nmap全端口扫描

默认情况下，全端nmap只扫1000个端口。口扫这1000个端口是全端nmap维护的一份热门端口列表，覆盖了大多数常见服务。口扫但如果你真的全端想摸清一台机器上到底开了哪些门，这1000个端口远远不够。口扫65535个端口，全端一个不落地扫一遍，口扫才叫全端口扫描。全端

命令本身简单得有点朴素：

nmap -p- 192.168.1.1

-p- 这个写法等价于 -p 1-65535。口扫敲下去，全端nmap会从端口1开始，口扫一个不跳地扫到65535。全端我习惯加上 -T4 提速，口扫不加的全端话默认 -T3 在广域网目标上慢得让人想砸键盘。有一次我扫一台内网服务器，不加 -T4 跑了将近四十分钟，加了之后压缩到六分钟左右。差距就是这么直白。

但快有快的代价。-T4 会加大并发和缩短超时，在链路质量差的目标上容易丢包，结果就是漏报——某个端口明明开着，nmap报filtered或者干脆没列出来。我吃过这个亏。一次扫一台跨机房的机器，-T4 扫出来只开了22和80，后来用 -T2 重扫，发现8080上跑着一个Jenkins。差点误判。

全端口扫描的耗时主要花在两个地方：被防火墙丢弃的端口要等超时，以及65535次往返本身的累积延迟。前者比后者更致命。如果目标主机对未开放端口直接回RST，扫描飞快；如果防火墙静默丢包，每个端口都要等到超时时间耗尽才标记为filtered。65535个端口乘以几秒的超时，你自己算。

所以实际干活的时候，我通常分两步走。先用 --min-rate 拉高发包速率做一轮快速扫描：

nmap -p- --min-rate 5000 -T4 192.168.1.1 -oG scan_fast.txt

--min-rate 5000 的意思是每秒至少发5000个包，不管目标回不回。这样一轮下来通常一两分钟就能出结果。然后针对快速扫描报出来的开放端口，再做一轮精细扫描，加上版本探测和默认脚本：

nmap -sV -sC -p 22,80,3306,8080 192.168.1.1

这个组合拳打下来，既不会漏掉高位端口上的冷门服务，也不会在版本识别上花冤枉时间。

有个细节容易被忽略：UDP端口。上面说的全是TCP。UDP全端口扫描是另一个维度的痛苦。UDP没有三次握手，nmap只能靠发探测包然后等ICMP端口不可达消息来判断端口状态。目标不回ICMP，nmap就不知道端口是开着还是被过滤了。扫65535个UDP端口，在大多数环境下是不现实的。我一般只扫常见的UDP端口，比如53、161、123、500这几个，用 -sU 指定就行。真要全扫UDP，做好等几个小时的准备。

另一个坑是 -p- 和 -p 1-65535 在某些nmap版本上的行为差异。老版本nmap里 -p- 可能不包含端口0，虽然端口0理论上保留不用，但有些奇葩设备还真在上面跑东西。我遇到过一次，一台工控设备在端口0上开了个调试接口。用 -p 0-65535 才扫出来。这种案例极少，但存在。

扫全端口的时候，输出量会很大。65535行结果里绝大多数是closed或者filtered。用 -oG 输出grepable格式，然后 grep open 过滤，比在终端里翻屏高效得多。或者用 --open 参数让nmap只显示开放端口，眼不见心不烦。

最后说一个实际感受：全端口扫描与其说是一项技术操作，不如说是一场耐心和判断力的拉锯。你需要在速度与准确性之间找平衡点，需要根据目标环境调整参数，需要对扫出来的结果保持合理的怀疑。工具是死的，端口是活的。同一个IP，今天扫和明天扫，结果可能完全不同。定期重扫，比一次扫得多仔细都重要。

(责任编辑：焦点)