1. NSE脚本引擎入门指南
第一次接触Nmap的NSE脚本时，我也被这589个脚本搞得头晕眼花。但真正用起来才发现，这简直就是渗透测试人员的瑞士军刀。NSE全称Nmap Script Engine，是内置于Nmap中的脚本引擎，能够通过Lua脚本扩展Nmap的功能。简单来说，它让Nmap从一个单纯的端口扫描工具变成了全能的安全评估系统。
在Kali Linux中，所有NSE脚本都存放在/usr/share/nmap/scripts/目录下。打开这个目录你会看到各种以.nse结尾的文件，每个都对应特定功能。比如http-title.nse用于获取网站标题，smb-vuln-ms10-054.nse专门检测Windows SMB服务漏洞。这些脚本最棒的地方在于它们都是开源的，你可以直接查看和修改。
基础调用格式非常简单：
nmap --script <脚本名称> <目标>比如想查看scanme.nmap.org网站的标题，只需要：
nmap --script http-title scanme.nmap.org这个命令会返回目标网站80端口的标题信息，对于快速识别Web应用特别有用。我经常在CTF比赛中用这个技巧快速获取线索。
2. 基础脚本调用实战
2.1 服务识别类脚本
http-headers脚本是我最常用的工具之一，它能显示Web服务器的响应头信息：
nmap --script http-headers 192.168.1.1这个命令会返回Server类型、支持的HTTP方法等关键信息。上周我用它发现了一个使用老旧版本Apache的服务器，最终成功利用已知漏洞拿下了系统。
另一个实用脚本是ssl-cert，可以获取SSL证书的详细信息：
nmap --script ssl-cert -p 443 example.com它能显示证书有效期、颁发机构等信息。有次审计中，我发现某金融网站使用自签名证书，这明显违反了安全策略。
2.2 信息收集组合拳
单独使用脚本效果有限，组合起来才更强大。比如这样使用：
nmap -sV --script "http-* and not (http-brute or http-slowloris)" 10.0.0.1这个命令会：
- 扫描所有开放端口(-sV)
- 运行所有http开头的脚本
- 排除暴力破解(http-brute)和慢速攻击(http-slowloris)脚本
在实际渗透测试中，我常用这个组合快速获取Web应用的指纹信息，既全面又不会对目标造成影响。
3. 漏洞扫描高级技巧
3.1 漏洞类脚本实战
vuln类别包含了许多实用的漏洞检测脚本：
nmap -sV --script vuln 192.168.1.100这个命令会检查目标是否存在已知漏洞。记得有次内网渗透，我用它发现了5台存在MS17-010漏洞的机器，最终拿下了整个域控。
对于Windows系统，smb-vuln-*系列脚本特别有用：
nmap --script smb-vuln-* -p 445 192.168.1.50这些脚本能检测永恒之蓝等各种SMB漏洞。但要注意，有些检测脚本可能会导致服务崩溃，生产环境慎用。
3.2 规避检测的技巧
聪明的管理员会监控Nmap扫描，我们可以用这些方法降低被发现概率：
nmap -T2 --script http-title --scan-delay 5s 10.0.0.1-T2降低扫描速度，--scan-delay增加请求间隔。我曾在一次红队行动中这样慢慢收集信息，持续两周都没触发告警。
另一个技巧是使用随机化：
nmap --script "randomize(100)" 192.168.1.1这会随机选择100个脚本执行，避免形成固定模式。
4. 自定义脚本开发
4.1 修改现有脚本
所有NSE脚本都是用Lua编写的，修改起来很容易。比如要修改http-title脚本的输出格式：
-- 找到/usr/share/nmap/scripts/http-title.nse -- 修改description部分 description = [[ 我的自定义标题扫描脚本 输出更详细的信息... ]]我经常根据项目需求调整脚本输出，使其更符合报告要求。
4.2 编写新脚本
新建一个简单的脚本demo.nse：
description = [[ 这是我第一个NSE脚本 用于演示基本结构 ]] author = "你的名字" license = "Same as Nmap" categories = {"safe", "discovery"} portrule = function(host, port) return port.protocol == "tcp" and port.state == "open" end action = function(host, port) return "发现开放端口: " .. port.number end把这个脚本放到scripts目录后，就可以用--script demo调用了。从简单脚本开始，慢慢就能开发复杂功能了。
5. 性能优化与排错
5.1 调试脚本问题
当脚本不工作时，--script-trace参数是救命稻草：
nmap --script http-title --script-trace scanme.nmap.org它会显示脚本执行的详细过程。有次我花了3小时找不出问题，最后发现是目标服务器对User-Agent有特殊要求。
5.2 提高扫描效率
大范围扫描时，这些技巧很实用：
nmap -Pn -n --min-parallelism 100 --script http-title 10.0.0.0/24-Pn跳过主机发现，-n禁用DNS解析，--min-parallelism提高并行度。但要注意，太激进可能被防火墙封禁。
5.3 脚本超时控制
有些脚本可能卡住，这时需要设置超时：
nmap --script http-title --script-timeout 5s 10.0.0.1我给每个脚本都设定了合理超时，避免整个扫描被拖慢。
6. 实战场景应用
6.1 Web应用评估
完整Web扫描可以这样组合：
nmap -p80,443 --script "http-* and not (http-brute or http-slowloris)" example.com这个命令会检查各种Web漏洞，如SQL注入点、配置错误等。上周我用它发现了某电商网站的目录遍历漏洞。
6.2 内网渗透测试
内网环境中，这些脚本特别有用：
nmap -sV --script smb-enum-shares,smb-enum-users -p445 192.168.1.0/24它能枚举所有Windows共享和用户列表。有次内网渗透，我靠这个找到了域管理员的共享文件夹。
6.3 无线安全审计
对WiFi设备可以使用：
nmap --script broadcast-wifi-discover这个脚本会探测周围的无线接入点。配合其他工具可以评估WiFi安全性。
