网络安全（一）：信息收集之玩转nmap（理论篇） - IT评测·应用市场-qidao123.com技术社区

Nmap 7.93 (https://nmap.org)
用法：nmap [扫描类型] [选项] {要扫描的目标}
扫描的目标：
可以是主机名、IP 地址、网络等。
#(可以使用逗号,指定不连续的ip段减号-指定连续ip段斜杠/指定掩码星号*代表全部)
例如：scanme.nmap.org、microsoft.com/24、192.168.0.1; 10.0.0-255.1-254
-iL <inputfilename>：从文件中读取要扫描的主机列表
-iR <主机数量>：选择随机目标 #0为无限生成
--exclude <host1[,host2][,host3],...>：要排除的主机/网络
--excludefile <exclude_file>：从文件中选择要排除的主机列表
主机发现：
-sL：列表扫描 - 打印主机的列表(对域名进行扫描时，可以得到IP列表 )
-sn： Ping 扫描，同时禁用端口扫描，用来检查主机存活状态。
-Pn：禁用 Ping 扫描，默认所有主机都是存活状态
-PS/PA/PU/PY[端口列表]：对指定的端口通过 TCP SYN/ACK、UDP 或 SCTP 扫描来发现主机
-PE/PP/PM：对指定的端口通过 ICMP、时间戳和网络掩码请求发现和探测主机
-PO[协议列表]： IP 协议 Ping
-n/-R：不进行DNS解析/ 进行DNS解析 [默认]
--dns-servers <serv1[,serv2],...>：指定自定义 DNS 服务器
--system-dns：使用操作系统的 DNS 解析器
--traceroute：跟踪每个主机的跃点路径
扫描技术：
-sS/sT/sA/sW/sM： TCP SYN / Connect() / ACK / Window / Maimon 扫描
-sU： UDP 扫描
-sN/sF/sX： TCP Null、FIN 和 Xmas 扫描
--scanflags <flags>：自定义 TCP 扫描标志
-sI <僵尸主机[:僵尸端口]>：空闲扫描
-sY/sZ： SCTP INIT/COOKIE-ECHO 扫描
-sO： IP 协议扫描
-b <FTP 中继主机>： FTP 反弹扫描
指定扫描端口、扫描顺序：
-p <端口范围>：只扫描指定的端口
例如：-p22； -p1-65535； -p U:53,111,137,T:21-25,80,139,8080,S:9
--exclude-ports <端口范围>：从扫描中排除指定端口
-F：快速模式。扫描比默认扫描更少的端口
-r：连续扫描端口。不要随机化，即按顺序扫描端口
--top-ports <number>：扫描<number>个最常用的端口
--port-ratio <ratio>：扫描比<ratio>更常见的端口
服务/版本检测：
-sV：探测开放端口以确定服务/版本信息
--version-intensity <level>：设置从 0（轻）到 9（尝试所有探针）
--version-light：限制最可能的探测（强度 2）
--version-all：尝试每一个探测（强度 9）
--version-trace：显示详细的版本扫描活动（用于调试）
脚本扫描：
-sC：相当于--script=default
--script=<Lua scripts>: 使用脚本进行扫描，多个脚本时用逗号分隔，支持通配符。
--script-args=<n1=v1,[n2=v2,...]>：为脚本提供参数
--script-args-file=filename：从文件中提供 NSE 脚本参数
--script-trace：显示所有发送和接收的数据
--script-updatedb：更新脚本数据库。
--script-help=<Lua 脚本>：显示有关脚本的帮助。
操作系统检测：
-O：启用操作系统检测
--osscan-limit：将操作系统检测限制为有希望的目标
--osscan-guess：更积极地猜测操作系统
时间和性能：
默认是秒，也可以 “ms”（毫秒），'s'（秒）、'm'（分钟）或 'h'（小时）到值（例如 30m）。
-T<0-5>：设置时序模板（越高扫描速度越快，但是准确性降低）
--min-hostgroup/max-hostgroup <size>：并行主机扫描组大小
--min-parallelism/max-parallelism <numrobes>：探针并行化
--min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <时间>：指定探测往返时间。
--max-retries <tries>：限制端口扫描探测重传的次数。
--host-timeout <time>: 多长时间后放弃目标
--scan-delay/--max-scan-delay <time>：调整探针之间的延迟
--min-rate <number>：每秒发送数据包不低于 <number>
--max-rate <number>：每秒发送数据包的速度不超过 <number>
防火墙/IDS 逃避和欺骗：
-f; --mtu <val>: 分片数据包（可选地 w/给定的 MTU）
-D <诱饵IP1,诱饵IP2[,本机IP],...>：使用诱饵隐藏扫描。即发送参杂着假ip的数据包检测
-S <IP 地址>：欺骗源地址。就是伪造源主机IP地址。
-e <网络接口>：指定从哪个网卡发送和接收数据包。
-g/--source-port <portnum>：使用给定的端口号。针对防火墙只允许的源端口
--proxies <url1,[url2],...>: 通过 HTTP/SOCKS4 代理中继连接
--data <hex string>：将自定义有效负载附加到发送的数据包
--data-string <string>：将自定义 ASCII 字符串附加到发送的数据包中
--data-length <num>：将随机数据附加到发送的数据包中。
改变发生数据包的默认的长度，防止被识别出来。
--ip-options <options>：发送带有指定ip选项的数据包
--ttl <val>：设置 IP 生存时间字段
--spoof-mac <mac地址/前缀/供应商名称>：欺骗你的MAC地址
--badsum：发送带有虚假 TCP/UDP/SCTP 校验和的数据包
输出：
-oN/-oX/-oS/-oG <file>：扫描结果写入到文件。
正常，XML，s|<rIpt kIddi3，Grepable 格式，
-oA <basename>：一次输出三种主要格式
-v：增加详细程度（使用 -vv 或更多以获得更好的效果）
-d：增加调试级别（使用 -dd 或更多以获得更好的效果）
--reason：显示端口处于特定状态的原因
--open：仅显示打开（或可能打开）的端口
--packet-trace：显示所有发送和接收的数据包
--iflist：打印主机接口和路由（用于调试）
--append-output：附加到而不是破坏指定的输出文件
--resume <文件名>：恢复中止的扫描
--noninteractive：通过键盘禁用运行时交互
--stylesheet <path/URL>：将 XML 输出转换为 HTML 的 XSL 样式表
--webxml：参考 Nmap.Org 的样式表以获得更便携的 XML
--no-stylesheet：防止 XSL 样式表与 XML 输出相关联
杂项：
-6：启用 IPv6 扫描
-A：也叫全面扫描。操作系统检测、版本检测、脚本扫描和跟踪路由。
--datadir <dirname>：指定自定义 Nmap 数据文件位置
--send-eth/--send-ip：使用原始以太网帧或 IP 数据包发送
--privileged：假设用户拥有完全特权
--unprivileged：假设用户缺乏原始套接字权限
-V：打印版本号
-h：打印此帮助摘要页。
有关更多选项和示例，请参见手册页 (https://nmap.org/book/man.html)

复制代码

# 直接单台主机ip，当然直接使用域名也可以，就是不怎么灵活而已
nmap 192.168.1.1
# 直接使用/掩码，扫描网段内全部ip
nmap 192.168.1.1/24
# 使用,指定对象，一般针对于不连续的网段
nmap 192.168.2.1,10,172,192,254
# 使用-选择连续的范围
nmap 192.168.3.1-255
# 使用*选择本段全部,和0-255一样
nmap 192.168.4.*
# ,/-*四者可以任意结合起来使用
nmap 192.168.1,2,3.*
nmap 192.168.1-192,240.1/24

复制代码

# 比如你指定了大范围内的ip，但是某些ip你又想排除,后面可以无限写
nmap 192.168.1.1/24 --exclude 192.168.1.1 192.168.1.100

复制代码

┌──(kali㉿kali)-[~]
└─$ nmap -sL 192.168.24.1/30 -dns-servers 192.168.28.8
Starting Nmap 7.93 ( https://nmap.org ) at 2022-10-26 22:39 EDT
Nmap scan report for 192.168.24.0
Nmap scan report for redmiAX6(192.168.1.1)
Nmap scan report for xiaomi10s(192.168.24.2)
Nmap scan report for 192.168.24.3Nmap done: 4 IP addresses (2 hosts up) scanned in 0.01 seconds

复制代码

┌──(kali㉿kali)-[~]
└─$ nmap -sP 192.168.24.1-100
Starting Nmap 7.93 ( https://nmap.org ) at 2022-10-26 23:14 EDT
Nmap scan report for 192.168.24.1
Host is up (0.0034s latency).
Nmap scan report for 192.168.24.4
Host is up (0.0021s latency).
Nmap scan report for 192.168.24.6
Host is up (0.0026s latency).
Nmap scan report for 192.168.24.9
Host is up (0.0027s latency).
Nmap scan report for 192.168.24.10
Host is up (0.0033s latency).
Nmap scan report for 192.168.24.15
Host is up (0.0025s latency).
...省略

复制代码

#临时关闭
echo 0 >/proc/sys/net/ipv4/icmp_echo_ignore_all
#永久
echo net.ipv4.icmp_echo_ignore_all=0 >> /etc/sysctl.conf
sysctl -p

复制代码

#PS不带参数
nmap -PS 192.168.5.1/24
#如果需要添加指定端口，比如你发现目标喜欢使用65522作为ssh端口，或者65000到65535这些都有可能，可以添加到扫描列表中，默认情况下预设的TCP端口也依旧会扫描
nmap -PS65522,65000-65535 192.168.5.1/24

复制代码

nmap -PS -PA 192.168.5.1/24

复制代码

nmap -PU 192.168.5.1/24

复制代码

nmap -PR 192.168.5.1/24

复制代码

nmap -sS -p 1-1024,3389,3306 192.168.5.1/24

复制代码

nmap -sS -sU -p U:53,67,68,T:1-1024,3389,3306 192.168.5.1/24

复制代码

# 使用-F扫描最常用的100端口
nmap -F 192.168.5.1
# 使用--top-ports 自定义扫描最长用的端口，比如最常用的500个端口
nmap --top-ports 500 192.168.5.1

复制代码

nmap -sS -p 1-65535 192.168.5.1

复制代码

nmap -sT 192.168.5.1

复制代码

sudo nmap -sS -sU -p U:53,67,68,161,162,T:1-65535 192.168.5.1/24

复制代码

sudo nmap -sI 192.168.2.8:8080 192.168.2.1/24 -Pn

复制代码

sudo nmap -sS ftp:123@192.168.1.1:21

复制代码

sudo nmap -sS -D 192.168.1.1,192.168.2.1,192.168.3.1,192.168.5.1 192.168.5.2-254

复制代码