CVEngine - 自托管的攻击面发现与可利用 CVE 验证平台

CVEngine 是一个自托管的开源攻击面评估平台。按项目自述，它试图把三件通常分散的事情合成一个持续循环：发现你暴露在互联网上的资产、扫描这些资产上的缺陷、再把当天的漏洞情报与资产实际运行的软件版本对上，最后给出「今天正在被利用的漏洞里，哪些真的能打到我」的判断，而不是丢给你一堆告警。它面向的是需要自己掌控扫描数据的安全团队、渗透测试与漏洞管理岗位，以及做漏洞赏金的人——项目说明中强调无需许可费用、不按资产数量计费、完全开源并自托管。

维护者与状态

仓库由 hevnsnt 维护，地址为 hevnsnt/CVEngine。仓库创建于 2026-10-24，最后一次提交在 2026-11-03，属于非常年轻的项目。最新正式版本为 v1.3.2，发布于 2026-11-02。截至 2026-11-03 读取数据时，仓库获得 568 个星标。许可证为 GPL-3.0。

从时间线看，项目在创建后约十天就迭代到 1.3.x，素材中的更新说明也以「1.3 新增」为主，说明当前处于快速演进阶段。对准备投入生产环境的团队来说，这意味着接口与部署方式仍可能变动，升级前应留意变更记录。

主要能力

以下能力均据项目 README 自述整理，未经独立验证。

• 资产发现与清单：借助 bbot 与 naabu 做子域、证书、IP 与端口发现，维护一份类似 Shodan 的资产清单，并记录域名、子域、IP、端口、产品、版本、TLS 与技术栈信息。
• 暴露面理解：使用 nmap 做服务与操作系统指纹、UDP 暴露检查、TLS 审计、Web 路由与登录状态识别，以及暴露的数据库与云存储、防火墙、WordPress、邮件与 DNS 卫生状况检查，另可选装 OpenVAS。
• 按可利用性排序：项目把每个 CVE 依据真实利用来源评为 fire、smoke、ice 三档，再与资产实际运行的软件匹配，并给出每台主机 0 到 100 的评分。
• 验证而非噪音：据项目说明，匹配需要产品名与落在受影响区间内的版本同时成立，仅凭产品名不再产生误报；验证使用 Nuclei、nmap 与 banner 探测等只读手段，并记录复现所用的确切命令。
• 变更时间线：新主机、新开端口、版本变化与首页改动都会进入时间线，并支持截图对比。
• 检索：在自有清单上做 Shodan 风格查询，README 给出的示例包括 port:3389 -host:vpn 与 tech:"apache tomcat" sev:high。
• 运营与集成：实时仪表盘、PDF 报告、组织与角色、两步登录、REST API、MCP 服务器，以及 Slack、Discord、Telegram、Lark 告警。
• 自带 AI：可接入 Anthropic、OpenAI、OpenRouter、Ollama、LM Studio 或 vLLM 做 AI 研判；项目说明即使不接模型，发现、扫描、匹配与验证仍可运行。
• Sentinel 分布式扫描：在任意机器上运行 Sentinel 分担扫描任务，放在网络外部可看到互联网视角，放在内部则可声明私有网段并发现其中的存活主机。

使用入口

项目仓库地址：hevnsnt/CVEngine。

据 README，安装面向 Linux 服务器（Debian 或 Ubuntu 最省事，建议 4 GB 以上内存），执行以下命令即可，脚本会安装缺失依赖、生成密钥、创建 HTTPS 证书并启动服务，最后打印访问地址与管理员密码：

git clone https://github.com/hevnsnt/CVEngine.git
cd CVEngine
sudo ./install.sh

项目说明中提到，浏览器在信任 secrets/certs/ca.crt 之前会对私有证书报警告；Mac 与 Windows 的部署方式则写在项目文档中。

许可与限制

许可证为 GPL-3.0，使用与再分发时需遵守该许可证的相应条款。

项目自述的安全边界包括：只做只读检查、不内置口令字典、不扫描回环地址、链路本地地址与云元数据地址；各组织数据相互隔离，存储的密钥加密，访问受两步登录、IP 白名单与审计日志保护。README 同时明确要求，只能扫描自己拥有或获得授权测试的系统。硬件方面，安装说明给出的最低建议是 4 GB 内存的 Linux 服务器。此外，OpenVAS 默认关闭，需要手动在设置中开启，并按限速、仅安全检测的节奏运行。