kalinmap扫描主机

第一次跑kalinmap的扫描时候，我盯着终端里刷出来的主机那串IP列表愣了几秒——192.168.1.1到192.168.1.254，二十三个存活主机，扫描其中十一个开着22端口。主机那是扫描我自己的实验室网段，可我压根不记得什么时候开了这么多SSH服务。主机后来查了半天，扫描发现是主机之前测试Docker时留下的容器，每个都映射了宿主机的扫描22端口。这事儿让我对扫描工具多了几分警惕：你看到的主机，未必是扫描你以为的。

kalinmap这名字听着像nmap的主机变种，实际上它就是扫描个封装脚本，底层调用的主机还是nmap那套引擎。但它的扫描输出格式做了简化，默认只显示存活主机和开放端口，省去了nmap那一大堆服务指纹和脚本扫描的冗余信息。适合快速摸底，不适合深度渗透。我一般用它做第一轮侦察，拿到存活列表后再用nmap -sV做精细识别。

安装没什么好说的，GitHub上clone下来，chmod +x，扔进/usr/local/bin就完事。依赖只有nmap和python3，大部分 Kali 镜像里都预装了。真正需要留意的是扫描参数的选择。默认情况下kalinmap走的是TCP SYN扫描，需要root权限。如果你用普通用户跑，它会自动降级成TCP connect扫描，速度慢一截，而且容易被目标主机的日志记录。

我习惯加 -t 200 参数把并发调到200。局域网里扫一个C段，大概十几秒出结果。公网目标就别这么干了，一是容易触发IDS，二是很多云服务商对SYN扫描有速率限制。有次我扫一个客户的公网段，刚跑三秒就收到阿里云的告警短信，说检测到端口扫描行为。后来改成 -t 20 慢慢磨，才没被掐断。

扫描结果里最值得关注的是那些“意外开放”的端口。比如一台Web服务器开着3306，或者一台数据库主机开着8080。这些往往是运维疏忽留下的入口。我见过最离谱的是一个教育机构的选课系统，22端口对公网开放，root账户还能用弱密码登录。kalinmap扫出来的时候我都不敢信，手动ssh试了一下，真进去了。当然，我什么也没动，直接退了出来，给那边的网管发了封邮件。

关于合法性，得说清楚。未经授权扫描他人主机，在国内属于违法行为，刑法285条写得明明白白。我自己的做法是：只扫自己拥有的资产，或者拿到书面授权后再动手。客户那边通常会给一个IP段和授权书，扫描前我会把授权书打印出来放桌上，万一出事儿能自证清白。别嫌麻烦，这行当里栽跟头的人，多半是心存侥幸。

kalinmap的日志功能做得比较糙，默认只在终端输出，不落盘。想留记录的话得自己重定向：kalinmap -t 200 192.168.1.0/24 > scan_$(date +%Y%m%d).log。我一般还会加个 --open 参数，只显示开放端口的主机，省得在一堆“filtered”里翻来翻去。

最后提一句性能问题。kalinmap在扫描大网段时内存占用会飙升，尤其是用 -p- 扫全端口的时候。我试过扫一个/16的段，跑了半小时，内存吃到4个G，最后被OOM killer干掉了。后来学乖了，分段扫，每次/24，扫完一批歇几秒再扫下一批。机器不是铁打的，工具也不是万能的。

很赞哦!（6695）