config/config.go中的定义，主要包括：
- 服务器连接信息（SSH/WinRM）
- 扫描模块开关（CVE数据库、OWASP检查等）
- 结果报告格式（JSON/HTML/Slack等）
- 并发扫描控制参数
第四步：启动服务与验证部署
返回项目根目录，执行以下命令启动服务：
docker compose up -d
首次启动时，Docker会自动构建Vuls镜像，该过程会执行Dockerfile中的指令：
- 基于Golang Alpine镜像编译Vuls二进制文件
- 构建轻量级运行时镜像（仅30MB左右）
- 配置必要的系统工具（nmap、ssh客户端等）
查看服务状态确认是否正常启动：
docker compose ps
检查初始扫描日志，验证是否成功连接目标服务器：
docker compose logs -f vuls
第五步：配置自动更新与监控
Vuls的威胁情报数据库需要定期更新以获取最新漏洞信息。我们通过两种机制实现自动更新：
1. 数据库定时更新
修改docker-compose.yml，添加定时任务容器：
updater:
image: vuls:latest
volumes:
- ./config:/vuls/config
- ./results:/var/log/vuls
environment:
- TZ=Asia/Shanghai
command: update -config=/vuls/config/config.toml
restart: unless-stopped
deploy:
restart_policy:
condition: on-failure
delay: 24h
2. 扫描器自动更新
Watchtower服务会每小时检查Vuls镜像更新，配置文件中的--cleanup参数会自动删除旧镜像，保持系统清洁。
扫描结果处理与可视化
Vuls支持多种报告格式，可通过修改配置文件中的[report]部分启用：
[report]
stdout = true
json = true
html = true
cvedb = true
slack = true
[slack]
hookURL = "https://hooks.slack.com/services/xxx/xxx/xxx"
channel = "#security-alerts"
color = "warning"
扫描结果默认保存在宿主机的./results目录，可通过reporter/localfile.go中的实现自定义存储路径和文件格式。对于企业级部署，推荐配置reporter/s3.go或reporter/azureblob.go实现云端备份。
常见问题解决方案
1. SSH连接失败
如果出现Permission denied错误，请检查：
- SSH密钥权限是否正确（容器内权限为600）
- 目标服务器是否允许root登录（在
/etc/ssh/sshd_config中设置PermitRootLogin yes） - 防火墙是否开放22端口
2. 扫描速度慢
可通过以下参数优化扫描性能：
[scan]
concurrency = 5
timeout = 300
maxTry = 3
3. 扫描结果不完整
确保已更新漏洞数据库：
docker compose exec vuls vuls update
总结与下一步行动
通过本文介绍的Docker Compose方案，你已经实现了Vuls漏洞扫描器的容器化部署与自动更新。这个方案不仅简化了初始配置，还确保你的扫描工具始终保持最新状态，能够检测到最新披露的安全漏洞。
接下来，你可以：
- 配置reporter/slack.go实现扫描结果实时推送
- 集成cti/cti.go模块获取威胁情报关联分析
- 使用models/scanresults.go定义的API开发自定义报告工具
如果你觉得本文对你有帮助，请点赞收藏并关注我们，下期将带来"Vuls与Prometheus集成：构建漏洞监控仪表盘"的实战教程。立即行动，让服务器安全防护不再繁琐！
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
