nmap教程

凌晨两点，教程我对着屏幕上那台开着的教程服务器发呆。防火墙日志里全是教程来自同一IP的扫描记录，端口21、教程22、教程80、教程443挨个试了一遍。教程我猜对方用的教程是nmap，但猜不出他具体敲了哪条命令。教程后来我自己装了nmap，教程第一件事就是教程把那个IP扫了个底朝天——结果发现对方只是个跑wordpress的菜鸟，连SSH都忘了关。教程工具本身没有善恶，教程关键在于你怎么用它。教程

nmap最基础的教程用法就一句话：nmap 目标IP。它会默认扫1000个常用端口，返回open、closed或filtered三种状态。open意味着端口有服务在监听，closed代表主机活着但端口没开，filtered多半是防火墙拦了。我第一次扫自己家路由器时，看到80端口open还激动了一下，结果打开是个登录页，默认密码admin/admin，我赶紧改了。

光扫端口不够，你得知道服务版本。加个-sV参数，nmap会主动跟服务握手，探测具体版本号。比如nmap -sV 192.168.1.1，它会告诉你“OpenSSH 7.4”而不是干巴巴的“22/tcp open”。这招对付老漏洞特别管用——我见过一台跑着OpenSSH 5.3的旧服务器，网上直接能搜到CVE-2018-15473，用户名枚举漏洞，改两行配置就能防，但那管理员愣是没管。

操作系统识别是另一大功能，参数-O。nmap通过TCP/IP栈指纹猜系统，比如TTL值、窗口大小这些细节。扫出来“Linux 2.6.x”或者“Windows 10”并不稀奇，但偶尔会给你惊喜——有次我扫一台打印机的IP，结果显示“Apple AirPort基站”，我笑了半天，那玩意儿明明是个老式HP激光打印机。

别老盯着单台机器。扫整个网段用CIDR写法：nmap 192.168.1.0/24。这能让你一眼看全内网所有活跃主机。配合-sn参数只做ping扫描，不碰端口，速度快得多。我习惯先-sn摸清有多少设备在线，再挑重点机器做详细扫描。有一次扫出公司网段里藏着个树莓派，连的WiFi还是员工自己架的，后来发现是运维偷偷跑了个内网穿透服务，用来远程摸鱼。

防火墙绕过是个实战话题。默认扫描容易被IDS报警，试试-sS（SYN半开扫描），只发SYN包不完成握手，日志里少很多痕迹。但半开扫描需要root权限，普通用户得用-sT全连接。还有个冷门参数-f，把探测包分片，能骗过部分简单防火墙。我试过对某云主机用-f -sS，对方防火墙日志里只看到零碎的小包，完全没触发告警。

脚本引擎（NSE）才是nmap真正的灵魂。参数--script后面跟脚本名，比如--script vuln会跑一堆漏洞检测脚本。我常用--script http-title批量抓网页标题，快速判断一堆IP上跑的是什么服务。还有--script smb-enum-shares能枚举Windows共享文件夹，曾经在一个测试环境里直接扫出个没设密码的共享目录，里面躺着一份员工工资表。

输出格式别忽略。加-oA result会同时生成三种格式：普通文本、XML和grepable，方便后续处理。我习惯用-oN纯文本存log，再用grep命令筛关键词。比如扫完整个网段后，grep "open" result.nmap直接列出所有开放端口，比肉眼翻屏快十倍。

最后说个坑：别拿nmap乱扫公网IP。我认识一个哥们，出于好奇扫了某政府网站，半小时后家里宽带就被运营商断了，还接到电话警告。工具无罪，但使用者的行为得自己负责。内网测试、自己的服务器、CTF靶场——这些才是nmap该待的地方。

扫完记得关掉不必要的端口。我见过太多人用nmap扫描时兴奋不已，却忘了自己机器上开着个默认密码的Redis。扫描器从来不是万能钥匙，它只是面镜子，照出你网络里那些没关的门。

(责任编辑：焦点)