nmap 扫一台机器，使用最常用的使用命令就一行：nmap 192.168.1.1。敲下去，使用几秒到几十秒不等，使用它会告诉你这台机器开了哪些端口、使用跑了什么服务、使用操作系统大概是使用什么。很多人第一次跑完看到满屏输出有点懵，使用其实核心信息就三列：端口号、使用状态、使用服务名。使用

默认情况下 nmap 只扫最常见的使用 1000 个端口。想扫全一点，使用加 -p-，使用意思是使用 1 到 65535 全扫一遍。速度会慢不少，扫公网 IP 可能要十几分钟。内网机器快得多，我扫过一台同网段的测试机，全端口大概四十秒出结果。

几个真正高频的参数

-sS 是 TCP SYN 扫描，也是默认行为（有 root 权限时）。它不完成三次握手，发个 SYN 包，对方回 SYN-ACK 就说明端口开着，然后直接 RST 断开。快，而且不容易被应用层日志记录。没有 root 权限时 nmap 会自动退化成 -sT，完整握手，慢一些但一样能用。

-sV 是版本探测。不加这个，nmap 只告诉你 80 端口是 http；加了之后，它可能告诉你跑的是 nginx 1.24.0。这个信息价值高很多，因为老版本往往对应已知漏洞。我习惯性会带上 -sV，多花的时间值得。

-O 是操作系统识别。原理是拿一堆构造好的包去试探 TCP/IP 协议栈的指纹，跟数据库比对。准确率大概七八成，虚拟机有时候会被认成宿主机系统。别太当真，当参考就行。

-A 是个组合拳，等于 -sV -O -sC --traceroute。省事，但慢，而且动静大。扫自己的资产无所谓，扫别人的机器容易被发现。

脚本引擎才是 nmap 的杀手锏

--script 后面跟脚本名，nmap 自带几百个 NSE 脚本。比如 --script=http-title 能把 80 端口的网页标题抓出来，一眼就知道这个站是干什么的。--script=smb-vuln-ms17-010 直接检测永恒之蓝漏洞，扫内网的时候这个脚本救过我好几次——有一台以为早就打过补丁的 Windows Server 2008，跑完发现还是通的，赶紧处理了。

脚本分类可以用通配符，--script=vuln 会跑所有漏洞检测类脚本。效果猛，但可能触发对方 IDS 告警，线上环境慎用。

输出格式别忽略

终端里刷过去就没了，养成存文件的习惯。-oN 存普通文本，-oX 存 XML，-oG 存 grep 友好的格式。我一般三个一起写：-oA scan_result，它会自动生成 .nmap、.xml、.gnmap 三个文件。后面想用 grep 过滤或者丢进别的工具分析都方便。

速度控制也提一句。-T4 是常用的激进模式，内网扫起来很爽。-T5 更快但丢包率上去了，结果可能不准。公网目标建议 -T2 或 -T3，稳一点。还有 --min-rate 可以强制指定每秒发包数，这个比 -T 更精确。

最后说个实际经验：扫之前先 ping 一下确认主机活着，nmap -sn 192.168.1.0/24 可以快速列出整个网段哪些 IP 在线，不做端口扫描。这一步花不了几秒，但能帮你省掉对着一堆死 IP 干等的时间。

(责任编辑：探索)