适用场景
Nmap（Network Mapper）是网络安全领域最核心的端口扫描和网络探测工具，适用于渗透测试、企业内网安全审计、暴露面梳理和合规检查。本教程面向安全工程师、系统管理员和DevOps人员，帮助掌握从基础端口扫描到服务识别、OS指纹检测和NSE漏洞脚本使用的完整技能链。
前置条件
- 已安装Nmap（本文基于7.95版本）；安装命令：
sudo apt install -y nmap - 具备目标资产扫描的合法授权
- root或sudo权限（部分扫描类型需要）
- 基本的TCP/IP协议知识
原理说明
Nmap的核心原理是通过向目标主机发送精心构造的网络数据包，根据响应包的特征推断目标开放端口、运行服务、操作系统类型等信息。Nmap支持多种扫描类型：TCP SYN扫描（半连接扫描，速度快且隐蔽，默认模式发SYN包，收到SYN/ACK则端口开放）、TCP Connect扫描（完整三次握手，需要root权限，更可靠但易被日志记录）、UDP扫描（发送空UDP包，根据ICMP不可达响应判断端口状态）和Ping扫描（用于主机发现）。NSE（Nmap Scripting Engine）脚本引擎使Nmap具备漏洞检测能力，内置600+安全脚本。
操作步骤
步骤1：主机发现（资产梳理）
# 扫描整个C段，发现存活主机
nmap -sn 192.168.1.0/24
# 输出：Nmap done: 256 IP addresses (15 hosts up)
# 跳过Ping，直接扫描（绕过防火墙ICMP过滤）
nmap -Pn 192.168.1.0/24
# 使用ARP扫描（同一网段更快）
nmap -PR 192.168.1.0/24步骤2：端口扫描（核心功能）
# TCP SYN扫描（默认，需root权限）
nmap -sS 192.168.1.100
# 输出示例：22/tcp open ssh, 80/tcp open http, 3306/tcp open mysql
# 自定义端口范围
nmap -p 1-10000 192.168.1.100
# 扫描常见高危端口
nmap -p 21,22,23,25,53,80,443,3306,3389,5432,6379,27017 192.168.1.100
# 全端口扫描（65535个端口，较慢，需指定--max-retries和-T参数加速）
nmap -p- --max-retries 1 -T4 192.168.1.100
# UDP端口扫描（检查DNS、SNMP等服务）
nmap -sU -p 53,161,162,500,1194 192.168.1.100步骤3：服务版本与操作系统识别
# 服务版本探测（-sV）
nmap -sV 192.168.1.100
# 输出示例：80/tcp open http Apache httpd 2.4.57
# 操作系统指纹识别（-O，需root）
nmap -O 192.168.1.100
# 输出：Aggressive OS guesses: Linux 5.x (95%), Linux 4.x (91%)
# 综合扫描（版本+OS+脚本）
nmap -sV -O --osscan-guess 192.168.1.100
# 增加--traceroute显示路由路径
nmap -sV --traceroute 192.168.1.100步骤4：NSE漏洞脚本扫描（关键）
# 常用漏洞脚本分类扫描
# 扫描安全配置问题
nmap --script=vuln 192.168.1.100
# 扫描弱口令
nmap --script=auth 192.168.1.100
# 扫描特定CVE
nmap -p 80 --script=http-vuln-cve2024-* 192.168.1.100
# 针对Web服务的全面安全检查
nmap -p 80,443 --script=http-* 192.168.1.100
# 扫描默认凭证和常见漏洞
nmap -p 3306 --script=mysql-* 192.168.1.100
nmap -p 6379 --script=redis-* 192.168.1.100
nmap -p 27017 --script=mongodb-* 192.168.1.100
# SSL/TLS安全检测
nmap --script=ssl-enum-ciphers -p 443 192.168.1.100
nmap --script=ssl-heartbleed -p 443 192.168.1.100步骤5：规避检测与隐秘扫描
# 分片扫描（绕过简单包过滤防火墙）
nmap -f 192.168.1.100
# 指定源端口（某些防火墙信任1024以下端口）
nmap --source-port 53 192.168.1.100
# 伪装MAC地址
nmap --spoof-mac 00:11:22:33:44:55 192.168.1.100
# IDLE隐蔽扫描（通过僵尸机扫描，极难溯源）
nmap -sI <僵尸机IP> 192.168.1.100
# 调整扫描速度（T0最慢T5最快）
nmap -T2 192.168.1.100 # 慢速但不易被检测
nmap -T4 192.168.1.100 # 快速（默认）步骤6：输出报告
# 输出为可搜索文件
nmap -oN scan_result.txt 192.168.1.100
# XML格式（可用工具解析）
nmap -oX scan_result.xml 192.168.1.100
# HTML报告
nmap -oA full_scan 192.168.1.100 # 同时输出Normal/XML/Grepable三种格式
# 使用xsltproc将XML转为HTML报告
xsltproc scan_result.xml -o scan_report.html配置验证
# 验证Nmap版本
nmap --version
# 对比不同扫描方式的结果差异
nmap -sT -p 22,80,443 localhost # Connect扫描
nmap -sS -p 22,80,443 localhost # SYN扫描（需sudo）
# 验证NSE脚本可用性
nmap --script-updatedb # 更新NSE脚本数据库
ls /usr/share/nmap/scripts/ | wc -l # 查看脚本总数（通常600+）常见问题
Q1：扫描结果显示所有端口都是filtered（过滤）状态是什么原因？
这通常由以下原因导致：1）防火墙配置了默认DROP策略，所有未明确允许的端口都被丢弃；2）目标主机开启了IPtables且配置了DROP规则；3）网络存在IPS/IDS设备拦截了扫描流量。解决方案：尝试使用-sT（TCP Connect模式）代替-sS，或使用-Pn -n跳过主机发现和DNS解析，或改用-f分片绕过包过滤规则。
Q2：Nmap漏洞扫描（–script=vuln）没有发现任何漏洞，是否代表系统安全？
绝对不代表。NSE vuln脚本覆盖的CVE有限（约200+个），且大部分检测的是已知的高危或公开漏洞。Nmap未发现漏洞只能说明不存在已知公开且可被NSE检测的漏洞。真实环境中还有逻辑漏洞、0day漏洞、配置不当（如目录遍历、敏感信息泄露）等问题。建议将Nmap与专业漏洞扫描器（如Nessus、OpenVAS）和人工渗透测试结合使用。
总结
Nmap是安全从业者必须掌握的基础工具，从资产发现到端口扫描、服务识别再到漏洞检测，一条命令可完成多个安全评估阶段的工作。实战中建议采用渐进式扫描策略：先快速发现存活主机（-sn），再针对开放端口做精细服务识别（-sV），最后运行NSE脚本做漏洞检测（--script=vuln）。务必牢记：未经授权扫描可能违法，所有操作必须在合法授权范围内进行。