如何利用nmap扫描漏洞

nmap不是何利漏洞扫描器。它是描漏个端口扫描器，但90%的何利漏洞发现工作，其实都从端口扫描开始。描漏你扫开一个445端口，何利就知道该试试MS17-010（永恒之蓝）；看到3306开着，描漏心里就该有数MySQL可能暴露了。何利这玩意儿是描漏侦察兵，不是何利突击队，但侦察兵干好了，描漏突击队根本不用出动。何利

先把基础命令搞利索。描漏单机扫描，何利nmap -sV -p- 192.168.1.10，描漏-sV是何利探测服务版本，-p-扫全部65535个端口。别嫌慢，你扫全端口花十分钟，比只扫常用端口漏掉个8080上的管理后台要划算得多。我曾见过一个内网服务器，就开着个50000端口跑着旧版Jenkins，CVE-2018-1000861直接RCE，谁扫默认端口列表都发现不了它。

版本信息拿到手，漏洞匹配就顺理成章了。nmap自带脚本引擎（NSE）是干这活的利器。nmap --script vuln 目标IP，它会自动跑内置的漏洞检测脚本。比如对SMB服务，它会尝试MS17-010的探测；对HTTP服务，会检查是否存在目录遍历或已知的Web漏洞。这脚本库更新不算快，但对付常见的老漏洞绰绰有余。你甚至能指定单个脚本，比如--script smb-vuln-ms17-010，精准打击。

光靠脚本库不够，你得学会组合拳。我的习惯是：先全端口扫一遍，再对开放端口做服务版本深度探测，然后用--script vuln扫一遍，最后手动挑几个关键服务用专门的脚本或工具验证。比如发现开了22端口，OpenSSH 7.2，那就查查CVE-2016-6210（用户名枚举），用--script ssh-auth-methods试试认证方式。这套流程下来，八成的主机漏洞都藏不住。

有个坑得提醒你——nmap的--script vuln扫出来的结果未必准确。它报“VULNERABLE”不代表一定能打穿，报“NOT VULNERABLE”也不代表绝对安全。脚本的检测逻辑经常是基于版本号匹配，版本号伪造一下它就懵了。我遇到过一台机器，banner显示Apache 2.4.49，脚本报路径遍历漏洞，结果实际测试发现补丁早就打上了，只是banner没改。所以脚本扫完，必须手工验证，别拿扫描报告直接交差。

速度和质量之间你得权衡。默认的-T3太慢，内网里直接-T4甚至-T5，丢包就重新扫。但外网扫描别太激进，容易触发IDS告警，对方防火墙直接把你IP封了，啥都扫不到。我一般用-T4配合--min-rate 1000，控制发包速率。

最后说点实在的。nmap扫漏洞不是银弹，它只是帮你把攻击面摸清楚。真正要命的是那些非标准端口上的服务、内网里不更新补丁的Windows XP机器、还有开发环境直接映射到公网的数据库。你扫一遍全端口，再跑一遍漏洞脚本，心里就有底了——哪里是纸糊的，哪里是铁打的，一目了然。工具就摆在这，用不用得好，全看你的脑子和耐心。