本文原創(chuàng)地址：博客園駿馬金龍https://www.cnblogs.com/f-ck-need-u/p/7064323.html

1.1 選項(xiàng)說明

nmap需要自行安裝。

shell> yum -y install nmap

使用nmap -h可以查看選項(xiàng)和用法。選項(xiàng)非常多，這是功能強(qiáng)大的工具帶來的必然結(jié)果，但簡(jiǎn)單使用并用不到幾個(gè)選項(xiàng)。

Usage: nmap [Scan Type(s)] [Options] {target specification}

TARGET SPECIFICATION:

  Can pass hostnames, IP addresses, networks, etc.

  Ex: scanme.nmap.org, microsoft.com/24, 192.168.0.1; 10.0.0-255.1-254

  -iL <inputfilename>: Input from list of hosts/networks

  -iR <num hosts>: Choose random targets

  --exclude <host1[,host2][,host3],...>: Exclude hosts/networks

  --excludefile <exclude_file>: Exclude list from file

HOST DISCOVERY:

  -sL: List Scan - simply list targets to scan

  -sn: Ping Scan - disable port scan

  -Pn: Treat all hosts as online -- skip host discovery

  -PS/PA/PU/PY[portlist]: TCP SYN/ACK, UDP or SCTP discovery to given ports

  -PE/PP/PM: ICMP echo, timestamp, and netmask request discovery probes

  -PO[protocol list]: IP Protocol Ping

  -PR: ARP ping - does not need HW address -> IP translation

  -n/-R: Never do DNS resolution/Always resolve [default: sometimes]

  --dns-servers <serv1[,serv2],...>: Specify custom DNS servers

  --system-dns: Use OS's DNS resolver

  --traceroute: Trace hop path to each host

SCAN TECHNIQUES:

  -sS/sT/sA/sW/sM: TCP SYN/Connect()/ACK/Window/Maimon scans

  -sU: UDP Scan

  -sN/sF/sX: TCP Null, FIN, and Xmas scans

  --scanflags <flags>: Customize TCP scan flags

  -sI <zombie host[:probeport]>: Idle scan

  -sY/sZ: SCTP INIT/COOKIE-ECHO scans

  -sO: IP protocol scan

  -b <FTP relay host>: FTP bounce scan

PORT SPECIFICATION AND SCAN ORDER:

  -p <port ranges>: Only scan specified ports

    Ex: -p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080,S:9

  -F: Fast mode - Scan fewer ports than the default scan

  -r: Scan ports consecutively - don't randomize

  --top-ports <number>: Scan <number> most common ports

  --port-ratio <ratio>: Scan ports more common than <ratio>

SERVICE/VERSION DETECTION:

  -sV: Probe open ports to determine service/version info

  -sR: Check what service uses opened ports using RPC scan

  --version-intensity <level>: Set from 0 (light) to 9 (try all probes)

  --version-light: Limit to most likely probes (intensity 2)

  --version-all: Try every single probe (intensity 9)

  --version-trace: Show detailed version scan activity (for debugging)

SCRIPT SCAN:

  -sC: equivalent to --script=default

  --script=<Lua scripts>: <Lua scripts> is a comma separated list of directories, script-files or script-categories

  --script-args=<n1=v1,[n2=v2,...]>: provide arguments to scripts

  --script-trace: Show all data sent and received

  --script-updatedb: Update the script database.

OS DETECTION:

  -O: Enable OS detection

  --osscan-limit: Limit OS detection to promising targets

  --osscan-guess: Guess OS more aggressively

TIMING AND PERFORMANCE:

  Options which take <time> are in seconds, or append 'ms' (milliseconds),

  's' (seconds), 'm' (minutes), or 'h' (hours) to the value (e.g. 30m).

  -T<0-5>: Set timing template (higher is faster)

  --min-hostgroup/max-hostgroup <size>: Parallel host scan group sizes

  --min-parallelism/max-parallelism <numprobes>: Probe parallelization

  --min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <time>: Specifies

      probe round trip time.

  --max-retries <tries>: Caps number of port scan probe retransmissions.

  --host-timeout <time>: Give up on target after this long

  --scan-delay/--max-scan-delay <time>: Adjust delay between probes

  --min-rate <number>: Send packets no slower than <number> per second

  --max-rate <number>: Send packets no faster than <number> per second

FIREWALL/IDS EVASION AND SPOOFING:

  -f; --mtu <val>: fragment packets (optionally w/given MTU)

  -D <decoy1,decoy2[,ME],...>: Cloak a scan with decoys

  -S <IP_Address>: Spoof source address

  -e <iface>: Use specified interface

  -g/--source-port <portnum>: Use given port number

  --data-length <num>: Append random data to sent packets

  --ip-options <options>: Send packets with specified ip options

  --ttl <val>: Set IP time-to-live field

  --spoof-mac <mac address/prefix/vendor name>: Spoof your MAC address

  --badsum: Send packets with a bogus TCP/UDP/SCTP checksum

OUTPUT:

  -oN/-oX/-oS/-oG <file>: Output scan in normal, XML, s|<rIpt kIddi3,

     and Grepable format, respectively, to the given filename.

  -oA <basename>: Output in the three major formats at once

  -v: Increase verbosity level (use -vv or more for greater effect)

  -d: Increase debugging level (use -dd or more for greater effect)

  --reason: Display the reason a port is in a particular state

  --open: Only show open (or possibly open) ports

  --packet-trace: Show all packets sent and received

  --iflist: Print host interfaces and routes (for debugging)

  --log-errors: Log errors/warnings to the normal-format output file

  --append-output: Append to rather than clobber specified output files

  --resume <filename>: Resume an aborted scan

  --stylesheet <path/URL>: XSL stylesheet to transform XML output to HTML

  --webxml: Reference stylesheet from Nmap.Org for more portable XML

  --no-stylesheet: Prevent associating of XSL stylesheet w/XML output

MISC:

  -6: Enable IPv6 scanning

  -A: Enable OS detection, version detection, script scanning, and traceroute

  --datadir <dirname>: Specify custom Nmap data file location

  --send-eth/--send-ip: Send using raw ethernet frames or IP packets

  --privileged: Assume that the user is fully privileged

  --unprivileged: Assume the user lacks raw socket privileges

  -V: Print version number

  -h: Print this help summary page.

EXAMPLES:

  nmap -v -A scanme.nmap.org

  nmap -v -sn 192.168.0.0/16 10.0.0.0/8

  nmap -v -iR 10000 -Pn -p 80

常用的就上面標(biāo)紅的幾個(gè)。

下面是解釋：

-iL <inputfilename>:從輸入文件中讀取主機(jī)或者IP列表作為探測(cè)目標(biāo)
-sn: PING掃描，但是禁止端口掃描。默認(rèn)總是會(huì)掃描端口。禁用端口掃描可以加速掃描主機(jī)
-n/-R: 永遠(yuǎn)不要/總是進(jìn)行DNS解析，默認(rèn)情況下有時(shí)會(huì)解析
-PE/PP/PM:分別是基于echo/timestamp/netmask的ICMP探測(cè)報(bào)文方式。使用echo最快
-sS/sT/sA/sW:TCP SYN/Connect()/ACK/Window，其中sT掃描表示TCP掃描
-sU:UDP掃描
-sO:IP掃描
-p <port ranges>: 指定掃描端口
--min-hostgroup/max-hostgroup <size>: 對(duì)目標(biāo)主機(jī)進(jìn)行分組然后組之間并行掃描
--min-parallelism/max-parallelism <numprobes>: 設(shè)置并行掃描的探針數(shù)量
-oN/-oX/ <file>: 輸出掃描結(jié)果到普通文件或XML文件中。輸入到XML文件中的結(jié)果是格式化的結(jié)果
-v:顯示詳細(xì)信息，使用-vv或者更多的v顯示更詳細(xì)的信息

1.2 嘗試一次掃描

nmap掃描一般會(huì)比較慢，特別是掃描非本機(jī)的時(shí)候。

[root@server2 ~]# nmap 127.0.0.1

Starting Nmap 6.40 ( http://nmap.org ) at 2017-06-20 13:03 CST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000010s latency).
Not shown: 998 closed ports
PORT STATE SERVICE
22/tcp open ssh
25/tcp open smtp

只掃描出了兩個(gè)端口，但是不代表真的只開了兩個(gè)端口，這樣不加任何參數(shù)的nmap將自動(dòng)決定掃描1000個(gè)高危端口，但哪些是高危端口由nmap決定。從結(jié)果中也能看出來，"NOT shown:998 closed ports"表示998個(gè)關(guān)閉的端口未顯示出來，隨后又顯示了2個(gè)open端口，正好1000個(gè)。雖說默認(rèn)只掃描1000個(gè)，但常見的端口都能掃描出來。

從虛擬機(jī)掃描win主機(jī)看看?？梢愿惺艿?，掃描速度明顯降低了。

[root@server2 ~]# nmap 192.168.0.122
 
Starting Nmap 6.40 ( http://nmap.org ) at 2017-06-20 13:11 CST
Nmap scan report for 192.168.0.122
Host is up (1.2s latency).
Not shown: 990 closed ports
PORT     STATE    SERVICE
21/tcp   open     ftp
135/tcp  open     msrpc
139/tcp  open     netbios-ssn
443/tcp  open     https
445/tcp  open     microsoft-ds
514/tcp  filtered shell
902/tcp  open     iss-realsecure
912/tcp  open     apex-mesh
1583/tcp open     simbaexpress
5357/tcp open     wsdapi
 
Nmap done: 1 IP address (1 host up) scanned in 8.38 seconds

可以指定"-p [1-65535]"來掃描所有端口，或者使用"-p-"選項(xiàng)也是全面掃描。

[root@xuexi ~]# nmap -p- 127.0.0.1

nmap默認(rèn)總是會(huì)掃描端口，可以使用-sn選項(xiàng)禁止掃描端口，以加速掃描主機(jī)是否存活。

1.3 掃描目標(biāo)說明

Nmap支持CIDR風(fēng)格的地址，Nmap將會(huì)掃描所有和該參考IP地址具有相同cidr位數(shù)的所有IP地址或主機(jī)。

例如192.168.10.0/24將掃描192.168.10.0和192.168.10.255之間的256臺(tái)主機(jī)，192.168.10.40/24會(huì)做同樣的事情。假設(shè)主機(jī)scanme.nmap.org的IP地址是205.217.153.62，scanme.nmap.org/16將掃描205.217.0.0和205.217.255.255之間的65536個(gè)IP地址。掩碼位所允許的最小值是/1，這將會(huì)掃描半個(gè)互聯(lián)網(wǎng)，最大值是/32，這將會(huì)掃描該主機(jī)或IP地址，因?yàn)樗兄鳈C(jī)位都固定了。

CIDR標(biāo)志位很簡(jiǎn)潔但有時(shí)候不夠靈活。例如也許想要掃描192.168.0.0/16，但略過任何以".0"或者".255"結(jié)束的IP地址，因?yàn)樗鼈兺ǔＪ蔷W(wǎng)段地址或廣播地址?？梢杂枚禾?hào)分開的數(shù)字或范圍列表為IP地址指定它的范圍。例如"192.168.0-255.1-254"將略過該范圍內(nèi)以".0"和".255"結(jié)束的地址。范圍不必限于最后的8位："0-255.0-255.13.37"將在整個(gè)互聯(lián)網(wǎng)范圍內(nèi)掃描所有以"13.37"結(jié)束的地址。

Nmap命令行接受多個(gè)主機(jī)說明，它們不必是相同類型。如：

nmap www.hostname.com 192.168.0.0/8 10.0.0,1,3-7.0-255

雖然目標(biāo)通常在命令行指定，下列選項(xiàng)也可用來控制目標(biāo)的選擇：

-iL <inputfilename> (從列表中輸入)
從<inputfilename>中讀取目標(biāo)說明。在命令行輸入一堆主機(jī)名顯得很笨拙，然而經(jīng)常需要這樣。例如DHCP服務(wù)器可能導(dǎo)出10000個(gè)當(dāng)前租約列表。列表中的項(xiàng)可以是Nmap在命令行上接受的任何格式(IP地址，主機(jī)名，CIDR，IPv6，或者八位字節(jié)范圍)。每一項(xiàng)必須以一個(gè)或多個(gè)空格、制表符或換行符分開。如果希望Nmap從標(biāo)準(zhǔn)輸入讀取列表，則使用"-"作為表示/dev/stdin。

--exclude <host1[，host2][，host3]，...> (排除主機(jī)/網(wǎng)絡(luò))
--excludefile <excludefile> (排除文件中的列表)，這和--exclude的功能一樣，只是所排除的目標(biāo)是用<excludefile>提供的。

1.3.1 范圍掃描示例
指定一個(gè)IP地址然后加一個(gè)CIDR的掩碼位，如192.168.100.22/24，當(dāng)然寫成192.168.100.0/24也是一樣的，因?yàn)閚map需要的是參考IP。如果掃描的是范圍地址，可以192.168.100.1-254這樣的書寫方式。

[root@xuexi ~]# nmap 192.168.100.1/24
 
Starting Nmap 6.40 ( http://nmap.org ) at 2017-06-20 13:22 CST
Nmap scan report for 192.168.100.1
Host is up (0.00053s latency).
Not shown: 992 filtered ports
PORT     STATE SERVICE
21/tcp   open  ftp
135/tcp  open  msrpc
139/tcp  open  netbios-ssn
443/tcp  open  https
445/tcp  open  microsoft-ds
902/tcp  open  iss-realsecure
912/tcp  open  apex-mesh
5357/tcp open  wsdapi
MAC Address: 00:50:56:C0:00:08 (VMware)
 
Nmap scan report for 192.168.100.2
Host is up (0.000018s latency).
Not shown: 999 closed ports
PORT   STATE SERVICE
53/tcp open  domain
MAC Address: 00:50:56:E2:16:04 (VMware)

Nmap scan report for 192.168.100.70
Host is up (0.00014s latency).
Not shown: 999 closed ports
PORT   STATE SERVICE
22/tcp open  ssh
MAC Address: 00:0C:29:71:81:64 (VMware)

Nmap scan report for 192.168.100.254
Host is up (0.000095s latency).
All 1000 scanned ports on 192.168.100.254 are filtered
MAC Address: 00:50:56:ED:A1:04 (VMware)

Nmap scan report for 192.168.100.62
Host is up (0.0000030s latency).
Not shown: 999 closed ports
PORT   STATE SERVICE
22/tcp open  ssh

Nmap done: 256 IP addresses (5 hosts up) scanned in 7.96 seconds

一般來說，端口全部關(guān)閉的很可能不是計(jì)算機(jī)，而可能是路由器、虛擬網(wǎng)卡等設(shè)備。

1.4 端口狀態(tài)說明

Nmap功能越來越多，但它賴以成名的是它的核心功能——端口掃描。

Nmap把端口分成六個(gè)狀態(tài):open(開放的)，closed(關(guān)閉的)，filtered(被過濾的)，unfiltered(未被過濾的)，open|filtered(開放或者被過濾的)，或者closed|filtered(關(guān)閉或者被過濾的)。

這些狀態(tài)并非端口本身的性質(zhì)，而是描述Nmap怎樣看待它們。例如，對(duì)于同樣的目標(biāo)機(jī)器的135/tcp端口，從同網(wǎng)絡(luò)掃描顯示它是開放的，而跨網(wǎng)絡(luò)做完全相同的掃描則可能顯示它是filtered(被過濾的)。

• 1.open：(開放的)用程序正在該端口接收TCP或者UDP報(bào)文。它常常是端口掃描的主要目標(biāo)。
• 2.closed：(關(guān)閉的)關(guān)閉的端口對(duì)于Nmap也是可訪問的(它接受Nmap的探測(cè)報(bào)文并作出響應(yīng))，但沒有應(yīng)用程序在其上監(jiān)聽。
• 3.filtered：(被過濾的)由于目標(biāo)上設(shè)置了包過濾(如防火墻設(shè)備)，使得探測(cè)報(bào)文被阻止到達(dá)端口，Nmap無法確定該端口是否開放。過濾可能來自專業(yè)的防火墻設(shè)備，路由器規(guī)則或者主機(jī)上的軟件防火墻。
• 4.unfiltered：(未被過濾的)未被過濾狀態(tài)意味著端口可訪問，但Nmap不能確定它是開放還是關(guān)閉。用其它類型的掃描如窗口掃描、SYN掃描、FIN掃描來掃描這些未被過濾的端口可以幫助確定端口是否開放。
• 5.open|filtered：(開放或被過濾的)：當(dāng)無法確定端口是開放還是被過濾的，Nmap就把該端口劃分成這種狀態(tài)。開放的端口不響應(yīng)就是一個(gè)例子。沒有響應(yīng)也可能意味著目標(biāo)主機(jī)上報(bào)文過濾器丟棄了探測(cè)報(bào)文或者它引發(fā)的任何響應(yīng)。因此Nmap無法確定該端口是開放的還是被過濾的。
• 6.closed|filtered：(關(guān)閉或被過濾的)該狀態(tài)用于Nmap不能確定端口是關(guān)閉的還是被過濾的。它只可能出現(xiàn)在IPID Idle掃描中。

1.5 時(shí)間參數(shù)優(yōu)化

改善掃描時(shí)間的技術(shù)有：忽略非關(guān)鍵的檢測(cè)、升級(jí)最新版本的Nmap(文檔中說nmap版本越高性能越好)等。此外，優(yōu)化時(shí)間參數(shù)也會(huì)帶來實(shí)質(zhì)性的優(yōu)化，這些參數(shù)如下：

TIMING AND PERFORMANCE:

 -T<0-5>: Set timing template (higher is faster)

  --min-hostgroup/max-hostgroup <size>: Parallel host scan group sizes
  --min-parallelism/max-parallelism <numprobes>: Probe parallelization
  --min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <time>: Specifies probe round trip time.
  --max-retries <tries>: Caps number of port scan probe retransmissions.
  --host-timeout <time>: Give up on target after this long
  --scan-delay/--max-scan-delay <time>: Adjust delay between probes
  --min-rate <number>: Send packets no slower than <number> per second
  --max-rate <number>: Send packets no faster than <number> per second

其中最主要的是前3種：

1.-T<0-5>：這表示直接使用namp提供的掃描模板，不同的模板適用于不同的環(huán)境下，默認(rèn)的模板為"-T 3"，具體的看man文檔，其實(shí)用的很少。

2.--min-hostgroup <milliseconds>; --max-hostgroup <milliseconds> (調(diào)整并行掃描組的大小)

Nmap具有并行掃描多主機(jī)端口的能力，實(shí)現(xiàn)方法是將所有給定的目標(biāo)IP按空間分成組，然后一次掃描一個(gè)組。通常組分的越大效率越高，但分組的缺點(diǎn)是只有當(dāng)整個(gè)組掃描結(jié)束后才會(huì)返回該組中主機(jī)掃描結(jié)果。例如，組的大小定義為50，則只有前50個(gè)主機(jī)掃描結(jié)束后才能得到這50個(gè)IP內(nèi)的結(jié)果。

默認(rèn)方式下，Nmap采取折衷的方法。開始掃描時(shí)的組較小，默認(rèn)值為5，這樣便于盡快產(chǎn)生結(jié)果，隨后增長(zhǎng)組的大小，默認(rèn)最大為1024。但最小和最大確切的值則依賴于所給定的選項(xiàng)。

--max-hostgroup選項(xiàng)用于說明使用最大的組，Nmap不會(huì)超出這個(gè)大小。--min-hostgroup選項(xiàng)說明最小的組，Nmap會(huì)保持組大于這個(gè)值。如果在指定的接口上沒有足夠的目標(biāo)主機(jī)來滿足所指定的最小值，Nmap可能會(huì)采用比所指定的值小的組。

這些選項(xiàng)的主要用途是說明一個(gè)最小組的大小，使得整個(gè)掃描更加快速。通常選擇256來掃描C類網(wǎng)段，對(duì)于端口數(shù)較多的掃描，超出該值沒有意義，因?yàn)樗皇欠纸M了，但是cpu資源是有限的。對(duì)于端口數(shù)較少的掃描，2048或更大的組大小是有幫助的。

3.--min-parallelism <milliseconds>; --max-parallelism <milliseconds> (調(diào)整探測(cè)報(bào)文的并行度，即探針數(shù))

這些選項(xiàng)用于控制主機(jī)組的探測(cè)報(bào)文數(shù)量，可用于端口掃描和主機(jī)發(fā)現(xiàn)。默認(rèn)狀態(tài)下，Nmap基于網(wǎng)絡(luò)性能計(jì)算一個(gè)理想的并行度，這個(gè)值經(jīng)常改變。如果報(bào)文被丟棄，Nmap降低速度，探測(cè)報(bào)文數(shù)量減少。隨著網(wǎng)絡(luò)性能的改善，理想的探測(cè)報(bào)文數(shù)量會(huì)緩慢增加。默認(rèn)狀態(tài)下，當(dāng)網(wǎng)絡(luò)不可靠時(shí)，理想的并行度值可能為1，在好的條件下，可能會(huì)增長(zhǎng)至幾百。

最常見的應(yīng)用是--min-parallelism值大于1，以加快性能不佳的主機(jī)或網(wǎng)絡(luò)的掃描。這個(gè)選項(xiàng)具有風(fēng)險(xiǎn)，如果過高則影響準(zhǔn)確度，同時(shí)也會(huì)降低Nmap基于網(wǎng)絡(luò)條件動(dòng)態(tài)控制并行度的能力。

一般說來，這個(gè)值要設(shè)置的和--min-hostgroup的值相等或大于它性能才會(huì)提升。

1.6 掃描操作系統(tǒng)類型

掃描操作系統(tǒng)。操作系統(tǒng)的掃描有可能會(huì)出現(xiàn)誤報(bào)

C:\Windows\system32>nmap -O 127.0.0.1
 
Starting Nmap 7.40 ( https://nmap.org ) at 2017-03-09 13:18 CST
Nmap scan report for lmlicenses.wip4.adobe.com (127.0.0.1)
Host is up (0.000046s latency).
Not shown: 990 closed ports
PORT      STATE SERVICE
21/tcp    open  ftp
135/tcp   open  msrpc
443/tcp   open  https
445/tcp   open  microsoft-ds
902/tcp   open  iss-realsecure
912/tcp   open  apex-mesh
5357/tcp  open  wsdapi
5678/tcp  open  rrac
10000/tcp open  snet-sensor-mgmt
65000/tcp open  unknown
Device type: general purpose
Running: Microsoft Windows 10
OS CPE: cpe:/o:microsoft:windows_10
OS details: Microsoft Windows 10 1511
Network Distance: 0 hops
 
OS detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 2.33 seconds

1.7 快速掃描存活的主機(jī)

要快速掃描存活的主機(jī)，需要使用的幾個(gè)重要選項(xiàng)是：

-n：永遠(yuǎn)不要DNS解析。這個(gè)不管是給定地址掃描還是給定網(wǎng)址掃描，加上它速度都會(huì)極速提升

-sn：禁止端口掃描

-PE：只根據(jù)echo回顯判斷主機(jī)在線，這種類型的選項(xiàng)使用越多，速度越慢，如-PM -PP選項(xiàng)都是類似的，但他們速度要慢的多的多，PE有個(gè)缺點(diǎn)，不能穿透防火墻

--min-hostgroup N：當(dāng)IP太多時(shí)，nmap需要分組，然后并掃描，使用該選項(xiàng)可以指定多少個(gè)IP一組

--min-parallelism N：這個(gè)參數(shù)非常關(guān)鍵，為了充分利用系統(tǒng)和網(wǎng)絡(luò)資源，設(shè)置好合理的探針數(shù)。一般來說，設(shè)置的越大速度越快，且和min-hostgroup的值相等或大于它性能才會(huì)提升

示例一：掃描192.168.100.0/24網(wǎng)段存活的機(jī)器

[root@server2 ~]# nmap -sn -n -PE --min-hostgroup 1024 --min-parallelism 1024 192.168.100.1/24

Warning: You specified a highly aggressive --min-hostgroup.
Warning: Your --min-parallelism option is pretty high!  This can hurt reliability.

Starting Nmap 6.40 ( http://nmap.org ) at 2017-06-20 14:30 CST
Nmap scan report for 192.168.100.1
Host is up (0.00036s latency).
MAC Address: 00:50:56:C0:00:08 (VMware)
Nmap scan report for 192.168.100.2
Host is up (0.000051s latency).
MAC Address: 00:50:56:E2:16:04 (VMware)
Nmap scan report for 192.168.100.70
Host is up (0.000060s latency).
MAC Address: 00:0C:29:71:81:64 (VMware)
Nmap scan report for 192.168.100.254
Host is up (0.000069s latency).
MAC Address: 00:50:56:ED:A1:04 (VMware)
Nmap scan report for 192.168.100.62
Host is up.
Nmap done: 256 IP addresses (5 hosts up) scanned in 0.26 seconds

255個(gè)局域網(wǎng)地址只用了半秒鐘?？芍^是極速。

再測(cè)試掃描下以www.baidu.com作為參考地址的地址空間。

[root@server2 ~]# nmap -sn -PE -n --min-hostgroup 1024 --min-parallelism 1024 -oX nmap_output.xml www.baidu.com/16

…….省略部分結(jié)果

Nmap scan report for 163.177.81.145
Host is up (0.072s latency).
Nmap done: 65536 IP addresses (144 hosts up) scanned in 19.15 seconds

可以看到，65535個(gè)地址只需19秒就掃描完成了。速度是相當(dāng)?shù)目臁?/p>

1.8 快速掃描端口

既然是掃描端口，就不能使用-sn選項(xiàng)，也不能使用-PE，否則不會(huì)返回端口狀態(tài)，只會(huì)返回哪些主機(jī)。

[root@server2 ~]# nmap -n -p 20-2000 --min-hostgroup 1024 --min-parallelism 1024 192.168.100.70/24

Warning: You specified a highly aggressive --min-hostgroup.
Warning: Your --min-parallelism option is pretty high!  This can hurt reliability.

Starting Nmap 6.40 ( http://nmap.org ) at 2017-06-20 14:52 CST
Nmap scan report for 192.168.100.1
Host is up (0.00084s latency).
Not shown: 1980 filtered ports
PORT   STATE SERVICE
21/tcp open  ftp
MAC Address: 00:50:56:C0:00:08 (VMware)

Nmap scan report for 192.168.100.2
Host is up (0.000018s latency).
Not shown: 1980 closed ports
PORT   STATE SERVICE
53/tcp open  domain
MAC Address: 00:50:56:E2:16:04 (VMware)
 
Nmap scan report for 192.168.100.70
Host is up (0.000041s latency).
Not shown: 1980 closed ports
PORT   STATE SERVICE
22/tcp open  ssh
MAC Address: 00:0C:29:71:81:64 (VMware)

Nmap scan report for 192.168.100.254
Host is up (0.000035s latency).
All 1981 scanned ports on 192.168.100.254 are filtered
MAC Address: 00:50:56:ED:A1:04 (VMware)

Nmap scan report for 192.168.100.62
Host is up (0.0000020s latency).
Not shown: 1980 closed ports
PORT   STATE SERVICE
22/tcp open  ssh

Nmap done: 256 IP addresses (5 hosts up) scanned in 2.38 seconds

姊妹篇：抓包工具tcpdump用法說明