打开Kali终端，扫描敲下`nmap -sS 192.168.1.1`，端口回车。命令屏幕上滚出来的攻击东西，就是扫描一次典型的端口扫描。很多人以为这是端口“攻击”，其实更准确地说，命令这是攻击侦察。攻击还没开始，扫描你只是端口在摸清对方哪扇门没锁。

我习惯把Nmap比作一把万能钥匙串。命令它不负责踹门，攻击只负责告诉你门在哪、扫描锁是端口什么型号、甚至门后面有没有人。命令`-sS`这个参数叫TCP SYN扫描，也叫半开放扫描。它不完成三次握手，只发一个SYN包，对方回SYN/ACK就说明端口开着，回RST就说明关着。因为没建立完整连接，很多老式日志系统根本记不下来。这招在Kali里默认需要root权限，原因很简单——构造原始TCP包得动用到系统底层。

但别急着扫。先搞清楚你要扫谁。扫自己局域网里的设备，和扫公网IP，性质完全不同。前者叫资产梳理，后者可能叫“准备进去喝茶”。我见过一个新手，拿Kali扫了某云服务商的IP段，结果半小时后IP被封，还收到一封措辞客气的警告邮件。所以，动手前先确认授权范围，这不是道德说教，是保命常识。

具体命令怎么敲？最基础的一条：

nmap -sS -p 1-1000 192.168.1.100

这行意思是：用SYN扫描，只扫1到1000号端口，目标是192.168.1.100。为什么是1-1000？因为大部分常见服务——SSH的22、HTTP的80、HTTPS的443、MySQL的3306——都在这个范围里。但如果你想扫全端口，把`-p 1-1000`换成`-p-`就行。代价是慢。扫一个IP的全端口，快则几分钟，慢则半小时。我试过扫一台防火墙后面的主机，`-p-`跑了二十分钟，最后只开了两个端口。那感觉就像翻遍整栋楼，发现只有两扇门能推开。

速度可以调。`-T4`是常用档位，比默认的`-T3`快不少，但别上来就`-T5`。`-T5`太激进，容易丢包，结果反而更慢。有次我贪快用了`-T5`扫一台老服务器，Nmap直接报了一堆“重传”，最后漏报了两个开放端口。后来换回`-T4`，老老实实扫，全出来了。所以快不等于准，这行没有银弹。

扫完端口，下一步通常是服务识别。加个`-sV`：

nmap -sS -sV -p 22,80,443 192.168.1.100

Nmap会主动连上去，抓banner，猜服务名和版本。比如22端口返回“OpenSSH 8.2p1 Ubuntu”，你就知道对方大概是什么系统。这一步比单纯看端口开没开有用得多。端口开着不代表有漏洞，但版本旧了，漏洞库一查一个准。我见过一台内网机器，22端口开着，跑的是OpenSSH 7.2，CVE-2016-6210就在那等着。后来一问，那机器三年没打过补丁。

还有个小技巧：`-sC`会跑一堆默认脚本，比如探测HTTP标题、检查匿名FTP、枚举SMB共享。有时候不用额外工具，一条`nmap -sC -sV -p- 目标`就能把底裤扒得差不多。但脚本跑多了动静也大，IDS不是吃素的。所以内网扫和公网扫，参数得区别对待。内网可以放开手脚，公网最好低调点，`-sS`加`-T2`，慢就慢，别触发警报。

最后说个真实场景。有次帮朋友查他家路由器，Kali里敲`nmap -sS 192.168.1.1`，结果80、443、22全开。他吓一跳，说“我路由器怎么开了SSH？”其实那是路由器固件自带的调试接口，默认密码没改。后来登进去一看，密码是admin/admin。这事说明什么？扫描只是第一步，扫出来的东西得会看、会跟进。端口开着不可怕，可怕的是你不知道它为什么开着。

Nmap不是攻击工具，它是手电筒。照到哪里，取决于拿手电筒的人。Kali里敲命令很容易，难的是理解每条命令背后的网络行为和后果。下次扫之前，先问自己：我扫这个，是为了修，还是为了拆？答案不一样，命令的写法也不一样。