用途：对给定 IP 执行非破坏性安全审计，分为两种模式。外部模式（仅 IP）模拟攻击者从互联网观察目标；内部模式（IP+SSH 凭据）从服务器内部检查配置、提权路径与隐藏服务。适用于自有或已获授权服务器的安全检查。
必要前置：扫描前必须先查允许列表（$HOME/.config/server-security-scan/allowlist.txt），未在列表内需显式确认已获授权，否则立即停止。预授权可将 IP 追加写入该文件。扫描输出统一放入 ./security-scan/$(date +%Y-%m-%d)-<IP> 目录并生成 REPORT.md。
外部模式：先做反向 DNS、ASN/地理位置等被动侦察；随后 nmap 端口与版本探测（云厂商可能过滤 ICMP，必要时加 -Pn）；更新 nuclei 模板；对开放 Web 端口运行 nikto 与 nuclei 的 CVE、错误配置模板；对 SSH、SMB、SSL/TLS 做针对性检查，最后汇总开放端口、CVE、弱配置与修复建议。
内部模式：检查系统信息与用户、SSH 加固、sudo 与 SUID/SGID、防火墙状态、监听端口与 Docker（含特权容器、2375/2376 暴露）、cron、可升级软件包，可选运行 lynis，并查找 /etc 下全局可写文件等。报告需交叉比对防火墙与端口绑定，列出异常用户、提权路径、隐藏服务与优先修复项。
限制：仅执行非破坏性检查；不进行主动利用、拒绝服务（生产中不用 -T5）、数据外泄、文件或配置修改、创建后门或账户、不得向未授权第三方分享报告。CVSS 优先取 nuclei 输出，缺失时查 NVD，无 CVE-ID 需手动赋值并标注 (self-assigned)。