网络攻防里最常被提到的网络扫描命令，其实没那么多花哨。攻防nmap、扫描masscan、命令fping，网络翻来覆去就这几个。攻防但真正用起来，扫描差别大得惊人。命令 先拿nmap说事。网络`nmap -sP 192.168.1.0/24`，攻防这行命令干的扫描是ping扫描，目的命令就一个：找出网段里哪些主机活着。它不碰端口，网络不碰服务，攻防纯粹是扫描“敲门问有没有人”。但你要是以为它只是发个ICMP包，那就错了。nmap默认还会发TCP SYN到443端口，发ACK到80端口，混合探测。很多防火墙只拦ICMP，却放行了TCP，结果主机照样被揪出来。我见过一个运维，内网资产盘点时用`ping`命令扫了半小时，漏了三分之一机器，换nmap后全出来了。这不是工具差距，是协议理解的差距。 真正让新手懵的是端口扫描。`nmap -sS 192.168.1.10`，半开扫描，只发SYN包，收到SYN/ACK就判定端口开放，然后直接RST断开，不完成握手。好处是快、隐蔽，很多应用日志里根本记不下这种半连接。但注意，这命令需要root权限，普通用户跑不了。你要是没sudo，就得用`-sT`全连接扫描，慢不少，但胜在不需要特权。这里有个坑：有些老系统对全连接扫描的记录很详细，你扫完人家防火墙日志里全是你的IP，等于白干。 masscan是另一个极端。这家伙号称“最快互联网扫描器”，实测能到每秒百万包。命令长这样：`masscan -p80,443,8080 192.168.1.0/24 --rate=10000`。它不讲究精细，纯粹是拿速率硬怼。但快是有代价的——它会漏掉某些状态响应，结果误报率比nmap高。我拿masscan扫自家测试网段，扫出几个“开放端口”，结果nmap复查发现是防火墙的虚假响应。所以实战里，masscan适合大范围粗筛，nmap适合定点细查，两者搭配才顺手。 还有个容易被忽略的：`nc -zv target 20-80`。netcat的扫描模式，简单粗暴，逐端口尝试连接，成功就显示open。它慢，但它有个独特价值——能测UDP端口。nmap的UDP扫描`-sU`经常不准，因为UDP无连接，响应不可靠。但nc直接发包看有没有回音，反而在某些场景下更直观。比如你怀疑DNS服务挂了，`nc -zuv 192.168.1.1 53`，有响应就是活着，没响应就是真挂了，比看监控图表直接得多。 别光记住命令，得明白扫描的本质是“探测响应差异”。正常服务会回包，防火墙会丢包或回RST，主机不存在就全是超时。高手看扫描结果，一眼就能分辨哪些是真实开放，哪些是安全设备在“演戏”。比如你扫到一台机器开了3389端口，但连续三次连接都超时，那八成是防火墙做了端口映射伪装，真实主机可能压根没开这端口。 最后说句实在话。扫描命令本身不复杂，复杂的是你拿到结果后怎么判断。我见过有人拿nmap扫出几十个开放端口，兴奋得以为捡到宝，结果全是蜜罐。也见过只扫到三个端口，但顺着其中那个非标准端口号深挖，直接拿下一台域控。工具永远只是手电筒，照到哪里、怎么解读，才是真功夫。别迷信参数堆砌，先把`-sS`、`-sT`、`-sU`的区别吃透，比背一百条命令都管用。