基本扫描

  1. # 基本快速扫描， 默认发送 一个 ARP 的 ping 数据包，探测目标主机在 1-10000 范围内开放的所有端口
  2. nmap IP
  4. # 快速扫描多个目标
  5. nmap IP1 IP2....
  7. # 详细描述输出扫描, 简单扫描，并对返回的结果详细描述输出
  8. nmap [ -v | -vv ] IP 
  10. # 指定端口和范围扫描
  11. nmap -p [port, port...] IP
  13. # 扫描除某一个 IP 外的所有子网主机
  14. nmap IP/24 -exclude IP
  16. # 显示扫描的所有主机的列表
  17. nmap -sL IP/24
  19. # Ping 扫描，只检测主机是否存在于网络中
  20. nmap -sP IP
  22. # SYN 半开放扫描, 不会在目标主机上产生记录
  23. nmap -sS IP
  25. # TCP 扫描
  26. nmap -sT IP
  27. # UDP 扫描
  28. nmap -sU IP
  30. # FIN  标志的数据报扫描, 不会在目标主机创建日志
  31. nmap -sF IP
  33. # Version 版本检测扫描
  34. nmap -sV IP
  36. # 操作系统探测
  37. nmap -O IP
  39. # 猜测匹配操作系统
  40. nmap -O --osscan-guess IP
  42. # NO Ping 扫描
  43. nmap -O -PN IP
  45. # 设置时间模板
  46. nmap -sS -T<0-5> IP
  48. # 网段扫描格式
  49. nmap -sP IP/CIDR
  51. # 从文件中读取需要扫描的 IP 列表
  52. nmap -iL file
  54. # 路由跟踪扫描
  55. nmap -traceroute IP
  57. # 包含 OS 识别、版本探测、脚本扫描、traceroute 综合扫描
  58. nmap -A IP

脚本使用

NSEDoc Reference Portal — Nmap Scripting Engine documentation

  1. nmap --script 类别
  2. # 类别
  3. - auth: 负责处理鉴权证书（绕开鉴权）的脚本  
  4. - broadcast: 在局域网内探查更多服务开启状况，如dhcp/dns/sqlserver等服务  
  5. - brute: 提供暴力破解方式，针对常见的应用如http/snmp等  
  6. - default: 使用-sC或-A选项扫描时候默认的脚本，提供基本脚本扫描能力  
  7. - discovery: 对网络进行更多的信息，如SMB枚举、SNMP查询等  
  8. - dos: 用于进行拒绝服务攻击  
  9. - exploit: 利用已知的漏洞入侵系统  
  10. - external: 利用第三方的数据库或资源，例如进行whois解析  
  11. - fuzzer: 模糊测试的脚本，发送异常的包到目标机，探测出潜在漏洞
  12. - intrusive: 入侵性的脚本，此类脚本可能引发对方的IDS/IPS的记录或屏蔽
  13. - malware: 探测目标机是否感染了病毒、开启了后门等信息  
  14. - safe: 此类与intrusive相反，属于安全性脚本  
  15. - version: 负责增强服务与版本扫描（Version Detection）功能的脚本  
  16. - vuln: 负责检查目标机是否有常见的漏洞（Vulnerability），如是否有MS08_067

常见的一些脚本使用

  1. # 扫描服务器常见漏洞
  2. nmap --script vuln IP
  3. # 检查 FTP 是否开启匿名登陆
  4. nmap --script ftp-anon IP
  5. # 对 MYSQL 进行暴力破解
  6. nmap --script mysql-brute IP
  7. # 对 MSSQL 进行暴力破解
  8. nmap -p 1433 --script ms-sql-brute --script-args userdb=customuser.txt,passdb=custompass.txt IP
  9. # 对 Oracle 数据库进行暴力破解
  10. nmap --script oracle-brute -p 1521 --script-args oracle-brute.sid=ORCL IP
  12. # 对 抛光SQL 暴力破解
  13. nmap -p 5432 --script pgsql-brute IP
  15. # 对 SSH 暴力破解
  16. nmap -p 22 --script ssh-brute --script-args userdb=users.lst,passdb=pass.lst --script-args ssh-brute.timeout=4s IP
  18. # 使用 DNS 进行子域名暴力破解
  19. nmap --script dns-brute www.baidu.com
  21. # 检查VMWare ESX，ESXi和服务器（CVE-2009-3733）中的路径遍历漏洞
  22. nmap --script http-vmware-path-vuln -p80,443,8222,8333 IP
  24. # 查询VMware服务器（vCenter，ESX，ESXi）SOAP API以提取版本信息。
  25. nmap --script vmware-version -p443 10.0.1.4

参数详解

Nmap 支持主机名 IP 网段表示方式

  1. blah.highon.coffee, namp.org/24, 192.168.0.1;10.0.0-25.1-254
  3. -iL filename                    从文件中读取待检测的目标,文件中的表示方法支持机名,ip,网段
  4. -iR hostnum                     随机选取,进行扫描.如果-iR指定为0,则是无休止的扫描
  5. --exclude host1[, host2]        从扫描任务中需要排除的主机           
  6. --exculdefile exclude_file      排除文件中的IP,格式和-iL指定扫描文件的格式相同

1. 主机发现

  1. -sL                     仅仅是显示,扫描的IP数目,不会进行任何扫描
  2. -sP                     ping扫描,即主机发现,显对扫描做出响应的主机
  3. -P0                     Nmap 默认只对确定正在运行的主机进行高强度扫描，使用该命令可以对每一个目标进行扫描
  4. -Pn                     不检测主机存活
  5. -PS/PA/PU               TCP SYN Ping/TCP ACK Ping/UDP Ping
  6. -PE/PP/PM               使用ICMP echo, timestamp and netmask 请求包发现主机
  7. -PR                     ARP Ping 扫描，
  8. -n                      不对IP进行域名反向解析
  9. -R                      对目标 IP 地址进行反向域名解析，一般只有当发现机器正在运行时才进行这步操作
  10. --system-dns            使用系统域名解析器

2. 端口扫描

状态 描述
open 这表明与扫描端口的连接已建立。这些连接可以是TCP 连接、UDP 数据报以及SCTP 关联。
closed 当端口显示为关闭时，TCP 协议表明我们收到的数据包包含一个RST标志。这种扫描方法也可以用来确定我们的目标是否还活着。
filtered Nmap 无法正确识别扫描的端口是打开还是关闭，因为要么没有从目标返回该端口的响应，要么我们从目标获得错误代码。
unfiltered 端口的这种状态只发生在TCP-ACK扫描期间，表示该端口是可访问的，但无法确定它是打开还是关闭。
open filtered 如果我们没有得到特定端口的响应，Nmap则将其设置为该状态。这表明防火墙或数据包过滤器可以保护端口。
closed filtered 此状态仅出现在IP ID 空闲扫描中，表示无法确定扫描的端口是否已关闭或被防火墙过滤。 
  1. -sS/sT/sA/sW/sM                 TCP SYN/TCP connect()/ACK/TCP窗口扫描/TCP Maimon扫描
  2. -sU                             UDP扫描
  3. -sN/sF/sX                       TCP Null，FIN，and Xmas扫描
  4. --scanflags                     自定义TCP包中的flags
  5. -sI zombie host[:probeport]     Idlescan
  6. -sY/sZ                          SCTP INIT/COOKIE-ECHO 扫描
  7. -sO                             使用IP 协议扫描确定目标机支持的协议类型
  8. -b <ftp relay host>             使用FTP 弹跳扫描

3. 端口说明和扫描顺序

  1. -p                      特定的端口 -p80,443 或者 -p1-65535
  2. -p U:PORT               扫描udp的某个端口, -p U:53
  3. -F                      快速扫描模式,比默认的扫描端口还少
  4. -r                      不随机扫描端口,默认是随机扫描的
  5. --top-ports "number"    扫描开放概率最高的number个端口,出现的概率需要参考nmap-services文件,ubuntu中该文件位于/usr/share/nmap.nmap默认扫前1000个
  6. --port-ratio "ratio"    扫描指定频率以上的端口

4. 服务版本识别

  1. -sV                             开放版本探测,可以直接使用-A同时打开操作系统探测和版本探测
  2. --allports                      不为版本探测排除任何端口
  3. --version-intensity [0~9]     设置版本扫描强度,强度水平说明了应该使用哪些探测报文。数值越高，服务越有可能被正确识别。默认是7
  4. --version-light                 打开轻量级模式,为--version-intensity 2的别名
  5. --version-all                   尝试所有探测,为--version-intensity 9的别名
  6. --version-trace                 显示出详细的版本侦测过程信息

5. 脚本扫描

  1. -sC                             根据端口识别的服务,调用默认脚本
  2. --script=”Lua scripts”          调用的脚本名
  3. --script-args=n1=v1,[n2=v2]     调用的脚本传递的参数
  4. --script-args-file=filename     使用文本传递参数
  5. --script-trace                  显示所有发送和接收到的数据
  6. --script-updatedb               更新脚本的数据库
  7. --script-help=”Lua script”      显示指定脚本的帮助

6. OS 识别

  1. -O              启用操作系统检测,-A来同时启用操作系统检测和版本检测
  2. --osscan-limit  针对指定的目标进行操作系统检测(至少需确知该主机分别有一个open和closed的端口)
  3. --osscan-guess  推测操作系统检测结果,当Nmap无法确定所检测的操作系统时，会尽可能地提供最相近的匹配，Nmap默认进行这种匹配

7. 时间和性能

  1. --min-hostgroup <size>; --max-hostgroup <size>        调整并行扫描组的大小
  2. --min-parallelism <numprobes>; --max-parallelism <numprobes>        调整探测报文的并行度
  3. --min-rtt-timeout <milliseconds>， --max-rtt-timeout <milliseconds>， --initial-rtt-timeout <milliseconds>        调整探测报文超时
  4. --host-timeout <milliseconds>        放弃低速目标主机
  5. --scan-delay <milliseconds>; --max-scan-delay <milliseconds>        调整探测报文的时间间隔
  6. -T <Paranoid|Sneaky|Polite|Normal|Aggressive|Insane>        设置时间模板， Nmap提供了一些简单的 方法，使用6个时间模板，使用时采用-T选项及数字(0 - 5) 或名称。模板名称有paranoid (0)、sneaky (1)、polite (2)、normal(3)、 aggressive (4)和insane (5)。前两种模式用于IDS躲避，Polite模式降低了扫描 速度以使用更少的带宽和目标主机资源。默认模式为Normal，因此-T3 实际上是未做任何优化。Aggressive模式假设用户具有合适及可靠的网络从而加速 扫描。Insane模式假设用户具有特别快的网络或者愿意为获得速度而牺牲准确性。

8. 防火墙/IDS躲避和哄骗

  1. -f; --mtu value                 指定使用分片、指定数据包的MTU.
  2. -D decoy1,decoy2,ME             使用诱饵隐蔽扫描
  3. -S IP-ADDRESS                   源地址欺骗
  4. -e interface                    使用指定的接口
  5. -g/ --source-port PROTNUM       使用指定源端口  
  6. --proxies url1,[url2],...       使用HTTP或者SOCKS4的代理
  7. --data-length NUM               填充随机数据让数据包长度达到NUM
  8. --ip-options OPTIONS            使用指定的IP选项来发送数据包
  9. --ttl VALUE                     设置IP time-to-live域
  10. --spoof-mac ADDR/PREFIX/VEBDOR  MAC地址伪装
  11. --badsum                        使用错误的checksum来发送数据包

9. Nmap 输出

  1. # XML  转换为 HTML 展示
  2. xsltproc target.xml -o target.html
  4. -oN                     将标准输出直接写入指定的文件
  5. -oX                     输出xml文件
  6. -oS                     将所有的输出都改为大写
  7. -oG                     输出便于通过bash或者perl处理的格式,非xml
  8. -oA BASENAME            可将扫描结果以标准格式、XML格式和Grep格式一次性输出
  9. -v                      提高输出信息的详细度
  10. -d level                设置debug级别,最高是9
  11. --reason                显示端口处于带确认状态的原因
  12. --open                  只输出端口状态为open的端口
  13. --packet-trace          显示所有发送或者接收到的数据包
  14. --iflist                显示路由信息和接口,便于调试
  15. --log-errors            把日志等级为errors/warings的日志输出
  16. --append-output         追加到指定的文件
  17. --resume FILENAME       恢复已停止的扫描
  18. --stylesheet PATH/URL   设置XSL样式表，转换XML输出
  19. --webxml                从namp.org得到XML的样式
  20. --no-sytlesheet         忽略XML声明的XSL样式表

10. 其他 nmap 选项

  1. -6                      开启IPv6
  2. -A                      OS识别,版本探测,脚本扫描和traceroute
  3. --datedir DIRNAME       说明用户Nmap数据文件位置
  4. --send-eth / --send-ip  使用原以太网帧发送/在原IP层发送
  5. --privileged            假定用户具有全部权限
  6. --unprovoleged          假定用户不具有全部权限,创建原始套接字需要root权限
  7. -V                      打印版本信息
  8. -h                      输出帮助

参考文章

nmap超详细使用教程_刘—手的博客-CSDN博客

Nmap: the Network Mapper - Free Security Scanner