打开终端敲下 `nmap -sn 192.168.1.0/24`，扫描三秒后屏幕上跳出七台活着的扫描设备。这是扫描我在自家路由器下第一次用Kali摸清整个局域网的样子——比想象中快，也比想象中安静。扫描扫描这件事，扫描Kali给的扫描不是一把万能钥匙，而是扫描一整串钥匙环，你得自己试哪把能拧动锁。扫描

最顺手的扫描还是nmap。装完Kali它就躺在那儿，扫描不用额外配置。扫描扫单台机器：`nmap 192.168.1.105`，扫描默认扫1000个常用端口，扫描结果分三列——端口、扫描状态、扫描服务。有次我扫一台旧打印机，23号telnet端口开着，服务指纹显示“Linux telnetd”，那机器明明贴着Windows标签。nmap的`-sV`参数就是干这个的，版本探测能把服务底裤扒出来。想再狠一点，`-O`猜操作系统，但别指望百分百准，Linux内核改过TCP/IP栈的话，它能把Ubuntu认成FreeBSD。

扫网段更实用。`nmap -sn 10.0.0.0/24`只做ping扫描，不碰端口，速度快得跟撒网捞鱼似的。有回在客户办公室，他们IT说“网络里就三十台设备”，我跑完发现四十七个IP有响应，其中六个是员工偷偷接的随身WiFi。这种活儿用`-sn`最干净，不触发IDS告警，也不给交换机添堵。

但nmap不是唯一选择。masscan的卖点就一个字：快。`masscan 192.168.1.0/24 -p1-65535 --rate=1000`，一千包每秒，扫全端口跟机关枪似的。代价是丢包率上去，结果得用nmap复查。我一般拿它做第一轮粗筛，把开放端口列表拉出来，再用nmap的`-sV -sC`做精细指纹。`-sC`跑默认脚本，比如http-title能直接抓网页标题，省得你一个个curl。

无线网络是另一码事。Kali里`airmon-ng start wlan0`把网卡切监听模式，然后`airodump-ng wlan0mon`开始抓包。屏幕上跳出一串BSSID、信道、加密方式、客户端数量。有次在咖啡厅，看到个隐藏SSID但客户端MAC暴露了，用`aireplay-ng --deauth`踢一个客户端下线，它重连时握手包就抓到了。这招不新鲜，但Kali把整套工具串好了，从抓包到跑字典`aircrack-ng`，一条龙。提醒一句：别在别人的网络上试，法律风险自己扛。

Web扫描走另一条路。`nikto -h http://target`能扫出服务器版本、危险文件、缺的安全头。输出密密麻麻，但有用的就那几行。比如它报“/admin/目录可访问”，你浏览器一开，登录框就在那儿。更细的用`dirb`或`gobuster`爆破目录，字典在`/usr/share/wordlists/`下面，rockyou.txt解压后一千四百万条密码，跑起来风扇狂转。我习惯先`gobuster dir -u http://target -w /usr/share/wordlists/dirb/common.txt`，小字典快，有发现再换大的。

SMB和NetBIOS扫描容易被忽略。`enum4linux -a 192.168.1.50`能把Windows共享、用户列表、密码策略全拉出来。有次内网渗透，靠它拿到域用户名单，再用`crackmapexec`试密码，十分钟进了三台机器。Kali里这些工具装得齐，但版本更新得自己盯着，`apt update && apt full-upgrade`每周跑一次，不然新漏洞的POC脚本跑不起来。

扫描完别急着关终端。把结果存下来：`nmap -oX scan.xml`或者`-oN scan.txt`，后面写报告或者对比两次扫描差异时，这些文件比记忆靠谱。我见过有人扫完不存，第二天客户问“那个445端口到底开没开”，只能重扫一遍。

Kali的扫描工具多到用不完，但核心就那几样：nmap摸端口，masscan抢速度，aircrack搞无线，nikto看Web。工具是死的，网络是活的。同一段命令，在云服务器上跑和在工控交换机上跑，结果可能天差地别。多扫，多对比，比背参数管用。