Nmap扫描工具攻击

凌晨两点，我盯着 nmap -sS -p- 10.0.0.0/24 的工具攻击输出发呆——短短七秒，内网里三十多台设备全部暴露了开放端口。扫描那台打印机甚至开着 9100 和 631，工具攻击隔壁财务的扫描 Windows 主机把 445 和 3389 直接晾在公网出口。这不是工具攻击演习，是扫描一次真实的红队评估。Nmap 从来不是工具攻击“攻击工具”，但它撕开的扫描口子，比很多漏洞利用程序都致命。工具攻击

很多人把 Nmap 当成扫描器，扫描扫完就丢一边。工具攻击可攻击链里，扫描它干的工具攻击活叫“踩点”。你连目标开了什么服务、扫描跑什么系统版本、有没有过滤规则都不清楚，后面拿什么打？我见过太多新手直接上 MSF 狂轰滥炸，结果连对方是 Linux 还是 Windows 都搞错。Nmap 的价值在于，它用最安静的方式，把攻击面画得明明白白。

那次内网评估，真正让我后背发凉的是 -sV 的版本探测结果。一台老旧的 CentOS 6 服务器开着 OpenSSH 5.3，旁边 Windows Server 2008 的 SMB 版本是 1.0。这些信息单独看没什么，串起来就是一条完整的攻击路径——SSH 弱加密套件可以中间人，SMBv1 直接上永恒之蓝。Nmap 不会帮你打，但它把地图递到你手里。

“扫描不是攻击，但攻击一定从扫描开始。”——这话我贴在工位上三年了。真正危险的是那些把 Nmap 脚本引擎当武器的人。

Nmap 脚本引擎（NSE）才是隐藏的杀招。默认的 --script 能做的事远超你想象。比如 http-enum 直接枚举 Web 目录，smb-vuln-ms17-010 检测永恒之蓝，ssh-brute 甚至能跑弱口令爆破。我试过用 --script vuln 扫一台未打补丁的 Tomcat，十分钟后它自己吐出了 CVE-2017-12615 的利用提示。脚本一跑，扫描器变 exploit 辅助器。

防御方怎么看？很多运维只知道封 ping，结果 Nmap 用 -Pn 直接跳过主机发现，照样扫端口。还有人觉得改个非标端口就安全，Nmap 的 -sV 连服务指纹都能认出来，端口号只是数字。真正有效的反制是流量监控——一次全端口 SYN 扫描会在几秒内产生上千条半开连接，NetFlow 或者 Zeek 很容易抓出异常。可惜我见过的内网，八成没有这种细粒度的日志。

去年有个客户被扫了整整一周，安全设备只报了“大量异常连接”，没人当回事。直到某天凌晨，攻击者用 Nmap 扫出的 8080 端口上传了 webshell。事后复盘，扫描日志就在那儿躺着，全是 nmap -sV 的特征字符串。Nmap 默认会发一些探针，比如 HTTP 请求里的 User-Agent: Mozilla/5.0 (compatible; Nmap Scripting Engine)，改一下 --script-args http.useragent="Mozilla/5.0" 就能伪装。但多数人懒得改，防御方也懒得看。

说到底，Nmap 就是个放大镜。你用它看别人，别人也用它看你。区别在于，懂行的人扫完会立刻关掉多余端口、升级服务版本、加一条防火墙规则。不懂的人扫完只会截图发群里说“卧槽这端口都开着”。工具没变，变的是用工具的人。下次你敲下 nmap 之前，先想想自己站哪边。

我自己的习惯：每次扫完目标，顺手用 -oX 存一份 XML，过两周再扫一次对比。端口变化、版本升级、新服务上线——这些动态比单次扫描有意思得多。Nmap 的 --stylesheet 还能把结果转成 HTML 报告，丢给客户看比截图专业。工具是死的，脑子得活。