无知的坚强干网络这行，迟早会碰到一个场景：内网多了几台设备，你一时说不清它们是谁；某个服务响应慢了，你想确认它到底开了哪些端口；甚至你只是想给一台旧服务器做资产盘点。十个人里有九个会给你同一个建议：用Nmap。Nmap全称Network Mapper，出自Gordon “Fyodor” Lyon之手，开源免费，成名二十多年，至今仍是网络扫描领域的事实标准。它能做主机发现、端口探测、服务版本识别、操作系统指纹比对，还内置了一套脚本引擎，能干的事比想象中大得多。不管你是刚入行的运维，还是要经常做安全测试的工程师，抑或是在CTF赛场上抢时间的选手，把Nmap用熟，绝对是一笔划算的投资。
这篇文章我不会照着手册念参数，而是从实操角度把端口扫描的逻辑、常用命令、踩坑经验、以及在我实际工作里Nmap怎么帮我解决真实问题，一次说清楚。内容偏动手，看完你直接照着敲就行。
1. 初识Nmap：它到底帮你解决了什么问题
1.1 一个扫描器干了四件事
很多人把Nmap等同于“扫端口的工具”，这其实低估了它。一次常规扫描里，它至少能同时完成四件事。
第一是主机发现，也就是“谁活着”。你甩一个网段进去，Nmap通过ICMP、TCP、UDP等多种探测方式，把响应的设备列出来。第二是端口扫描，找出每台设备上对外开放的TCP/UDP端口。第三是服务识别，通过特征匹配判断端口背后跑的是什么软件、什么版本，比如22端口是OpenSSH 7.4还是较新的9.0，这决定了后续能不能利用某些已知漏洞。第四是操作系统指纹识别，通过TCP报文行为差异推断目标系统是Windows的某个版本还是Linux发行版。
别小看这四项，现实里无数故障排查和安全审计，底层都需要它们支撑。比如你怀疑内网有台机器中了挖矿木马，木马一般会主动外连某些非常规端口，你只要对可疑主机做一次全端口扫描，再对照服务特征，基本就能锁定问题。
1.2 为什么Nmap至今还是事实标准
同类工具我不是没用过，Masscan速度快，RustScan更激进，但它们几乎都追求“快”这个单点指标。Nmap的不可替代之处在于“深度和灵活性”。
你可以用-sS发半开放扫描，也可以-sT做全连接扫描；可以只扫某几个端口，也可以-p-扫全部65535个端口；可以叠-sV做版本检测，再叠-O做系统识别，最后加-sC把常见安全脚本也跑一遍。这种参数组合的灵活度，目前没有其他开源工具能完全对标。
另外，Nmap自带的NSE（Nmap Scripting Engine）脚本库非常庞大，从HTTP标题抓取到SMB漏洞检测，从Redis未授权访问到Modbus工控协议识别，都有现成脚本。这也是我在CTF和日常渗透测试里几乎离不开它的核心原因。
1.3 哪些场景该第一时间想起Nmap
- 周期性资产盘点，比如每周对内网所有存活IP做一次端口快照。
- 排查可疑设备，比如无线网里莫名多了一个MAC地址。
- 安全基线检查，确认默认配置下哪些不需要的端口还开着。
- CTF比赛