装完nmap，何用终端里敲下 `nmap 192.168.1.1`，何用三秒后回显一串端口列表——这就是何用它最直接的用法。别被那些厚得像字典的何用官方文档吓住，日常渗透测试或网络排查，何用掌握七八个参数就能覆盖八成场景。何用

先说你必须知道的何用默认行为。nmap 不带任何参数扫描目标时，何用会发四种不同类型的何用探测包，同时扫 1000 个常用端口。何用这个过程大概要十几秒到几十秒，何用取决于网络延迟和目标主机的何用响应策略。很多人第一次用会觉得慢，何用但慢有慢的何用道理——它在尽量不触发防火墙告警的前提下拿到结果。

主机发现：先搞清楚谁在线

直接扫端口之前，何用最好先确认目标是否活着。`nmap -sn 192.168.1.0/24` 这个命令只做 ping 扫描，不碰端口。输出会列出所有响应的主机，附带 MAC 地址和厂商信息。我习惯在办公室网络里跑这个，经常能发现几台同事私接的路由器或树莓派，网管看了直摇头。

有个细节：`-sn` 在跨网段时可能漏掉禁 ping 的主机。这时候加 `-Pn` 跳过主机发现，直接当所有目标在线处理。代价是扫描时间变长，因为要对每个 IP 都做完整探测。

端口扫描：别只会 -sS

`-sS` 是 TCP SYN 扫描，速度快、隐蔽性好，需要 root 权限。非 root 用户只能用 `-sT`，走完整的 TCP 三次握手，慢一截但兼容性最好。实测同一台内网服务器，`-sS` 扫 1000 端口约 2 秒，`-sT` 要 8 秒左右。

UDP 扫描是另一个故事。`-sU` 扫 100 个常用 UDP 端口，等个半分钟很正常。DNS、SNMP、DHCP 这些服务都跑在 UDP 上，不扫不行。我的做法是先用 `-sS` 快速过一遍 TCP，再针对可疑主机单独跑 `-sU --top-ports 50`，别一上来就全端口 UDP，那是跟自己过不去。

服务识别与版本探测

`-sV` 这个参数值得单独拎出来说。它不只是告诉你 80 端口开着，还会尝试识别是 Apache 2.4.52 还是 nginx 1.18.0。有次我扫一台测试机，`-sV` 报出 OpenSSH 7.2p1，顺手查了下 CVE，发现存在用户名枚举漏洞。没有版本信息，这种问题根本无从下手。

版本探测的强度可以调。`--version-intensity 0` 最轻量，只发一个包；`9` 最激进，把所有探针都打出去。默认是 7，日常够用。遇到响应慢的老设备，降到 2 或 3 能避免超时误判。

输出格式：别只盯着屏幕

扫大网段的时候，终端刷屏根本看不过来。`-oX result.xml` 输出 XML，方便后续用脚本解析。`-oN` 是普通文本，`-oG` 是 grep 友好的格式。我通常三个一起上：`-oA scan_result`，生成 .xml/.nmap/.gnmap 三件套，回头查起来省事。

还有个小技巧：`--open` 只显示开放端口，过滤掉 closed 和 filtered 的噪音。配合 `-v` 看实时进度，心里有底。

绕防火墙：别硬碰硬

目标主机如果开了防火墙，普通 SYN 扫描可能全返回 filtered。试试 `-f` 分片，把 TCP 头拆到多个包里发。或者 `--data-length 25` 在包尾填充随机数据，改变包大小特征。这些手段不是万能的，但对付老旧防火墙经常有奇效。

时间模板 `-T0` 到 `-T5` 控制扫描节奏。`-T4` 是内网常用档位，快且不容易丢包。`-T5` 在丢包率高的网络里反而更慢，因为重传太频繁。别迷信最高档。

最后说个真实教训。有次我对一台生产数据库服务器跑 `-sS -p-` 全端口扫描，结果触发了 IDS 告警，运维直接打电话过来问是不是被入侵了。扫描之前确认授权范围，比学会所有参数都重要。