Linux Nmap 命令解析

简介

Nmap（Network Mapper）是一款开源的网络探测和安全审核工具。它设计用于快速扫描大型网络，但也适合对单个主机进行各种检查。Nmap 由 Gordon Lyon（又名 Fyodor）编写，并首次发布于 1997 年。

Nmap 的核心功能

主机发现

主机发现是确定哪些主机在网络上活跃并响应的过程。

端口扫描

端口扫描用于发现目标主机上开放的 TCP 和 UDP 端口。

服务版本检测

服务版本检测可以确定端口上运行的应用程序及其版本信息。

OS 指纹识别（操作系统指纹识别）

通过发送特定的数据包序列并分析响应，Nmap 能够推断出目标系统可能运行的操作系统。

操作系统指纹识别，具体参考：nmap os detection原理及golang实现

脚本扫描

Nmap 提供了一个强大的脚本引擎（NSE），可以使用特定的脚本来发现额外的网络信息，或者检测和利用漏洞。

安装 Nmap

Nmap 在大多数 Linux 发行版中都可以通过包管理器轻松安装：

# Debian/Ubuntu 系统:
sudo apt-get install nmap# Red Hat/CentOS 系统:
sudo yum install nmap# Fedora 系统:
sudo dnf install nmap

Nmap 命令结构

基本命令格式如下：

nmap [扫描类型...] [选项] {目标规范}

其中，“扫描类型”定义了将执行的扫描方法，“选项”可用于进一步定制扫描，而“目标规范”指定了要扫描的目标。

Nmap 命令文档

nmap -h

英文

Nmap 7.80 ( https://nmap.org )
Usage: nmap [Scan Type(s)] [Options] {target specification}
TARGET SPECIFICATION:Can pass hostnames, IP addresses, networks, etc.Ex: scanme.nmap.org, microsoft.com/24, 192.168.0.1; 10.0.0-255.1-254-iL <inputfilename>: Input from list of hosts/networks-iR <num hosts>: Choose random targets--exclude <host1[,host2][,host3],...>: Exclude hosts/networks--excludefile <exclude_file>: Exclude list from file
HOST DISCOVERY:-sL: List Scan - simply list targets to scan-sn: Ping Scan - disable port scan-Pn: Treat all hosts as online -- skip host discovery-PS/PA/PU/PY[portlist]: TCP SYN/ACK, UDP or SCTP discovery to given ports-PE/PP/PM: ICMP echo, timestamp, and netmask request discovery probes-PO[protocol list]: IP Protocol Ping-n/-R: Never do DNS resolution/Always resolve [default: sometimes]--dns-servers <serv1[,serv2],...>: Specify custom DNS servers--system-dns: Use OS's DNS resolver--traceroute: Trace hop path to each host
SCAN TECHNIQUES:-sS/sT/sA/sW/sM: TCP SYN/Connect()/ACK/Window/Maimon scans-sU: UDP Scan-sN/sF/sX: TCP Null, FIN, and Xmas scans--scanflags <flags>: Customize TCP scan flags-sI <zombie host[:probeport]>: Idle scan-sY/sZ: SCTP INIT/COOKIE-ECHO scans-sO: IP protocol scan-b <FTP relay host>: FTP bounce scan
PORT SPECIFICATION AND SCAN ORDER:-p <port ranges>: Only scan specified portsEx: -p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080,S:9--exclude-ports <port ranges>: Exclude the specified ports from scanning-F: Fast mode - Scan fewer ports than the default scan-r: Scan ports consecutively - don't randomize--top-ports <number>: Scan <number> most common ports--port-ratio <ratio>: Scan ports more common than <ratio>
SERVICE/VERSION DETECTION:-sV: Probe open ports to determine service/version info--version-intensity <level>: Set from 0 (light) to 9 (try all probes)--version-light: Limit to most likely probes (intensity 2)--version-all: Try every single probe (intensity 9)--version-trace: Show detailed version scan activity (for debugging)
SCRIPT SCAN:-sC: equivalent to --script=default--script=<Lua scripts>: <Lua scripts> is a comma separated list ofdirectories, script-files or script-categories--script-args=<n1=v1,[n2=v2,...]>: provide arguments to scripts--script-args-file=filename: provide NSE script args in a file--script-trace: Show all data sent and received--script-updatedb: Update the script database.--script-help=<Lua scripts>: Show help about scripts.<Lua scripts> is a comma-separated list of script-files orscript-categories.
OS DETECTION:-O: Enable OS detection--osscan-limit: Limit OS detection to promising targets--osscan-guess: Guess OS more aggressively
TIMING AND PERFORMANCE:Options which take <time> are in seconds, or append 'ms' (milliseconds),'s' (seconds), 'm' (minutes), or 'h' (hours) to the value (e.g. 30m).-T<0-5>: Set timing template (higher is faster)--min-hostgroup/max-hostgroup <size>: Parallel host scan group sizes--min-parallelism/max-parallelism <numprobes>: Probe parallelization--min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <time>: Specifiesprobe round trip time.--max-retries <tries>: Caps number of port scan probe retransmissions.--host-timeout <time>: Give up on target after this long--scan-delay/--max-scan-delay <time>: Adjust delay between probes--min-rate <number>: Send packets no slower than <number> per second--max-rate <number>: Send packets no faster than <number> per second
FIREWALL/IDS EVASION AND SPOOFING:-f; --mtu <val>: fragment packets (optionally w/given MTU)-D <decoy1,decoy2[,ME],...>: Cloak a scan with decoys-S <IP_Address>: Spoof source address-e <iface>: Use specified interface-g/--source-port <portnum>: Use given port number--proxies <url1,[url2],...>: Relay connections through HTTP/SOCKS4 proxies--data <hex string>: Append a custom payload to sent packets--data-string <string>: Append a custom ASCII string to sent packets--data-length <num>: Append random data to sent packets--ip-options <options>: Send packets with specified ip options--ttl <val>: Set IP time-to-live field--spoof-mac <mac address/prefix/vendor name>: Spoof your MAC address--badsum: Send packets with a bogus TCP/UDP/SCTP checksum
OUTPUT:-oN/-oX/-oS/-oG <file>: Output scan in normal, XML, s|<rIpt kIddi3,and Grepable format, respectively, to the given filename.-oA <basename>: Output in the three major formats at once-v: Increase verbosity level (use -vv or more for greater effect)-d: Increase debugging level (use -dd or more for greater effect)--reason: Display the reason a port is in a particular state--open: Only show open (or possibly open) ports--packet-trace: Show all packets sent and received--iflist: Print host interfaces and routes (for debugging)--append-output: Append to rather than clobber specified output files--resume <filename>: Resume an aborted scan--stylesheet <path/URL>: XSL stylesheet to transform XML output to HTML--webxml: Reference stylesheet from Nmap.Org for more portable XML--no-stylesheet: Prevent associating of XSL stylesheet w/XML output
MISC:-6: Enable IPv6 scanning-A: Enable OS detection, version detection, script scanning, and traceroute--datadir <dirname>: Specify custom Nmap data file location--send-eth/--send-ip: Send using raw ethernet frames or IP packets--privileged: Assume that the user is fully privileged--unprivileged: Assume the user lacks raw socket privileges-V: Print version number-h: Print this help summary page.
EXAMPLES:nmap -v -A scanme.nmap.orgnmap -v -sn 192.168.0.0/16 10.0.0.0/8nmap -v -iR 10000 -Pn -p 80
SEE THE MAN PAGE (https://nmap.org/book/man.html) FOR MORE OPTIONS AND EXAMPLES

中文

Nmap 7.80 ( https://nmap.org )
用法：nmap [扫描类型] [选项] {目标指定}
目标指定：可以传递主机名、IP地址、网络等。例如：scanme.nmap.org, microsoft.com/24, 192.168.0.1; 10.0.0-255.1-254-iL <输入文件名>：从主机/网络列表中输入-iR <主机数>：随机选择目标--exclude <主机1[,主机2][,主机3],...>：排除主机/网络--excludefile <排除文件>：从文件中排除列表
主机发现：-sL：列表扫描 - 仅列出要扫描的目标-sn：Ping扫描 - 禁用端口扫描-Pn：将所有主机视为在线 - 跳过主机发现-PS/PA/PU/PY[portlist]：对给定端口进行TCP SYN/ACK, UDP或SCTP发现-PE/PP/PM：ICMP回声请求，时间戳和网络掩码请求探测-PO[协议列表]：IP协议Ping-n/-R：从不进行DNS解析/总是解析[默认：有时]--dns-servers <服务器1[,服务器2],...>：指定自定义DNS服务器--system-dns：使用操作系统的DNS解析器--traceroute：追踪到每个主机的跳点路径
扫描技术：-sS/sT/sA/sW/sM：TCP SYN/Connect()/ACK/Window/Maimon扫描-sU：UDP扫描-sN/sF/sX：TCP Null, FIN, 和 Xmas扫描--scanflags <标志>：自定义TCP扫描标志-sI <僵尸主机[:探测端口]>：空闲扫描-sY/sZ：SCTP INIT/COOKIE-ECHO扫描-sO：IP协议扫描-b <FTP中继主机>：FTP弹跳扫描
端口规范和扫描顺序：-p <端口范围>：仅扫描指定端口例如：-p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080,S:9--exclude-ports <端口范围>：从扫描中排除指定端口-F：快速模式 - 扫描的端口少于默认扫描-r：连续扫描端口 - 不随机化--top-ports <数字>：扫描最常见的<数字>个端口--port-ratio <比率>：扫描比<比率>更常见的端口
服务/版本检测：-sV：探测开放端口以确定服务/版本信息--version-intensity <级别>：从0（轻量）到9（尝试所有探针）设置--version-light：限制最可能的探针（强度2）--version-all：尝试每一个探针（强度9）--version-trace：显示详细的版本扫描活动（用于调试）
脚本扫描：-sC：相当于 --script=default--script=<Lua脚本>：<Lua脚本>是一个以逗号分隔的目录、脚本文件或脚本类别列表--script-args=<n1=v1,[n2=v2,...]>：向脚本提供参数--script-args-file=filename：在文件中提供NSE脚本参数--script-trace：显示发送和接收的所有数据--script-updatedb：更新脚本数据库。--script-help=<Lua脚本>：显示关于脚本的帮助。<Lua脚本>是一个以逗号分隔的脚本文件或脚本类别列表。
操作系统检测：-O：启用操作系统检测--osscan-limit：将操作系统检测限制为有希望的目标--osscan-guess：更积极地猜测操作系统
计时和性能：接受<time>的选项单位是秒，或者在数值后面添加'ms'（毫秒）、's'（秒）、'm'（分钟）或'h'（小时），例如30m。-T<0-5>：设置计时模板（数字越大速度越快）--min-hostgroup/max-hostgroup <size>：并行主机扫描组的大小--min-parallelism/max-parallelism <numprobes>：探针并行化--min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <time>：指定探针往返时间。--max-retries <tries>：限制端口扫描探针重传的次数。--host-timeout <time>：在这段时间后放弃目标主机--scan-delay/--max-scan-delay <time>：调整探针之间的延迟--min-rate <number>：发送包的速度不低于每秒<number>个--max-rate <number>：发送包的速度不高于每秒<number>个
防火墙/IDS规避与伪装：-f; --mtu <val>：分片数据包（可选择给定MTU）-D <decoy1,decoy2[,ME],...>：使用诱饵隐藏扫描-S <IP_Address>：伪造源地址-e <iface>：使用指定接口-g/--source-port <portnum>：使用指定端口号--proxies <url1,[url2],...>：通过HTTP/SOCKS4代理转发连接--data <hex string>：向发送的数据包附加自定义有效载荷--data-string <string>：向发送的数据包附加自定义ASCII字符串--data-length <num>：向发送的数据包附加随机数据--ip-options <options>：发送带有指定IP选项的数据包--ttl <val>：设置IP生存时间字段--spoof-mac <mac address/prefix/vendor name>：伪造您的MAC地址--badsum：发送带有错误的TCP/UDP/SCTP校验和的数据包
输出：-oN/-oX/-oS/-oG <file>：分别以普通、XML、s|<rIpt kIddi3、可搜索格式输出扫描结果到指定文件名。-oA <basename>：同时以三种主要格式输出-v：提高详细等级（使用-vv或更多获得更大效果）-d：提高调试等级（使用-dd或更多获得更大效果）--reason：显示端口处于特定状态的原因--open：仅显示开放的（或可能开放的）端口--packet-trace：显示所有发送和接收的数据包--iflist：打印主机接口和路由（用于调试）--append-output：附加到指定的输出文件而不是覆盖--resume <filename>：恢复中断的扫描--stylesheet <path/URL>：XSL样式表将XML输出转换为HTML--webxml：引用Nmap.Org的样式表以获得更便携的XML--no-stylesheet：阻止将XSL样式表与XML输出关联
杂项：-6：启用IPv6扫描-A：启用操作系统检测、版本检测、脚本扫描和路由追踪--datadir <dirname>：指定自定义Nmap数据文件位置--send-eth/--send-ip：使用原始以太网帧或IP数据包发送--privileged：假设用户具有完全权限--unprivileged：假设用户缺乏原始套接字权限-V：打印版本号-h：打印此帮助摘要页面。
示例：nmap -v -A scanme.nmap.orgnmap -v -sn 192.168.0.0/16 10.0.0.0/8nmap -v -iR 10000 -Pn -p 80
查看手册页（https://nmap.org/book/man.html）了解更多选项和示例

主机发现

Ping 扫描

Ping 扫描用于确定哪些主机正在响应 ICMP 请求，示例如下：

nmap -sn 192.168.1.0/24

这将对 192.168.1.x 的所有地址执行 Ping 扫描，其中 x 是从 0 到 255 的任意值。

也可以对单个地址扫描：

nmap -sn 192.168.1.116

ARP 扫描

局域网中，ARP（地址解析协议）扫描通常比标准 ICMP ping 更有效，命令如下：

nmap -PR 192.168.1.0/24

对单个地址扫描：

nmap -PR 192.168.1.116

关于nmap -PR（ARP Ping Scan）和nmap -Pn（No Ping Scan）

在Nmap中，-PR 和 -Pn 是两个不同的扫描选项，它们用于不同的场景：

-PR ARP Ping Scan

-PR 选项告诉Nmap使用ARP请求来确定本地网络上的主机是否活跃。这种方法非常适合局域网内部，因为ARP请求无法跨过路由器，所以它只对本地子网有效。当想确认本地网络（同一广播域）中某个IP地址是否被占用时，使用-PR是合适的。

如果尝试对一个响应ARP但是不响应ICMP的设备进行-PR扫描，且结果显示"Host seems down"，可能是因为该设备设置了防火墙规则来忽略或阻止ARP请求，或者Nmap没有正确地发送或接收ARP回应。这种情况下，可能需要检查你的网络设置或该设备的安全配置。

-Pn No Ping Scan

-Pn 选项告诉Nmap跳过发现阶段，直接执行端口扫描等后续操作。它假定目标主机是活跃的，不会先检测主机是否在线。这个选项适用于目标主机可能屏蔽了所有类型的ping探针（包括ICMP、ARP、TCP和UDP）的情况。

当使用-Pn选项时，即使目标主机关闭了对ICMP、ARP等探针的响应，Nmap也会尝试连接目标主机的端口来判断其在线状态。这种方法适用于任何网络环境，包括本地网络和跨越路由器的远程网络。

示例

nmap -Pn 192.168.1.215

此命令将对IP地址192.168.1.215执行扫描，不管目标主机是否响应任何形式的探针。

总结

如果确定是在本地网络上，并且知道目标主机可能会响应ARP请求，则使用-PR是合理的。如果-PR报告说主机看起来已经关闭，而怀疑主机实际上是开着的并且可能只是屏蔽了ARP请求，那么你可以尝试使用-Pn来绕过主机发现阶段，直接进行端口扫描。这样，即使ARP发现失败，仍然有机会通过观察端口的响应来确定主机是否在线。

端口扫描

常见的端口扫描类型

• -sT：TCP 连接扫描
• -sS：SYN 扫描
• -sU：UDP 扫描
• -sA：ACK 扫描
• -sN、-sF、-sX：NULL、FIN 和 Xmas 扫描
• -sP：不扫描端口

示例：SYN 扫描

SYN 扫描是最流行的扫描类型，因为它快速且在网络上的隐蔽性较高：

nmap -sS 192.168.1.1

这将对 IP 地址为 192.168.1.1 的主机执行 SYN 扫描。

服务版本检测

使用 -sV 参数启动服务版本检测：

nmap -sV 192.168.1.1

这会对目标主机进行端口扫描，并尝试确定每个开放端口上运行的服务及其版本。

OS 指纹识别

OS 指纹识别可以通过 -O 参数启动：

nmap -O 192.168.1.1

这将提供关于目标主机操作系统的猜测。

使用 Nmap 脚本引擎 (NSE)

Nmap 具有广泛的脚本库，可用于进行更复杂的网络探测。运行特定的脚本，可以使用 --script 参数：

nmap --script=http-title 192.168.1.1

这将运行 http-title 脚本，该脚本会抓取 HTTP 服务的标题。

输出和报告

Nmap 支持多种输出格式，包括普通文本、XML 和 grepable 格式。

文本输出

默认情况下，Nmap 以文本形式输出到控制台。

XML 输出

XML 输出可以被许多其他工具用于进一步处理，命令如下：

nmap -oX output.xml 192.168.1.1

Grepable 输出

Grepable 格式便于使用文本处理工具如 grep 进行搜索，命令如下：

nmap -oG output.grep 192.168.1.1

高级技术

防火墙绕过

某些 Nmap 扫描技术可用于绕过防火墙，例如碎片扫描（-f）或者自定义 MTU（--mtu）。

时间和性能

调整扫描速度与准确性之间的平衡，可以使用 -T 选项，它接受从 0（最慢）到 5（最快）的值。

脚本参数

向 NSE 脚本传递参数可以使用 --script-args 选项，这样可以定制脚本的行为。

安全性和合法性

使用 Nmap 进行扫描时，必须遵守当地法律和政策。未经授权扫描他人网络或设备可能违反法律。

结语

Nmap 是网络管理员和安全专家的重要工具。它的灵活性和强大功能使其成为评估网络安全状态的理想选择。正确使用 Nmap 可以帮助识别和缓解网络安全风险。