你打开终端，扫描敲下 nmap 192.168.1.1，端口几秒钟后屏幕上滚出几行端口列表。扫描就这么简单——但大多数人只用了这个工具1%的端口力气。

默认情况下，扫描nmap扫的端口是最常用的1000个端口。这够用吗？扫描看情况。你要是端口想黑掉隔壁老王的摄像头，那可能够。扫描但如果你在排查自家服务器为什么响应慢，端口那1000个端口可能漏掉关键线索。扫描我去年排查一台数据库服务器，端口默认扫描全绿，扫描最后用 -p- 参数扫了全部65535个端口，端口才发现有个MySQL端口开着但被防火墙规则半遮半掩——这玩意儿平时不吭声，扫描一高并发就拖垮整台机器。

端口扫描的核心参数就几个，但组合起来千变万化。最基础的是 -sS，TCP SYN扫描。它不完成完整握手，发个SYN包，对方回SYN-ACK就说明端口开着，回RST就是关闭。速度快，隐蔽性好，是默认首选。但有个坑——现在的云主机防火墙对SYN扫描越来越敏感，有时候你会看到一堆被过滤的端口，那不是真关了，是防火墙直接丢包不理你。

遇到这种情况，换 -sT 全连接扫描。它老老实实完成三次握手，虽然慢，但穿透性更好。代价是会在目标机器的日志里留下记录。你要是做安全测试，得掂量掂量——被发现扫描痕迹有时候比扫出漏洞更麻烦。

还有个有意思的参数 -sU，UDP扫描。大多数人忽略它，因为UDP端口难扫，结果也不准。但DNS、SNMP、DHCP这些服务都跑在UDP上。我见过一个案例，某公司内网打印机莫名其妙被人控制，最后查出来是UDP 161端口（SNMP）开着，默认community string没改。谁也没想到去扫UDP，因为大家默认“扫端口就是扫TCP”。

别光会扫，你得会看结果。端口状态有六种：open、closed、filtered、unfiltered、open|filtered、closed|filtered。新手最容易栽在filtered上——这表示防火墙或IDS在捣乱，你根本不知道端口后面是啥。这时候加个 -sV 版本探测，nmap会主动跟服务握手，尝试识别具体版本。比如你扫到22端口，光知道是SSH没用，得知道是OpenSSH 7.2还是8.9——前者有已知漏洞，后者安全得多。

速度控制也是门学问。默认的 -T3 是平衡模式，不快不慢。赶时间用 -T4，激进但可能丢包。内网渗透测试我喜欢用 -T5，疯狂模式，几百台机器几分钟扫完。但公网千万别这么干——要么被防火墙封IP，要么把目标机器扫宕机，这两种结果都不好看。

最后提醒一句，nmap不是玩具。你扫描别人的机器之前，先确认自己有授权。美国有《计算机欺诈和滥用法》，中国有《网络安全法》，都不是闹着玩的。我见过一个测试工程师，为了炫技扫了客户的生产环境，结果IP被拉黑，合同差点黄了。工具本身没有善恶，但用工具的人得有分寸。扫描端口只是第一步，真正的功夫在于怎么解读那些端口背后的服务、版本和潜在漏洞——那才是nmap真正值钱的地方。