1. 项目概述从“一招鲜”到“策略家”的转变如果你在安全测试或者渗透测试的圈子里待过一阵子肯定对nmap -sS这个命令不陌生。它几乎是每个新手入门时学到的第一个“大招”——半开扫描速度快、动静小听起来就像一把万能钥匙。于是很多人甚至包括一些工作了几年的朋友在遇到任何扫描需求时手指头下意识敲出的就是nmap -sS -p- 192.168.1.1。这本身没问题-sS确实是 TCP 扫描的黄金标准。但问题在于网络环境千变万化目标系统五花八门防火墙和入侵检测系统IDS也越来越聪明。只会这一招就像只会用锤子看什么都像钉子结果往往是该发现的没发现不该触发的警报却响个不停效率低下还容易“打草惊蛇”。这就是我们今天要深入探讨的核心Nmap 扫描策略的选择。我们不再满足于“会用”而是要追求“精通”和“恰当”。为了把这个抽象的概念讲透我选择了一个经典且免费的训练场——Metasploitable 2。这个故意设计得漏洞百出的 Linux 虚拟机是我们验证和理解不同扫描技术行为的绝佳沙盒。它上面运行着从老旧到有缺陷的各种服务反应也各不相同能让我们清晰地看到每种扫描策略带来的不同结果和网络流量特征。本指南的目的就是带你超越nmap -sS的舒适区。我将结合 Metasploitable 2 靶场详细拆解五种最核心、最实用的 Nmap TCP 扫描策略SYN 扫描 (-sS)、Connect 扫描 (-sT)、NULL 扫描 (-sN)、FIN 扫描 (-sF) 和 Xmas 扫描 (-sX)。我不会只告诉你命令是什么更重要的是我会带你分析每种策略底层的工作原理、触发的 TCP 协议行为、适用的典型场景、以及最重要的——在真实或有防御的环境中的隐蔽性和可靠性。最终你会拥有一套清晰的“决策树”面对不同的目标和环境能像经验丰富的策略家一样选出最合适的那把“手术刀”。2. 环境搭建与扫描策略核心思想2.1 为什么选择 Metasploitable 2 作为实验场在深入技术细节前我们必须统一实验环境。选择 Metasploitable 2 而非其他更复杂的靶场如 VulnHub 上的某些镜像原因有三点这关乎我们实验的效度和你理解的成本。首先结果可预测且典型。Metasploitable 2 是一个“静态”的、已知漏洞集合。它上面运行的服务版本和状态是固定的比如古老的 Apache 2.2.8、带有漏洞的 vsftpd 2.3.4 等。这意味着我们执行相同的扫描命令每次得到的结果应该是一致的除非网络环境有变。这种一致性对于对比不同扫描策略的输出差异至关重要。我们可以清晰地看到对于同一个开放的 21 端口FTPSYN 扫描和 Connect 扫描都报告“open”而 NULL/FIN/Xmas 扫描可能报告“open|filtered”。这种差异正是我们学习的核心。其次网络行为“友好”。这个靶机默认没有部署主机防火墙如 iptables或复杂的入侵防御系统IPS。它会对我们发送的各种“非标准”TCP 数据包如不带 SYN 标志的包做出符合 RFC 协议的响应。这让我们能够直观地观察到各种扫描技术本应产生的理想反应。如果在第一步就遇到一个配置了严格防火墙规则的主机很多扫描会直接返回“filtered”反而掩盖了技术原理的细节。最后学习路径平滑。我们的目标是理解 Nmap 本身而不是攻克一个复杂的靶场。Metasploitable 2 的简单性让我们可以专注于分析扫描流量和 Nmap 的解析逻辑而不被复杂的漏洞利用路径分散注意力。你可以从 VMware 或 VirtualBox 官网免费下载它的镜像文件导入虚拟机后通常无需额外配置使用 NAT 或 Host-Only 网络模式就能从你的 Kali Linux 或攻击主机直接访问到它默认 IP 如 192.168.xx.xx。注意永远只在你自己控制的实验环境中运行 Metasploitable 2。切勿将其暴露在公网或公司内网中因为它包含的漏洞是真实可被利用的会带来严重安全风险。2.2 扫描策略的底层逻辑与 TCP 三次握手的“对话”所有 TCP 扫描策略本质上都是通过发送特定构造的 TCP 数据包并分析目标的响应来推断端口状态。端口状态无非几种开放Open、关闭Closed、被过滤Filtered、未过滤Unfiltered、开放或被过滤Open|Filtered。要理解各种策略必须重温 TCP 三次握手和终止流程因为 Nmap 正是在模拟或操纵这个流程。标准连接Connect Scan-sT完全遵循三次握手。Nmap 调用系统connect()函数向目标端口发送一个 SYN 包。如果目标端口开放它会回复 SYN/ACKNmap 接着回复 ACK完成握手然后立即发送 RST 包断开连接。如果端口关闭目标会回复 RST。半开连接SYN Scan-sS这是对标准连接的“优化”。Nmap 自己构造 SYN 包发送。收到目标的 SYN/ACK 后它不回复 ACK完成握手而是直接回复 RST 断开。这样避免了建立完整连接更隐蔽速度也更快。隐蔽扫描NULL, FIN, Xmas这类扫描利用了 TCP 协议规范中的一个细节RFC 793第 65 页。规范指出如果一个关闭的端口收到一个不包含 SYN、RST 或 ACK 标志的数据段它应该用 RST 响应。而一个开放的端口应该忽略这种“非法”数据段。于是Nmap 通过发送违反常规的 TCP 包来探测NULL扫描 (-sN)发送一个所有标志位包括 SYN, ACK, FIN, RST, URG, PSH都置为 0 的包。FIN扫描 (-sF)发送一个只设置 FIN 标志的包就像要正常结束连接一样。Xmas扫描 (-sX)发送一个设置 FIN, PSH 和 URG 标志的包像点亮了的圣诞树故名。核心决策思想选择哪种策略就是在速度、隐蔽性、可靠性和穿透能力之间做权衡。-sS快且相对隐蔽是内网扫描首选-sT最可靠但最不隐蔽当用户权限不足时使用-sN/-sF/-sX旨在绕过简单的包过滤规则和旧式 IDS但面对现代系统或状态防火墙时可能失效。接下来我们就进入 Metasploitable 2 实战用数据说话。3. 五种核心扫描策略的靶场实战与深度解析假设我们的 Metasploitable 2 靶机 IP 是192.168.56.102攻击机Kali LinuxIP 是192.168.56.101。我们将对靶机的 1-1000 端口进行扫描并配合Wireshark抓包分析。3.1 策略一SYN 扫描 (-sS) —— 默认的王者命令与输出sudo nmap -sS -p 1-1000 192.168.56.102需要 root 权限因为需要构造原始数据包典型输出摘要Nmap scan report for 192.168.56.102 Host is up (0.00040s latency). Not shown: 977 closed ports PORT STATE SERVICE 21/tcp open ftp 22/tcp open ssh 23/tcp open telnet 25/tcp open smtp 53/tcp open domain 80/tcp open http ...Wireshark 流量分析关键帧192.168.56.101 - 192.168.56.102TCP 端口XXXX [SYN]如果端口开放192.168.56.102 - 192.168.56.101TCP 端口XXXX [SYN, ACK]192.168.56.101 - 192.168.56.102TCP 端口XXXX [RST, ACK]深度解析与选择理由-sS被称为“半开扫描”因为它不完成 TCP 三次握手。这是 Nmap 的默认扫描方式当你有 root 权限时。它的优势非常明显高效快速无需为每个端口建立和断开完整连接节省了时间和系统资源。相对隐蔽许多简单的日志系统只记录完成的连接三次握手全。由于连接未完成-sS扫描可能不会在目标的应用层日志中留下记录。但是请注意任何像样的网络入侵检测系统NIDS如 Snort 或 Suricata都能轻易检测到大量来自同一源的 SYN 包并标记为端口扫描行为。可靠性高它直接与目标系统的 TCP/IP 协议栈交互结果准确。适用场景与实操心得内部网络侦察在对可控的内网进行资产发现和端口扫描时-sS是首选速度优势巨大。初步渗透测试在获得授权测试的初期信息收集阶段快速摸清目标开放端口。绕过基础应用日志对付那些只记录ESTABLISHED连接的简单服务日志时有一定隐蔽性。踩坑提醒-sS需要发送原始数据包因此在 Unix/Linux 系统上必须使用 root 权限运行。在 Windows 上即使以管理员身份运行Nmap 也可能使用回退的 Connect 扫描。这是平台差异导致的一个常见困惑点。3.2 策略二TCP Connect 扫描 (-sT) —— 可靠的备胎命令与输出nmap -sT -p 1-1000 192.168.56.102普通用户权限即可执行输出结果与-sS扫描对于开放/关闭端口的识别结果基本一致。Wireshark 流量分析关键帧192.168.56.101 - 192.168.56.102TCP 端口XXXX [SYN]如果端口开放192.168.56.102 - 192.168.56.101TCP 端口XXXX [SYN, ACK]192.168.56.101 - 192.168.56.102TCP 端口XXXX [ACK]- 关键区别完成握手192.168.56.101 - 192.168.56.102TCP 端口XXXX [RST, ACK]- 随后断开深度解析与选择理由-sT扫描利用操作系统提供的connect()系统调用。如果connect()成功说明端口开放如果返回错误则说明端口关闭。因为它建立了完整连接所以无需特权最大的优点。当你没有 root 权限例如在一个受限的 shell 环境时这是进行 TCP 扫描的唯一可靠方法。最稳定可靠完全遵循标准 TCP 行为结果极少出现歧义。最不隐蔽每一次成功的扫描都会在目标系统上留下一个完整的连接记录极易被基于主机的入侵检测系统HIDS或详细的网络流量分析发现。适用场景与实操心得权限受限环境这是-sT的核心使用场景。比如通过一个反弹的 shell 进行内网横向移动你可能没有 root 权限。结果验证当其他扫描方式特别是隐蔽扫描结果存疑时用-sT进行二次验证因为它最不容易被防火墙规则干扰。测试防火墙规则有时防火墙允许建立完整连接但会拦截原始 SYN 包。此时-sT可能比-sS更有效。一个关键差异在 Metasploitable 2 上你可能看不出区别但在某些配置了连接限制或触发安全机制的服务上大量的-sT扫描可能会因为建立太多完整连接而导致服务暂时拒绝新连接或触发警报而-sS则可能不会。3.3 策略三NULL 扫描 (-sN) —— 隐秘的试探者命令与输出sudo nmap -sN -p 1-1000 192.168.56.102典型输出摘要注意与-sS的差异Nmap scan report for 192.168.56.102 Host is up (0.00047s latency). Not shown: 999 filtered ports PORT STATE SERVICE 21/tcp open|filtered ftp 22/tcp open|filtered ssh 80/tcp open|filtered http ...你可能发现几乎所有端口都变成了open|filtered只有少数几个可能显示为closed。Wireshark 流量分析关键帧192.168.56.101 - 192.168.56.102TCP 端口XXXX [Flags: 0x0000]- 没有任何标志位如果端口关闭192.168.56.102 - 192.168.56.101TCP 端口XXXX [RST, ACK]如果端口开放或被过滤无响应或响应被拦截。深度解析与选择理由NULL 扫描发送的 TCP 包头部标志位全为 0。根据 TCP RFC一个关闭的端口必须用 RST 响应这种“非法”报文而一个开放的端口应该忽略它。因此收到 RST- 端口确定是Closed。没有收到响应- 端口可能是Open忽略了包也可能是Filtered防火墙把包丢弃了。Nmap 无法区分这两种情况所以报告为open|filtered。它的价值在于“穿透”一些非常古老的、基于简单规则如只阻止 SYN 包的包过滤防火墙或路由器可能会放过这种没有设置任何标志的“奇怪”数据包从而让扫描流量到达目标主机。如果目标主机是符合 RFC 的旧系统如某些老版本的 Windows并且没有防火墙那么 NULL 扫描就能准确识别开放端口因为没有响应。但在现代Windows 系列包括 Win7/8/10/11, Server 2008和许多配置了状态防火墙的 Linux 系统都会对 NULL/FIN/Xmas 包以 RST 响应这会导致扫描完全失效所有端口都显示为closed。适用场景与实操心得探测老旧系统/设备针对一些嵌入式设备、工控系统或多年未更新的旧服务器可能有效。绕过极其简单的过滤规则理论上存在可能但现实中概率极低。作为辅助判断结合其他扫描结果如果-sS显示很多open而-sN显示很多open|filtered可能暗示目标有防火墙但规则不严如果-sN全部显示closed则目标很可能是 Windows 或开启了严格防火墙的现代系统。重要心得在实际的渗透测试中我几乎从不单独依赖 NULL 扫描作为主要手段。它的结果模糊且不可靠。但它是一个很好的“探针”用于收集目标 TCP/IP 协议栈行为特征辅助判断操作系统和防火墙类型。在 Metasploitable 2基于 Ubuntu上它之所以显示open|filtered正是因为该系统遵循了 RFC 规范。3.4 策略四FIN 扫描 (-sF) 与策略五Xmas 扫描 (-sX) —— 隐秘家族的兄弟命令示例sudo nmap -sF -p 1-1000 192.168.56.102 sudo nmap -sX -p 1-1000 192.168.56.102输出结果与 NULL 扫描 (-sN)高度相似大部分端口报告为open|filtered原理也完全相同。Wireshark 流量分析关键帧FIN扫描发送[FIN]标志位。Xmas扫描发送[FIN, PSH, URG]标志位。深度解析与选择理由FIN 和 Xmas 扫描与 NULL 扫描共享同一套 RFC 逻辑向关闭的端口发送一个不包含 SYN 的报文会触发 RST 响应。它们只是改变了发送的 TCP 标志位组合。FIN扫描 (-sF)模拟一个连接终止请求。在某些情况下一些防火墙为了允许正常连接终止可能会配置规则允许 FIN 包通过而阻止 SYN 包。这给了 FIN 扫描一丝穿透的可能。Xmas扫描 (-sX)将 FIN、PSH推送数据和 URG紧急标志位同时打开。这种极其反常的包更容易被智能防火墙或 IDS 识别为恶意扫描流量。它的“隐蔽性”在现代环境下其实更差。为什么需要这么多种主要是历史原因和为了应对千奇百怪的、编写不当的防火墙规则。不同的标志位组合可能会被不同的、有缺陷的包过滤规则以不同方式处理。在实战中它们的有效性几乎一致——对现代系统效果很差。实操心得与选择指南优先级别在需要尝试隐蔽扫描时我个人的习惯是优先尝试-sF因为它最像正常流量连接结束理论上被放行的几率稍高一丁点。其次是-sN。-sX通常最后尝试因为它太“扎眼”了。组合使用可以使用-sA(ACK扫描) 或-sW(Window扫描) 来辅助判断防火墙是否存在以及其状态。例如先用-sS扫一遍如果很多端口是filtered再用-sF/-sN扫一遍如果出现大量open|filtered可能意味着防火墙是有状态但规则不检查这些特殊标志的。结果解读永远不要将open|filtered状态直接等同于“端口开放”。它只是一个模糊的指示需要进一步验证。真正的开放端口必须用-sS或-sT来确认。4. 策略选择决策树与高级组合技巧经过上面的实战分析你应该对每种策略的脾性有了深入了解。现在我们把这些知识凝结成一张可操作的决策流程图和组合技巧。4.1 面对一个新目标你的扫描策略决策树当你站在一个未知的目标前可以遵循以下逻辑来选择首发扫描策略开始 | v 你有ROOT/管理员权限吗 | | 是 否 | | v v 考虑隐蔽性 **必须使用 -sT (TCP Connect扫描)** | | 是 否 | | | | v v | 内网还是外网 **首选 -sS (SYN扫描)** | | | v v | [内网] [外网] | | | | v v | **-sS** **-sS 时序/欺骗** | | | | v v | (快速侦察) (小心谨慎) (结果可靠但易被发现) | | |-----------------------| v 分析初步结果 | v 大量端口显示为 filtered | | 是 否 | | v | 怀疑有防火墙 |- 进行服务/版本探测 (-sV)操作系统探测 (-O) | | v | 尝试 **-sF** 或 **-sN** | (隐蔽扫描) | | | v | 对比结果 | -sS显示 filtered, | -sF显示 open|filtered? | | | 是 否 | | v | 可能存在可绕过的 |- 防火墙规则可能较严格或目标系统是Windows 简单包过滤防火墙 | 考虑使用其他技术如碎片扫描 -f, --mtu, 源端口欺骗 --source-port | | v | **需要进一步验证** | 使用 **-sT** (如果可能) | 或 **-sA** (ACK扫描) | 判断防火墙状态 | | | v | 制定下一步方案 | (漏洞扫描、渗透等) |这个决策树的核心是没有一种策略是万能的。高明的测试者会根据环境反馈动态调整策略。4.2 高级组合与参数调优像高手一样思考单纯切换-s参数只是入门。真正提升扫描效率和隐蔽性在于组合使用 Nmap 的其他强大参数。1. 时序模板 (-T)控制扫描的“节奏”扫描速度不是越快越好。疯狂的扫描会被立刻发现。-T0(偏执): 每5分钟发送一个包用于躲避最严格的IDS。-T1(鬼祟): 每15秒发送一个包速度很慢。-T2(文雅): 默认速度平衡了时间和隐蔽性。-T3(普通): Nmap的默认速度。-T4(快速): 假设你在一个快速可靠的网络上。-T5(疯狂): 最快速度会漏报且极易触发警报。在 Metasploitable 2 上体验差异# 快速扫描用于实验环境 sudo nmap -sS -T4 192.168.56.102 # 模拟对敏感目标扫描降低速度 sudo nmap -sS -T2 192.168.56.102 --max-parallelism 1 --scan-delay 1s--max-parallelism和--scan-delay提供了更精细的控制。心得对于外部关键资产我通常从-T2开始。内网扫描可以用-T4。2. 端口指定与排除提高效率不要总是-p-全端口那太慢了。-p 22,80,443,8080扫描特定端口。-p 1-1000扫描一个范围。-p U:53,111,137,T:21-25,80,443同时指定 UDP 和 TCP 端口。--exclude-ports 25,135-139排除已知不关心的端口。-F(快速扫描)只扫描 Nmap 服务文件中约 100 个最常见端口。3. 欺骗与隐蔽 (-D,--source-port,--spoof-mac)诱饵扫描 (-D):nmap -sS -D RND:5,ME 192.168.56.102。这会生成5个随机诱饵IP并将你自己的IP混在其中。在目标的日志中攻击会看起来来自多个主机增加追踪难度。注意这需要 root 权限且如果诱饵是真实主机可能会对其造成影响称为“第三方攻击”慎用。源端口欺骗 (--source-port):nmap --source-port 53 192.168.56.102。将扫描流量源端口设为 53 (DNS) 或 80 (HTTP)。有些防火墙会信任来自这些端口的流量。这在某些特定场景下如防火墙规则配置错误可能有效。MAC地址欺骗 (--spoof-mac): 在局域网中伪装 MAC 地址。4. 碎片扫描与数据长度 (-f,--mtu,--data-length)-f: 将 TCP 头分割成多个小片段通常 8 字节可能绕过一些简单的包过滤防火墙和 IDS因为它们可能无法正确重组数据包。--data-length: 在包后添加随机长度的垃圾数据同样旨在干扰某些简单的模式匹配检测。一个综合示例假设我们对一个可能有简单防火墙的外部 Web 服务器进行初步侦察希望尽量低调sudo nmap -sS -T2 -p 80,443,8080,8443,22,21,25,110,143,993,995 \ --max-parallelism 2 --scan-delay 500ms \ --data-length 50 \ target.example.com这个命令使用 SYN 扫描慢速只扫常见业务端口并发数低有延迟并添加了随机数据。5. 结果解读、问题排查与防御视角5.1 精准解读 Nmap 输出状态在 Metasploitable 2 上你主要会看到open,closed,filtered,open|filtered。理解它们背后的网络故事至关重要端口状态含义可能的原因基于扫描响应下一步行动建议open端口开放有服务监听收到 SYN-ACK (-sS) 或 connect() 成功 (-sT)进行服务识别 (-sV)、漏洞扫描、手动测试。closed端口关闭无服务监听收到 RST 响应。通常无需关注但大量关闭端口可能表明主机存活。filtered端口被过滤无法探测没有收到任何响应超时或收到 ICMP 不可达错误。可能有防火墙/ACL阻止。尝试不同扫描类型 (-sF/-sN/-sA)、调整时序、使用碎片扫描 (-f)。unfiltered端口可访问但状态未知ACK 扫描 (-sA) 收到 RST但 SYN 扫描可能被过滤。表明端口可达但被防火墙规则阻挡了 SYN 包。需要进一步探测。open|filtered开放或被过滤NULL/FIN/Xmas 扫描未收到响应。Nmap 无法区分是端口开放忽略包还是被过滤丢弃包。需要验证换用-sS或-sT确认。或使用-sA扫描判断防火墙是否存在。closed|filtered关闭或被过滤UDP 扫描或 IP 协议扫描中Nmap 无法区分。较少见通常需要其他手段验证。在 Metasploitable 2 上的典型观察对 21 端口-sS显示open-sN显示open|filtered。这完美印证了理论开放端口忽略了非法包Nmap 收不到 RST故无法确定。5.2 常见问题排查实录在实际操作中尤其是在不同网络环境下你会遇到各种问题。以下是一些常见坑点问题1扫描速度极慢或者大量端口显示为filtered。可能原因网络中存在防火墙、入侵防御系统 (IPS) 或网络设备速率限制。排查思路先 Pingping target。如果不通可能目标不在线或禁 Ping。使用-Pn参数让 Nmap 跳过主机发现直接扫描端口。使用 ACK 扫描 (-sA)sudo nmap -sA -p 80 target。如果收到 RST说明端口是unfiltered可达防火墙可能是有状态的但允许已建立的连接通过。如果没响应说明端口被严格过滤。调整时序和并发使用-T2或-T1降低速度减少--max-parallelism增加--scan-delay。尝试不同的扫描类型如果-sS全被过滤试试-sF/-sN虽然对现代系统可能无效或者换用-sT看防火墙是否只拦原始包不拦完整连接。问题2扫描结果不一致同一端口有时显示open有时显示filtered。可能原因网络不稳定目标主机负载过高响应慢或者防火墙/IPS 有基于频率的临时阻断规则。排查思路多次扫描在不同时间点扫描几次看模式是否固定。使用-v(详细模式)或-vv(更详细)查看 Nmap 的实时判断过程。检查网络路径是否存在负载均衡或多路径使用traceroute看看。考虑目标状态目标服务是否可能重启或崩溃问题3普通用户运行nmap -sS提示权限错误。原因-sS(SYN扫描) 需要发送原始数据包这需要 root 权限。解决方案使用sudo。如果无法获得 root退而求其次使用-sT(TCP Connect扫描)。在 Linux 上可以尝试使用setcap赋予 nmap 二进制文件CAP_NET_RAW能力sudo setcap cap_net_raw,cap_net_admin,cap_net_bind_serviceeip /usr/bin/nmap。但这有安全风险不建议在生产环境使用。问题4扫描内网主机很快但扫描外网主机非常慢。原因默认的主机发现和超时设置是针对局域网优化的。广域网的延迟 (RTT) 更高。解决方案使用--max-rtt-timeout和--min-rtt-timeout调整往返超时时间。例如--max-rtt-timeout 500ms。使用--host-timeout设置每个主机的最大扫描时间。使用更激进的时间模板如-T4但需谨慎可能丢包。5.3 从防御者视角看扫描如何发现和应对理解攻击者如何扫描才能更好地防御。作为防御方你应该部署网络入侵检测系统 (NIDS)如 Suricata 或 Zeek (Bro)。它们可以基于规则如短时间内来自同一源的 SYN 请求数量检测端口扫描行为。分析服务器日志检查 Web 服务器、SSH 服务等的访问日志寻找来自同一 IP 的、针对不常见端口或大量端口的连接尝试。虽然-sS不建立完整连接但 SYN 记录可能会留在网络设备或主机防火墙日志中。使用主机防火墙在服务器上配置严格的 iptables (Linux) 或 Windows 防火墙规则只允许必要的端口入站。对于未开放的端口直接丢弃 (DROP) 数据包而不是拒绝 (REJECT)。DROP 会让扫描器等待超时显著降低其扫描速度而 REJECT 会立刻返回 RST 或 ICMP 错误直接暴露端口状态为closed。部署蜜罐 (Honeypot)设置一些监听在不常用端口上的服务一旦被连接立即告警。这能有效发现扫描行为。监控网络流量基线了解正常的业务流量模式。突然出现的、目标端口呈序列增长的流量很可能是扫描。通过 Metasploitable 2 这个简单的靶场我们系统地演练了从最基础的-sS到更隐秘的-sN/-sF/-sX扫描并深入到了策略选择、参数调优和结果解读的层面。记住工具是死的人是活的。nmap的强大不在于你记住了多少参数而在于你能否根据战场网络环境的变化灵活组合运用这些参数像一位真正的网络侦探一样既快又准地摸清目标的情况同时尽可能地隐藏自己的踪迹。下次当你再想敲下nmap -sS时不妨先停一秒问问自己当前的环境最适合的策略真的是它吗