nmap 默认的 SYN 扫描是"有状态"的：它发送一个 SYN 包后，会在内核中维护连接状态表，等待目标的 SYN-ACK 回应。如果收到回应，再发送 RST 包关闭连接；如果超时未收到，则重传。这种机制保证了可靠性，但也带来了性能瓶颈——内核连接跟踪表有大小限制，大量并发连接会耗尽表项。

此外，nmap 对每个端口的探测包含超时等待和重传逻辑。默认重传 0 次（--max-retries 0 可加速但降低可靠性）。在高速网络中，丢包率上升会导致大量误判。

masscan 采用了完全不同的架构——"无状态"SYN 扫描。它绕过操作系统的 TCP/IP 协议栈，直接使用原始套接字（raw socket）发送 SYN 包，完全不跟踪连接状态。发完就忘，不管目标是否回应、何时回应。

当目标的 SYN-ACK 回来时，masscan 的抓包引擎（基于 libpcap）会捕获这个回应包，从中提取源 IP 和源端口，记录为"开放"。如果收到 RST，则记录为"关闭"或"被过滤"。

这种设计意味着 masscan 的发送速度不受连接跟踪表限制，只受网卡带宽和 CPU 包处理能力约束。在 10Gbps 网络环境下，masscan 理论上可达每秒 1000 万包的发送速率——这意味着 6 分钟内扫描完整个 IPv4 地址空间（0.0.0.0/0）的 65535 个端口。

在实际渗透测试中，masscan 和 nmap 不是竞争关系，而是搭档关系。典型工作流分两步：

第一步：masscan 快速发现——对目标网段执行全端口扫描，以高速发现所有开放端口，生成开放端口列表。

第二步：nmap 深度扫描——将 masscan 发现的端口列表传递给 nmap，执行 -sV -sC 进行版本探测和脚本扫描。因为只需要扫描少量已确认开放的端口，nmap 速度会大幅提升。

Kali Linux 默认仓库包含 masscan，可直接通过 apt 安装：

masscan 最新 tagged 发布版是 1.3.2（2021 年 1 月），但项目的 master 分支持续活跃维护至 2026 年 4 月（修复了 SMB 模块的段错误等问题）。如果遇到 apt 版本的 bug，建议从源码编译获取最新修复。编译依赖仅有 libpcap-dev 和 gcc，非常轻量。

masscan 的命令格式简洁直观：

这条命令扫描 192.168.1.0/24 网段的 80 和 443 端口，速率限制在每秒 1000 包。sudo 是必须的——masscan 需要创建原始套接字来绕过系统 TCP 协议栈。

masscan 支持通过配置文件批量设置参数，适合需要重复执行相同扫描任务的场景。配置文件格式为 key = value 形式：

配置文件中 exclude 参数很实用——扫描内网时排除网关和核心设备，避免触发告警或影响业务。

以下操作在本地靶机环境（192.168.1.0/24）执行。先从最简单的单端口扫描开始：

扫描结果以 Discovered open port 格式直接输出到终端。256 台主机的单端口扫描在 1000 pps 速率下不到 1 秒完成。

masscan 最核心的使用场景——对目标执行 1-65535 全端口扫描：

masscan 的 --rate 参数决定了扫描速度，但并非越快越好。速率选择取决于三个因素：网络带宽、目标负载承受能力、自身不想被 IDS 发现的程度。

masscan 支持三种输出格式，各有用途：

JSON 输出格式如下，每条记录包含 IP、端口、协议、时间戳和 Banner（如果启用）：

grepable 格式与 nmap 的 -oG 兼容，可用 grep "open" result.gnmap 快速过滤开放端口，方便在脚本中串联使用。

masscan 的 --banners 参数可以在发现开放端口后尝试建立完整 TCP 连接并抓取服务 Banner。这不能替代 nmap 的版本探测（-sV），但能快速获取服务信息：

注意 --banners 会降低扫描速度（每个开放端口都需要完成 TCP 三次握手并等待 Banner 数据），且 HTTP 服务通常不会主动发送 Banner，需要客户端先发送请求。对于 Web 服务指纹识别，建议后续用 nmap 的 -sV 或 whatweb 工具。

核心思路：让 masscan 做它最擅长的事——高速发现开放端口，让 nmap 做它最擅长的事——版本探测和脚本扫描。

数据流：masscan 扫描 → 提取开放端口列表 → 传递给 nmap -p 参数 → nmap 对已知开放端口执行深度扫描。由于 nmap 只需扫描确认开放的少量端口（而非 65535 个全端口），速度提升可达数十倍。

以下 Bash 脚本实现完整的两阶段扫描工作流：

脚本逻辑解析：

第 6-7 行：masscan 全端口扫描，速率 10000 pps，等待 10 秒收集回应，输出为 grepable 格式。

第 10-14 行：管道链解析 grepable 输出——grep 提取含 "Ports:" 的行，正则匹配 "数字/open"，cut 取端口号部分，sort + uniq 去重排序，paste 合并为逗号分隔字符串。

第 20-21 行：nmap 对开放端口执行 -sV（版本探测）和 -sC（默认脚本扫描），输出为文本和 XML 双格式。

如果使用 JSON 输出，可以用 Python 更精确地解析：

使用方式：python3 parse_masscan.py result.json 输出逗号分隔的端口列表，可直接用于 nmap 的 -p 参数。

Google 支持多个搜索操作符，组合使用可以精确过滤结果：

以下是渗透测试中常用的 Google Dork 组合，用于发现目标暴露的敏感信息：

Google Dorking 的价值不在于单个查询，而在于系统化地覆盖信息收集的各个维度。一个完整的被动侦察应该覆盖：

技术信息——服务器版本、CMS 类型、框架指纹。如 site:example.com intitle:"Apache Status" 可能暴露 Apache 状态页面。

敏感文件——配置文件、备份文件、数据库导出。如 site:example.com ext:bak intext:"DB_PASSWORD" 搜索泄露的 WordPress 配置备份。

员工信息——邮箱、姓名、职位。这些信息后续可用于社会工程学或密码喷洒攻击。如 site:linkedin.com "example.com" 在 LinkedIn 上搜索目标公司员工。

subfinder 是 ProjectDiscovery 团队开发的子域名枚举工具，特点是速度快、依赖少、输出干净。最新版 v2.15.0（2026 年 8 月发布）新增了 ShodanCT 被动源和改进的 VirusTotal 分页。

-all 参数启用所有数据源（包括被动源和 API 源），结果更全面但速度稍慢。-silent 只输出子域名列表不显示 banner 信息，适合管道传递。

amass 是 OWASP 项目，功能比 subfinder 更丰富——除了被动枚举子域名，还支持主动 DNS 解析、DNS 区域传输尝试、证书透明度查询和可视化图谱。最新版 v5.1.1（2026 年 4 月）引入了新的资产数据库引擎和 REST API 服务器。

实战中通常先用 subfinder 快速获取子域名列表，再用 amass 主动模式补充。两者结果合并去重后，用 httpx 或 dnsx 验证哪些子域名实际可解析和存活。

Kali Linux 默认包含 theHarvester，也可以通过 pip 安装：

-d 指定目标域名，-b 指定数据源（搜索引擎、证书查询等），-f 输出 HTML 报告。使用 -b all 会调用所有数据源但速度较慢，建议初筛时用 google,bing,certspotter 三个主要源。

theHarvester 的输出分为四类信息：

邮箱地址——从搜索引擎索引的网页、PGP 密钥服务器、证书透明度日志中提取。这些邮箱可用于钓鱼攻击模拟或密码喷洒测试。

子域名——与 subfinder/amass 结果互补，来源侧重不同。

虚拟主机——通过反查 IP 获取同一服务器上托管的其他域名。

员工信息——从 LinkedIn 等职场社交平台提取姓名和职位，可用于社会工程学评估。

以下脚本整合了 masscan、nmap、subfinder、theHarvester 四个工具，按"被动侦察 → 主动扫描"的顺序执行：

脚本按时间线组织：阶段 1（第 10-19 行）先执行被动侦察，subfinder 和 amass 并行收集子域名，theHarvester 收集邮箱和员工信息——此阶段目标完全无感知。阶段 2（第 20-29 行）执行主动扫描，masscan 全端口扫描后发现开放端口，nmap 对这些端口执行版本探测和脚本扫描。

本篇涉及的工具和技术在 MITRE ATT&CK 框架中的映射：