nmap漏洞扫描命令：别只拿它当端口扫描器

大多数人用nmap，漏洞敲一句nmap 192.168.1.1，扫描看到端口列表就完事了。命令这就像买了把瑞士军刀，漏洞只用来开啤酒瓶。扫描nmap的命令漏洞扫描脚本库（NSE）才是真正值钱的部分，几百个脚本直接对应CVE编号，漏洞能帮你探测MS17-010（永恒之蓝）、扫描CVE-2019-0708（BlueKeep）这类高危漏洞。命令

拿一条实际命令说事：
nmap -sV --script vulners --script-args mincvss=7.0 目标IP
这条命令干了三件事。漏洞第一，扫描-sV做版本探测，命令搞清楚目标跑的漏洞是OpenSSH 7.2还是Apache 2.4.49。第二，扫描调用vulners脚本，命令它会把版本信息丢到漏洞数据库里比对。第三，mincvss=7.0过滤掉低危项，只显示CVSS评分7分以上的严重漏洞。实测中，对着一台未打补丁的Windows Server 2012跑这条，几秒内就能看到MS17-010的警告，直接对应永恒之蓝利用链。

但别指望nmap是万能钥匙。它的漏洞检测本质是“版本比对”，不是“实际利用验证”。什么意思？如果目标Apache版本是2.4.49，nmap会告诉你存在CVE-2021-41773路径穿越，但不会真的去尝试读取/etc/passwd。所以扫出漏洞后，你得用metasploit或手工curl去验证。我见过有人扫出十几个“高危”就兴奋得写报告，结果一半是误报——因为目标虽然版本旧，但编译时改了配置或打了补丁但没更新版本号。

进阶用法是组合多个脚本。比如：
nmap -p 445 --script smb-vuln-ms17-010,smb-vuln-ms08-067 目标IP
这条针对SMB服务专扫两个经典漏洞。实际渗透测试中，内网横向移动前先跑这条，比全端口扫描高效得多。有一次在客户内网，我用这条命令五分钟内找到了三台可打穿的主机，而传统全端口扫描加人工判断花了两个小时还没理出头绪。

还得提个容易踩的坑：--script参数不加限制会跑所有默认脚本，速度慢得像蜗牛，还可能把目标服务搞崩。正确姿势是先用-sV做轻量探测，再针对具体服务选脚本。比如发现开了Web服务，再跑--script http-vuln-*，别一上来就无差别攻击。

最后说点实在的。nmap漏洞扫描适合“快速摸底”，不适合“深度验证”。它给你的是一张藏宝图，不是宝藏本身。真正专业的做法是：nmap扫出候选目标 → 手动验证漏洞真实性 → 利用exp打进去 → 再横向移动。工具越用越熟练后，你会发现最耗时间的不是敲命令，而是分析输出结果。那些红色高亮的“VULNERABLE”字样背后，往往藏着一条需要你自己判断的利用路径——这才是渗透测试的乐趣所在。