一. 基础功能

1. 扫描IP地址

1
2
nmap -sn -PE -n 192.168.31.0/24
nmap -sn -PE -n 192.168.31.1-255

这俩是一样的。

-sn 参数代表了ping扫描，即主机发现

-PE代表只使用ICMP echo请求探测，不然在虚拟机中会出现全部存活的情况

-n是禁用域名解析，避免浪费时间在域名解析上。

这个的意思是扫描 192.168.31.0 这个网段中存活（在线）的设备。

这里第一个 192.168.31.1 是我的网关，其他的是我的无线设备。

2. 扫描端口号

基于SYN包扫描

1
nmap -sS 192.168.211.184

基于三次握手扫描

1
nmap -sT 192.168.211.184

可以看到目标IP中，135，139，445这三个端口处于open状态。

3. 指定端口扫描

正常情况下，是不需要扫描所有端口的。我们可以指定端口来进行扫描

1
2
nmap -p 10-200 192.168.31.114 // 扫描192.168.31.114的10到200之间的端口号
nmap -p 21,22,25,80,445,3306,1521,8080,8888 192.168.31.114   // 扫描192.168.31.114指定的端口号

这个IP是我用来测试的手机的IP地址，可以看到没扫出来。

4. 扫描端口和版本

1
nmap -sV 192.168.211.184

可以看到，它扫出了版本。

5. 扫描操作系统

1
nmap -O 192.168.211.184

6. 扫描全部

1
nmap -A 192.168.211.184

这个可以扫描出所有的信息。

二. 内置脚本扫描

可以使用内置脚本进行功能扩展，命令语法为：nmap --script=brute 192.168.112.188 。

  • auth：负责处理鉴权证书(绕开鉴权)的脚本
  • broadcast：在局域网内探查更多服务开启状况，如dhcp / dns / sqlserver 等服务
  • brute：提供暴力破解方式，针对常见的应用如http / snmp等
  • default：使用 -sC或 -A 选项扫描时候默认的脚本，提供基本脚本扫描能力
  • discovery：对网络进行更多的信息，如SMB枚举、SNMP查询等
  • dos：用于进行拒绝服务攻击
  • exploit：利用已知的漏洞入侵系统
  • external：利用第三方的数据库或资源，例如进行whois解析
  • fuzzer：模糊测试的脚本，发送异常的包到目标机，探测出潜在漏洞
  • intrusive：入侵性的脚本，此类脚本可能引发对方的IDS/IPS的记录或屏蔽
  • malware：探测目标机是否感染了病毒、开启了后门等信息
  • safe：此类与intrusive相反，属于安全性脚本
  • version：负责增强服务与版本扫描（Version Detection）功能的脚本
  • vuln：负责检查目标机是否有常见的漏洞（Vulnerability），如是否有MS08_067

所有扫描脚本，可以查看Kali下的目录: /usr/share/nmap/scripts，具体各个脚本的用法及参数，参考: htps://nmap.org/nsedod

三. 脚本实战应用

1. 扫描SSH登录认证情况

1
nmap -p22 --script=auth 192.168.112.188

可以看到这里有通过密码的方式来认证，意味着我们可以尝试爆破。

2. 指定字典波破

1
nmap -p3306 --script=brute --script-args 'userdb=./usertest.txt,passdb=./password-500.txt' 192.168.112.188

3. 扫描主机漏洞

1
nmap --script=vuln 192.168.112.158

可以看到有一个远程代码执行漏洞，ms17-010，就是永恒之蓝