天啊,他们没有拿到奖金,有本事也鈈领工资,我真的得（说）.
（后面就没有了,不完整哦）

除了选项所有出现在Nmap命令行上嘚都被视为对目标主机的说明。 最简单的情况是指定一个目标IP地址或主机名

有时候您希望扫描整个网络的相邻主机。为此Nmap支持CIDR风格的哋址。您可以附加 一个<numbit>在一个IP地址或主机名后面 Nmap将会扫描所有和该参考IP地址具有 <numbit>相同比特的所有IP地址或主机。 例如192.168.10.0/24将会扫描192.168.10.0 (二进制格式: 10 将扫描205.217.0.0和205.217.255.255之间的65,536 个IP地址。 所允许的最小值是/1 这将会扫描半个互联网。最大值是/32这将会扫描该主机或IP地址， 因为所有的比特都固定了

CIDR标志位很简洁但有时候不够灵活。例如您也许想要扫描 192.168.0.0/16，但略过任何以.0或者.255 结束的IP地址因为它们通常是广播地址。 Nmap通过八位字节地址范围支持这样的扫描 您可以用逗号分开的数字或范围列表为IP地址的每个八位字节指定它的范围 例如，192.168.0-255.1-254 将略过在该范围内以.0和.255结束的地址 范围不必限于最后的8位：0-255.0-255.13.37 将在整个互联网范围内扫描所有以13.37结束的地址。 这种大范围的扫描对互联网调查研究也许有用

IPv6地址只能用規范的IPv6地址或主机名指定。 CIDR 和八位字节范围不支持IPv6因为它们对于IPv6几乎没什么用。

Nmap命令行接受多个主机说明它们不必是相同类型。命令nmap

雖然目标通常在命令行指定下列选项也可用来控制目标的选择：

从 <inputfilename>中读取目标说明。在命令行输入 一堆主机名显得很笨拙然而经常需偠这样。 例如您的DHCP服务器可能导出10,000个当前租约的列表，而您希望对它们进行 扫描如果您不是使用未授权的静态IP来定位主机，或许您想偠扫描所有IP地址 只要生成要扫描的主机的列表，用-iL 把文件名作为选项传给Nmap列表中的项可以是Nmap在 命令行上接受的任何格式(IP地址，主机名CIDR，IPv6或者八位字节范围)。 每一项必须以一个或多个空格制表符或换行符分开。 如果您希望Nmap从标准输入而不是实际文件读取列表 您可鉯用一个连字符(-)作为文件名。

对于互联网范围内的调查和研究 您也许想随机地选择目标。 <hostnum> 选项告诉 Nmap生成多少个IP不合需要的IP如特定的私囿，组播或者未分配的地址自动 略过选项 0 意味着永无休止的扫描。记住一些网管对于未授权的扫描可能会很感冒并加以抱怨。 使用该選项的后果自负! 如果在某个雨天的下午您觉得实在无聊， 试试这个命令nmap -sS -PS80 -iR 0 -p 80随机地找一些网站浏览

如果在您指定的扫描范围有一些主机或網络不是您的目标， 那就用该选项加上以逗号分隔的列表排除它们该列表用正常的Nmap语法， 因此它可以包括主机名CIDR，八位字节范围等等 当您希望扫描的网络包含执行关键任务的服务器，已知的对端口扫描反应强烈的 系统或者被其它人看管的子网时这也许有用。

这和--exclude 选項的功能一样只是所排除的目标是用以 换行符，空格或者制表符分隔的 <excludefile>提供的，而不是在命令行上输入的

任何网络探测任务的最初幾个步骤之一就是把一组IP范围(有时该范围是巨大的)缩小为 一列活动的或者您感兴趣的主机。扫描每个IP的每个端口很慢通常也没必要。 当嘫什么样的主机令您感兴趣主要依赖于扫描的目的。网管也许只对运行特定服务的 主机感兴趣而从事安全的人士则可能对一个马桶都感兴趣，只要它有IP地址:-)一个系统管理员 也许仅仅使用Ping来定位内网上的主机，而一个外部入侵测试人员则可能绞尽脑汁用各种方法试图 突破防火墙的封锁

由于主机发现的需求五花八门，Nmap提供了一箩筐的选项来定制您的需求 主机发现有时候也叫做ping扫描，但它远远超越用世囚皆知的ping工具 发送简单的ICMP回声请求报文用户完全可以通过使用列表扫描(-sL)或者 通过关闭ping (-P0)跳过ping的步骤，也可以使用多个端口把TPC SYN/ACKUDP和ICMP 任意组合起来玩一玩。这些探测的目的是获得响应以显示某个IP地址是否是活动的(正在被某 主机或者网络设备使用) 在许多网络上，在给定的时间往往只有小部分的IP地址是活动的。 这种情况在基于RFC1918的私有地址空间如10.0.0.0/8尤其普遍 那个网络有16,000,000个IP，但我见过一些使用它的公司连1000台机器都没囿 主机发现能够找到零星分布于IP地址海洋上的那些机器。

如果没有给出主机发现的选项Nmap 就发送一个TCP ACK报文到80端口和一个ICMP回声请求到每台目标机器。 一个例外是ARP扫描用于局域网上的任何目标机器对于非特权UNIX shell用户，使用connect()系统调用会发送一个SYN报文而不是ACK 这些默认行为和使用-PA -PE选項的效果相同 扫描局域网时，这种主机发现一般够用了但是对于安全审核，建议进行

-P*选项(用于选择 ping的类型)可以被结合使用 您可以通過使用不同的TCP端口/标志位和ICMP码发送许多探测报文 来增加穿透防守严密的防火墙的机会。另外要注意的是即使您指定了其它 -P*选项ARP发现(-PR)对于局域网上的 目标而言是默认行为，因为它总是更快更有效

下列选项控制主机发现：

列表扫描是主机发现的退化形式，它仅仅列出指定网絡上的每台主机 不发送任何报文到目标主机。默认情况下Nmap仍然对主机进行反向域名解析以获取 它们的名字。简单的主机名能给出的有鼡信息常常令人惊讶例如， 是花花公子芝加哥办公室的 防火墙Nmap最后还会报告IP地址的总数。列表扫描可以很好的确保您拥有正确的目标IP 如果主机的域名出乎您的意料，那么就值得进一步检查以防错误地扫描其它组织的网络

既然只是打印目标主机的列表，像其它一些高級功能如端口扫描操作系统探测或者Ping扫描 的选项就没有了。如果您希望关闭ping扫描而仍然执行这样的高级功能请继续阅读关于 -P0选项的介紹。

该选项告诉Nmap仅仅 进行ping扫描 (主机发现)然后打印出对扫描做出响应的那些主机。 没有进一步的测试 (如端口扫描或者操作系统探测) 这比列表扫描更积极，常常用于 和列表扫描相同的目的它可以得到些许目标网络的信息而不被特别注意到。 对于攻击者来说了解多少主机囸在运行比列表扫描提供的一列IP和主机名往往更有价值。

系统管理员往往也很喜欢这个选项 它可以很方便地得出 网络上有多少机器正在運行或者监视服务器是否正常运行。常常有人称它为 地毯式ping它比ping广播地址更可靠，因为许多主机对广播请求不响应

-sP选项在默认情况下， 发送一个ICMP回声请求和一个TCP报文到80端口如果非特权用户执行，就发送一个SYN报文 (用connect()系统调用)到目标机的80端口 当特权用户扫描局域网上的目标机时，会发送ARP请求(-PR) ，除非使用了--send-ip选项 -sP选项可以和除-P0)之外的任何发现探测类型-P* 选项结合使用以达到更大的灵活性。 一旦使用了任何探测类型和端口选项默认的探测(ACK和回应请求)就被覆盖了。 当防守严密的防火墙位于运行Nmap的源主机和目标网络之间时 推荐使用那些高级選项。否则当防火墙捕获并丢弃探测包或者响应包时，一些主机就不能被探测到

该选项完全跳过Nmap发现阶段。 通常Nmap在进行高强度的扫描時用它确定正在运行的机器 默认情况下，Nmap只对正在运行的主机进行高强度的探测如 端口扫描版本探测，或者操作系统探测用-P0禁止 主機发现会使Nmap对每一个指定的目标IP地址 进行所要求的扫描。所以如果在命令行指定一个B类目标地址空间(/16) 所有 65,536 个IP地址都会被扫描。 -P0的第二个芓符是数字0而不是字母O 和列表扫描一样，跳过正常的主机发现但不是打印一个目标列表， 而是继续执行所要求的功能就好像每个IP都昰活动的。

该选项发送一个设置了SYN标志位的空TCP报文 默认目的端口为80 (可以通过改变nmap.h) 文件中的DEFAULT-TCP-PROBE-PORT值进行配置，但不同的端口也可以作为选项指萣 甚至可以指定一个以逗号分隔的端口列表(如 -PS22，2325，80113，105035000)， 在这种情况下每个端口会被并发地扫描。

SYN标志位告诉对方您正试图建立┅个连接 通常目标端口是关闭的，一个RST (复位) 包会发回来 如果碰巧端口是开放的，目标会进行TCP三步握手的第二步回应 一个SYN/ACK TCP报文。然后運行Nmap的机器则会扼杀这个正在建立的连接 发送一个RST而非ACK报文，否则一个完全的连接将会建立。 RST报文是运行Nmap的机器而不是Nmap本身响应的洇为它对收到

Nmap并不关心端口开放还是关闭。 无论RST还是SYN/ACK响应都告诉Nmap该主机正在运行

在UNIX机器上，通常只有特权用户 root 能否发送和接收 原始的TCP报攵因此作为一个变通的方法，对于非特权用户 Nmap会为每个目标主机进行系统调用connect()，它也会发送一个SYN 报文来尝试建立连接如果connect()迅速返回荿功或者一个ECONNREFUSED 失败，下面的TCP堆栈一定已经收到了一个SYN/ACK或者RST该主机将被 标志位为在运行。 如果连接超时了该主机就标志位为down掉了。这种方法也用于IPv6 连接因为Nmap目前还不支持原始的IPv6报文。

TCP ACK ping和刚才讨论的SYN ping相当类似 也许您已经猜到了，区别就是设置TCP的ACK标志位而不是SYN标志位 ACK报攵表示确认一个建立连接的尝试，但该连接尚未完全建立 所以远程主机应该总是回应一个RST报文， 因为它们并没有发出过连接请求到运行Nmap嘚机器如果它们正在运行的话。

-PA选项使用和SYN探测相同的默认端口(80)也可以 用相同的格式指定目标端口列表。如果非特权用户尝试该功能 或者指定的是IPv6目标，前面说过的connect()方法将被使用 这个方法并不完美，因为它实际上发送的是SYN报文而不是ACK报文。

提供SYN和ACK两种ping探测的原因昰使通过防火墙的机会尽可能大 许多管理员会配置他们的路由器或者其它简单的防火墙来封锁SYN报文，除非 连接目标是那些公开的服务器潒公司网站或者邮件服务器 这可以阻止其它进入组织的连接，同时也允许用户访问互联网 这种无状态的方法几乎不占用防火墙/路由器嘚资源，因而被硬件和软件过滤器 广泛支持Linux Netfilter/iptables 防火墙软件提供方便的 --syn选项来实现这种无状态的方法。 当这样的无状态防火墙规则存在时發送到关闭目标端口的SYN ping探测 (-PS) 很可能被封锁。这种情况下ACK探测格外有闪光点，因为它正好利用了 这样的规则

另外一种常用的防火墙用有狀态的规则来封锁非预期的报文。 这一特性已开始只存在于高端防火墙但是这些年类它越来越普遍了。 Linux Netfilter/iptables 通过 --state选项支持这一特性它根据連接状态把报文 进行分类。SYN探测更有可能用于这样的系统由于没头没脑的ACK报文 通常会被识别成伪造的而丢弃。解决这个两难的方法是通過即指定

还有一个主机发现的选项是UDP ping它发送一个空的(除非指定了--data-length UDP报文到给定的端口。端口列表的格式和前面讨论过的-PS和-PA选项还是一样 洳果不指定端口，默认是31338该默认值可以通过在编译时改变nmap.h文件中的 DEFAULT-UDP-PROBE-PORT值进行配置。默认使用这样一个奇怪的端口是因为对开放端口 进行这種扫描一般都不受欢迎

如果目标机器的端口是关闭的，UDP探测应该马上得到一个ICMP端口无法到达的回应报文 这对于Nmap意味着该机器正在运行。 许多其它类型的ICMP错误像主机/网络无法到达或者TTL超时则表示down掉的或者不可到达的主机。 没有回应也被这样解释如果到达一个开放的端ロ，大部分服务仅仅忽略这个 空报文而不做任何回应这就是为什么默认探测端口是31338这样一个 极不可能被使用的端口。少数服务如chargen会响应┅个空的UDP报文 从而向Nmap表明该机器正在运行。

该扫描类型的主要优势是它可以穿越只过滤TCP的防火墙和过滤器 例如。我曾经有过一个Linksys BEFW11S4无线寬带路由器默认情况下， 该设备对外的网卡过滤所有TCP端口但UDP探测仍然会引发一个端口不可到达 的消息，从而暴露了它自己

除了前面討论的这些不常见的TCP和UDP主机发现类型， Nmap也能发送世人皆知的ping 程序所发送的报文Nmap发送一个ICMP type 8 (回声请求)报文到目标IP地址， 期待从运行的主机得箌一个type 0 (回声响应)报文 对于网络探索者而言，不幸的是许多主机和 防火墙现在封锁这些报文，而不是按期望的那样响应 参见。因此僅仅ICMP扫描对于互联网上的目标通常是不够的。 但对于系统管理员监视一个内部网络它们可能是实际有效的途径。 使用-PE选项打开该回声请求功能

虽然回声请求是标准的ICMP ping查询， Nmap并不止于此ICMP标准 ()还规范了时间戳请求，信息请求 request和地址掩码请求，它们的代码分别是1315和17。 虽嘫这些查询的表面目的是获取信息如地址掩码和当前时间 它们也可以很容易地用于主机发现。 很简单回应的系统就是在运行的系统。Nmap目前没有实现信息请求报文 因为它们还没有被广泛支持。RFC 1122 坚持 “主机不应该实现这些消息” 时间戳和地址掩码查询可以分别用-PP和-PM选项發送。 时间戳响应(ICMP代码14)或者地址掩码响应(代码18)表示主机在运行 当管理员特别封锁了回声请求报文而忘了其它ICMP查询可能用于 相同目的时，這两个查询可能很有价值

最常见的Nmap使用场景之一是扫描一个以太局域网。 在大部分局域网上特别是那些使用基于 RFC1918私有地址范围的网络，在一个给定的时间绝大部分 IP地址都是不使用的 当Nmap试图发送一个原始IP报文如ICMP回声请求时， 操作系统必须确定对应于目标IP的硬件 地址(ARP)这樣它才能把以太帧送往正确的地址。 这一般比较慢而且会有些问题因为操作系统设计者认为一般不会在短时间内 对没有运行的机器作几百万次的ARP请求。

当进行ARP扫描时Nmap用它优化的算法管理ARP请求。 当它收到响应时 Nmap甚至不需要担心基于IP的ping报文，既然它已经知道该主机正在运荇了 这使得ARP扫描比基于IP的扫描更快更可靠。 所以默认情况下如果Nmap发现目标主机就在它所在的局域网上，它会进行ARP扫描 即使指定了不哃的ping类型(如 -PI或者 -PS) ，Nmap也会对任何相同局域网上的目标机使用ARP 如果您真的不想要ARP扫描，指定 --send-ip

-n (不用域名解析)

告诉Nmap 永不对它发现的活动IP地址进荇反向域名解析。 既然DNS一般比较慢这可以让事情更快些。

-R (为所有目标解析域名)

告诉Nmap 永远 对目标IP地址作反向域名解析 一般只有当发现机器正在运行时才进行这项操作。

默认情况下Nmap通过直接发送查询到您的主机上配置的域名服务器 来解析域名。为了提高性能许多请求 (一般几十个 ) 并发执行。如果您希望使用系统自带的解析器就指定该选项 (通过getnameinfo()调用一次解析一个IP)。除非Nmap的DNS代码有bug--如果是这样请联系我们。 ┅般不使用该选项因为它慢多了。系统解析器总是用于IPv6扫描

虽然Nmap这些年来功能越来越多， 它也是从一个高效的端口扫描器开始的并苴那仍然是它的核心功能。 nmap <target>这个简单的命令扫描主机<target>上的超过 1660个TCP端口 。许多传统的端口扫描器只列出所有端口是开放还是关闭的 Nmap的信息粒度比它们要细得多。 它把端口分成六个状态: open(开放的)

这些状态并非端口本身的性质，而是描述Nmap怎样看待它们例如， 对于同样的目标機器的135/tcp端口从同网络扫描显示它是开放的，而跨网络作完全相同的扫描则可能显示它是 filtered(被过滤的)

Nmap所识别的6个端口状态：

应用程序正在該端口接收TCP 连接或者UDP报文。发现这一点常常是端口扫描 的主要目标安全意识强的人们知道每个开放的端口 都是攻击的入口。攻击者或者叺侵测试者想要发现开放的端口 而管理员则试图关闭它们或者用防火墙保护它们以免妨碍了合法用户。 非安全扫描可能对开放的端口也感兴趣因为它们显示了网络上那些服务可供使用。

关闭的端口对于Nmap也是可访问的(它接受Nmap的探测报文并作出响应) 但没有应用程序在其上監听。 它们可以显示该IP地址上(主机发现或者ping扫描)的主机正在运行up 也对部分操作系统探测有所帮助。 因为关闭的关口是可访问的也许过會儿值得再扫描一下，可能一些又开放了 系统管理员可能会考虑用防火墙封锁这样的端口。 那样他们就会被显示为被过滤的状态下面討论。

由于包过滤阻止探测报文到达端口 Nmap无法确定该端口是否开放。过滤可能来自专业的防火墙设备路由器规则 或者主机上的软件防吙墙。这样的端口让攻击者感觉很挫折因为它们几乎不提供 任何信息。有时候它们响应ICMP错误消息如类型3代码13 (无法到达目标: 通信被管理员禁止)但更普遍的是过滤器只是丢弃探测帧， 不做任何响应 这迫使Nmap重试若干次以访万一探测包是由于网络阻塞丢弃的。 这使得扫描速度奣显变慢

未被过滤状态意味着端口可访问，但Nmap不能确定它是开放还是关闭 只有用于映射防火墙规则集的ACK扫描才会把端口分类到这种状態。 用其它类型的扫描如窗口扫描SYN扫描，或者FIN扫描来扫描未被过滤的端口可以帮助确定 端口是否开放

当无法确定端口是开放还是被过濾的，Nmap就把该端口划分成 这种状态开放的端口不响应就是一个例子。没有响应也可能意味着报文过滤器丢弃 了探测报文或者它引发的任哬响应因此Nmap无法确定该端口是开放的还是被过滤的。 UDPIP协议， FINNull，和Xmas扫描可能把端口归入此类

该状态用于Nmap不能确定端口是关闭的还是被过滤的。 它只可能出现在IPID Idle扫描中

作为一个修车新手，我可能折腾几个小时来摸索怎样把基本工具(锤子胶带，扳子等) 用于手头的任务当我惨痛地失败，把我的老爷车拖到一个真正的技师那儿的时候 他总是在他的工具箱里翻来翻去，直到拽出一个完美的工具然后似乎鈈费吹灰之力搞定它 端口扫描的艺术和这个类似。专家理解成打的扫描技术选择最适合的一种 (或者组合)来完成给定的 任务。 另一方面没有经验的用户和刚入门者总是用默认的SYN扫描解决每个问题。 既然Nmap是免费的掌握端口扫描的唯一障碍就是知识。这当然是汽车世界所鈈能比的 在那里，可能需要高超的技巧才能确定您需要一个压杆弹簧压缩机接着您还得为它付数千美金。

大部分扫描类型只对特权用戶可用 这是因为他们发送接收原始报文，这在Unix系统需要root权限 在Windows上推荐使用administrator账户，但是当WinPcap已经被加载到操作系统时 非特权用户也可以囸常使用Nmap。当Nmap在1997年发布时需要root权限是一个严重的 局限，因为很多用户只有共享的shell账户现在，世界变了计算机便宜了，更多人拥有互聯网连接 桌面UNIX系统 (包括Linux和MAC OS X)很普遍了。Windows版本的Nmap现在也有了这使它可以运行在更多的桌面上。 由于所有这些原因用户不再需要用有限的囲享shell账户运行Nmap。 这是很幸运的因为特权选项让Nmap强大得多也灵活得多。

虽然Nmap努力产生正确的结果但请记住所有结果都是基于目标机器(或鍺它们前面的防火墙)返回的报文的。 这些主机也许是不值得信任的，它们可能响应以迷惑或误导Nmap的报文 更普遍的是非RFC兼容的主机以不囸确的方式响应Nmap探测。FINNull和Xmas扫描 特别容易遇到这个问题。这些是特定扫描类型的问题因此我们在个别扫描类型里讨论它们。

这一节讨论Nmap支持的大约十几种扫描技术 一般一次只用一种方法， 除了UDP扫描(-sU)可能和任何一种TCP扫描类型结合使用 友情提示一下，端口扫描类型的选项格式是-s<C> 其中<C> 是个显眼的字符，通常是第一个字符 一个例外是deprecated FTP bounce扫描(-b)。默认情况下Nmap执行一个 SYN扫描，但是如果用户没有权限发送原始报文(茬UNIX上需要root权限)或者如果指定的是IPv6目标Nmap调用connect()。 本节列出的扫描中非特权用户只能执行connect()和ftp bounce扫描。

SYN扫描作为默认的也是最受欢迎的扫描选项是有充分理由的。 它执行得很快在一个没有入侵防火墙的快速网络上，每秒钟可以扫描数千个 端口 SYN扫描相对来说不张扬，不易被注意到因为它从来不完成TCP连接。 它也不像Fin/Null/XmasMaimon和Idle扫描依赖于特定平台，而可以应对任何兼容的 TCP协议栈 它还可以明确可靠地区分open(开放的)，

它瑺常被称为半开放扫描 因为它不打开一个完全的TCP连接。它发送一个SYN报文 就像您真的要打开一个连接，然后等待响应 SYN/ACK表示端口在监听 (開放)，而 RST (复位)表示没有监听者如果数次重发后仍没响应， 该端口就被标记为被过滤如果收到ICMP不可到达错误 (类型3，代码12，39，10或者13)，该端口也被标记为被过滤

这是和Web浏览器，P2P客户端以及大多数其它网络应用程序用以建立连接一样的 高层系统调用它是叫做Berkeley Sockets API编程接口嘚一部分。Nmap用 该API获得每个连接尝试的状态信息而不是读取响应的原始报文。

当SYN扫描可用时它通常是更好的选择。因为Nmap对高层的 connect()调用比對原始报文控制更少 所以前者效率较低。 该系统调用完全连接到开放的目标端口而不是像SYN扫描进行 半开放的复位这不仅花更长时间，需要更多报文得到同样信息目标机也更可能 记录下连接。IDS(入侵检测系统)可以捕获两者但大部分机器没有这样的警报系统。 当Nmap连接然後不发送数据又关闭连接， 许多普通UNIX系统上的服务会在syslog留下记录有时候是一条加密的错误消息。 此时有些真正可怜的服务会崩溃，虽嘫这不常发生如果管理员在日志里看到来自同一系统的 一堆连接尝试，她应该知道她的系统被扫描了

虽然互联网上很多流行的服务运荇在TCP 协议上，服务也不少 DNS，SNMP和DHCP (注册的端口是53，161/162和67/68)是最常见的三个。 因为UDP扫描一般较慢比TCP更困难，一些安全审核人员忽略这些端口 这是一个错误，因为可探测的UDP服务相当普遍攻击者当然不会忽略整个协议。 所幸Nmap可以帮助记录并报告UDP端口。

UDP扫描用-sU选项激活它可鉯和TCP扫描如 SYN扫描 (-sS)结合使用来同时检查两种协议。

UDP扫描发送空的(没有数据)UDP报头到每个目标端口 如果返回ICMP端口不可到达错误(类型3，代码3) 该端口是closed(关闭的)。 其它ICMP不可到达错误(类型3 代码1，29，10或者13)表明该端口是filtered(被过滤的)。 偶尔地某服务会响应一个UDP报文，证明该端口是open(开放嘚) 如果几次重试后还没有响应，该端口就被认为是 open|filtered(开放|被过滤的) 这意味着该端口可能是开放的，也可能包过滤器正在封锁通信 可以鼡版本扫描(-sV)帮助区分真正的开放端口和被过滤的端口。

UDP扫描的巨大挑战是怎样使它更快速 开放的和被过滤的端口很少响应，让Nmap超时然后洅探测以防探测帧或者 响应丢失。关闭的端口常常是更大的问题 它们一般发回一个ICMP端口无法到达错误。但是不像关闭的TCP端口响应SYN或者Connect 掃描所发送的RST报文许多主机在默认情况下限制ICMP端口不可到达消息。 Linux和Solaris对此特别严格例如， Linux

Nmap探测速率限制并相应地减慢来避免用那些目標机会丢弃的无用报文来阻塞 网络不幸的是，Linux式的一秒钟一个报文的限制使65,536个端口的扫描要花 18小时以上加速UDP扫描的方法包括并发扫描哽多的主机，先只对主要端口进行快速 扫描从防火墙后面扫描，使用--host-timeout跳过慢速的 主机

这三种扫描类型 (甚至用下一节描述的 --scanflags 选项的更多類型) 在 中发掘了一个微妙的方法来区分open(开放的)和 closed(关闭的)端口。第65页说“如果 [目标]端口状态是关闭的.... 进入的不含RST的报文导致一个RST响应” 接丅来的一页 讨论不设置SYN，RST或者ACK位的报文发送到开放端口: “理论上，这不应该发生如果您确实收到了，丢弃该报文返回。 ”

如果扫描系统遵循该RFC当端口关闭时，任何不包含SYNRST，或者ACK位的报文会导致 一个RST返回而当端口开放时，应该没有任何响应只要不包含SYN，RST或者ACK， 任何其它三种(FINPSH，and URG)的组合都行Nmap有三种扫描类型利用这一点：

不设置任何标志位(tcp标志头是0)

设置FIN，PSH和URG标志位，就像点亮圣诞树上所有的燈一样

除了探测报文的标志位不同，这三种扫描在行为上完全一致 如果收到一个RST报文，该端口被认为是 closed(关闭的)而没有响应则意味着 端口是open|filtered(开放或者被过滤的)。 如果收到ICMP不可到达错误(类型 3代号 1，23，910，或者13)该端口就被标记为 被过滤的。

这些扫描的关键优势是它们能躲过一些无状态防火墙和报文过滤路由器 另一个优势是这些扫描类型甚至比SYN扫描还要隐秘一些。但是别依赖它 -- 多数 现代的IDS产品可以发現它们一个很大的不足是并非所有系统都严格遵循RFC 793。 许多系统不管端口开放还是关闭都响应RST。 这导致所有端口都标记为closed(关闭的) 这样嘚操作系统主要有Microsoft Windows，许多Cisco设备BSDI，以及IBM OS/400 但是这种扫描对多数UNIX系统都能工作。这些扫描的另一个不足是 它们不能辨别open(开放的)端口和一些特萣的 filtered(被过滤的)端口从而返回 open|filtered(开放或者被过滤的)。

这种扫描与目前为止讨论的其它扫描的不同之处在于 它不能确定open(开放的)或者 open|filtered(开放或者过濾的))端口 它用于发现防火墙规则，确定它们是有状态的还是无状态的哪些端口是被过滤的。

ACK扫描探测报文只设置ACK标志位(除非您使用 --scanflags)當扫描未被过滤的系统时， open(开放的)和closed(关闭的) 端口 都会返回RST报文Nmap把它们标记为 unfiltered(未被过滤的)，意思是 ACK报文不能到达但至于它们是open(开放的)或鍺 closed(关闭的) 无法确定。不响应的端口 或者发送特定的ICMP错误消息(类型3代号1，23，910， 或者13)的端口标记为 filtered(被过滤的)。

除了利用特定系统的实現细节来区分开放端口和关闭端口当收到RST时不总是打印unfiltered， 窗口扫描和ACK扫描完全一样 它通过检查返回的RST报文的TCP窗口域做到这一点。 在某些系统上开放端口用正数表示窗口大小(甚至对于RST报文) 而关闭端口的窗口大小为0。因此当收到RST时，窗口扫描不总是把端口标记为 unfiltered 而是根据TCP窗口值是正数还是0，分别把端口标记为open或者 closed

该扫描依赖于互联网上少数系统的实现细节 因此您不能永远相信它。不支持它的系统会通常返回所有端口closed 当然，一台机器没有开放端口也是有可能的 如果大部分被扫描的端口是 closed，而一些常见的端口 (如 22 25，53) 是 filtered该系统就非瑺可疑了。 偶尔地系统甚至会显示恰恰相反的行为。 如果您的扫描显示1000个开放的端口和3个关闭的或者被过滤的端口 那么那3个很可能也昰开放的端口。

然而Uriel注意到如果端口开放，许多基于BSD的系统只是丢弃该探测报文

真正的Nmap高级用户不需要被这些现成的扫描类型束缚。 --scanflags選项允许您通过指定任意TCP标志位来设计您自己的扫描 让您的创造力流动，躲开那些仅靠本手册添加规则的入侵检测系统！

除了设置需要嘚标志位您也可以设置 TCP扫描类型(如-sA或者-sF)。 那个基本类型告诉Nmap怎样解释响应例如， SYN扫描认为没有响应意味着 filtered端口而FIN扫描则认为是 open|filtered。 除叻使用您指定的TCP标记位Nmap会和基本扫描类型一样工作。 如果您不指定基本类型就使用SYN扫描。

这种高级的扫描方法允许对目标进行真正的TCP端口盲扫描 (意味着没有报文从您的真实IP地址发送到目标)相反，side-channel攻击 利用zombie主机上已知的IP分段ID序列生成算法来窥探目标上开放端口的信息 IDS系统将显示扫描来自您指定的zombie机(必须运行并且符合一定的标准)。 这种奇妙的扫描类型太复杂了不能在此完全描述，所以我写一篇非正式嘚论文

除了极端隐蔽(由于它不从真实IP地址发送任何报文)， 该扫描类型可以建立机器间的基于IP的信任关系 端口列表从zombie 主机的角度。显示開放的端口 因此您可以尝试用您认为(通过路由器/包过滤规则)可能被信任的 zombies扫描目标。

如果您由于IPID改变希望探测zombie上的特定端口 您可以在zombie 主机后加上一个冒号和端口号。 否则Nmap会使用默认端口(80)

IP 协议扫描可以让您确定目标机支持哪些IP协议 (TCP，ICMPIGMP，等等)从技术上说，这不是端口掃描 既然它遍历的是IP协议号而不是TCP或者UDP端口号。 但是它仍使用 -p选项选择要扫描的协议号 用正常的端口表格式报告结果，甚至用和真正嘚端口扫描一样 的扫描引擎因此它和端口扫描非常接近，也被放在这里讨论

除了本身很有用，协议扫描还显示了开源软件的力量 尽管基本想法非常简单，我过去从没想过增加这一功能也没收到任何对它的请求 在2000年夏天，Gerhard Rieger孕育了这个想法写了一个很棒的补丁程序，發送到nmap-hackers邮件列表 我把那个补丁加入了Nmap，第二天发布了新版本 几乎没有商业软件会有用户有足够的热情设计并贡献他们的改进。

协议扫描以和UDP扫描类似的方式工作它不是在UDP报文的端口域上循环， 而是在IP协议域的8位上循环发送IP报文头。 报文头通常是空的不包含数据，甚至不包含所申明的协议的正确报文头 TCPUDP，和ICMP是三个例外它们三个会使用正常的协议头，因为否则某些系 统拒绝发送而且Nmap有函数创建咜们。协议扫描不是注意ICMP端口不可到达消息 而是ICMP 协议不可到达消息。如果Nmap从目标主机收到 任何协议的任何响应Nmap就把那个协议标记为open。 ICMP協议不可到达 错误(类型 3代号 2) 导致协议被标记为 closed。其它ICMP不可到达协议(类型 3代号 1，39，10或者13) 导致协议被标记为 filtered (虽然同时他们证明ICMP是 open )。如果重试之后仍没有收到响应

FTP协议的一个有趣特征() 是支持所谓代理ftp连接。它允许用户连接到一台FTP服务器然后要求文件送到一台第三方服務器。 这个特性在很多层次上被滥用所以许多服务器已经停止支持它了。其中一种就是导致FTP服务器对其它主机端口扫描 只要请求FTP服务器轮流发送一个文件到目标主机上的所感兴趣的端口。 错误消息会描述端口是开放还是关闭的

当Nmap1997年发布时，这个弱点被广泛利用但现茬大部分已经被fix了。 脆弱的服务器仍然存在所以如果其它都失败了，这也值得一试 如果您的目标是绕过防火墙，扫描目标网络上的开放的21端口(或者 甚至任何ftp服务如果您用版本探测扫描所有端口)， 然后对每个尝试弹跳扫描Nmap会告诉您该主机脆弱与否。 如果您只是试着玩Nmap您不必(事实上，不应该)限制您自己 在您随机地在互联网上寻找脆弱的FTP服务器时，考虑一下系统管理员不太喜欢您这样滥用他们的服务器

除了所有前面讨论的扫描方法， Nmap提供选项说明那些端口被扫描以及扫描是随机还是顺序进行 默认情况下，Nmap用指定的协议对端口1到1024以忣nmap-services 文件中列出的更高的端口在扫描

该选项指明您想扫描的端口，覆盖默认值 单个端口和用连字符表示的端口范围(如 1-1023)都可以。 范围的开始以及/或者结束值可以被省略 分别导致Nmap使用1和65535。所以您可以指定 -p-从端口1扫描到65535 如果您特别指定，也可以扫描端口0 对于IP协议扫描(-sO)，该選项指定您希望扫描的协议号 (0-255)

当既扫描TCP端口又扫描UDP端口时，您可以通过在端口号前加上T: 或者U:指定协议 协议限定符一直有效您直到指定叧一个。 例如参数 -p U:53，111137，T:21-2580，1398080 将扫描UDP 端口53，111和137，同时扫描列出的TCP端口注意，要既扫描 UDP又扫描TCP您必须指定 -sU ，以及至少一个TCP扫描类型(如 -sS-sF，或者 -sT)如果没有给定协议限定符， 端口号会被加到所有协议列表

在nmap的nmap-services 文件中(对于-sO，是协议文件)指定您想要扫描的端口 这比扫描所有65535个端口快得多。 因为该列表包含如此多的TCP端口(1200多)这和默认的TCP扫描 scan (大约1600个端口)速度差别不是很大。如果您用--datadir选项指定您自己的 小小嘚nmap-services文件 差别会很惊人。

-r (不要按随机顺序扫描端口)

默认情况下Nmap按随机顺序扫描端口 (除了出于效率的考虑，常用的端口前移)这种随机化通常都是受欢迎的， 但您也可以指定-r来顺序端口扫描

把Nmap指向一个远程机器，它可能告诉您 端口25/tcp80/tcp，和53/udp是开放的使用包含大约2,200个著名的垺务的 nmap-services数据库， Nmap可以报告那些端口可能分别对应于一个邮件服务器 (SMTP)web服务器(HTTP)，和域名服务器(DNS) 这种查询通常是正确的 -- 事实上，绝大多数在TCP端口25监听的守护进程是邮件 服务器然而，您不应该把赌注押在这上面! 人们完全可以在一些奇怪的端口上运行服务

即使Nmap是对的，假设运荇服务的确实是 SMTPHTTP和DNS，那也不是特别多的信息 当为您的公司或者客户作安全评估(或者甚至简单的网络明细清单)时， 您确实想知道正在运荇什么邮件和域名服务器以及它们的版本 有一个精确的版本号对了解服务器有什么漏洞有巨大帮助。 版本探测可以帮您获得该信息

在鼡某种其它类型的扫描方法发现TCP 和/或者UDP端口后， 版本探测会询问这些端口确定到底什么服务正在运行。 nmap-service-probes 数据库包含查询不同服务的探测報文 和解析识别响应的匹配表达式 Nmap试图确定服务协议 (如 ftp，sshtelnet，http)应用程序名(如ISC Bind，Apache httpdSolaris telnetd)，版本号 主机名，设备类型(如 打印机路由器)，操莋系统家族 (如WindowsLinux)以及其它的细节，如 如是否可以连接X serverSSH协议版本 ，或者KaZaA用户名)当然，并非所有服务都提供所有这些信息 如果Nmap被编译成支持OpenSSL， 它将连接到SSL服务器推测什么服务在加密层后面监听。 当发现RPC服务时 Nmap RPC grinder (-sR)会自动被用于确定RPC程序和它的版本号。 如果在扫描某个UDP端口後仍然无法确定该端口是开放的还是被过滤的那么该端口状态就 被标记为open|filtered。 版本探测将试图从这些端口引发一个响应(就像它对开放端口莋的一样) 如果成功，就把状态改为开放 open|filtered TCP端口用同样的方法对待。 注意Nmap -A选项在其它情况下打开版本探测 有一篇关于版本探测的原理，使用和定制的文章在

当Nmap从某个服务收到响应，但不能在数据库中找到匹配时 它就打印一个特殊的fingerprint和一个URL给您提交，如果您确实知道什麼服务运行在端口 请花两分钟提交您的发现，让每个人受益由于这些提交， Nmap有350种以上协议如smtpftp，http等的大约3000条模式匹配。

用下列的选項打开和控制版本探测

打开版本探测。 您也可以用-A同时打开操作系统探测和版本探测

默认情况下，Nmap版本探测会跳过9100 TCP端口因为一些打茚机简单地打印送到该端口的 任何数据，这回导致数十页HTTP get请求二进制 SSL会话请求等等被打印出来。这一行为可以通过修改或删除nmap-service-probes 中的Exclude指示苻改变 您也可以不理会任何Exclude指示符，指定--allports扫描所有端口

当进行版本扫描(-sV)时nmap发送一系列探测报文 ，每个报文都被赋予一个1到9之间的值 被赋予较低值的探测报文对大范围的常见服务有效，而被赋予较高值的报文 一般没什么用强度水平说明了应该使用哪些探测报文。数值樾高 服务越有可能被正确识别。 然而高强度扫描花更多时间。强度值必须在0和9之间 默认是7。当探测报文通过nmap-service-probes ports指示符 注册到目标端口時无论什么强度水平，探测报文都会被尝试这保证了DNS 探测将永远在任何开放的53端口尝试， SSL探测将在443端口尝试等等。

这是 --version-intensity 2的方便的别洺轻量级模式使 版本扫描快许多，但它识别服务的可能性也略微小一点

这导致Nmap打印出详细的关于正在进行的扫描的调试信息。 它是您鼡--packet-trace所得到的信息的子集

这种方法和许多端口扫描方法联合使用。 它对所有被发现开放的TCP/UDP端口执行SunRPC程序NULL命令来试图 确定它们是否RPC端口，洳果是 是什么程序和版本号。因此您可以有效地获得和rpcinfo -p一样的信息 即使目标的端口映射在防火墙后面(或者被TCP包装器保护)。Decoys目前不能和RPC scan┅起工作 这作为版本扫描(-sV)的一部分自动打开。 由于版本探测包括它并且全面得多-sR很少被需要。

Nmap最著名的功能之一是用TCP/IP协议栈fingerprinting进行远程操作系统探测 Nmap发送一系列TCP和UDP报文到远程主机，检查响应中的每一个比特 在进行一打测试如TCP ISN采样，TCP选项支持和排序IPID采样，和初始窗口夶小检查之后 Nmap把结果和数据库nmap-os-fingerprints中超过 1500个已知的操作系统的fingerprints进行比较，如果有匹配就打印出操作系统的详细信息。 每个fingerprint包括一个自由格式的关于OS的描述文本 和一个分类信息，它提供供应商名称(如Sun)下面的操作系统(如Solaris)，OS版本(如10) 和设备类型(通用设备，路由器switch，游戏控制囼 等)。

如果Nmap不能猜出操作系统并且有些好的已知条件(如 至少发现了一个开放端口和一个关闭端口)，Nmap会提供一个 URL如果您确知运行的操莋系统，您可以把fingerprint提交到那个URL 这样您就扩大了Nmap的操作系统知识库，从而让每个Nmap用户都受益

操作系统检测可以进行其它一些测试，这些測试可以利用处理 过程中收集到的信息例如运行时间检测，使用TCP时间戳选项(RFC 1323) 来估计主机上次重启的时间这仅适用于提供这类信息的主機。另一种 是TCP序列号预测分类用于测试针对远程主机建立一个伪造的TCP连接 的可能难度。这对于利用基于源IP地址的可信关系(rlogin防火墙过滤等) 或者隐含源地址的攻击非常重要。这一类哄骗攻击现在很少见但一些 主机仍然存在这方面的漏洞。实际的难度值基于统计采样因此鈳能会有 一些波动。通常采用英国的分类较好如“worthy challenge”或者 “trivial joke”。在详细模式(-v)下只以 普通的方式输出如果同时使用-O，还报告IPID序列产生号 很多主机的序列号是“增加”类别，即在每个发送包的IP头中 增加ID域值 这对一些先进的信息收集和哄骗攻击来说是个漏洞。

文档使用多種语言描述了版本检测的方式、使用和定制

采用下列选项启用和控制操作系统检测:

-O (启用操作系统检测)

也可以使用-A来同时启用操作系统检測和版本检测。

如果发现一个打开和关闭的TCP端口时操作系统检测会更有效。 采用这个选项Nmap只对满足这个条件的主机进行操作系统检测，这样可以 节约时间特别在使用-P0扫描多个主机时。这个选项仅在使用 -O或-A 进行操作系统检测时起作用

当Nmap无法确定所检测的操作系统时，會尽可能地提供最相近的匹配Nmap默认 进行这种匹配，使用上述任一个选项使得Nmap的推测更加有效

Nmap开发的最高优先级是性能。在本地网络对┅个主机的默认扫描(nmap <hostname>)需要1/5秒而仅仅眨眼的 时间，就需要扫描上万甚至几十万的主机此外，一些特定的扫描选项会明显增 加扫描时间洳UDP扫描和版本检测。同样防火墙配置以及特殊的响应速度限制也会 增加时间。Nmap使用了并行算法和许多先进的算法来加速扫描用户对Nmap如哬 工作有最终的控制权。高级用户可以仔细地调整Nmap命令在满足时间要求的同时获得他们所关心的信息。

改善扫描时间的技术有：忽略非關键的检测、升级最新版本的Nmap(性能增强不断改善) 优化时间参数也会带来实质性的变化，这些参数如下

Nmap具有并行扫描多主机端口或版本嘚能力，Nmap将多个目标IP地址 空间分成组然后在同一时间对一个组进行扫描。通常大的组更有效。缺 点是只有当整个组扫描结束后才会提供主机的扫描结果如果组的大小定义 为50，则只有当前50个主机扫描结束后才能得到报告(详细模式中的补充信息 除外)

默认方式下，Nmap采取折衷的方法开始扫描时的组较小， 最小为5这样便于尽快产生结果；随后增长组的大小，最大为1024确切的 大小依赖于所给定的选项。为保證效率针对UDP或少量端口的TCP扫描，Nmap 使用大的组

--max-hostgroup选项用于说明使用最大的组，Nmap不 会超出这个大小--min-hostgroup选项说明最小的组，Nmap 会保持组大于这个徝如果在指定的接口上没有足够的目标主机来满足所 指定的最小值，Nmap可能会采用比所指定的值小的组这两个参数虽然很少使用， 但都鼡于保持组的大小在一个指定的范围之内

这些选项的主要用途是说明一个最小组的大小，使得整个扫描更加快速通常 选择256来扫描C类网段。对于端口数较多的扫描超出该值没有意义。对于 端口数较少的扫描2048或更大的组大小是有帮助的。

这些选项控制用于主机组的探测報文数量可用于端口扫描和主机发现。默认状态下 Nmap基于网络性能计算一个理想的并行度，这个值经常改变如果报文被丢弃， Nmap降低速喥探测报文数量减少。随着网络性能的改善理想的探测报文数量会缓慢增加。 这些选项确定这个变量的大小范围默认状态下，当网絡不可靠时理想的并行度值 可能为1，在好的条件下可能会增长至几百。

最常见的应用是--min-parallelism值大于1以加快 性能不佳的主机或网络的扫描。这个选项具有风险如果过高则影响准确度，同时 也会降低Nmap基于网络条件动态控制并行度的能力这个值设为10较为合适， 这个值的调整往往作为最后的手段

--max-parallelism选项通常设为1，以防止Nmap在同一时间 向主机发送多个探测报文和选择--scan-delay同时使用非常有用，虽然 这个选项本身的用途巳经很好

Nmap使用一个运行超时值来确定等待探测报文响应的时间，随后会放弃或重新 发送探测报文Nmap基于上一个探测报文的响应时间来计算超时值，如果网络延迟比较显著 和不定这个超时值会增加几秒。初始值的比较保守(高)而当Nmap扫描无响应 的主机时，这个保守值会保持┅段时间

这些选项以毫秒为单位，采用小的--max-rtt-timeout值使 --initial-rtt-timeout值大于默认值可以明显减少扫描时间，特别 是对不能ping通的扫描(-P0)以及具有严格过滤的网絡如果使用太 小的值，使得很多探测报文超时从而重新发送而此时可能响应消息正在发送，这使得整个扫描的时 间会增加

如果所有嘚主机都在本地网络，对于--max-rtt-timeout值来 说100毫秒比较合适。如果存在路由首先使用ICMP ping工具ping主机，或使用其 它报文工具如hpings可以更好地穿透防火墙。查看大约10个包的最大往返时间然后将 --initial-rtt-timeout设成这个时间的2倍，--max-rtt-timeout 可设成这个时间值的3倍或4倍通常，不管ping的时间是多少最大的rtt值不得小于100ms， 不能超过1000ms

--min-rtt-timeout这个选项很少使用，当网络不可靠时 Nmap的默认值也显得过于强烈，这时这个选项可起作用当网络看起来不可靠时，Nmap仅将 超時时间降至最小值这个情况是不正常的，需要向nmap-dev邮件列表报告bug

由于性能较差或不可靠的网络硬件或软件、带宽限制、严格的防火墙等原因， 一些主机需要很长的时间扫描这些极少数的主机扫描往往占 据了大部分的扫描时间。因此最好的办法是减少时间消耗并且忽略這些主机，使用 --host-timeout选项来说明等待的时间(毫秒)通常使用1800000 来保证Nmap不会在单个主机上使用超过半小时的时间。需要注意的是Nmap在这半小时中可鉯 同时扫描其它主机，因此并不是完全放弃扫描超时的主机被忽略，因此也没有针对该主机的 端口表、操作系统检测或版本检测结果的輸出

这个选项用于Nmap控制针对一个主机发送探测报文的等待时间(毫秒)，在带宽 控制的情况下这个选项非常有效Solaris主机在响应UDP扫描探测报文報文时，每秒 只发送一个ICMP消息因此Nmap发送的很多数探测报文是浪费的。--scan-delay 设为1000使Nmap低速运行。Nmap尝试检测带宽控制并相应地调整扫描的延迟泹 并不影响明确说明何种速度工作最佳。

--scan-delay的另一个用途是躲闭基于阈值的入侵检测和预防 系统(IDS/IPS)

上述优化时间控制选项的功能很强大也很囿效，但有些用户会被迷惑此外， 往往选择合适参数的时间超过了所需优化的扫描时间因此，Nmap提供了一些简单的 方法使用6个时间模板，使用时采用-T选项及数字(0 - 5) 或名称模板名称有paranoid (0)、sneaky (1)、polite (2)、normal(3)、 aggressive (4)和insane (5)。前两种模式用于IDS躲避Polite模式降低了扫描 速度以使用更少的带宽和目标主机资源。默认模式为Normal因此-T3 实际上是未做任何优化。Aggressive模式假设用户具有合适及可靠的网络从而加速 扫描Insane模式假设用户具有特别快的网络或者願意为获得速度而牺牲准确性。

用户可以根据自己的需要选择不同的模板由Nmap负责选择实际的时间值。 模板也会针对其它的优化控制选项進行速度微调例如，-T4 针对TCP端口禁止动态扫描延迟超过10ms-T5对应的值为5ms。 模板可以和优化调整控制选项组合使用但模板必须首先指定，否則模板的标准值 会覆盖用户指定的值建议在扫描可靠的网络时使用 -T4，即使 在自己要增加优化控制选项时也使用(在命令行的开始)从而从這些额外的较小的优化 中获益。

如果用于有足够的带宽或以太网连接仍然建议使用-T4选项。 有些用户喜欢-T5选项但这个过于强烈。有时用戶考虑到避免使主机 崩溃或者希望更礼貌一些会采用-T2选项他们并没意识到-T Polite选项是如何的慢，这种模式的扫描比默认方式实际上要多花10倍嘚时间默认时间 选项(-T3)很少有主机崩溃和带宽问题，比较适合于谨慎的用户不进行 版本检测比进行时间调整能更有效地解决这些问题。

雖然-T0和-T1选项可能有助于避免IDS告警但 在进行上千个主机或端口扫描时，会显著增加时间对于这种长时间的扫描，宁可设定确切的时间 值而不要去依赖封装的-T0和-T1选项。

T0选项的主要影响是对于连续扫描在一个时间只能扫描一个端口， 每个探测报文的发送间隔为5分钟T1和T2选項比较类似， 探测报文间隔分别为15秒和0.4秒T3是Nmap的默认选项，包含了并行扫描 T4选项与 --max-rtt-timeout 1250 --initial-rtt-timeout 500 等价，最大TCP扫描延迟为10msT5等价于

防火墙/IDS躲避和哄骗

很哆Internet先驱们设想了一个全球开放的网络，使用全局的IP 地址空间使得任何两个节点之间都有虚拟连接。这使得主机间可以作为真 正的对等体相互间提供服务和获取信息。人们可以在工作时访问家里所 有的系统、调节空调温度、为提前到来的客人开门随后，这些全球连接的設想 受到了地址空间短缺和安全考虑的限制在90年代早期，各种机构开始部 署防火墙来实现减少连接的目的大型网络通过代理、NAT和包过濾器与未 过滤的Internet隔离。不受限的信息流被严格控制的可信通信通道信息流所替代

类似防火墙的网络隔离使得对网络的搜索更加困难，随意的搜 索变得不再简单然而，Nmap提供了很多特性用于理解这些复杂的网 络并且检验这些过滤器是否正常工作。此外Nmap提供了绕过某些较弱的 防范机制的手段。检验网络安全状态最有效的方法之一是尝试哄骗网络将 自己想象成一个攻击者，使用本节提供的技术来攻击自己嘚网络如使用FTP bounce扫描、Idle扫描、分片攻击或尝试穿透自己的代理。

除限止网络的行为外使用入侵检测系统(IDS)的公司也不断增加。由于Nmap 常用于攻击前期的扫描因此所有主流的IDS都包含了检测Nmap扫描的规则。 现在这些产品变形为入侵预防系统(IPS)，可以主 动地阻止可疑的恶意行为不圉的是，网络管理员和IDS厂商通过分析报文 来检测恶意行为是一个艰苦的工作有耐心和技术的攻击者，在特定Nmap选项 的帮助下常常可以不被IDS检测到。同时管理员必须应付大量的误报结果， 正常的行为被误判而被改变或阻止

有时，人们建议Nmap不应该提供躲闭防火墙规则或哄騙IDS的功能 这些功能可能会被攻击者滥用，然而管理员却可以利用这些功能来增强安全性 实际上，攻击的方法仍可被攻击者利用他们鈳以发现其它工具或Nmap的补丁程 序。同时管理员发现攻击者的工作更加困难，相比较采取措施来预防执 行FTP Bounce攻击的工具而言部署先进的、咑过补丁的FTP服务器更 加有效。

Nmap不提供检测和破坏防火墙及IDS系统的魔弹(或Nmap选项)它使用 的是技术和经验，这超出了本参考手册的范围下面描述了相关的选项和 完成的工作。

-f选项要求扫描时(包挺ping扫描)使用 小的IP包分段其思路是将TCP头分段在几个包中，使得包过滤器、 IDS以及其它工具的检测更加困难必须小心使用这个选项，有些系 统在处理这些小包时存在问题例如旧的网络嗅探器Sniffit在接收 到第一个分段时会立刻出現分段错误。该选项使用一次Nmap在IP 头后将包分成8个字节或更小。因此一个20字节的TCP头会被分成3个 包，其中2个包分别有TCP头的8个字节另1个包囿TCP头的剩下4个字 节。当然每个包都有一个IP头。再次使用-f可使用 16字节的分段(减少分段数量)使用--mtu选项可 以自定义偏移的大小，使用时不需偠-f偏移量必须 是8的倍数。包过滤器和防火墙对所有的IP分段排队如Linux核心中的 CONFIG-IP-ALWAYS-DEFRAG配置项，分段包不会直接使用一些网络无法 承受这样所带來的性能冲击，会将这个配置禁止其它禁止的原因有分段 包会通过不同的路由进入网络。一些源系统在内核中对发送的报文进行 分段使用iptables连接跟踪模块的Linux就是一个例子。当使用类似Ethereal 的嗅探器时扫描必须保证发送的报文要分段。如果主机操作系统会产 生问题尝试使用--send-eth選项以避开IP层而直接 发送原始的以太网帧。

为使诱饵扫描起作用需要使远程主机认为是诱饵在扫描目标网络。 IDS可能会报个某个IP的5-10个端口掃描但并不知道哪个IP在扫描以及 哪些不是诱饵。但这种方式可以通过路由跟踪、响应丢弃以及其它主动 机制在解决这是一种常用的隐藏自身IP地址的有效技术。

使用逗号分隔每个诱饵主机也可用自己的真实IP作为诱饵，这时可使用 ME选项说明如果在第6个位置或 更后的位置使用ME选项，一些常用 端口扫描检测器(如Solar Designer's excellent scanlogd)就不会报告 这个真实IP如果不使用ME选项，Nmap 将真实IP放在一个随机的位置

注意作为诱饵的主机须在工莋状态，否则会导致目标主机的SYN洪水攻击 如果在网络中只有一个主机在工作，那就很容易确定哪个主机在扫描也可 使用IP地址代替主机洺(被诱骗的网络就不可能在名字服务器日志中发现)。

诱饵可用在初始的ping扫描(ICMP、SYN、ACK等)阶段或真正的端口扫描 阶段诱饵也可以用于远程操作系统检测(-O)。在进行版 本检测或TCP连接扫描时诱饵无效。

使用过多的诱饵没有任何价值反而导致扫描变慢并且结果不准确。 此外一些ISP会過滤哄骗的报文，但很多对欺骗IP包没有任何限制

在某些情况下，Nmap可能无法确定你的源地址(如果这样Nmap会给出 提示)。此时使用-S选项并说奣所需发送包的接口IP地址。

这个标志的另一个用处是哄骗性的扫描使得目标认为是另 一个地址在进行扫描。可以想象某一个竞争对手在鈈断扫描某个公司！ -e选项常在这种情况下使用也可采用-P0选项。

告诉Nmap使用哪个接口发送和接收报文Nmap可以进行自动检测， 如果检测不出会給出提示

仅依赖于源端口号就信任数据流是一种常见的错误配置，这个问题非常 好理解例如一个管理员部署了一个新的防火墙，但招來了很多用户的不满因为 他们的应用停止工作了。可能是由于外部的UDP DNS服务器响应无法进入网络而导致 DNS的崩溃。FTP是另一个常见的例子茬FTP传输时，远程服务器尝试和内部用 建立连接以传输数据

对这些问题有安全解决方案，通常是应用级代理或协议分析防火墙模块 但也存在一些不安全的方案。注意到DNS响应来自于53端口FTP连接 来自于20端口，很多管理员会掉入一个陷阱即允许来自于这些端口的数据进入 网络。他们认为这些端口里不会有值得注意的攻击和漏洞利用此外，管理员 或许认为这是一个短期的措施直至他们采取更安全的方案。但怹们忽视了安全的 升级

不仅仅是工作量过多的网络管理员掉入这种陷阱，很多产品本身也会有这类 不安全的隐患甚至是微软的产品。Windows 2000囷Windows XP中包含的IPsec过滤 器也包含了一些隐含规则允许所有来自88端口(Kerberos)的TCP和UDP数据流。另 一个常见的例子是Zone Alarm个人防火墙到2.1.25版本仍然允许源端口53(DNS)或 67(DHCP)的UDP包進入

Nmap提供了-g和--source-port选项(它们是 等价的)，用于利用上述弱点只需要提供一个端口号，Nmap就可以从这些 端口发送数据为使特定的操作系统正常笁作，Nmap必须使用不同的端口号 DNS请求会忽略--source-port选项，这是因为Nmap依靠系 统库来处理大部分TCP扫描，包括SYN扫描可以完全支持这些选项，UDP扫 描同樣如此

正常情况下，Nmap发送最少的报文只含一个包头。因此TCP包通常 是40字节ICMP ECHO请求只有28字节。这个选项告诉Nmap在发送的报文上 附加指定数量嘚随机字节操作系统检测(-O)包不受影响， 但大部分ping和端口扫描包受影响这会使处理变慢，但对扫描的影响较小

告诉Nmap在扫描主机前对每個组中的主机随机排列，最多可达 8096个主机这会使得扫描针对不同的网络监控系统来说变得不是很 明显，特别是配合值较小的时间选项时哽有效如果需要对一个较大 的组进行随机排列，需要增大nmap.h文件中 PING-GROUP-SZ的值并重新编译。另一种方法是使用列表扫描 (-sL -n -oN <filename>)产生目标IP的列表， 使鼡Perl脚本进行随机化然后使用-iL提供给Nmap。

要求Nmap在发送原以太网帧时使用指定的MAC地址这个选项隐含了 --send-eth选项，以保证Nmap真正发送以太网包MAC地址囿几 种格式。如果简单地使用字符串“0”Nmap选择一个完全随机的MAC 地址。如果给定的字符品是一个16进制偶数(使用:分隔)Nmap将使用这个MAC地址。 如果是小于12的16进制数字Nmap会随机填充剩下的6个字节。如果参数不是0或16进

任何安全工具只有在输出结果时才是有价值的如果没有通过组织和 噫于理解的方式来表达，复杂的测试和算法几乎没有意义Nmap提供了一些 方式供用户和其它软件使用，实际上没有一种方式可以使所有人滿意。 因此Nmap提供了一些格式包含了方便直接查看的交互方式和方便软件处理 的XML格式。

除了提供输出格式外Nmap还提供了选项来控制输出的細节以及调试 信息。输出内容可发送给标准输出或命名文件可以追加或覆盖。输出文件还可 被用于继续中断的扫描

Nmap提供5种不同的输出格式。默认的方式是interactive output 发送给标准输出(stdout)。normal output方式类似于 interactive但显示较少的运行时间信息 和告警信息，这是由于这些信息是在扫描完全结束后用於分析而不是交互式的。

XML输出是最重要的输出类型可被转换成HTML，对于程序处理非常方便 如用于Nmap图形用户接口或导入数据库。

交互式輸出是默认方式没有相应的命令行选项，其它四种格式选项 使用相同的语法采用一个参数，即存放结果的文件名多种格式可同时 使鼡，但一种格式只能使用一次例如，在标准输出用于查看的同时可将结 果保存到XML文件用于程序分析，这时可以使用选项-oX myscan.xml -oN myscan.nmap 为便于描述嘚简化，本章使用类似于myscan.xml的简单文件名 建议采用更具有描述性的文件名。文件名的选择与个人喜好有关建议增加 扫描日期以及一到两個单词来描述，并放置于一个目录中

在将结果输出到文件的同时，Nmap仍将结果发送给标准输出例如， 命令nmap -oX myscan.xml target将 输出XML至myscan.xml并在stdout 上打印相同的茭互式结果，而此时-oX选项没有采用可以 使用连字符作为选项来改变，这使得Nmap禁止交互式输出而是将结果打印到 所指定的标准输出流中。因此命令nmap -oX - target只 输出XML至标准输出stdout。严重错误仍然是输出到标准错误流stderr中

与其它Nmap参数不同，日志文件选项的空格(如-oX)和 文件名或连字符是必需的如果省略了标记，例如-oG-或 -oXscan.xmlNmap的向后兼容特点将建立 标准格式的输出文件，相应的文件名为G-和 Xscan.xml

Nmap还提供了控制扫描细节以及输出文件嘚添加或覆盖的选项，这些选项 如下所述

要求将标准输出直接写入指定 的文件。如上所述这个格式与交互式输出 略有不同。

要求XML输出矗接写入指定 的文件Nmap包含了一个文档类型定义(DTD)，使XML解析器有效地 进行XML输出这主要是为了程序应用，同时也可以协助人工解释 Nmap的XML输出DTD萣义了合法的格式元素，列举可使用的属性和 值最新的版本可在 获取。

XML提供了可供软件解析的稳定格式输出主要的计算机 语言都提供叻免费的XML解析器，如C/C++Perl，Python和Java 针对这些语言有一些捆绑代码用于处理Nmap的输出和特定的执行程序。 例如perl CPAN中的 和 对几乎所有与Nmap有接口的主要應用来说，XML是首选的格式

XML输出引用了一个XSL样式表，用于格式化输出结果类似于 HTML。最方便的方法是将XML输出加载到一个Web浏览器如Firefox 或IE。由於nmap.xsl文件的绝对 路径因此通常只能在运行了Nmap的机器上工作(或类似配置的机器)。 类似于任何支持Web机器的HTML文件--stylesheet 选项可用于建立可移植的XML文件。

脚本小子输出类似于交互工具输出这是一个事后处理，适合于 'l33t HaXXorZ 由于原来全都是大写的Nmap输出。这个选项和脚本小子开了玩笑看上去姒乎是为了 “帮助他们”。

这种方式最后介绍因为不建议使用。XML输格式很强大便于有经验 的用户使用。XML是一种标准由许多解析器构荿，而Grep输届更简化XML 是可扩展的，以支持新发布的Nmap特点使用Grep输出的目的是忽略这些 特点，因为没有足够的空间

然面，Grep输出仍然很常使鼡它是一种简单格式，每行一个主机可以 通过UNIX工具(如grep、awk、cut、sed、diff)和Perl方便地查找和分解。常可 用于在命令行上进行一次性测式查找ssh端口咑开或运行Sloaris的主机，只需 要一个简单的grep主机说明使用通道并通过awk或cut命令打印所需的域。

Grep输出可以包含注释(每行由#号开始)每行由6个标记嘚域组成，由制表符及 冒号分隔这些域有主机，端口 协议，忽略状态 操作系统，序列号 IPID和状态。

这些域中最重要的是Ports它提供 了所关注的端口的细节，端口项由逗号分隔每个端口项代表一个所关注的端口， 每个子域由/分隔这些子域有：端口号， 状态协议， 拥囿者服务， SunRPCinfo和版本信息

对于XML输出，本手册无法列举所有的格式有关Nmap Grep输出的更详细信息可 查阅。

-v (提高输出信息的详细度)

通过提高详细喥Nmap可以输出扫描过程的更多信息。 输出发现的打开端口若Nmap认为扫描需要更多时间会显示估计 的结束时间。这个选项使用两次会提供哽详细的信息。这个选 项使用两次以上不起作用

大部分的变化仅影响交互式输出，也有一些影响标准和脚本 小子输出其它输出类型由機器处理，此时Nmap默认提供详细的信 息不需要人工干预。然而其它模式也会有一些变化，省略一些 细节可以减小输出大小例如，Grep输出Φ的注释行提供所有扫描 端口列表但由于这些信息过长，因此只能在细节模式中输出

当详细模式也不能为用户提供足够的数据时，使鼡调试可以得到更 多的信息使用细节选项(-v)时，可启用命令行参数 (-d)多次使用可提高调试级别。也可在-d 后面使用参数设置调试级别例如，-d9设定级别9这是 最高的级别，将会产生上千行的输出除非只对很少的端口和目标进行简单扫描。

可以忽略、查看源代码或向开发列表(nmap-dev)求助有些输出行会有自 我解释的特点，但随着调试级别的升高会越来越含糊。

要求Nmap打印发送和接收的每个报文的摘要通常用于 调试，有助于新用户更好地理解Nmap的真正工作为避免输出过 多的行，可以限制扫描的端口数如-p20-30。 如果只需进行版本检测使用--version-trace。

输出Nmap检测到嘚接口列表和系统路由用于调试路由 问题或设备描述失误(如Nmap把PPP连接当作以太网对待)。

当使用文件作为输出格式如-oX或-oN， 默认该文件被覆蓋如果希望文件保留现有内容，将结果添加在现 有文件后面使用--append-output选项。所有指 定的输出文件都被添加但对于XML(-oX)扫描输出 文件无效，无法正常解析需要手工修改。

一些扩展的Nmap运行需要很长的时间 -- 以天计算这类扫描 往往不会结束。可以进行一些限制禁止Nmap在工作时间运荇，导致 网络中断、运行Nmap的主机计划或非计划地重启、或者Nmap自己中断 运行Nmap的管理员可以因其它原因取消运行，按下ctrl-C 即可从头开始启动掃描可能令人不快，幸运的是如果标准扫描 (-oN)或Grep扫描(-oG)日志 被保留，用户可以要求Nmap恢复终止的扫描只需要简单地使用选项 --resume并说明标准/Grep扫描輸出文件，不允许 使用其它参数Nmap会解析输出文件并使用原来的格式输出。使用方式 如nmap --resume <logfilename> Nmap将把新地结果添加到文件中，这种方式不支持XML输絀格式原因是 将两次运行结果合并至一个XML文件比较困难。

Nmap提从了XSL样式表nmap.xsl用于查看 或转换XML输出至HTML。XML输出包含了一个xml-stylesheet 直接指向nmap.xml文件， 该攵件由Nmap安装(或位于Windows当前工作目录)在Web浏览器 中打开Nmap的XML输出时，将会在文件系统中寻找nmap.xsl文件 并使用它输出结果。如果希望使用不同的样式表将它作为 --stylesheet的参数，必段指明完整的路 径或URL常见的调用方式是--stylesheet 。 这告诉浏览器从中加载最新的样式表这使得 没安装Nmap(和nmap.xsl) 的机器中可以方便地查看结果。因此URL更方便使用，本地文件系统 的nmap.xsl用于默认方式

本节描述一些重要的(和并不重要)的选项，这些选项 不适合其它任何哋方

从2002年起，Nmap提供对IPv6的一些主要特征的支持ping扫描(TCP-only)、 连接扫描以及版本检测都支持IPv6。除增加-6选项外 其它命令语法相同。当然必须使鼡IPv6地址来替换主机名，如 3ffe:00:210:f3ff:fe03:14d0 除“所关注的端口”行的地址部分为IPv6地址。

IPv6目前未在全球广泛采用目前在一些国家(亚洲)应用较多， 一些高级操作系统支持IPv6使用Nmap的IPv6功能，扫描的源和目 的都需要配置IPv6如果ISP(大部分)不分配IPv6地址，Nmap可以采用 免费的隧道代理一种较好的选择是BT Exact，位于 此外，还有Hurricane Electric位于。6to4隧道是 另一种常用的免费方法

-A (激烈扫描模式选项)

这个选项启用额外的高级和高强度选项，目前还未确定代表 的内嫆目前，这个选项启用了操作系统检测(-O) 和版本扫描(-sV)以后会增加更多的功能。 目的是启用一个全面的扫描选项集合不需要用户记忆大量的 选项。这个选项仅仅启用功能不包含用于可能所需要的 时间选项(如-T4)或细节选项(-v)。

要求Nmap在以太网(数据链路)层而不是IP(网络层)发送 报文默认方式下，Nmap选择最适合其运行平台的方式原套接 字(IP层)是UNIX主机最有效的方式，而以太网帧最适合Windows操作 系统因为Microsoft禁用了原套接字支持。茬UNIX中如果没有其 它选择(如无以太网连接)，不管是否有该选项Nmap都使用原IP包。

要求Nmap通过原IP套接字发送报文而不是低层的以 太网帧。这是--send-eth選项的补充

告诉Nmap假定其具有足够的权限进行源套接字包发送、 报文捕获和类似UNIX系统中根用户操作的权限。默认状态下 如果由getuid()请求的类姒操作不为0，Nmap将退出 --privileged在具有Linux内核性能的类似 系统中使用非常有效，这些系统配置允许非特权用户可以进行 原报文扫描需要明确的是，茬其它选项之前使用这些需要权

在交互模式中启动Nmap提供交互式的Nmap提示，便于 进行多个扫描(同步或后台方式)对于从多用户系统中扫描 的鼡户非常有效，这些用户常需要测试他们的安全性但不希望 系统中的其它用户知道他们扫描哪些系统。使用--interactive 激活这种方式然后输入h可 獲得帮助信息。由于需要对正确的shell程序和整个功能非常熟悉 这个选项很少使用。这个选项包含了一个!操作符用于执行shell命令， 这是不安裝Nmap setuid root的多个原因之一

打印Nmap版本号并退出。

打印一个短的帮助屏幕列出大部分常用的 命令选项，这个功能与不带参数运行Nmap是相同的

下面給出一些实例，简单的、复杂的到深奥的为更具体，一 些例子使用了实际的IP地址和域名在这些位置，可以使用你自己网络 的地址/域名替换注意，扫描其它网络不一定合法一些网络管理员不愿看到 未申请过的扫描，会产生报怨因此，先获得允许是最好的办法

允许被扫描。但仅允许使用Nmap扫描并禁止测试漏洞或进行DoS攻击为 保证带宽，对该主机的扫描每天不要超过12次如果这个免费扫描服务被 滥用，系统将崩溃而且Nmap将报告解析 指定的主机名/IP地址失败：这些免 费扫描要求也适用于、 等等，虽然这些 主机目前还不存在

这个选项扫描主機中 所有的保留TCP端口。选项-v启用细节模式

进行秘密SYN扫描，对象为主机Saznme所在的“C类”网段 的255台主机同时尝试确定每台工作主机的操作系統类型。因为进行SYN扫描 和操作系统检测这个扫描需要有根权限。

进行主机列举和TCP扫描对象为B类188.116网段中255个8位子网。这 个测试用于确定系統是否运行了sshd、DNS、imapd或4564端口如果这些端口 打开，将使用版本检测来确定哪种应用在运行

随机选择100000台主机扫描是否运行Web服务器(80端口)。由起始阶段 发送探测报文来确定主机是否工作非常浪费时间而且只需探测主机的一个端口，因 此使用-P0禁止对主机列表

扫描4096个IP地址，查找Web服務器(不ping)将结果以Grep和XML格式保存。

进行DNS区域传输以发现中的主机，然后将IP地址提供给 Nmap上述命令用于GNU/Linux -- 其它系统进行区域传输时有不同的命囹。

该Nmap参考指南中文版由Fei Yang <fyang1024@/24, 是花花公子芝加哥办公室的 防火墙Nmap最后还会报告IP地址的总数。列表扫描可以很好的确保您拥有正确的目标IP 如果主机的域名出乎您的意料，那么就徝得进一步检查以防错误地扫描其它组织的网络

既然只是打印目标主机的列表，像其它一些高级功能如端口扫描操作系统探测或者Ping扫描 的选项就没有了。如果您希望关闭ping扫描而仍然执行这样的高级功能请继续阅读关于 -P0选项的介绍。

该选项告诉Nmap仅仅 进行ping扫描 (主机发现)嘫后打印出对扫描做出响应的那些主机。 没有进一步的测试 (如端口扫描或者操作系统探测) 这比列表扫描更积极，常常用于 和列表扫描相哃的目的它可以得到些许目标网络的信息而不被特别注意到。 对于攻击者来说了解多少主机正在运行比列表扫描提供的一列IP和主机名往往更有价值。

系统管理员往往也很喜欢这个选项 它可以很方便地得出 网络上有多少机器正在运行或者监视服务器是否正常运行。常常囿人称它为 地毯式ping它比ping广播地址更可靠，因为许多主机对广播请求不响应

-sP选项在默认情况下， 发送一个ICMP回声请求和一个TCP报文到80端口洳果非特权用户执行，就发送一个SYN报文 (用connect()系统调用)到目标机的80端口 当特权用户扫描局域网上的目标机时，会发送ARP请求(-PR) ，除非使用了--send-ip选項 -sP选项可以和除-P0)之外的任何发现探测类型-P* 选项结合使用以达到更大的灵活性。 一旦使用了任何探测类型和端口选项默认的探测(ACK和回应請求)就被覆盖了。 当防守严密的防火墙位于运行Nmap的源主机和目标网络之间时 推荐使用那些高级选项。否则当防火墙捕获并丢弃探测包戓者响应包时，一些主机就不能被探测到

该选项完全跳过Nmap发现阶段。 通常Nmap在进行高强度的扫描时用它确定正在运行的机器 默认情况下，Nmap只对正在运行的主机进行高强度的探测如 端口扫描版本探测，或者操作系统探测用-P0禁止 主机发现会使Nmap对每一个指定的目标IP地址 进行所要求的扫描。所以如果在命令行指定一个B类目标地址空间(/16) 所有 65,536 个IP地址都会被扫描。 -P0的第二个字符是数字0而不是字母O 和列表扫描一样，跳过正常的主机发现但不是打印一个目标列表， 而是继续执行所要求的功能就好像每个IP都是活动的。

该选项发送一个设置了SYN标志位嘚空TCP报文 默认目的端口为80 (可以通过改变/nmap-oG-output。

-v (提高输出信息的详细度)

通过提高详细度Nmap可以输出扫描过程的更多信息。 输出发现的打开端口若Nmap认为扫描需要更多时间会显示估计 的结束时间。这个选项使用两次会提供更详细的信息。这个选 项使用两次以上不起作用

大部分嘚变化仅影响交互式输出，也有一些影响标准和脚本 小子输出其它输出类型由机器处理，此时Nmap默认提供详细的信 息不需要人工干预。嘫而其它模式也会有一些变化，省略一些 细节可以减小输出大小例如，Grep输出中的注释行提供所有扫描 端口列表但由于这些信息过长，因此只能在细节模式中输出

当详细模式也不能为用户提供足够的数据时，使用调试可以得到更 多的信息使用细节选项(-v)时，可启用命囹行参数 (-d)多次使用可提高调试级别。也可在-d 后面使用参数设置调试级别例如，-d9设定级别9这是 最高的级别，将会产生上千行的输出除非只对很少的端口和目标进行简单扫描。

可以忽略、查看源代码或向开发列表(nmap-dev)求助有些输出行会有自 我解释的特点，但随着调试级别嘚升高会越来越含糊。

要求Nmap打印发送和接收的每个报文的摘要通常用于 调试，有助于新用户更好地理解Nmap的真正工作为避免输出过 多嘚行，可以限制扫描的端口数如-p20-30。 如果只需进行版本检测使用--version-trace。

输出Nmap检测到的接口列表和系统路由用于调试路由 问题或设备描述失誤(如Nmap把PPP连接当作以太网对待)。

当使用文件作为输出格式如-oX或-oN， 默认该文件被覆盖如果希望文件保留现有内容，将结果添加在现 有文件後面使用--append-output选项。所有指 定的输出文件都被添加但对于XML(-oX)扫描输出 文件无效，无法正常解析需要手工修改。

一些扩展的Nmap运行需要很长的時间 -- 以天计算这类扫描 往往不会结束。可以进行一些限制禁止Nmap在工作时间运行，导致 网络中断、运行Nmap的主机计划或非计划地重启、或鍺Nmap自己中断 运行Nmap的管理员可以因其它原因取消运行，按下ctrl-C 即可从头开始启动扫描可能令人不快，幸运的是如果标准扫描 (-oN)或Grep扫描(-oG)日志 被保留，用户可以要求Nmap恢复终止的扫描只需要简单地使用选项 --resume并说明标准/Grep扫描输出文件，不允许 使用其它参数Nmap会解析输出文件并使用原来的格式输出。使用方式 如nmap --resume <logfilename> Nmap将把新地结果添加到文件中，这种方式不支持XML输出格式原因是 将两次运行结果合并至一个XML文件比较困难。

Electric位于/。6to4隧道是 另一种常用的免费方法

-A (激烈扫描模式选项)

这个选项启用额外的高级和高强度选项，目前还未确定代表 的内容目前，這个选项启用了操作系统检测(-O) 和版本扫描(-sV)以后会增加更多的功能。 目的是启用一个全面的扫描选项集合不需要用户记忆大量的 选项。這个选项仅仅启用功能不包含用于可能所需要的 时间选项(如-T4)或细节选项(-v)。

要求Nmap在以太网(数据链路)层而不是IP(网络层)发送 报文默认方式下，Nmap选择最适合其运行平台的方式原套接 字(IP层)是UNIX主机最有效的方式，而以太网帧最适合Windows操作 系统因为Microsoft禁用了原套接字支持。在UNIX中如果沒有其 它选择(如无以太网连接)，不管是否有该选项Nmap都使用原IP包。

要求Nmap通过原IP套接字发送报文而不是低层的以 太网帧。这是--send-eth选项的补充

告诉Nmap假定其具有足够的权限进行源套接字包发送、 报文捕获和类似UNIX系统中根用户操作的权限。默认状态下 如果由getuid()请求的类似操作不为0，Nmap将退出 --privileged在具有Linux内核性能的类似 系统中使用非常有效，这些系统配置允许非特权用户可以进行 原报文扫描需要明确的是，在其它选项の前使用这些需要权

在交互模式中启动Nmap提供交互式的Nmap提示，便于 进行多个扫描(同步或后台方式)对于从多用户系统中扫描 的用户非常有效，这些用户常需要测试他们的安全性但不希望 系统中的其它用户知道他们扫描哪些系统。使用--interactive 激活这种方式然后输入h可 获得帮助信息。由于需要对正确的shell程序和整个功能非常熟悉 这个选项很少使用。这个选项包含了一个!操作符用于执行shell命令， 这是不安装Nmap setuid root的多个原洇之一

打印Nmap版本号并退出。

打印一个短的帮助屏幕列出大部分常用的 命令选项，这个功能与不带参数运行Nmap是相同的

下面给出一些实唎，简单的、复杂的到深奥的为更具体，一 些例子使用了实际的IP地址和域名在这些位置，可以使用你自己网络 的地址/域名替换注意，扫描其它网络不一定合法一些网络管理员不愿看到 未申请过的扫描，会产生报怨因此，先获得允许是最好的办法

进行DNS区域传输，鉯发现company.com中的主机然后将IP地址提供给 Nmap。上述命令用于GNU/Linux -- 其它系统进行区域传输时有不同的命令