nmap渗透测试教程

扫一台机器，先别急着上-sS。测试我见过太多人对着防火墙后的教程主机狂发SYN包，结果被IPS封了IP，渗透还抱怨nmap不好用。测试真正有效的教程渗透测试从信息收集开始，而nmap是渗透那双眼睛——前提是你知道怎么睁开它。

上周帮朋友看一个内网靶场，测试目标是教程一台Windows Server 2019，只开了80和3389。渗透新手可能直接nmap -p 80,测试3389 -sV 10.0.0.5，然后盯着结果发呆。教程我让他先跑nmap -sn 10.0.0.0/24，渗透发现除了目标机，测试还有一台10.0.0.7在线，教程但没在任何服务列表里出现。那台机器后来被证实是跳板——如果直接打目标，日志里全是你的IP。

默认的nmap 10.0.0.5只扫1000个常用端口，漏掉高位端口是常事。试试-p-，扫全部65535个端口。速度慢？加-T4，但别在真实网络里用-T5，那是给实验室玩的。有次我扫一个C段，-T4跑了7分钟，结果发现8080端口上跑着Jenkins，未授权访问。要是只扫默认端口，这漏洞就溜了。

nmap -p- -T4 -sV -sC 10.0.0.5 -oN full_scan.txt

-sC会调用默认脚本，比如http-title、ssh-hostkey。但别全信脚本输出。一次扫到http-enum报告/admin/存在，实际访问却返回403。后来手动试了/admin.php，才是真入口。脚本是辅助，不是圣旨。

UDP端口常被忽略。nmap -sU --top-ports 50 10.0.0.5能挖出SNMP或DNS。有个案例：目标只开了TCP 443，但UDP 161开放，SNMP默认团体字public直接读出了内网路由表。渗透测试里，UDP往往是后门。

防火墙绕过是另一个坑。-f分片、--mtu指定偏移、-D用诱饵IP。但现代NGFW早就不吃这套了。更实际的是--source-port 53，伪装成DNS响应。有次对一台Cisco ASA，-sS --source-port 53直接穿过去，因为管理员配了放行53的规则。这招在内部网络尤其好用。

操作系统识别别太当真。-O给出“Windows 10 or Windows Server 2016”，实际是2019。TTL和TCP窗口缩放只是概率。真要确认，结合-sV的banner和SMB脚本smb-os-discovery。我一般跑nmap --script smb-os-discovery,smb-security-mode -p 445 10.0.0.5，比-O准。

最后，别做“扫描器侠”。扫完就完事，不跟进验证，等于白干。nmap输出里每个开放端口都是一条线索。比如3306开着，试试mysql-empty-password脚本；6379是Redis，可能未授权。nmap --script redis-info -p 6379 10.0.0.5，如果返回redis_version，直接连上去写SSH key。渗透测试的乐趣就在这些链条里。

工具是死的，思路是活的。nmap再强，也替代不了你对网络协议的理解。下次扫之前，先问自己：我要找什么？是开放端口、服务版本，还是潜在漏洞？想清楚了再敲命令，别让nmap变成盲扫的借口。