nmap渗透测试工具的主要功能有

我第一次用nmap是在一台老旧的CentOS虚拟机上。敲下nmap -sT 192.168.1.1，测试屏幕滚出一行行端口状态，工具功那一瞬间的渗透感觉比玩游戏还带劲。后来干渗透测试这行，测试nmap几乎成了我每天都要摸一遍的工具功家伙。它的渗透功能远不止“扫端口”这么简单，但很多人就停在这一步。测试

主机发现：先搞清楚谁在线

渗透测试最怕什么？工具功对着一个不存在的IP折腾半天。nmap的渗透主机发现功能就是帮你省这种冤枉力气。-sn参数（老版本叫-sP）做ping扫描，测试不碰端口，工具功只判断目标是渗透否存活。我习惯先跑一遍nmap -sn 10.0.0.0/24，测试整个C段谁开着、工具功谁关机，一目了然。有一回客户说内网有台Web服务器，我扫完发现那个IP压根没响应，后来才知道是防火墙把ICMP全吞了。这时候换-PS发TCP SYN包去探，或者-PE用ICMP echo，总有一种能撬开沉默。

端口扫描：核心中的核心

端口扫描是nmap的看家本事。默认的SYN扫描（-sS）速度快、隐蔽性好，半开连接不完成三次握手，很多老式IDS根本记不下来。但你要是没root权限，只能退回-sT全连接扫描，慢是慢点，至少能跑。我见过有人用-sU扫UDP端口，扫了三个小时才出结果——UDP就是这样，没响应不代表关着，可能只是被过滤了。所以-sU通常配合--max-retries和--host-timeout一起用，不然等到天亮。

端口范围也得心里有数。-p 1-65535全扫当然爽，但时间成本摆在那。实战里我常先--top-ports 1000快速过一遍，再针对开放端口做深入。有一次扫一台暴露在公网的Redis，默认端口6379没开，我差点放弃，后来顺手加了-p-全端口扫，发现它跑在36379上。这种非标端口，不扫全根本逮不着。

服务与版本识别：知道端口后面站的是谁

光知道80端口开着没用，得知道跑的是Apache还是Nginx，版本多少。-sV就是干这个的。它会发一系列探针，比对nmap-service-probes数据库，把服务名和版本号揪出来。我印象很深的一次，扫出一台服务器22端口显示OpenSSH 7.4，查了下CVE，正好有个用户枚举漏洞，后面利用起来顺理成章。如果-sV结果模糊，加--version-intensity 9把强度拉满，虽然慢，但识别率明显上去。

操作系统探测：猜出对面跑什么系统

-O参数做OS指纹识别，原理是分析TCP/IP协议栈的细微差异——TTL、窗口大小、DF位这些。准确率嘛，看情况。对Linux服务器通常挺准，Windows偶尔会串。我试过扫一台Windows Server 2016，nmap报成Windows 10，其实内核版本太接近了，不怪它。真要确认，还得结合-sV里服务版本反推。比如看到Microsoft IIS httpd 10.0，基本就是Windows Server 2016/2019没跑。

NSE脚本引擎：nmap的杀手锏

NSE（Nmap Scripting Engine）是我最喜欢的功能，没有之一。Lua写的脚本，几百个现成的，从漏洞探测到暴力破解到信息收集全包。--script=vuln跑一遍，常见的ms17-010、http-shellshock都能查。有次我拿http-enum扫目录，意外发现一个/backup/路径，里面躺着整站源码压缩包。还有smb-os-discovery，对Windows域环境特别管用，能直接吐出主机名、域、甚至当前时间。自己写脚本也不难，改改现成的就能用。不过注意，有些脚本动静大，--script-args传参的时候小心别把目标搞崩。

输出与格式化：别扫完就关终端

nmap支持-oN普通文本、-oX XML、-oG grepable格式。我习惯-oA一把梭，三种格式全存下来。XML丢给Metasploit的db_import，grepable用awk快速过滤开放端口，文本留着写报告。有一次客户要资产清单，我直接把-oG结果用脚本转成CSV，省了手工整理的两小时。

nmap的功能还在长。新版本加了--script的更新机制，nmap --script-updatedb一条命令同步最新脚本库。这东西不花哨，但扎实。渗透测试里你可以不用Burp，不用sqlmap，但nmap几乎绕不开。它就像一把瑞士军刀——不一定每样工具都最锋利，但关键时刻总能找到能用的那一把。