Nmap 做的事情，比掃描連接埠複雜得多
如果你已經讀過 Nmap 的入門介紹，知道它可以掃描目標主機開放了哪些連接埠，那只是這個工具最表面的一層。 在實際的滲透測試工作中，Nmap 通常出現在測試的最前期，也就是資訊蒐集階段。測試人員需要在開始任何攻擊性的測試動作之前，先盡可能清楚地了解目標環境的網路架構，包括有哪些主機在線、這些主機開放了什麼服務、服務的版本是什麼、主機使用什麼作業系統，以及這個環境的防火牆設定大概是什麼樣子。 Nmap 提供了工具來回答這些問題的大部分，而且效率相當高。
服務版本偵測：知道連接埠開著還不夠
掃描到一台主機的 80 連接埠是開放的，只知道它在運行某個 HTTP 服務。但版本偵測可以進一步告訴你，這個服務是 Apache 2.4.51 還是 Nginx 1.18.0，甚至在某些情況下可以識別出後端使用的框架版本。 這個資訊的重要性在於，已知的漏洞資料庫是按照軟體版本組織的。知道目標服務的具體版本，就可以直接查詢這個版本是否有已公開的漏洞，以及這些漏洞的嚴重程度。 啟用版本偵測的指令是在基本掃描上加上 -sV 參數： nmap -sV 目標IP Nmap 識別服務版本的方式，是向開放的連接埠發送一系列探測封包，根據回應的特徵與它內建的服務特徵資料庫比對，這個資料庫目前包含超過六千種服務的識別特徵。
作業系統辨識：了解你面對的是什麼
不同作業系統在處理網路封包時，有細微但可識別的行為差異，例如 TCP 初始序列號的生成方式、TTL 值的預設值、TCP 視窗大小的設定。Nmap 的作業系統辨識功能，就是透過分析這些差異來推斷目標主機使用的作業系統類型和版本。 啟用作業系統辨識需要加上 -O 參數，但這個功能需要以管理員或 root 權限執行： nmap -O 目標IP 辨識結果通常會包含幾個可能的作業系統候選，以及各自的匹配信心指數。信心指數越高，代表 Nmap 對這個判斷越有把握。 在實際測試中，作業系統資訊對後續的漏洞評估相當重要，因為很多漏洞是針對特定作業系統版本的，了解目標環境的作業系統組成，可以讓後續的測試更有針對性。
NSE 腳本引擎：讓 Nmap 自動執行更複雜的任務
Nmap Scripting Engine 是 Nmap 功能擴展性最強的部分。NSE 讓使用者可以用 Lua 語言編寫腳本，讓 Nmap 在掃描過程中自動執行各種任務，從服務版本的進一步確認、已知漏洞的自動偵測，到暴力破解測試，都可以透過 NSE 腳本實現。 Nmap 預裝了超過六百個官方腳本，按照功能類別分組，常用的幾個類別包括： - auth：測試服務的身份驗證設定，例如確認是否存在預設密碼 - vuln：對已知漏洞進行自動偵測 - discovery：進行更深入的服務和網路資訊蒐集 - safe：標記為對目標無破壞性影響的腳本 執行特定腳本的語法如下： nmap --script 腳本名稱 目標IP 例如，執行 HTTP 相關的所有腳本： nmap --script http-* 目標IP
幾個組合使用的常見掃描指令
在實際的測試工作中，這幾個參數通常會組合使用，讓單次掃描獲得更完整的資訊。 全面偵察掃描： nmap -sV -O -sC 目標IP -sC 參數代表執行預設腳本集合，這個組合在一次掃描中同時完成版本偵測、作業系統辨識和預設腳本分析。 針對特定連接埠範圍的快速掃描： nmap -p 1-1000 -sV 目標IP 掃描整個子網路並輸出結果到檔案： nmap -sV 192.168.1.0/24 -oN 掃描結果.txt -oN 參數讓 Nmap 把掃描結果儲存為文字檔，方便後續分析和報告使用。 這些指令只應該在你有明確授權的環境中使用，在自己的測試網路、授權的滲透測試範圍內，或是 CTF 競賽的練習環境中操作。
關於 Nmap 進階功能，資安學習者最常問的幾個問題
Nmap 掃描速度很慢，有辦法加快嗎？
Nmap 提供了時序模板，使用 -T 加上數字 0 到 5 來控制掃描的積極程度，數字越大速度越快，但同時也越容易被防火牆或入侵偵測系統識別。-T4 是在有良好網路條件的情況下常用的選項，-T5 則是最快但最容易被偵測到的設定。 在需要低調掃描的情境下，-T2 或 -T1 讓掃描的時間間隔更長，減少觸發警報的機率。此外，縮小掃描的連接埠範圍，使用 -p 指定只掃描必要的連接埠，而不是掃描全部的 65535 個連接埠，也可以大幅縮短掃描時間。
NSE 腳本的安全性如何？使用 vuln 類別的腳本會對目標造成影響嗎？
這是一個在實際使用中非常重要的判斷點。Nmap 的腳本按照對目標的影響程度有不同的標記，safe 標記代表腳本不會對目標造成負面影響，intrusive 標記代表腳本可能對目標產生較明顯的影響，例如大量請求或觸發某些安全機制，而 exploit 標記的腳本則可能實際利用漏洞。 在對授權目標進行測試時，建議先了解計劃使用的腳本的標記和功能，避免在沒有充分了解的情況下執行可能影響目標正常運作的腳本。在生產環境或具有業務重要性的系統上進行測試，需要特別謹慎地評估每個腳本的潛在影響。
Nmap 的掃描結果如何整合到滲透測試報告中？
Nmap 提供了幾種輸出格式，方便後續的報告整合。-oN 輸出正常的文字格式，-oX 輸出 XML 格式，可以被其他工具解析，-oG 輸出 grepable 格式，方便用命令列工具快速篩選，-oA 則同時輸出所有格式。 XML 格式的輸出可以被 Metasploit 等工具直接匯入，讓掃描結果無縫整合到後續的測試流程中。在報告撰寫方面，將 Nmap 的掃描結果轉換為清楚的服務清單和版本資訊表格，是滲透測試報告的標準組成部分，讓委託方可以清楚了解他們的網路在外部視角下的暴露狀況。
One Key Takeaway： Nmap 的價值不只在於它掃描了什麼連接埠，而在於它把目標環境的網路狀態轉化成了可以進行系統性分析的結構化資訊，版本偵測、作業系統辨識和 NSE 腳本引擎組合在一起，讓它成為授權測試環境中資訊蒐集階段最完整的單一工具。