Nmap的定位是扫描端口的工具
第一步：全端口 TCP 深度扫描
这是你拿到目标后敲下的第一行命令。目的是彻底摸清底细。
nmap -Pn -sS -p- -sV -O -T4 -oA tcp_result 目标IP-
-Pn ：（核心） 假定目标在线。实战必须加，防止防火墙禁 Ping 导致 Nmap 直接放弃扫描。
-
-sS ：（隐蔽） 半连接扫描。这是最快且最不容易留日志的方式。
-
-p- ：（全面） 扫描 1-65535 全端口。不加这个，你就会漏掉藏在 8080、8000、9090 的后台，漏掉就是漏钱。
-
-sV ：（情报） 探测服务版本。为了后续找 CVE 漏洞。
-
-O ：（情报） 探测操作系统。为了后续制作木马。
-
-T4 ：（效率） 工业标准速度。T3 太慢，T5 容易丢包，T4 刚刚好。
-
-oA tcp_result ：（留底） 必须保存！这行命令会跑很久，不保存等于白干。
第二步：常用 UDP 端口扫描（补漏）
TCP 扫完后，为了防止遗漏 DNS、SNMP 等隐蔽资产，必须补一个 UDP 扫描。
nmap -Pn -sU --top-ports 100 -T4 -oA udp_result 目标IP深度解析：
-
-sU：切换到 UDP 协议。
-
--top-ports 100： 为什么不扫全端口？因为 UDP 扫描极慢，扫全端口可能要三天三夜。实战中只扫最常用的 100 个足够了。