nmap你看我这篇就够了

💻 Nmap 扫描技术与原理详解

一、端口的六种状态（Port States）

Nmap 通过分析对发送探测包的响应来确定端口状态。

二、TCP 头部标志位（Flags）详解

TCP 标志位是 Nmap 高级扫描技术（如 Null、FIN、XMAS 扫描）的核心。

三、主机发现（Host Discovery）原理与命令

主机发现（也称 Ping 扫描）是确定目标网络中哪些主机在线的过程。-sn选项禁用端口扫描，只进行主机发现。

1. 局域网内（Local Network）主机发现

• 原理：ARP 请求 (Address Resolution Protocol)

  • 为什么有效？ARP 属于 OSI 模型的链路层，只在局域网内（同一子网）有效。Nmap 发出 ARP 请求询问哪个 MAC 地址拥有该 IP，在线主机直接用 MAC 地址回复。

  • 优点：无法被防火墙阻止（防火墙通常工作在三层及以上），最可靠。

• 命令：nmap -PR -sn <目标网络/CIDR>

  • -PR: 强制使用 ARP Ping 扫描。

2. 局域网外（External Network）主机发现

• 默认流程：Nmap 尝试使用ICMP Echo Request (Ping)和TCP ACK或SYN探测 80 端口。

• ICMP Ping 请求 (-PE)

  • 原理：发送 ICMP Echo Request（标准的 Ping 包）。如果主机在线，会回复 Echo Reply。

  • 问题：现代系统（如 Windows）和网络防火墙经常过滤ICMP Echo Request，导致判断失误。

• TCP SYN/ACK 请求 (-PS/-PA)

  • 原理：

    • -PS(SYN Ping)：发送 SYN 包到常见端口（默认 80）。如果在线，会回复 SYN-ACK 或 RST。

    • -PA(ACK Ping)：发送 ACK 包到常见端口（默认 80）。如果在线且未被防火墙过滤，会回复 RST。

  • 优点：比 ICMP 难被防火墙阻止，因为它模拟了正常的 TCP 流量。

• UDP 探测 (-PU)

  • 原理：发送空的 UDP 报文到常见端口。

  • 响应：如果端口关闭，目标会回复ICMP 端口不可达。如果端口开放或被过滤，通常无响应(Open|Filtered)。收到“端口不可达”则可确定主机在线。

四、核心扫描技术（Port Scanning Techniques）

1. 隐蔽性扫描（Evasion Scans）

这些扫描利用 TCP 协议的特殊行为来绕过一些简单的防火墙和 IDS。

• 空扫描 (Null Scan)→ \to→-sN

  • 标志位：URG=0, ACK=0, PSH=0, RST=0, SYN=0, FIN=0 \text{URG=0, ACK=0, PSH=0, RST=0, SYN=0, FIN=0}URG=0, ACK=0, PSH=0, RST=0, SYN=0, FIN=0(所有标志位为 0)。

  • 原理：发送一个不包含任何标志位的 TCP 包。

  • 判断：

    • Open:无响应（符合 RFC 793 规范）。

    • Closed:目标返回RST包。

• FIN 扫描→ \to→-sF

  • 标志位：FIN=1 \text{FIN=1}FIN=1(仅设置 FIN 标志)。

  • 原理：发送一个只设置了 FIN 标志的 TCP 包。

  • 判断：

    • Open:无响应（符合 RFC 793 规范）。

    • Closed:目标返回RST包。

• XMAS 扫描→ \to→-sX

  • 标志位：FIN=1, PSH=1, URG=1 \text{FIN=1, PSH=1, URG=1}FIN=1, PSH=1, URG=1(FIN, PSH, URG 标志全设置，像圣诞树灯饰)。

  • 原理：发送一个设置了 FIN/PSH/URG 的 TCP 包。

  • 判断：

    • Open:无响应。

    • Closed:目标返回RST包。

🔔 注意：并非所有操作系统（尤其是 Windows）都严格遵守 RFC 793，它们可能会对 Null/FIN/XMAS 扫描的开放端口返回 RST 包，导致隐蔽扫描失败。

2. 防火墙探测扫描

• TCP ACK 扫描→ \to→-sA

  • 标志位：ACK=1 \text{ACK=1}ACK=1(仅设置 ACK 标志)。

  • 原理：发送一个只设置了 ACK 标志的 TCP 包。

  • 目标响应：

    • 无防火墙：端口 Open/Closed 都会回复RST→ \to→Nmap 报告Unfiltered (未过滤)。

    • 有状态防火墙（阻止）：防火墙丢弃 ACK 包→ \to→无响应→ \to→Nmap 报告Filtered (已过滤)。

  • 用途：无法判断端口开放状态，但是判断防火墙是否存在及其状态的最有效方法。

• 窗口扫描→ \to→-sW

  • 标志位：ACK=1 \text{ACK=1}ACK=1(类似 ACK 扫描)。

  • 原理：检查返回的RST包中的TCP 窗口大小字段。

  • 判断：

    • Open:RST 包中的窗口大小≠ 0 \ne 0=0(非零)。

    • Closed:RST 包中的窗口大小≈ 0 \approx 0≈0(零或很小)。

  • 用途：在一些老旧或特定系统上，可以通过窗口大小区分 Open/Closed。不适用于有防火墙的环境。

五、高级隐蔽与逃逸技术

六、常用 Nmap 选项速查表

如果你想要查看更详细的命令请点击https://nmap.org/
在你的一开始练习中这篇笔记绝对够用，整理了三四天。nmap的功能非常强大，点个赞吧制作不易。