1. 项目概述：为什么内网安全需要“隐形”扫描？

如果你负责过企业内网的安全评估，或者尝试过在渗透测试中探测目标，大概率会遇到一个头疼的问题：你的扫描行为被对方的防火墙、入侵检测系统（IDS）或者终端安全软件逮个正着，然后IP被拉黑，连接被重置，后续工作直接中断。尤其是在内网环境中，安全设备的部署往往更加密集，一次鲁莽的全端口SYN扫描，无异于在安静的图书馆里大喊大叫，瞬间就会成为全场焦点。

这就是“Nmap高级技巧：隐蔽扫描+防火墙绕过”这个主题的核心价值所在。它不是一个简单的工具使用教程，而是一套关于如何在网络空间中“潜行”的策略与战术。Nmap，作为网络发现和安全审计的瑞士军刀，其强大之处远不止于nmap -sS 192.168.1.1这样的基础命令。它的高级特性允许我们模拟正常的网络流量、分散扫描行为、利用协议特性，从而在不触发警报的前提下，尽可能完整地绘制出目标网络的地图。

简单来说，这个主题解决的核心痛点是：如何在对方有防备（部署了防火墙、IDS/IPS）的情况下，依然能够有效、隐蔽地进行信息收集和漏洞探测，特别是针对内网环境。这不仅是红队攻击的必备技能，更是蓝队防御者理解攻击者视角、验证自身防御策略有效性的关键。通过掌握这些技巧，你可以将扫描的“噪音”降到最低，延长你在目标网络中的“存活时间”，为更深层次的安全评估打下基础。

2. 核心思路：从“强攻”到“智取”的扫描哲学

传统的扫描思路是“强攻”：发送大量标准的探测包，根据响应判断端口状态。这种方式效率高，但特征极其明显。任何一款像样的安全设备都能轻易识别出“短时间内向不同端口发送SYN包”的Nmap扫描模式。

隐蔽扫描和防火墙绕过的核心思路，则是“智取”。它包含几个层面的策略：

2.1 身份伪装：让自己看起来不像扫描器这不仅仅是修改源IP那么简单。关键在于模仿正常的网络交互行为。比如，将扫描速度（-T参数）调整到与正常用户访问相似的水平；使用非标准扫描类型，这些类型产生的数据包看起来更像是一些老旧系统或特定应用产生的“奇怪”但“合法”的流量，从而绕过基于特征库的检测。

2.2 行为分散：化整为零，避免聚集与其在1秒钟内扫描100个端口，不如在100秒内扫描这100个端口，甚至打乱扫描顺序。通过--scan-delay、--max-parallelism等参数，可以将一次集中的扫描行为分散成长时间、低频率的访问请求，从而规避基于流量阈值和频率的检测规则。

2.3 路径利用：寻找防守薄弱点防火墙和IDS通常部署在网络边界，对内部流量的检测可能宽松许多。这就是内网扫描的优势。此外，利用信任关系（如通过一个已控制的跳板机进行扫描）、使用非常规端口承载常规服务（如HTTP跑在8080端口），或者利用协议本身允许的模糊性（如ACK扫描判断过滤规则）进行探测，都是在寻找规则集的盲区。

2.4 信息合成：从碎片中拼出全景一次完美的隐蔽扫描可能无法获得像全面扫描那样100%准确的结果。它可能会产生漏报（开放的端口没扫出来）或误报（关闭的端口被报告为过滤状态）。因此，高级技巧的另一面是对扫描结果的综合理解和交叉验证。你需要结合多种扫描技术的结果，像侦探一样分析矛盾点，从而推断出最接近真实的网络状态。

注意：隐蔽扫描的核心目的是降低被发现的风险，而非完全隐身。在足够先进的深度包检测（DPI）和全流量分析系统面前，没有绝对隐蔽的扫描。我们的目标是提高攻击成本，使其超过防御者的日常监控阈值。

3. 核心技巧解析：Nmap的“潜行”工具箱

Nmap提供了丰富的扫描类型和选项来实现隐蔽与绕过。下面我们深入解析几种最实用、最核心的技术。

3.1 隐秘的TCP扫描：SYN扫描与连接扫描的替代方案

• TCP SYN扫描 (-sS)：这其实是Nmap的默认扫描方式，也被称为“半开扫描”。它发送一个SYN包到目标端口，如果收到SYN/ACK回复，则认为端口开放，随后Nmap会发送一个RST包来中断连接，而不完成完整的三次握手。这比完整的TCP连接扫描(-sT)更隐蔽，因为不会在目标系统上留下完整的连接日志。但在配置严格的IDS面前，SYN扫描的流量模式依然有明显特征。

• TCP ACK扫描 (-sA)：这种扫描主要用于探测防火墙规则集，而非判断端口开放与否。它发送一个ACK包。如果收到RST回复，说明该端口未被防火墙过滤（可能是开放或关闭但主机可达）。如果没收到回复或收到ICMP不可达错误，则说明该端口被防火墙过滤了。这在判断目标主机哪些端口被防火墙保护时非常有用。

• TCP窗口扫描 (-sW)：这是ACK扫描的“增强版”，它利用某些系统在RST响应中TCP窗口大小的差异来判断端口状态。如果返回的RST包中窗口字段非零，可能表示端口开放；为零则表示关闭。这种方法更为隐蔽，因为它看起来只是一些零散的ACK/RST交换，不像SYN扫描那样有明确的“握手-中断”模式。

• TCP Maimon扫描 (-sM)：由安全研究员Uriel Maimon发现。它发送FIN/ACK标志位同时置位的包。根据某些BSD衍生系统（如macOS）的特定行为，开放端口会丢弃此包无响应，关闭端口则回复RST。这种非标准的包格式常常能绕过一些简单的过滤规则。

3.2 利用协议特性的扫描：FIN、NULL与Xmas扫描

这组扫描统称为“隐蔽扫描”，因为它们发送的TCP包不符合建立连接的任何正常序列，旨在触发某些操作系统的特定行为来推断端口状态。它们对Windows系统完全无效，但对Linux、BSD等系统可能有效。

• FIN扫描 (-sF)：发送一个只有FIN标志位的包。关闭的端口应回复RST，开放的端口则忽略该包。
• NULL扫描 (-sN)：发送一个所有标志位都未设置的包（全0）。预期响应同上。
• Xmas扫描 (-sX)：发送一个FIN、PSH和URG标志位都置位的包，像一棵“点亮”的圣诞树。预期响应同上。

实操心得：这组扫描的实用性在现代网络中已大打折扣。首先，它们不适用于Windows。其次，任何状态防火墙（这是现在的标配）都会直接丢弃这些“畸形”包，导致扫描结果全部显示为“open|filtered”（开放或被过滤），信息价值有限。它们更适合用于探测一个没有防火墙的、非Windows的内部主机，作为一种补充验证手段。

3.3 规避检测的节奏与伪装控制

扫描的“行为”特征往往比“数据包”特征更容易被识别。Nmap提供了精细的行为控制选项。

• 调整时序模板 (-T):-T0(偏执) 到-T5(疯狂)。对于隐蔽扫描，-T2(文雅) 或-T1(鬼祟) 是常用选择。-T1会在发送每个探测包后等待至少15秒，并且不会同时进行ping扫描和端口扫描，极其缓慢但隐蔽。
• 自定义延迟与并行度:
  • --scan-delay <time>: 指定每两个探测包之间的最小延迟（如--scan-delay 2s），避免流量突发。
  • --max-parallelism <number>: 限制最大并行探测数量（如--max-parallelism 1），相当于一次只扫描一个端口。
  • --max-rate <number>: 直接限制每秒发送的最大包数（如--max-rate 10）。
• 欺骗与代理:
  • -D <decoy1,decoy2,ME,...>: 诱饵扫描。在扫描时混入多个诱饵IP，使得目标看到的攻击来自四面八方，难以定位真实的扫描源。例如-D 10.0.0.1,10.0.0.2,ME。注意，“ME”必须放在诱饵列表的某个位置。
  • --proxies <url>: 通过HTTP/SOCKS4代理链进行扫描，隐藏真实源IP。但性能损耗大，且代理本身可能记录日志。
• 数据包参数伪装:
  • --data-length <number>: 在发送的包后附加随机数据，改变包长度特征。
  • --ttl <value>: 设置IP生存时间值，可以伪装成来自不同网络距离的主机。
  • --spoof-mac <mac address>: 伪造MAC地址。
  • -S <IP_Address>: 伪造源IP地址。但这需要你能够监控到目标返回给该伪造IP的流量（例如在伪造IP所在网段进行监听），否则无法接收回复，扫描将无效。这通常需要结合-e指定网卡和-Pn（跳过主机发现）使用。

4. 实战组合拳：针对内网环境的扫描策略

理论需要结合实践。下面我们设计几个针对典型内网场景的扫描策略，并给出具体的命令示例。

4.1 场景一：初步侦察，低调发现存活主机与常见端口

假设你已进入内网，获得了一个IP段（如192.168.1.0/24），需要先摸清网络结构，但又不想打草惊蛇。

• 策略：使用Ping扫描结合极慢的端口扫描，优先扫描最可能开放的少量顶级端口。

• 命令与解析：

  nmap -sn -PE -PS22,80,443 -PA21,23,3389 --max-retries 1 --host-timeout 2m 192.168.1.0/24

  • -sn: 只进行主机发现（Ping扫描），不扫端口。
  • -PE: 使用ICMP Echo请求进行Ping。许多内网允许ICMP。
  • -PS22,80,443: 发送SYN包到22(SSH),80(HTTP),443(HTTPS)端口。如果目标这些端口开放或过滤，可能会响应，从而发现主机。这是一种“TCP Ping”。
  • -PA21,23,3389: 发送ACK包到21(FTP),23(Telnet),3389(RDP)端口。利用ACK包可能穿透简单过滤规则的特性。
  • --max-retries 1: 探测包最多重试1次，减少重复流量。
  • --host-timeout 2m: 每台主机最多扫描2分钟，防止在某个无响应主机上卡住。 这个命令的目的是快速、安静地列出存活主机清单。

• 后续端口侦察（针对发现的单台主机192.168.1.100）：

  nmap -sS -T2 --scan-delay 500ms --max-parallelism 5 -p 21,22,23,80,443,445,3389,8080,8443 192.168.1.100

  • -sS: SYN半开扫描。
  • -T2: 文雅时序，平衡速度和隐蔽性。
  • --scan-delay 500ms: 每个探测包间隔至少0.5秒。
  • --max-parallelism 5: 最多同时进行5个端口探测。
  • -p ...: 只扫描最可能存在的服务端口，避免全端口扫描的噪音。

4.2 场景二：深度隐蔽，探测防火墙后的Web服务器

假设目标192.168.1.200可能是一台受防火墙保护的Web服务器，常规扫描无果。

• 策略：使用非常规扫描类型结合诱饵，并尝试从应用层（HTTP）进行验证。

• 命令与解析：

  nmap -sF -T1 --max-retries 0 --scan-delay 3s -D 192.168.1.55,192.168.1.66,ME -p 80,443,8080,8443 192.168.1.200

  • -sF: FIN扫描，发送非标准包。
  • -T1: 鬼祟时序，最慢但最隐蔽。
  • --max-retries 0: 不重试，一击不中立刻放弃。
  • --scan-delay 3s: 每次探测间隔3秒，极其缓慢。
  • -D ...: 使用两个诱饵IP（需是同一网段内存活但不相关的IP）和真实IP（ME）混合扫描。 如果FIN扫描结果显示端口为open|filtered，这可能是防火墙丢弃了FIN包。此时，可以换用ACK扫描(-sA)来确认防火墙过滤状态。

• 应用层验证：如果怀疑80/443端口被过滤但实际服务存在，可以直接使用Nmap自带的ncat（或nc）进行手动、低速的HTTP探测，这看起来更像正常的浏览器请求。

  # 使用ncat进行一个缓慢的HTTP HEAD请求 echo -e "HEAD / HTTP/1.1\r\nHost: 192.168.1.200\r\n\r\n" | ncat -w 10 192.168.1.200 80 # 或者使用Nmap的版本检测，但限制速率 nmap -sV --version-intensity 0 -T2 --scan-delay 2s -p 80 192.168.1.200

  --version-intensity 0使用最轻量级的版本探测，减少交互。

4.3 场景三：全面评估，综合多种技术绘制精准画像

在对单台关键服务器进行深入评估时，需要综合多种技术来获得准确信息。

• 策略：分阶段扫描，先隐蔽探测，再对可疑端口进行针对性验证和服务识别。
• 分阶段命令：

  1. 阶段一：隐蔽端口发现

     nmap -sS -T2 --scan-delay 100ms --max-parallelism 10 --top-ports 200 192.168.1.50 -oN initial_scan.txt

     扫描前200个常用端口，结果保存到initial_scan.txt。

  2. 阶段二：验证与深入扫描（根据阶段一结果，假设发现22, 443, 8080状态可疑）

     # 使用ACK扫描验证过滤状态 nmap -sA -T2 -p 22,443,8080 192.168.1.50 -oA ack_verify # 使用窗口扫描作为另一种验证 nmap -sW -T2 -p 22,443,8080 192.168.1.50 -oA window_verify

     对比initial_scan.txt、ack_verify.gnmap和window_verify.gnmap文件。如果-sS显示open，-sA显示unfiltered，则端口确实开放的可能性极高。

  3. 阶段三：服务与版本识别（针对确认开放的端口）

     nmap -sV -sC -T3 --script-args=http.useragent="Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36" -p 22,443,8080 192.168.1.50 -oN service_scan.txt

     • -sV: 版本探测。
     • -sC: 使用默认的NSE脚本进行更深入的探测。
     • --script-args=http.useragent=...: 修改HTTP请求的User-Agent，伪装成浏览器。
     • -T3: 此时可以稍微提速，因为服务识别需要更多交互。

5. 防火墙/IDS绕过实战分析与NSE脚本应用

现代防御体系不仅仅是封端口，还会分析流量内容。Nmap的NSE脚本引擎提供了更高级的规避和欺骗能力。

5.1 分段扫描与MTU欺骗

一些IDS/IPS通过重组TCP数据包来检查内容。通过发送特别小的TCP分段，可以绕过这种重组检查。

nmap -sS -f --mtu 24 -p 80,443 192.168.1.100

• -f: 要求使用小数据包分段。这会使IP包的数据部分（包含TCP头）被分成8字节的小段。
• --mtu <size>: 指定自定义的MTU值，必须为8的倍数。更小的值意味着更多的分段。

注意：这种方式会产生大量小包，在某些监控下可能反而显得异常。且并非所有网络设备都能正确处理极端的分段包，可能导致扫描失败。

5.2 使用NSE脚本进行高级规避

Nmap脚本库（NSE）中有一些专门用于规避的脚本。

• firewall-bypass脚本：这个脚本尝试多种技术来探测绕过防火墙的可能性，但它本身是一个发现脚本，用于评估目标是否易受某些绕过技术影响，而非直接执行隐身扫描。

  nmap --script firewall-bypass -p 80,443 192.168.1.100

  它会测试如源端口欺骗、IP分片、特定协议混淆等方法，并给出报告。

• http-useragent-t伪装：虽然我们可以用参数设置，但NSE脚本提供了更集中的管理。可以编写或使用现有脚本，在发起HTTP请求时随机或指定使用常见的浏览器User-Agent。

• ssh-brute或http-brute的慢速模式：在进行口令审计时，使用脚本的brute.delay参数来降低尝试频率。

  nmap -p 22 --script ssh-brute --script-args brute.delay=3s,brute.retries=1 192.168.1.100

5.3 源端口欺骗与合法服务绑定

一些简单的防火墙规则会允许来自特定源端口（如53-DNS, 80-HTTP）的流量。我们可以让Nmap从这些端口发送扫描流量。

nmap -sS -g 53 --source-port 53 -p 22,80,443 192.168.1.100 # 或者使用更强大的NSE脚本`sniffer-detect`（需root权限）来嗅探流量，但这不是隐蔽扫描，而是主动探测。

-g和--source-port指定源端口。但这需要本机能以非root身份绑定到该端口（通常1024以下端口需要root权限）。

6. 结果解读、日志规避与常见问题排查

隐蔽扫描的结果往往充满歧义，正确的解读比扫描本身更重要。

6.1 理解端口状态

Nmap的端口状态不仅是open和closed。对于隐蔽扫描，你经常会看到：

• open|filtered: Nmap无法确定端口是开放还是被过滤。这是FIN、NULL、Xmas扫描的典型结果，也可能是防火墙丢弃了探测包。
• closed: 明确关闭。这通常意味着主机可达且端口关闭，防火墙可能允许RST包通过。
• filtered: 探测包被防火墙或过滤设备丢弃，未收到任何回复。ACK扫描收到ICMP不可达错误时也会标记为此。
• unfiltered: ACK扫描专用。表示端口可达，但无法判断开放/关闭。结合其他扫描结果分析。

6.2 规避自身日志

你在扫描别人的同时，自己的行为也可能被记录。

• 使用跳板机：通过SSH动态转发或Metasploit的socks模块建立代理，在已控制的中间主机上运行Nmap。
• 清理痕迹：在跳板机上使用tmpfs内存文件系统运行Nmap，扫描完成后重启即消失。避免在磁盘留下Nmap日志文件(-oN,-oX等输出文件)。
• 注意DNS查询：Nmap的-sL（列表扫描）或带-R（反向解析）的扫描会产生大量DNS查询，这本身就有日志。内网扫描可考虑使用-n参数禁用DNS解析。

6.3 常见问题与排查表

6.4 一个综合的隐蔽扫描工作流建议

1. 信息收集：使用-sn结合多种Ping技术，低调列出存活主机。
2. 初步端口探测：对存活主机使用-sS -T2 --top-ports 100 --scan-delay 100ms进行初步、快速的常见端口扫描。
3. 深入分析与验证：对发现的疑似开放端口，使用-sA、-sW进行验证。对filtered状态的端口，尝试-sF、-sN等隐蔽扫描。
4. 服务识别：对确认度高的开放端口，使用低速、伪装的版本扫描(-sV -T2 --script-args http.useragent="...")。
5. 日志与清理：在内存盘操作，使用无日志的跳板，扫描完成后清理所有临时文件。

掌握Nmap的高级技巧，本质上是培养一种“网络侦探”的思维。你需要理解协议、理解防御设备的运作原理，然后利用它们规则中的缝隙。没有一种方法是万能的，真正的技巧在于根据目标环境，灵活组合这些工具和策略，在隐匿性与信息获取之间找到最佳平衡点。每一次成功的隐蔽扫描，都是一次对目标网络防御体系的无声评估。