端口扫描这件事，扫描很多人以为就是工具拿个工具随便扫一下。真到实战里，扫描扫全端口和只扫常见端口，工具结果能差出十万八千里。扫描Nmap 是工具绕不开的，但它不是扫描唯一答案。

Nmap 从1997年活到现在，工具靠的扫描是持续迭代。它的工具核心能力不是"扫端口"三个字能概括的——TCP SYN 半开扫描、FIN 扫描、扫描Xmas 扫描、工具UDP 扫描，扫描每种方式针对不同的工具防火墙策略和网络环境。我习惯先用 nmap -sS -T4 --top-ports 1000 快速摸底，扫描再对可疑主机做全端口 -p- 扫描。速度上，-T4 是多数场景的甜点区，-T5 在丢包率高的链路上反而更慢，因为重传太频繁。

Masscan 是另一个极端。它用异步传输，号称六分钟扫完整个互联网。实际用下来，在千兆内网里扫一个 B 段，Masscan 确实比 Nmap 快一个数量级。代价是它不怎么处理状态跟踪，结果需要二次验证。我通常拿 Masscan 做第一轮快速发现，再用 Nmap 做服务识别和版本探测。两者配合，比单用任何一个都顺手。

Zmap 走的是另一条路。它专注做无状态扫描，单包探测，不维护连接状态。学术圈用得比较多，互联网范围的调研项目常拿它跑。普通渗透测试里出场率不高，因为它的结果太"生"——只告诉你端口开了，不告诉你后面跑的是什么。

Windows 环境下，很多人直接开 PowerShell 的 Test-NetConnection。单个端口测试够用，批量就力不从心。老牌的 SuperScan 已经停止维护多年，但在一些老旧内网里还能见到。Angry IP Scanner 跨平台，图形界面友好，适合快速看一眼网段里哪些主机活着、哪些端口开着。它的扫描精度不如 Nmap，但胜在打开就能用，不用记参数。

UDP 扫描是个麻烦事。Nmap 的 -sU 能跑，但速度慢得让人想砸键盘。很多服务不回应空 UDP 包，没回应不代表端口关闭。我一般只对 DNS、SNMP、NTP 这几个常见 UDP 服务做定向探测，全量 UDP 扫描在实战里性价比太低。

Web 层面的扫描工具是另一套逻辑。Nikto 检查 Web 服务器的已知问题，输出直接但误报不少。WhatWeb 做指纹识别，告诉你目标跑的是 WordPress 还是 Spring Boot，版本号有时候能精确到小版本。Wappalyzer 有浏览器插件，手动浏览时顺手就能看技术栈，省去单独跑工具的步骤。

还有一类是专门扫漏洞的。Nessus 和 OpenVAS 属于重量级选手，插件库大，配置复杂，扫完一轮生成几十页报告。适合合规检查，不适合快速突击。 nuclei 这两年很火，基于模板的扫描方式，YAML 写规则，社区贡献的模板更新快。我拿它扫过几个暴露的 Swagger 接口，命中率比预期高。

工具选型看场景。内网渗透，Nmap + Masscan 组合够用。Web 资产梳理，WhatWeb + nuclei 效率高。合规报告，Nessus 省事。别指望一个工具通吃，也别把扫描结果当最终结论——端口开着不等于能利用，版本号对不上不代表没漏洞。扫描只是起点，后面手工验证的功夫省不掉。