kali端口扫描

凌晨两点，端口我对着屏幕上一台靶机敲下nmap -sS 192.168.1.105。扫描三秒钟后，端口22/tcp open ssh跳出来。扫描就这么简单——端口扫描不是端口玄学，是扫描门手艺活。你不需要背下所有参数，端口但得知道每个开关背后在干什么。扫描

Kali里最常用的端口工具是Nmap，但很多人把它用成了“扫描器按钮”。扫描-sS是端口半开扫描，只发SYN包，扫描收到SYN/ACK就判定端口开放，端口然后直接RST断开，扫描不建立完整握手。端口好处是快、隐蔽，坏处是有些防火墙会拦截这种异常行为。要是你面对的是Windows靶机，-sT全连接扫描反而更稳——系统日志会留下记录，但目标机多半没开防火墙。

有一次我扫内网一台打印机，-sS死活扫不出9100端口。换成-sT，立刻看到9100/tcp open jetdirect。那台老惠普的固件对半开扫描直接丢包。这提醒我：别迷信某个参数，扫描是种试探，得根据回应调整策略。

端口范围也别总扫默认的1000个。-p-扫全部65535个端口，耗时是默认的几十倍，但值得。某次渗透测试，客户坚持说“只开放了80和443”。我跑了-p- --min-rate 5000，五分钟后发现22222/tcp open——是个没打补丁的SSH服务，弱口令直接登进去。如果只扫默认端口，这趟就白跑了。

服务版本识别-sV和操作系统指纹-O是双刃剑。它们能告诉你Apache/2.4.29 (Ubuntu)，但同时也可能被入侵检测系统盯上。-sV --version-intensity 7会发更多探测包，换来更精确的版本号。我习惯先快速扫一遍开放端口，再针对开放端口做版本识别，而不是一上来就全量扫描。这就像敲门——先轻敲三下，听有没有动静，再决定要不要用力踹。

还有个容易忽略的细节：-Pn参数。默认情况下Nmap会先发ICMP ping判断主机是否存活，但很多服务器禁ping。不加-Pn，扫一个在线主机可能直接报“host seems down”。我吃过这亏，扫了半小时以为目标关机了，结果人家只是屏蔽了ICMP。

UDP扫描-sU更麻烦，速度慢且结果不可靠。但DNS、SNMP、DHCP这些服务跑在UDP上，漏掉它们等于白干。我见过有人用--top-ports 100扫UDP，发现53端口开着，顺藤摸瓜找到个允许区域传输的DNS服务器——整个内网域名记录直接拖下来。这种活儿粗糙，但有效。

最后说句掏心窝的话：扫描只是第一步。你扫出3306 open mysql，下一步该想的是弱口令还是SQL注入，不是对着结果截图发朋友圈。Kali里工具再多，脑子里的思路才是核心。端口是门，扫描是摸门把手，真正打开门走进去，靠的是后面那些更脏更累的活儿。