【2023版】Nmap的概述、安装并进行网络扫描实战

Nmap概述

Nmap(Network Mapper(网络映射器))是一个网络连接端扫描软件，用来扫描网上电脑开放的网络连接端。确定哪些服务运行在哪些连接端，并且推断计算机运行哪个操作系统（这是亦称 fingerprinting）。它是网络管理员必用的软件之一，以及用以评估网络系统安全。

正如大多数被用于网络安全的工具，nmap 也是不少黑客及骇客（又称脚本小子）爱用的工具 。系统管理员可以利用nmap来探测工作环境中未经批准使用的服务器，但是黑客会利用nmap来搜集目标电脑的网络设定，从而计划攻击的方法。

Nmap包含四项基本功能：主机发现（Host Discovery）端口扫描（Port Scanning）版本侦测（Version Detection）操作系统侦测（Operating System Detection）而这四项功能之间，又存在大致的依赖关系（通常情况下的顺序关系，但特殊应用另外考虑），首先需要进行主机发现，随后确定端口状况，然后确定端口上运行具体应用程序与版本信息，然后可以进行操作系统的侦测。而在四项基本功能的基础上，Nmap提供防火墙与IDS（IntrusionDetection System,入侵检测系统）的规避技巧，可以综合应用到四个基本功能的各个阶段；另外Nmap提供强大的NSE（Nmap Scripting Language）脚本引擎功能，脚本可以对基本功能进行补充和扩展。

通常，一个简单的使用ICMP协议的ping操作可以满足一般需求；也可以深入探测UDP或者TCP端口，直至主机所 使用的操作系统；还可以将所有探测结果记录到各种格式的日志中， 供进一步分析操作。

Nmap安装

首先访问Nmap官网，获得windows对应版本的安装包。

根据提示,一直安装即可

软件主界面

可以看出其内置了很多扫描类型，支持查看多种扫描结果，UI界面比较直观

此外，还可以在linux终端内安装，更加灵活。

Nmap使用

查看linux下nmap的帮助信息。(执行命令nmpa -h)

Nmap 7.80 ( https://nmap.org )

Usage: nmap [Scan Type(s)] [Options] {target specification}

可见nmap指令的一般格式是：nmap \[扫描类型(可叠加)\] \[选项\] \[目标\]

其中目标可以有如下格式：

TARGET SPECIFICATION:
Can pass hostnames, IP addresses, networks, etc.
Ex: scanme.nmap.org, microsoft.com/24, 192.168.0.1; 10.0.0-255.1-254
-iL <inputfilename>: Input from list of hosts/networks
-iR <num hosts>: Choose random targets
--exclude <host1[,host2][,host3],...>: Exclude hosts/networks
--excludefile <exclude_file>: Exclude list from file

1
2
3
4
5
6
7
8

其他可以指定的参数(部分)有:

• HOST DISCOVERY: 目标勘测的手段

• SCAN TECHNIQUES: 指定扫描的技术

• PORT SPECIFICATION AND SCAN ORDER: 指定端口和扫描顺序

• SERVICE/VERSION DETECTION: 服务/版本 勘测

• OS DETECTION: 操作系统勘测

参考windows上有UI的nmap版本内置的扫描类型：

---

  Intense scan                  nmap -T4 -A -v www.baidu.com

  Intense scan plus UDP         nmap -sS -sU -T4 -A -v www.baidu.com

  Intense scan, all TCP ports   nmap -p 1-65535 -T4 -A -v www.baidu.com

  Intense scan, no ping         nmap -T4 -A -v -Pn www.baidu.com

  Ping scan                     nmap -sn www.baidu.com

  Quick scan                    nmap -T4 -F www.baidu.com

  Quick scan plus               nmap -sV -T4 -O -F \--version-light www.baidu.com

  Quick traceroute              nmap -sn \--traceroute www.baidu.com

  Regular scan                  nmap www.baidu.com

  Slow comprehensive scan       nmap -sS -sU -T4 -A -v -PE -PP -PS80,443 -PA3389 -PU40125 -PY -g 53 \--script \"default or (discovery and safe)\" www.baidu.com

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

---

利用Nmap实施网络扫描

主机发现

原理

当网络不通时，我们需要ping一下主机，检查网关是否正常，这与主机发现原理一样。当测试目标是一个网络时，在线的主机才是我们的用主机发现的目标，nmap中提供了许多主机发现的方法，大多与TCP/IP协议簇中的协议有关。

• 1、跳过ping扫描阶段：

nmap进行其他扫描之前都会对目标进行一个ping扫描。如果目标对ping 扫描无反应将结束整个扫描过程。这种方法可以跳过那些没有响应的主机，从而节省大量时间，但如果目标在线只是采用某种手段屏蔽了ping 扫描，从而躲过我们的其他扫描操作，我们可以指定无论目标是否响应ping 扫描，毒药将整个扫描过程完整的参数呈现出来；如 nmap -PN 192.168.169.131。

• 2、仅使用ping协议进行主机发现：

有时需要对大量的主机扫描，nmap如果对一个目标主机采取各种手段进行扫描会花费大量时间。这时我们只对目标主机进行扫描。如 nmap -sP 192.168.169.131。

• 3、使用ARP协议进行主机发现：

当目标主机与我们处于同一网段时，使用ARP协议扫描是最佳选择。不仅速度快，扫描结果精准。因为没有任何的安全措施会阻止正常的arp请求。如 nmap -PR 192.168.169.131。

• 4、使用TCP协议进行主机发现：

TCP协议主要是三次握手构成，主动端发送syn报文，被动端回应syn+ack报文，然后主动端回应ack。利用此过程，nmap向目标发送syn报文，如果对方回应了syn+ack则说明在线。半开扫描，如nmap -sS 192.168.169.131。全开扫描，如nmap -sT 192.168.169.131。

• 5、使用UDP协议进行主机发现：

UDP相比较TCP简单，但扫描时并不比TCP协议方便，而且花费时间长，因此这种扫描不常用。如nmap -sU 192.168.169.131。

用法

通常主机发现并不单独使用，而只是作为端口扫描、版本侦测、OS侦测先行步骤。而在某些特殊应用（例如确定大型局域网内活动主机的数量），可能会单独专门适用主机发现功能来完成。

HOST DISCOVERY:
  -sL: List Scan - simply list targets to scan
  -sn: Ping Scan - disable port scan
  -Pn: Treat all hosts as online -- skip host discovery
  -PS/PA/PU/PY[portlist]: TCP SYN/ACK, UDP or SCTP discovery to given ports
  -PE/PP/PM: ICMP echo, timestamp, and netmask request discovery probes
  -PO[protocol list]: IP Protocol Ping
  -n/-R: Never do DNS resolution/Always resolve [default: sometimes]
  --dns-servers <serv1[,serv2],...>: Specify custom DNS servers
  --system-dns: Use OS's DNS resolver
  --traceroute: Trace hop path to each host

1
2
3
4
5
6
7
8
9
10
11
12

其中，比较常用的使用的是-sn，表示只单独进行主机发现过程；-Pn表示直接跳过主机发现而进行端口扫描等高级操作（如果已经确知目标主机已经开启，可用该选项）；-n，如果不想使用DNS或reverse DNS解析，那么可以使用该选项。

操作

命令：nmap -sn IP

端口扫描

原理

nmap向目标主机发送报文并根据返回报文从而认定端口的6种状态。（注意：这六种状态只是namp认为的端口状态，例如：有些主机或者防火墙会返回一些不可靠的报文从而妨碍nmap对端口开放问题的确认）。

• Open（开放的）：端口处于开放状态，意味着目标机器上的应用程序正在该端口监听连接/报文；

• Closed（关闭的）：端口处于关闭状态。这里我们值得注意的是关闭的端口也是可访问的，只是该端口没有应用程序在它上面监听，但是他们随时可能开放；

• Filtered（过滤的）：由于包过滤阻止探测报文到达端口， Nmap 无法确定该端口是否开放。过滤可能来自专业的防火墙设备，路由器规则或者主机上的软件防火墙；

• Unfiltered（未被过滤的）：意味着端口可访问，但 Nmap 不能确定它是开放还是关闭。这种状态和filtered的区别在于：unfiltered的端口能被nmap访问，但是nmap根据返回的报文无法确定端口的开放状态，而filtered的端口直接就没能够被nmap访问。端口被定义为Unfilterd只会发生在TCP ack扫描类型时当返回RST的报文。而端口被定义为filtered 状态的原因是是报文被防火墙设备，路由器规则，或者防火墙软件拦截，无法送达到端口，这通常表现为发送NMAP的主机收到ICMP报错报文，或者主机通过多次重复发送没有收到任何回应）。

• Open|filtered状态：这种状态主要是nmap无法区别端口处于open状态还是filtered状态。这种状态只会出现在open端口对报文不做回应的扫描类型中，如：udp，ip protocol ，TCP null，fin，和xmas扫描类型。

• Closed|filtered状态：这种状态主要出现在nmap无法区分端口处于closed还是filtered时。

用法

扫描方式选项

SCAN TECHNIQUES:
  -sS/sT/sA/sW/sM: TCP SYN/Connect()/ACK/Window/Maimon scans
  -sU: UDP Scan
  -sN/sF/sX: TCP Null, FIN, and Xmas scans
  --scanflags <flags>: Customize TCP scan flags
  -sI <zombie host[:probeport]>: Idle scan
  -sY/sZ: SCTP INIT/COOKIE-ECHO scans
  -sO: IP protocol scan
  -b <FTP relay host>: FTP bounce scan

1
2
3
4
5
6
7
8
9
10

端口参数与扫描顺序：

PORT SPECIFICATION AND SCAN ORDER:
  -p <port ranges>: Only scan specified ports
    Ex: -p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080,S:9
  --exclude-ports <port ranges>: Exclude the specified ports from scanning
  -F: Fast mode - Scan fewer ports than the default scan
  -r: Scan ports consecutively - don't randomize
  --top-ports <number>: Scan <number> most common ports
  --port-ratio <ratio>: Scan ports more common than <ratio>

1
2
3
4
5
6
7
8
9

操作

命令：nmap --sS --sU --T4 --top-ports 300 www.baidu.com

参数：

-sS表示使用TCP SYN方式扫描TCP端口；

-sU表示扫描UDP端口；

-T4表示时间级别配置4级；

–top-ports 300表示扫描最有可能开放的300个端口（TCP和UDP分别有300个端口）。

从上图中，我们看到扫描结果，在扫描的300个端口中，有298个是关闭的；开放的 分别是80和443端口。

版本侦测

原理

版本侦测主要分为以下几个步骤：

• 首先检查open与open|filtered状态的端口是否在排除端口列表内。如果在排除列表，将该端口剔除。

• 如果是TCP端口，尝试建立TCP连接。尝试等待片刻（通常6秒或更多，具体时间可以查询文件nmap-services-probes中Probe TCP NULL q||对应的totalwaitms）。通常在等待时间内，会接收到目标机发送的"WelcomeBanner"信息。nmap将接收到的Banner与nmap-services-probes中NULL probe中的签名进行对比。查找对应应用程序的名字与版本信息。

• 如果通过"Welcome Banner"无法确定应用程序版本，那么nmap再尝试发送其他的探测包（即从nmap-services-probes中挑选合适的probe），将probe得到回复包与数据库中的签名进行对比。如果反复探测都无法得出具体应用，那么打印出应用返回报文，让用户自行进一步判定。

• 如果是UDP端口，那么直接使用nmap-services-probes中探测包进行探测匹配。根据结果对比分析出UDP应用服务类型。

• 如果探测到应用程序是SSL，那么调用openSSL进一步的侦查运行在SSL之上的具体的应用类型。

• 如果探测到应用程序是SunRPC，那么调用brute-force RPC grinder进一步探测具体服务。

用法

SERVICE/VERSION DETECTION:
  -sV: Probe open ports to determine service/version info
  --version-intensity <level>: Set from 0 (light) to 9 (try all probes)
  --version-light: Limit to most likely probes (intensity 2)
  --version-all: Try every single probe (intensity 9)
  --version-trace: Show detailed version scan activity (for debugging)

1
2
3
4
5
6
7

操作

命令：nmap --sV www.baidu.com

从图中可知，本次一个扫描了1000个端口，其中有998个是关闭的。

对开开放的两个端口上的服务进行版本侦测的结如方框内显示。

OS侦测

原理

Nmap使用TCP/IP协议栈指纹来识别不同的操作系统和设备。在RFC规范中，有些地方对TCP/IP的实现并没有强制规定，由此不同的TCP/IP方案中可能都有自己的特定方式。Nmap主要是根据这些细节上的差异来判断操作系统的类型的。

具体实现方式如下：

• Nmap内部包含了2600多已知系统的指纹特征（在文件nmap-os-db文件中）。将此指纹数据库作为进行指纹对比的样本库。

• 分别挑选一个open和closed的端口，向其发送经过精心设计的TCP/UDP/ICMP数据包，根据返回的数据包生成一份系统指纹。

• 将探测生成的指纹与nmap-os-db中指纹进行对比，查找匹配的系统。如果无法匹配，以概率形式列举出可能的系统。

用法

OS DETECTION:
-O: Enable OS detection
--osscan-limit: Limit OS detection to promising targets
--osscan-guess: Guess OS more aggressively

1
2
3
4
5

操作

命令：nmap --O 127.0.0.1

从上图中可看到，指定-O选项后先进行主机发现与端口扫描，根据扫描到端口来进行进一步的OS侦测。获取的结果信息有设备类型，操作系统类型，操作系统的CPE描述，操作系统细节，网络距离等。

最后综合上述命令，对www.baidu.com执行一次加强的快速扫描：

命令： nmap -sV -T4 -O -F --version-light www.cug.edu.cn

通过上述结果，可以看出：

本次侦测共用时5.38s。扫描了一个IP的100个端口，该主机在线。

扫描出5个运行中的服务，类型如上图。

暂时无法准确判断操作系统的类型，但是最有可能是FreeBSD和PC-BSD，对应的概率如上图所示。

1
2
3
4
5
6

安全岗位的大体工作内容或职责

①售后工程师：安全产品的售后服务工作，包括安全产品的交付实施、售后支撑、产品调试上架。比如客户买了咱们的防火墙，咱们要派人去安装调试吧，总不能让客户自己去安装吧。这是产品工程师或者售后工程师的主要工作内容。

②售前工程师：主要是协助销售完成跟单，说的通俗易懂一点就是跟销售配合，一个做商务关系（吃吃喝喝、送礼请客）一个做技术方案（解决客户的痛点），两个人配合拿下项目。

③渗透测试工程师：这个岗位是大多数人梦寐以求的，展现个人技术的时候到了。主要是模拟黑客对目标业务系统进行攻击，点到为止。

④销售：不再赘述，估计你们年轻的人也不太关心，但是等你成长了，你就会发现，你以前的对销售的认知是多么的扯淡。

⑤安全开发工程师：嗯，就是搞开发，要对安全也要了解，比如开发一个web应用防火墙，连web攻击都不懂，那还开发个啥，闭门造车啊，能防的注吗？

⑥安全运维工程师：一个单位买了那么多安全产品，肯定要有人做运维的，分析一下日志，升级一下策略。定期检查一下业务系统的安全性，查看一下内网当中有没有威胁，这都是安全运维工程师要做的内容。

⑦应急响应工程师：客户业务系统被攻击，要快速定位安全问题，要快速恢复业务系统，有的甚至还要取证报警。（家里如果被偷东西价值太大，你还不报警？心咋这么大）

⑧等级保护测评师：按照国家要求，重要的业务系统需要按照安全等级进行保护的，目前国家已经发布了等级保护2.0标准，要按照这个标准进行建设。等级保护测评师的工作就是协助客户检查一下业务系统是否满足等级保护的要求，不满足的赶紧整改。

⑨安全服务工程师：好多企业把渗透测试工程师也归到安全服务工程师里面，无伤大雅。不懂安全服务，还不懂吃饭的服务员嘛，就是协助客户做好安全工作，具体的内容比如常见的漏洞扫描、基线检测、渗透测试、网络架构梳理、风险评估等工作内容。安全服务的面很大的，几乎涵盖了上述所有岗位的内容。

网络安全学习路线&学习资源

网络安全学习路线

这是一份网络安全从零基础到进阶的学习路线大纲全览，小伙伴们记得点个收藏！

阶段一：基础入门

该阶段学完即可年薪15w+

网络安全导论
渗透测试基础
网络基础
操作系统基础
Web安全基础
数据库基础
编程基础
CTF基础

阶段二：技术进阶（到了这一步你才算入门）

该阶段学完年薪25w+

弱口令与口令爆破
XSS漏洞
CSRF漏洞
SSRF漏洞
XXE漏洞
SQL注入
任意文件操作漏洞
业务逻辑漏洞

阶段三：高阶提升

该阶段学完即可年薪30w+

反序列化漏洞
RCE
综合靶场实操项目
内网渗透
流量分析
日志分析
恶意代码分析
应急响应
实战训练

阶段四：蓝队课程

攻防兼备，年薪收入可以达到40w+

蓝队基础
蓝队进阶
该部分主攻蓝队的防御，即更容易被大家理解的网络安全工程师。

阶段五：面试指南&阶段六：升级内容

需要上述路线图对应的网络安全配套视频、源码以及更多网络安全相关书籍&面试题等内容

同学们可以扫描下方二维码获取哦！

学习教程

第一阶段：零基础入门系列教程

第二阶段：学习书籍

第三阶段：实战文档

尾言

最后，我其实要给部分人泼冷水，因为说实话，上面讲到的资料包获取没有任何的门槛。

但是，我觉得很多人拿到了却并不会去学习。

大部分人的问题看似是“如何行动”，其实是“无法开始”。

几乎任何一个领域都是这样，所谓“万事开头难”，绝大多数人都卡在第一步，还没开始就自己把自己淘汰出局了。

如果你真的确信自己喜欢网络安全/黑客技术，马上行动起来，比一切都重要。

特别声明：

此教程为纯技术分享！本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本书的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失。！！！