nmap进行综合性扫描渗透测试

打开终端敲下`nmap -sS -sV -O -p- 192.168.1.100`，进行回车之后屏幕开始滚动的综合那个瞬间，你才算真正开始了解对面那台机器。性扫很多人用nmap只停留在`nmap 目标IP`这一步，描渗扫出来几个开放端口就收工，透测这跟拿望远镜看了一眼对面楼就宣称完成了侦察没区别。进行

综合性扫描的综合核心在于组合。单一扫描方式永远只能看到冰山一角。性扫我习惯先用`-sn`做一轮ping扫描把存活主机摸清楚，描渗这个步骤快得离谱，透测几秒钟就能把整个C段里响应的进行机器列出来。别小看这一步，综合有些环境里防火墙对ICMP放行但对TCP拦截，性扫反过来也有，描渗所以存活判断至少要用`-PE -PS`两种方式交叉验证。透测

主机列表拿到之后，重头戏才开始。`-sS`做SYN半开扫描是默认推荐，速度快且隐蔽性比全连接好。但真实网络里经常碰到的情况是：SYN扫描显示端口filtered，换成`-sT`全连接反而能连上。原因可能是中间设备对SYN包的策略不同。我的做法是两种都跑，对比结果。有一次扫一台内网的Jenkins服务器，SYN扫描只看到22和8080，换成`-sT`之后多出来一个50000端口——那是Jenkins的JNLP代理端口，后来证明这个端口才是整条渗透链的突破口。

端口范围的选择也有讲究。`-p-`扫全端口当然最彻底，但65K个端口跑完在慢速网络下可能要等很久。折中方案是`--top-ports 1000`先过一遍，再针对性地补扫高位端口。UDP扫描别忽略，`-sU`配合`--top-ports 50`就够了，UDP扫太慢，全扫不现实。SNMP的161端口如果开着，往往能直接读出大量系统信息，比什么漏洞扫描都管用。

版本探测`-sV`要加上`--version-intensity 5`以上的强度，默认的7其实可以再调高到9。有些服务在低强度下识别不出来，比如某些定制化的Web服务跑在非标准端口上，nmap默认可能只报个"unknown"。把强度拉满，配合`--version-trace`看探测过程，经常能拿到意外的指纹信息。操作系统检测`-O`在跨网段场景下准确率会下降，`--osscan-guess`可以让它大胆猜，虽然结果需要人工判断，但比没有强。

脚本引擎是nmap真正拉开差距的地方。`--script=vuln`跑一轮基础漏洞检测，`--script=default`做常规信息收集，这两个可以合并成`--script=default,vuln`。但更实用的做法是针对性地选脚本：看到80端口就上`http-enum`、`http-headers`、`http-methods`；看到445就上`smb-vuln-ms17-010`；看到3306就试`mysql-info`和`mysql-empty-password`。脚本不是越多越好，跑一堆无关脚本只会拖慢速度、制造噪音。

输出格式别只盯着屏幕看。`-oA scan_result`同时生成三种格式，XML那份后面可以喂给Metasploit的`db_import`，直接建起目标数据库。我通常还会加`--reason`参数，让nmap告诉我每个端口状态判断的依据是什么——是收到SYN-ACK还是RST，这在对结果存疑的时候特别有用。

最后说个容易踩的坑：时序模板`-T4`在实验室里跑得飞起，放到生产网络里可能触发IDS告警甚至被封IP。内网渗透用`-T3`比较稳妥，实在赶时间就`-T4`配合`--max-rate`限制发包速率。扫描这件事，稳比快重要。扫得再快，被蓝队盯上了，后面什么都做不了。