nmap网络扫描实验报告

凌晨两点，网络实验室只剩风扇声。扫描实验我敲下nmap -sS 192.168.1.0/24，报告屏幕上跳出一排排端口状态，网络像黑暗中突然亮起的扫描实验街灯。这次扫描用了半秒，报告却把整个子网的网络“门牌号”摸了个清。

实验环境简陋：一台ThinkPad，扫描实验一个老旧路由器，报告外加三台虚拟机。网络其中一台故意开着FTP和SSH，扫描实验另一台只留了HTTP，报告第三台则全关端口——我想看看nmap怎么分辨它们。网络

先试了TCP SYN扫描（半开扫描）。扫描实验它不完成三次握手，报告只发SYN包，对方回SYN-ACK就说明端口开放，回RST就是关闭。这种扫描快得离谱，而且目标机器日志里几乎不留痕迹。结果很干净：FTP的21、SSH的22、HTTP的80全部标记为open。但有个意外——那台“全关”的虚拟机居然显示113端口filtered。查了下，原来是系统默认拒绝所有外部请求，nmap把这种“无响应”状态归类为filtered，而非closed。这个细节提醒我，扫描结果不等于事实，它只是网络对探测的应答模式。

接着试了UDP扫描。说实话，这玩意儿慢得让人抓狂。TCP有连接状态，UDP却像对空喊话——发个包过去，要么没回应，要么回个ICMP端口不可达。我扫了常用UDP端口（DNS的53、SNMP的161），耗时接近两分钟，比TCP慢了十倍不止。但收获也有：那台只开HTTP的虚拟机居然对161端口回了ICMP，说明它压根没过滤UDP探测。这种“无应答”在真实渗透里很常见，攻击者往往利用UDP扫描盲区藏后门。

版本探测更有意思。用-sV参数后，nmap不再满足于“端口开着”，而是主动发畸形报文去“套话”。FTP服务器回了“220 ProFTPD 1.3.5e”，SSH则报出“OpenSSH_7.2p2”。这些版本号直接对应已知漏洞——比如ProFTPD 1.3.5有个远程代码执行漏洞，CVE-2015-3306。我顺手查了下，这台虚拟机确实没打补丁。实验做到这儿，我突然意识到：nmap不只是工具，它像一把能拧开网络门锁的万能钥匙，但钥匙本身不会告诉你哪扇门后藏着危险。

最后试了脚本引擎--script。挑了个http-title脚本，对HTTP服务器执行，结果直接抓到了网页标题——“Test Page for Apache”。这功能在真实场景里能快速识别服务类型，甚至能跑漏洞检测脚本。不过脚本引擎是把双刃剑，它发出的探测包特征明显，很容易被入侵检测系统拦下。我关掉防火墙试了一次，IDS立刻报警，日志里全是红色标记。

整个实验下来，最深的感触是：扫描速度与隐蔽性永远成反比。SYN扫描快但容易被专业设备察觉，全连接扫描慢却更“像”普通流量。nmap提供了几十种扫描方式，但真正的高手不会纠结于参数，而是先想清楚——你面对的是谁？对方有没有防御？扫描行为本身可能比漏洞更早暴露你。

关掉虚拟机前，我看了眼nmap的计时统计：整个子网扫描耗时4.2秒，发送数据包287个，收到响应193个。那个全关端口的虚拟机依然沉默，但我知道它其实在说：我没什么可藏的，但你永远猜不到我背后接了什么。