深夜两点，扫描我盯着屏幕上那台报错的端口路由器，随手敲下 nmap -sV 192.168.1.1。漏洞三秒后返回的扫描端口列表里，23号端口敞开着——telnet，端口明文传输密码的漏洞老古董。这年头还开telnet的扫描网络设备，跟没锁门的端口保险柜没区别。

nmap不是漏洞魔法棒，它就是扫描个端口扫描器。但高手用起来，端口能把它变成透视镜。漏洞核心原理简单粗暴：向目标主机发送探测包，扫描根据回应判断哪些端口开放、端口运行什么服务、漏洞版本号多少。漏洞往往藏在版本号里——OpenSSH 7.2有CVE-2016-6210，Apache 2.4.49有目录穿越漏洞。版本号就是目标的指纹，对照漏洞库一查，攻击路径直接画在脸上。

去年帮朋友排查公司服务器，nmap扫出8080端口挂着旧版Jenkins。版本号2.204，存在未授权访问漏洞。利用脚本一把梭，直接拿到后台管理权限。整个过程不到十分钟，朋友在旁边看得目瞪口呆。我没告诉他的是，这活儿在暗网上收费五百美元起步。企业花几十万买的防火墙，挡不住一个过期的插件。

用nmap有个反直觉的细节：-T4参数比-T0更不容易被发现。慢速扫描看似隐蔽，但长时间占用连接会触发入侵检测系统的阈值告警。快扫反而像正常流量里的噪音，混过去了。这跟小偷撬锁一个道理——在门口磨蹭半小时的，比三秒开锁的更惹人注意。

端口扫描只是第一步，真正的技术活在于解读结果。开放22端口的Linux服务器，和开放445端口的Windows机器，后续攻击路径天差地别。nmap的-sC参数会跑默认脚本，但默认脚本只覆盖常见漏洞。上次扫描一个IoT设备，nmap报出开放端口80和443，但没提示任何漏洞。我手动用--script=http-title一看，后台管理页面直接暴露在公网，密码还是admin/admin。nmap没报漏洞，不代表没漏洞，它只是照出门口的路，门后面的东西得自己踹。

最讽刺的是，nmap本身也常被攻击者用来踩点。安全运维拿它自查，黑客拿它侦察，同一把螺丝刀，有人修水管有人拆承重墙。用-O参数做操作系统指纹识别时，nmap会发送13种精心构造的TCP包，靠响应差异猜出目标系统——这种手法在攻击链里叫"踩点"，在防守方叫"资产盘点"。区别只在于你坐在哪一边。

写这篇东西的时候，我又扫了一遍自家路由器。23端口居然还开着，上次改配置时忘了关。你看，工具不背锅，懒才背锅。