Nmap 常用命令速查：从主机发现到 NSE 脚本的 20 个实战组合

先分清：三种扫描原理，决定了你能不能跑

Nmap 报错「requires root privileges」的时候，多数人不知道换成 -sT 就能跑。原因是端口扫描有三套底层机制：

记住这条：没有 root 就用 -sT，不要硬试 -sS。手机上的 Termux 同理（参考《Termux 入门到进阶》）。

合规提醒：扫描只对你自己拥有或已获书面授权的目标进行。对公网任意地址做端口扫描，在国内可能被认定为非法侵入计算机信息系统，请遵守《网络安全法》。

一、主机发现：先知道谁在线

nmap -sn 192.168.1.0/24          # 只做 ping 扫描，不扫端口
nmap -sn -PR 192.168.1.0/24      # 强制 ARP（同网段最快最准）
nmap -Pn 192.168.1.10            # 跳过发现，直接扫（目标禁 ping 时用）
nmap -sL 192.168.1.0/24          # 只列出目标，不发任何包

关键区别：

• -sn：只发现在线主机，不扫端口
• -Pn：认为主机一定在线，直接扫端口 —— 目标防火墙禁 ICMP 时必须加
• -sL：连包都不发，只做反向 DNS 解析，适合先确认范围

二、端口扫描：扫多少，扫多快

nmap -F 192.168.1.10                 # 只扫 top 100 端口，最快
nmap -p 80,443,8080 192.168.1.10     # 指定端口
nmap -p 1-1024 192.168.1.10          # 范围
nmap -p- 192.168.1.10                # 全端口 65535，慢但全
nmap --top-ports 1000 192.168.1.10   # 按常见度取前 1000
nmap -p- --exclude-ports 9100 192.168.1.10   # 排除打印机端口，避免打醒设备

经验：先 -F 摸底，再对可疑主机上 -p-。直接全端口扫一个 C 段，可能要跑一晚上。

三、服务与版本识别

nmap -sV 192.168.1.10                    # 识别服务与版本
nmap -sV --version-light 192.168.1.10    # 快模式，牺牲部分准确率
nmap -sV --version-all 192.168.1.10      # 全力探测，最慢最准

版本识别是后面所有工作的基础：知道是 Apache 2.4.49，才能去查对应 CVE（方法见《从 CVE 到复现的四步法》）。

四、操作系统识别

nmap -O 192.168.1.10
nmap -O --osscan-guess 192.168.1.10    # 猜得更激进，准确率下降

需要 root。准确率一般，只能作为参考，别把它当结论写进报告。

五、NSE 脚本引擎：Nmap 真正强的地方

NSE 让 Nmap 从「扫描器」变成「探测框架」。新手最该先用的三个：

nmap -sC 192.168.1.10                        # 等价于 --script=default
nmap --script=http-title 192.168.1.10        # 抓网页标题
nmap --script=vuln 192.168.1.10              # 跑漏洞检测类脚本

常用脚本分类

查脚本用法

nmap --script-help vuln
nmap --script "http-*" 192.168.1.10        # 通配符
nmap --script smb-vuln-ms17-010 -p445 192.168.1.10
nmap --script http-enum --script-args http-enum.basepath=/ 192.168.1.10

六、输出：别让结果只留在屏幕上

nmap -oN result.txt 192.168.1.10      # 普通文本
nmap -oX result.xml 192.168.1.10      # XML，给工具解析
nmap -oG result.gnmap 192.168.1.10    # grep 友好
nmap -oA scan 192.168.1.10            # 一次生成三种 + .nmap

-oA 是标准做法：三种格式一次出齐，写报告、喂工具、写脚本都够用。

七、速度与隐蔽：两个方向相反的目标

要快

nmap -T4 --min-rate 1000 192.168.1.0/24
nmap -T4 --max-retries 1 --host-timeout 30s 192.168.1.10

要隐蔽

nmap -sS -T2 --scan-delay 1s --max-retries 0 192.168.1.10
nmap -f 192.168.1.10                  # 分片，绕过简单包过滤
nmap --data-length 32 192.168.1.10    # 填充随机数据，改变包特征
nmap --source-port 53 192.168.1.10    # 伪装源端口

必须泼一盆冷水：这些手段对现代 IDS/防火墙基本无效。真正的隐蔽靠的是慢、分散、以及不扫。别指望几个参数就能隐身。

八、20 个实战组合

九、常见坑

十、扫完之后做什么

Nmap 只是起点，它能告诉你「有什么」，不告诉你「能不能打」。后续动作：

1. 把结果结构化：-oX 输出 XML，脚本解析成资产表
2. 按服务找漏洞：拿版本号去查 CVE，方法见《漏洞复现方法论》
3. 扩大资产面：结合子域枚举，见《红队资产侦察三件套》
4. 在隔离环境验证：别在生产上试，见《安全实验环境搭建》

小结

1. 没 root 用 -sT，这是最常见的报错来源。
2. 先 -F 后 -p-，别一上来就全端口。
3. -oA 是标准动作，结果必须落盘。
4. 隐蔽参数不是隐身衣，别对它抱幻想。
5. 扫描是信息收集，不是攻击，真正的风险在后面的步骤。

免责声明：本文命令仅用于自有资产与授权范围内的安全测试。未经授权扫描他人系统可能触犯《中华人民共和国网络安全法》《刑法》第 285 条，后果自负。