目录

用法：nmap [扫描类型] [选项] {目标指定内容}

一、目标指定：

-iL <输⼊⽂件名>

-iR <主机数量>

--exclude <主机 1 [, 主机 2][, 主机 3],...>

--excludefile <排除⽂件>

二、主机发现：

-sL

-sn

-Pn

-PS/PA/PU/PY [端⼝列表]

-PE/PP/PM

-PO [协议列表]

-n/-R

--dns-servers <服务器 1 [, 服务器 2],...>

--system-dns

--traceroute

三、扫描技术：

-sS/sT/sA/sW/sM

-sU

-sN/sF/sX

--scanflags <标志>

-sI <僵⼫主机 [: 探测端⼝]>

-sY/sZ

-sO

-b

四、端口指定及扫描顺序：

-p <端⼝范围>

--exclude-ports <端⼝范围>

-F

-r

--top-ports <数量>

--port-ratio <⽐例>

五、服务 / 版本检测：

-sV

--version-intensity <级别>

--version-light

--version-all

--version-trace

六、脚本扫描：

-sC

--script=

--script-args==v1,[n2=v2,...]>

--script-args-file=filename

--script-trace

--script-updatedb

--script-help=

七、操作系统检测：

-O

--osscan-limit

--osscan-guess

八、定时与性能：

-T<0 - 5>

--min-hostgroup/max-hostgroup <⼤⼩>

--min-parallelism/max-parallelism <探测数量>

--min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <时间>

--max-retries <尝试次数>

--host-timeout <时间>

--scan-delay/--max-scan-delay <时间>

--min-rate <数量>

九、防火墙 / 入侵检测系统规避与欺骗：

-f; --mtu <值>

-D <诱饵 1, 诱饵 2 [, 我⾃⼰],...>

-S

-e <接⼝>

-g/--source-port <端⼝号>

--proxies ,[url2],...>

--data <⼗六进制字符串>

--data-string <字符串>

--data-length <数字>

--ip-options <选项>

--ttl <值>

--spoof-mac

--badsum

十、输出：

-oN/-oX/-oS/-oG <⽂件>

-oA <基本名>

-v

-d

--reason

--open

--packet-trace

--iflist

--append-output

--resume <⽂件名>

--noninteractive

--stylesheet <路径 / URL>

--webxml

--no-stylesheet

十一、其他：

-6

-A

--send-eth/--send-ip

--privileged

--unprivileged

-V

-h

十二、示例：

nmap -v -A scanme.nmap.org

nmap -v -sn 192.168.0.0/16 10.0.0.0/8

nmap -v -iR 10000 -Pn -p 80

# ⽤例

 ⼀、红队渗透步骤

主机发现

端口扫描

详细信息扫描

# 原理

一、没有nmap进行主机发现(Linux bash命令为例)

二、没有nmap进行端口扫描

1. 使用进行旧版nc端口扫描

---

可以传入主机名、IP 地址、网络等。

例如： scanme.nmap.org 、 microsoft.com/24 、192.168.0.1；10.0.0 - 255.1 - 254

-iL <输⼊⽂件名>

：从主机 / ⽹络列表中读取输⼊内容。

-iR <主机数量>

：随机选择⽬标主机。

--exclude <主机 1 [, 主机 2][, 主机 3],...>

：排除指定的主机 / ⽹络。

--excludefile <排除⽂件>

：从⽂件中的列表排除相关内容。

-sL

：列表扫描 - 仅列出要扫描的⽬标。

-sn

：Ping 扫描 - 禁⽤端⼝扫描。

-Pn

：将所有主机视为在线状态 - 跳过主机发现步骤。

-PS/PA/PU/PY [端⼝列表]

：对给定端⼝进⾏ TCP SYN/ACK、UDP 或 SCTP 发现操作。

-PE/PP/PM

：ICMP 回显、时间戳和⼦⽹掩码请求发现探测。

-PO [协议列表]

：IP 协议 Ping。

-n/-R

：从不进⾏ DNS 解析 / 总是进⾏ DNS 解析（默认：有时进⾏）。

--dns-servers <服务器 1 [, 服务器 2],...>

：指定⾃定义 DNS 服务器。

--system-dns

：使⽤操作系统的 DNS 解析器。

--traceroute

：追踪到每个主机的跃点路径。

-sS/sT/sA/sW/sM

：TCP SYN/Connect ()/ACK/Window/Maimon 扫描。

-sU

：UDP 扫描。

-sN/sF/sX

：TCP Null、FIN 和 Xmas 扫描。

--scanflags <标志>

：⾃定义 TCP 扫描标志。

-sI <僵⼫主机 [: 探测端⼝]>

：空闲扫描。

-sY/sZ

：SCTP INIT/COOKIE-ECHO 扫描。

-sO

：IP 协议扫描。

-b <FTP 中继主机>

：FTP 反弹扫描。

-p <端⼝范围>

：仅扫描指定的端⼝。

例如：-p22；-p1 - 65535；-p U:53,111,137,T:21 - 25,80,139,8080,S:9

--exclude-ports <端⼝范围>

：从扫描中排除指定的端⼝。

-F

：快速模式 - 扫描的端⼝⽐默认扫描的要少。

-r

：按顺序扫描端⼝ - 不随机排列。

--top-ports <数量>

：扫描 <数量> 个最常⻅的端⼝。

--port-ratio <⽐例>

：扫描⽐ <⽐例> 更常⻅的端⼝。

-sV

：探测开放端⼝以确定服务 / 版本信息。

--version-intensity <级别>

：设置从 0（轻度）到 9（尝试所有探测）的强度。

--version-light

：限制为最有可能的探测（强度为 2）。

--version-all

：尝试每⼀个单独的探测（强度为 9）。

--version-trace

：显⽰详细的版本扫描活动（⽤于调试）。

-sC

：等同于 --script=default。

--script=<Lua 脚本>

：<Lua 脚本> 是⼀个由逗号分隔的⽬录、脚本⽂件或脚本类别列表。

--script-args=<n1=v1,[n2=v2,...]>

：为脚本提供参数。

--script-args-file=filename

：在⽂件中提供 NSE 脚本参数。

--script-trace

：显⽰所有发送和接收的数据。

--script-updatedb

：更新脚本数据库。

--script-help=<Lua 脚本>

：显⽰关于脚本的帮助信息。

<Lua 脚本> 是⼀个由逗号分隔的脚本⽂件或脚本类别列表。

-O

：启⽤操作系统检测。

--osscan-limit

：将操作系统检测限制在有希望的⽬标上。

--osscan-guess

：更积极地猜测操作系统。

选项中涉及的 <时间> 单位为秒，或者可以在数值后附加 'ms'（毫秒）、's'（秒）、'm'（分钟）或 'h'（小

时）（例如 30m）。

-T<0 - 5>

：设置定时模板（数值越⾼速度越快）。

--min-hostgroup/max-hostgroup <⼤⼩>

：并⾏主机扫描组的⼤⼩。

--min-parallelism/max-parallelism <探测数量>

：探测并⾏化。

--min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <时间>

：指定探测往返时间。

--max-retries <尝试次数>

：限制端⼝扫描探测的重传次数。

--host-timeout <时间>

：在经过这段时间后放弃对⽬标的扫描。

--scan-delay/--max-scan-delay <时间>

：调整探测之间的延迟。

--min-rate <数量>

：每秒发送数据包的速度不低于 <数量>。

-f; --mtu <值>

：对数据包进⾏分⽚（可指定 MTU 值）。

-D <诱饵 1, 诱饵 2 [, 我⾃⼰],...>

：⽤诱饵掩盖扫描。

-S <IP 地址>

：伪造源地址。

-e <接⼝>

：使⽤指定的接⼝。

-g/--source-port <端⼝号>

：使⽤给定的端⼝号。

--proxies <url1,[url2],...>

：通过 HTTP/SOCKS4 代理转发连接。

--data <⼗六进制字符串>

：在发送的数据包上附加⾃定义负载。

--data-string <字符串>

：在发送的数据包上附加⾃定义 ASCII 字符串。

--data-length <数字>

：在发送的数据包上附加随机数据。

--ip-options <选项>

：发送带有指定 IP 选项的数据包。

--ttl <值>

：设置 IP ⽣存时间字段。

--spoof-mac <MAC 地址 / 前缀 / ⼚商名称>

：伪造你的 MAC 地址。

--badsum

：发送带有错误 TCP/UDP/SCTP 校验和的数据包。

-oN/-oX/-oS/-oG <⽂件>

：分别以普通、XML、脚本⼩⼦、可搜索格式将扫描结果输出到给定的⽂件名 中。

-oA <基本名>

：同时以三种主要格式输出。

-v

：提⾼详细程度级别（使⽤ -vv 或更⾼级别可获得更强效果）。

-d

：提⾼调试级别（使⽤ -dd 或更⾼级别可获得更强效果）。

--reason

：显⽰端⼝处于特定状态的原因。

--open

：只显⽰开放（或可能开放）的端⼝。

--packet-trace

：显⽰所有发送和接收的数据包。

--iflist

：打印主机接⼝和路由（⽤于调试）。

--append-output

：追加到指定的输出⽂件⽽不是覆盖它们。

--resume <⽂件名>

：恢复⼀个中断的扫描。

--noninteractive

：禁⽤通过键盘进⾏的运⾏时交互。

--stylesheet <路径 / URL>

：将 XML 输出转换为 HTML 的 XSL 样式表。

--webxml

：参考 Nmap.org

上的样式表以获得更具可移植性的 XML。

--no-stylesheet

：防⽌将 XSL 样式表与 XML 输出关联。

-6

：启⽤ IPv6 扫描。

-A

：启⽤操作系统检测、版本检测、脚本扫描和追踪路由。--datadir <⽬录名>

：指定⾃定义 Nmap 数据⽂件的位置。

--send-eth/--send-ip

：使⽤原始以太⽹帧或 IP 数据包发送。

--privileged

：假设⽤⼾具有完全的特权。

--unprivileged

：假设⽤⼾没有原始套接字特权。

-V

：打印版本号。

-h

：打印此帮助概要⻚⾯。

nmap -v -A scanme.nmap.org

：详细地对 scanme.nmap.org

进⾏操作系统检测、版本检测、脚

本扫描和追踪路由。

nmap -v -sn 192.168.0.0/16 10.0.0.0/8

：详细地对 192.168.0.0/16 和 10.0.0.0/8 ⽹段进⾏ Ping 扫描

（不进⾏端⼝扫描）。

nmap -v -iR 10000 -Pn -p 80

：详细地随机选择 10000 个⽬标，将所有⽬标视为在线状态，只扫描端⼝ 80。

使用nmap进行分阶段分任务的扫描，避免流量过大，让目标服务器发现

主机发现

nmap -sn 127.0.0.0/24

端口扫描

nmap -sT --min-rate 10000 -p- 127.0.0.1 -oA nmapsc/ports

1.扫描⽅式：-sS与-sT

-sS以SYN包的形式，-sT以TCP三次握⼿的形式

-sS扫描速度更快但不稳定，-sT相对较慢但是稳定

2.--min-rate 指定最⼩发包速率

3.-p 指定ip 后⾯的-是 1-65535端⼝的缩写，不写的话就会扫描nmap默认的⼏个端⼝

4.-o 格式化输出 后⾯的A是all的缩写，或将所有形式输出 但是⼀般的不会有多种形式输出

详细信息扫描

nmap -sT -sV -sC -O -p22,80,443 127.0.0.1 -oA nmapsc/detail

该扫描是比较重的扫描所以指定发现端口。

1.-sV 扫描各服务的版本2.-sC 使⽤nmap默认脚本进⾏扫描

3.-O 扫描⽬标机器的操作系统

udp扫描

namp -sU --top-ports 20 127.0.0.1 -oA nmapsc/udp

该扫描是对UDP协议进行发现，避免遗漏信息丢失攻击面

1.-sU 使⽤UDP的扫描⽅式

2.--top-ports 20 针对常⻅的20个端⼝进⾏扫描

脚本扫描

nmap --script=vuln -p22,80,443 127.0.0.1 -oA nmapsc/vuln

使用脚本进行漏洞扫描,vuln是nmap中默认扫描漏洞的一个常用脚本。

nmap -sn 192.169.3.0/24 其实是封装的系统的ping命令

for i in {1..254};do ping -c 1 -W 1 192.168.3.$i;done

解析：-c ->count数量 1 -W ->超时时间 1

bash循环语法: for i in {};do 命令;done

执行后发现Ctrl+c并不能停止，这里涉及到控制台信号的知识

可以按下Ctrl+z让这些命令放到后台去执行

然后输入命令 kill -9 %1 (%1是指最近执行的命令，结束进程)

进一步进行筛选优化执行(使用grep进行特征筛选)

for i in {1..254};do ping -c 1 -W 1 192.168.3.$i | grep from;done

1. 使用进行旧版nc端口扫描

nmap --min-rate 1000 -p- 192.168.3.100

使用旧版nc进行端口扫描

kali中旧版nc使用 (并用来进行端口扫描) (1-65535中找就相当于大海捞针所以就必须对信息进行过滤)

nc.teaditional -vv -z 192.168.3.120 1-65535

解析: -vv 详细信息输出 -z 零数据传输

所以需要搜索出一些开放的端口和一些未开放的端口，筛选出文本特征，然后利用grep进行筛选

nc.teaditional -vv -z 192.168.3.120 1-65535 2>&1| grep -v refused

解析: grep 后面的 -v ,是反向的意思，就是将匹配到refused的数据删除。

2>&1 是⼀个重定向操作，它的作⽤是将标准错误输出（ 2 ）重定向到标准输出（ 1 ）的位置。这样做的⽬的是把原本会输出到标准错误输出（通常是显⽰错误信息等）的内容也合并到标准输出流中，以 便后续可以统⼀进⾏处理。

2.使用伪设备进行端口扫描

for i in {1..65535};do (echo < /dev/tcp/192.168.3.120/$i) &>/dev/null && printf " [+]The Open Port is:%d " "$i" || printf ".";done

解析：&& 需要前面的命令成功执行才会执行后面的命令