网络安全对抗演练，扫描器 Nmap 原理概述（源码视角）

本文面向对Nmap有高级用法的读者。例如

1. 参数初始化。解析命令行参数到全局数据结构·NmapOps·

2. 基本库初始化。初始化网络，例如 WinSock 的初始化。

3. 延迟参数初始化。对具有前置依赖的参数进行参数校验检查并放入延迟选项结构`delayed_options`中。

1. 包含延迟参数。script_timeout，max_rtt_timeout,exclude_file, exclude_spec,raw_scan_opt,iflist,host_timeout

2. 参数合并。例如 osscan 和 traceroute 需要 -A（高级扫描）和 --privilege（权限）条件。max-rtt 和hostgroup 等参数需要按照用户单独指定和性能模板（-T）参数共同的结果。osscan 开启后读取 nmap-os-db 文件。
3. 冲突参数验证。例如 portlist （-p 指定参数）和 fastscan（-sP ping扫描开启）冲突。noportscan 和 -sT/sU/sS 等端口扫描参数冲突。
4. 调试参数 route-dst 验证。
5. 端口列表初始化。按协议分别初始化TCP，UDP，STCP 的全局端口列表。同时对常用端口移到列表的前面来加速查询。同时做列表随机化排列（只针对 TCP端口列表）。
6. NSE引擎加载& Lua 预扫描。
7. 决定当前扫描组大小。将命令行指定的待扫描地址空间划分为若干主机组，组内的机器一般具有同质化属性，例如在相同网段。每次开始主机组扫描时都会根据全局命令行参数和当前已扫描状态，计算一次当前主机组的大小（groupsize），算法如下。  
1. 如果是 UDP 或 SCTP，则 groupsize = 128
2. 如果是 TCP，则取 Max(1024/端口数量, 64) 
3. 如果端口数量 >  1000，且时间参数要求较快
4. 为了能在扫描初期尽快有扫描结果，会对 groupsize 进行减半操作
5. 使用指定的 box 操作限制 groupsize
8. 获取下一个机器。获取下一个扫描地址的算法如下。
1. 若当前批次缓存中还有，则取出
2. 若无，则取出 "上一轮被推迟" 的地址
3. 若数量不够，则解析下一个命令行的地址表达式
4. 判断该地址是否应该放入到下一批次（target_needs_new_hostgroup）
5. 对该组机器，排序随机化
6. 对该组机器，进行 arping 或 ping 发现。这部分属于初始存活预扫
7. 记录存活主机数量，打印出主机存活日志
8. 设置 raw 扫描的源 IP 地址
9. 端口扫描。核心函数名为·ultra_scan·，支持多种scan type。具体功能请参见后续专门章节。
10. 操作系统扫描。核心函数名为·osscan·。具体功能请参见后续专门章节。
11. 进入路由跟踪扫描。
12. 进入脚本扫描流程。