内容摘要：打开终端敲下 nmap -sS 192.168.1.1，三秒后回显的端口列表能直接决定一次渗透测试的走向。Kali 里预装的扫描工具不止 nmap 一个，但它是绝大多数人第一个记住名字的。原因不复杂：

打开终端敲下 nmap -sS 192.168.1.1，端口三秒后回显的扫描端口列表能直接决定一次渗透测试的走向。Kali 里预装的工具扫描工具不止 nmap 一个，但它是端口绝大多数人第一个记住名字的。原因不复杂：快、扫描准、工具脚本多。端口我见过有人用 masscan 扫全网段，扫描结果漏掉了一个开着 8080 的工具 Tomcat 管理后台，最后还是端口得回头用 nmap 补一遍。

nmap 的扫描默认扫描其实挺克制。不加参数直接跑，工具它只会扫最常见的端口 1000 个端口，而且用的扫描是 TCP SYN 半开扫描——需要 root 权限，因为要自己构造 SYN 包。工具普通用户跑的话自动降级成 connect 扫描，慢一截，但也能用。区别在哪？SYN 扫描不会完成三次握手，目标日志里留下的痕迹更少。做内网评估的时候，这个细节往往决定你会不会被蓝队的蜜罐逮住。

端口状态有六种：open、closed、filtered、unfiltered、open|filtered、closed|filtered。新手最容易懵的是 filtered——通常意味着有防火墙在丢包，而不是端口关了。closed 反而是好事，说明主机活着，只是那个端口没服务。我习惯先跑一轮 nmap -sn 192.168.1.0/24 做主机发现，把死 IP 剔掉，再对活着的机器做全端口扫描。-p- 扫 65535 个端口，速度取决于网络，内网千兆环境下大概两分钟能出结果。

速度控制是个坑。-T4 是很多人默认会加的，但遇到老旧的 Cisco 设备或者某些工控网关，T4 的并发直接把人家的管理接口打挂过。我自己的习惯是内网用 -T4，跨网段或者对稳定性要求高的目标降到 -T3。真要快，--min-rate 1000 比调 timing 模板更直接，但别在公网目标上这么干，ISP 的流量清洗不是闹着玩的。

服务识别靠 -sV。这个参数会让 nmap 跟目标端口建立连接，发送探针，然后比对指纹库。有时候扫出来 Apache httpd 2.4.49，脑子里立刻就能关联到 CVE-2021-41773 那个路径穿越漏洞。版本号后面带问号的，说明指纹匹配度不高，得手动连上去看 banner。-sC 是另一回事，它跑的是默认脚本集，能直接告诉你目标是不是开了 SMB 签名、有没有暴露的 Redis 未授权。这两个参数一起用——-sV -sC——基本是 Kali 里最常用的组合。

UDP 扫描是另一个世界。-sU 慢得让人想砸键盘，因为 UDP 是无连接的，nmap 只能靠 ICMP 端口不可达消息来判断关闭状态。很多防火墙直接不回应，结果就是 open|filtered。扫 UDP 我一般只针对特定端口，比如 161（SNMP）、500（IKE）、123（NTP），全端口 UDP 扫描在生产环境里基本等于自残。

脚本引擎是 nmap 真正拉开差距的地方。--script 后面可以跟类别，比如 vuln 跑所有漏洞检测脚本，或者指定单个脚本名。smb-vuln-ms17-010 这个脚本我用了不下五十次，扫出来永恒之蓝的概率在内网里高得离谱。脚本输出有时候太长，加 -oN 存成文本，回头 grep 关键词比在终端里翻屏舒服得多。

masscan 适合大网段快速摸底。masscan 10.0.0.0/8 -p0-65535 --rate 100000 能在几分钟内扫完一个 A 类网段，但它的服务识别能力约等于没有。我通常用 masscan 找开放端口，把结果导成列表，再喂给 nmap 做详细探测。zmap 更极端，适合做互联网范围的统计研究，日常渗透用不上。

Kali 里还有个 nc，严格说不是端口扫描器，但 nc -zv 192.168.1.1 20-30 这种用法在只需要确认几个端口通不通的时候比 nmap 轻快得多。别小看它，应急响应时手边没有 nmap 的情况下，bash 的 /dev/tcp 伪设备也能凑合扫端口。

扫描这件事，工具只是表象。真正决定结果的是你对目标网络拓扑的理解——知道哪里有防火墙、哪里做了 NAT、哪台机器是跳板。nmap 的输出再详细，也替代不了对业务流量的分析。我见过太多人对着扫描结果里一堆 open 端口发呆，却不知道哪个才是真正的入口。