Nmap參數詳解

轉自：http://blog.csdn.net/huangwwu11/article/details/20230795

Nmap——networkmapper，網絡探測工具和安全/端口掃描器

nmap[掃描類型…] [選項] [掃描目标說明]

Usage: nmap [Scan Type(s)] [Options] {target specification}

TARGET SPECIFICATION:

Can pass hostnames, IP addresses, networks, etc.

Ex: scanme.nmap.org, microsoft.com/24, 192.168.0.1; 10.0-255.0-255.1-254

-iL <inputfilename>: Input from list of hosts/networks

-iR <num hosts>: Choose random targets

--exclude <host1[,host2][,host3],...>: Exclude hosts/networks

--excludefile <exclude_file>: Exclude list from file

HOST DISCOVERY:

-sL: List Scan - simply list targets to scan

-sP: Ping Scan - Go no further than determining if host is online

-P0: Treat all hosts as online -- skip host discovery

-PS/PA/PU [portlist]: TCP SYN/ACK or UDP discovery probes to given ports

-PE/PP/PM: ICMP echo, timestamp, and netmask request discovery probes

-n/-R: Never do DNS resolution/Always resolve [default: sometimes resolve]

SCAN TECHNIQUES:

-sS/sT/sA/sW/sM: TCP SYN/Connect()/ACK/Window/Maimon scans

-sN/sF/sX: TCP Null, FIN, and Xmas scans

--scanflags <flags>: Customize TCP scan flags

-sI <zombie host[:probeport]>: Idlescan

-sO: IP protocol scan

-b <ftp relay host>: FTP bounce scan

PORT SPECIFICATION AND SCAN ORDER:

-p <port ranges>: Only scan specified ports

Ex: -p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080

-F: Fast - Scan only the ports listed in the nmap-services file)

-r: Scan ports consecutively - don\'t randomize

SERVICE/VERSION DETECTION:

-sV: Probe open ports to determine service/version info

--version-light: Limit to most likely probes for faster identification

--version-all: Try every single probe for version detection

--version-trace: Show detailed version scan activity (for debugging)

OS DETECTION:

-O: Enable OS detection

--osscan-limit: Limit OS detection to promising targets

--osscan-guess: Guess OS more aggressively

TIMING AND PERFORMANCE:

-T[0-6]: Set timing template (higher is faster)

--min-hostgroup/max-hostgroup <msec>: Parallel host scan group sizes

--min-parallelism/max-parallelism <msec>: Probe parallelization

--min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <msec>: Specifies

probe round trip time.

--host-timeout <msec>: Give up on target after this long

--scan-delay/--max-scan-delay <msec>: Adjust delay between probes

FIREWALL/IDS EVASION AND SPOOFING:

-f; --mtu <val>: fragment packets (optionally w/given MTU)

-D <decoy1,decoy2[,ME],...>: Cloak a scan with decoys

-S <IP_Address>: Spoof source address

-e <iface>: Use specified interface

-g/--source-port <portnum>: Use given port number

--data-length <num>: Append random data to sent packets

--ttl <val>: Set IP time-to-live field

--spoof-mac <mac address, prefix, or vendor name>: Spoof your MAC address

OUTPUT:

-oN/-oX/-oS/-oG <file>: Output scan results in normal, XML, s|<rIpt kIddi3,

and Grepable format, respectively, to the given filename.

-oA <basename>: Output in the three major formats at once

-v: Increase verbosity level (use twice for more effect)

-d[level]: Set or increase debugging level (Up to 9 is meaningful)

--packet-trace: Show all packets sent and received

--iflist: Print host interfaces and routes (for debugging)

--append-output: Append to rather than clobber specified output files

--resume <filename>: Resume an aborted scan

--stylesheet <path/URL>: XSL stylesheet to transform XML output to HTML

--no-stylesheet: Prevent Nmap from associating XSL stylesheet w/XML output

MISC:

-6: Enable IPv6 scanning

-A: Enables OS detection and Version detection

--datadir <dirname>: Specify custom Nmap data file location

--send-eth/--send-ip: Send packets using raw ethernet frames or IP packets

--privileged: Assume that the user is fully privileged

-V: Print version number

-h: Print this help summary page.

EXAMPLES:

nmap -v -A scanme.nmap.org

nmap -v -sP 192.168.0.0/16 10.0.0.0/8

nmap -v -iR 10000 -P0 -p 80

目标說明：

1） CIDR風格位址，附加一個/<numbit>在一個IP或主機名後面，則掃描與該IP具有<numbit>相同比特的所有IP位址或主機，支援的numbit值為1-32

2）可以對IP的各個段使用範圍清單來指定掃描對象，即0-255.0-255.0-255.0-255；或使用逗号隔開，即192.168.1.1,3,5

3） IPv6位址隻能用規範的IPv6位址或主機名指定，上面兩種方式對IPv6都不支援

4）接受多個主機說明，不必是相同類型

5） -iL <inputfilename>：從清單中輸入

6） -iR <hostnum>：随機選擇目标，hostnum表示目标數目，0意味着永無休止的掃描

7） --exclude <host1 [, host2] [, host3] …> 排除主機/網絡

8） --excludefile <excludefile> 排除檔案中的清單

主機發現

發送探測包到目标追究，若收到回複，則說明目标主機是開啟的。Nmap支援十多種不同的主機探測方式；預設發送四種

a) ICMP echo request

b) a TCP SYN packet to port 443

c) a TCP ACK packet to port 80

d) an ICMP timestamp request

參數形式

l -sL：List Scan 清單掃描，僅将指定的目标IP列舉出來，不進行主機發現

l -sP：Ping Scan 隻利用ping掃描進行主機發現，不進行端口掃描

n 預設情況下發送ICMP回聲請求和一個TCP封包到80端口，非特權使用者發送一個SYN封包到80端口

n 可以和除-P0之外的任何發現探測類型-P*選項結合使用以達到更高的靈活性

l -Pn/-P0：将所有指定的主機視作開啟的，跳過主機發現的過程

l -PS [portlist]：TCP SYN Ping，發送一個設定了SYN标志位的空TCP封包

n 預設端口為80（可設定），也可指定端口

n 目标主機端口關閉，回複RST，端口開放，則回複SYN/ACK，但都表明目标主機線上

n UNIX機器上，隻有特權使用者才能發送和接收原始的TCP封包，是以非特權使用者進行系統調用connect()，也發送一個SYN封包來嘗試建立連接配接

l -PA [portlist]：TCP ACK ping，發送一個設定了ACK标志位的TCP封包

n 預設端口為80（可設定），也可指定端口

n 目标主機線上，回複RST，不線上則逾時

n UNIX機器上，隻有特權使用者才能發送和接收原始的TCP封包，是以非特權使用者進行系統調用connect()，也發送一個SYN封包來嘗試建立連接配接

l -PU [portlist]： UDP Ping，發送一個空的UDP封包到指定的端口，

n 預設短褲為31338（可設定）

n 優勢是可以穿越隻過濾TCP的防火牆或過濾器

n 若端口關閉，則回複ICMP端口無法到達，說明主機線上；其他類型的ICMP錯誤如主機/網絡無法到達或者TTL逾時則表示主機不線上；沒有回應也被這樣解釋，但不一定正确（因為大多數開放該端口的服務會忽略該UDP封包）

l -PE; -PP; -PM：ICMP Ping Types，發送ICMP Type 8 （回聲請求）封包，期待從運作的主機得到一個type 0 （回聲相應）封包

l -PR：ARP Ping

l -n：不用域名解析，加快掃描速度

l -R：為所有目标IP位址作反向域名解析

l --system-dns：使用系統域名解析器，一般不使用該選項，因為比較慢

端口掃描

1） Nmap将端口分成六個狀态

a) open（開放的）：該端口正在接收TCP連接配接或者UDP封包

b) closed（關閉的）：關閉的端口接收nmap的探測封包并做出響應

c) filtered（被過濾的）：探測封包被包過濾阻止無法到達端口，nmap無法确定端口的開放情況

d) unfiltered（未被過濾的）：端口可通路，但nmap仍無法确定端口的開放情況

e) open|filtered（開放或者被過濾的）：無法确定端口是開放的還是被過濾的

f) closed|filtered（關閉或者被過濾的）：無法确定端口是關閉的還是被過濾的

2） Nmap産生結果是基于目标機器的響應封包的，而這些主機可能是不可信任的，會産生迷惑或者誤導nmap的封包，更普遍的是非RFC相容的主機以不正确的方式響應nmap探測，FIN/NULL和Xmas掃描特容易遇到這些問題

3） Nmap支援十幾種掃描技術，預設情況下執行一個SYN掃描（沒有權限或者掃描IPv6不可用時TCP Connect()）；一般一次隻用一種方法，除了UDP掃描(-sU)可能和任何一種TCP掃描結合使用；一般格式是-s<C>，除了deprecatedFTP bounce掃描-b

a) –sS：TCP SYN掃描，半開放掃描，掃描速度快，不易被注意到（不完成TCP連接配接）；且能明确區分open|closed|filtered

i. Open SYN/ACK

ii. Closed RST複位

iii. Filtered 數次重發沒響應，或者收到ICMP不可達

b) –sT：TCPConnect()，建立連接配接，容易被記錄；對原始封包控制少，效率低

c) –sU：激活UDP掃描，對UDP服務進行掃描，如DNS/SNMP/DHCP等，可以和TCP掃描結合使用；但是效率低下，開放的和被過濾的端口很少響應，加速UDP掃描的方法包括并發掃描更多的主機，先隻對主要端口進行快速掃描，從防火牆後面掃描，使用--host-timeout跳過慢速的主機

d) –sN; -sF; -sX：TCP Null,Fin, Xmas掃描，從RFC挖掘的微妙方法來區分開放關閉端口；除了探測封包的标志位不同，三種掃描在行為上一緻

i. 優勢：能躲過一些無狀态防火牆和封包過濾路由器，比SYN還要隐秘

ii. 劣勢：現代的IDS産品可以發現，并非所有的系統嚴格遵循RFC 793

e) –sA：TCP ACK掃描，隻設定ACK标志位，區分被過濾與未被過濾的

f) –sW：TCP視窗掃描，依賴于網際網路上少數系統的實作細節，是以可信度不高；根據視窗大小來判斷端口是開放的（正數）還是關閉的（0）

g) –sM：TCP Maimon掃描，探測封包是FIN/ACK，端口開放或關閉，都對這樣的封包響應RST封包，但如果端口開放，許多基于BSD的系統隻是丢棄該探測封包

h) –scanflags：通過指定任意的TCP标志位來設計掃描，可以是數字标記值，也可以使用字元名如URG/ACK/PSH/RST/SYN/FIN

i) –sI <zombie host[:probeport]>：Idlescan，利用zombie主機上已知IP分段ID序列生成算法來窺探目标上開放端口的資訊，極端隐蔽，可以指定端口号，否則預設80

j) –sO：IP協定掃描，可以确定目标機支援哪些IP協定（TCP, ICMP, IGMP）

k) –b <ftp relay host>：FTP彈跳掃描

4）端口說明和掃描順序：預設情況下，對1-1024以及nmap-services檔案中列出的更高的端口在掃描

a) –p <port ranges>：隻掃描指定的端口，單個端口和用連字元表示的端口範圍都可以；當既掃描TCP端口又掃描UDP端口時，您可以通過在端口号前加上T: 或者U:指定協定。協定限定符一直有效您直到指定另一個。例如，參數 -p U:53，111，137，T:21-25，80，139，8080 将掃描UDP 端口53，111，和137，同時掃描列出的TCP端口。注意，要既掃描 UDP又掃描TCP，您必須指定 -sU ，以及至少一個TCP掃描類型(如 -sS，-sF，或者 -sT)

b) –p <name>：掃描指定的端口名稱，如nmap–p smtp,http 10.10.1.44

c) –p U:[UDP ports],T:[TCP ports]：對指定的端口進行指定協定的掃描

d) –F：快速掃描（僅掃描100個最常用的端口），nmap-services檔案指定想要掃描的端口；可以用—datadir選項指定自己的小小nmap-services檔案

e) –top-ports <number>：掃描前number個端口

f) –r：不要按随機順序掃描端口，預設情況下按随機（常用的端口前移）

服務與版本探測

1） nmap-services是一個包含大約2200個著名的服務的資料庫，Nmap通過查詢該資料庫可以報告那些端口可能對應于什麼伺服器，但不一定正确

2）在用某種掃描方法發現TCP/UDP端口後，版本探測會詢問這些端口，确定到底什麼服務正在運作；nmap-service-probes資料庫包含查詢不同服務的探測封包和解析識别響應的比對表達式；當Nmap從某個服務收到響應，但不能在資料庫中找到比對時，就列印出一個fingerprint和一個URL給您送出

3）用下列選項打開和控制版本探測

a) –sV：打開版本探測

b) –allports：不為版本探測排除任何端口，預設情況下跳過9100端口

c) –version-intensity<intensity>：設定版本掃描強度，範圍為0-9，預設是7，強度越高，時間越長，服務越可能被正确識别

d) –version-light：是—version-intensity2的别名

e) –version-all：是—version-intensity9的别名

f) –version-trace：跟蹤版本掃描活動，列印出詳細的關于正在進行的掃描的調試資訊

g) –sR：RPC掃描，對所有被發現開放的TCP/UDP端口執行SunRPC程式NULL指令，來試圖确定它們是否RPC端口，如果是，是什麼程式和版本号

作業系統探測

1）用TCP/IP協定棧fingerprinting進行遠端作業系統探測，Nmap發送一系列TCP和UDP封包到遠端主機，檢查響應中的每一個比特。在進行一打測試如TCPISN采樣，TCP選項支援和排序，IPID采樣，和初始視窗大小檢查之後， Nmap把結果和資料庫nmap-os-fingerprints中超過 1500個已知的作業系統的fingerprints進行比較，如果有比對，就列印出作業系統的詳細資訊。每個fingerprint包括一個自由格式的關于OS的描述文本，和一個分類資訊，它提供供應商名稱(如Sun)，下面的作業系統(如Solaris)，OS版本(如10)，和裝置類型(通用裝置，路由器，switch，遊戲控制台等)

2） Nmap猜不出作業系統，則會提供一個URL讓知道作業系統的使用者來送出，進而擴大Nmap的作業系統知識庫

3）采用下列選項啟用和控制作業系統檢測

a) –O：啟用作業系統檢測；-A可以同時啟用作業系統檢測和版本檢測

b) –osscan-limit：針對指定的目标進行作業系統檢測

c) –osscan-guess|--fuzzy：當Nmap無法确定所檢測的作業系統時，會盡可能地提供最相近的比對

時間和性能

1） Nmap開發的最高優先級是性能，但很多因素會增加掃描時間如特定的掃描選項，防火牆配置以及版本掃描燈

2）優化時間參數

a) –min-hostgroup <size>;--max-hostgroup <size>：調整并行掃描組的大小，用于保持組的大小在一個指定的範圍之内；Nmap具有并行掃描多主機端口或版本的能力，Nmap将多個目标IP位址空間分成組，然後在同一時間對一個組進行掃描。通常，大的組更有效。缺點是隻有當整個組掃描結束後才會提供主機的掃描結果

b) –min-parallelism<milliseconds>; --max-parallelism <millseconds>：調整探測封包的并行度，用于控制主機組的探測封包數量；預設狀态下， Nmap基于網絡性能計算一個理想的并行度，這個值經常改變

c) --min-rtt-timeout <milliseconds> --max-rtt-timeout<milliseconds> --initial-rtt-timeout <milliseconds>：調整探測封包逾時；Nmap基于上一個探測封包的響應時間來計算逾時值，如果網絡延遲比較顯著和不定，這個逾時值會增加幾秒。初始值的比較保守(高)，而當Nmap掃描無響應的主機時，這個保守值會保持一段時間

d) –host-timeout<milliseconds>：放棄低速目标主機；通常使用1800000 來保證Nmap不會在單個主機上使用超過半小時的時間

e) --scan-delay <milliseconds>; --max-scan-delay<milliseconds>：調整探測封包的時間間隔

防火牆/IDS躲避和哄騙

1）相關的選項

a) –f（封包分段）; --mtu（使用指定的MTU）：将TCP頭分段在幾個包中，使得包過濾器、 IDS以及其它工具的檢測更加困難

b) –D <decoy1 [, decoy2] [, ME]…>：使用誘餌隐蔽掃描；使用逗号分隔每個誘餌主機，也可用自己的真實IP作為誘餌，這時可使用 ME選項說明。如果在第6個位置或更後的位置使用ME選項，一些常用端口掃描檢測器(如Solar Designer\'s excellent scanlogd)就不會報告這個真實IP。如果不使用ME選項，Nmap 将真實IP放在一個随機的位置

c) –S <IP_Address>：源位址哄騙，說明所需發送包的接口IP位址

d) –e <interface>：使用指定的接口

e) –source-port<portnumber>; -g <portnumber>：源端口哄騙；很多産品本身會有這類不安全的隐患，甚至是微軟的産品。Windows 2000和Windows XP中包含的IPsec過濾器也包含了一些隐含規則，允許所有來自88端口(Kerberos)的TCP和UDP資料流。另一個常見的例子是Zone Alarm個人防火牆到2.1.25版本仍然允許源端口53(DNS)或 67(DHCP)的UDP包進入。

f) –data-length <number>：發送封包時附加随機資料

g) –ttl <value>：設定IPtime-to-live域

h) –randomize-hosts：對目标主機的順序随機排列

i) –spoof-mac <mac address,prefix, or vendor name>：MAC位址哄騙；要求Nmap在發送原以太網幀時使用指定的MAC位址，這個選項隐含了 --send-eth選項，以保證Nmap真正發送以太網包。MAC位址有幾種格式。如果簡單地使用字元串“0”，Nmap選擇一個完全随機的MAC位址。如果給定的字元品是一個16進制偶數(使用:分隔)，Nmap将使用這個MAC位址。如果是小于12的16進制數字，Nmap會随機填充剩下的6個位元組。如果參數不是0或16進制字元串，Nmap将通過nmap-mac-prefixes查找廠商的名稱(大小寫區分)，如果找到比對，Nmap将使用廠商的OUI(3位元組字首)，然後随機填充剩餘的3個節字。正确的--spoof-mac參數有， Apple， 0，01:02:03:04:05:06， deadbeefcafe，0020F2，和Cisco.

j) –badsum：發送錯誤的校驗和

輸出

1）提供了友善直接檢視的互動式方式和友善軟體處理的XML格式；另外還提供了選項來控制輸出的細節以及調試資訊

2）五種不同的輸出格式，預設interactiveoutput，其他的還有

a) normal output：顯示較少的運作時間資訊和告警資訊

b) XML輸出：可轉換成HTML，友善程式處理

c) grepable格式：在一行中包含目标主機最多的資訊

d) sCRiPt KiDDi3 0utPut 格式：用于考慮自己的使用者

多種格式能同時使用，但一種格式隻能使用一次

3）與其它Nmap參數不同，日志檔案選項的空格(如-oX)和檔案名或連字元是必需的。如果省略了标記，例如-oG-或 -oXscan.xml，Nmap的向後相容特點将建立标準格式的輸出檔案，相應的檔案名為G-和 Xscan.xml

4）相關的選項

a) –oN <filespec>：标準輸出

b) –oX <filespec>：XML輸出寫入指定的檔案

c) –oS <filespec>：腳本小子輸出，類似于互動工具輸出

d) –oG <filespec>：Grep輸出

e) –oA <basename>：輸出至所有格式

f) –v：提高輸出資訊的詳細度

g) –d [level]：提高或設定調試級别，9最高

h) –packet-trace：跟蹤發送和接收的封包

i) –iflist：輸出檢測到的接口清單和系統路由

j) –append-output：表示在輸出檔案中添加，而不是覆寫原檔案

k) –resume <filename>：繼續中斷的掃描，

l) –stylesheet <path or URL>：設定XSL樣式表，轉換XML輸出；Web浏覽器中打開Nmap的XML輸出時，将會在檔案系統中尋找nmap.xsl檔案，并使用它輸出結果

m) –no-stylesheet：忽略XML生命的XSL樣式表

其他選項

1） -6：開啟IPv6掃描

2） -A：激烈掃描模式選項，這個選項啟用額外的進階和高強度選項，目前還未确定代表的内容。目前，這個選項啟用了作業系統檢測(-O) 和版本掃描(-sV)，以後會增加更多的功能

3） --datadir <directoryname>：說明使用者Nmap資料檔案位置

Nmap在運作時從檔案中獲得特殊的資料，這些檔案有 nmap-service-probes， nmap-services， nmap-protocols， nmap-rpc， nmap-mac-prefixes和 nmap-os-fingerprints。Nmap首先在--datadir選項說明的目錄中查找這些檔案。未找到的檔案，将在BMAPDIR環境變量說明的目錄中查找。接下來是用于真正和有效UID的~/.nmap 或Nmap可執行代碼的位置(僅Win32)；然後是是編譯位置，如/usr/local/share/nmap 或/usr/share/nmap。 Nmap查找的最後一個位置是目前目錄

4） --send-eth：使用原以太網幀發送

5） --send-ip：在原IP層發送

6） --privileged：假定使用者具有全部權限

7） --interactive：在互動模式下啟動

8） -V; --version：列印版本資訊

9） -h; --help：列印一個短的幫助螢幕

運作時的互動

1） v/V：增加/減少細節

2） d/D：提高/降低調試級别

3） p/P：打開/關閉封包跟蹤

NSE腳本引擎(NmapScripting Engine)

1）允許使用者自己編寫腳本來執行自動化的操作或者擴充Nmap的功能；使用Lua腳本語言

2）建立方法

a) description 字段：描述腳本功能的字元串，使用雙層方括号表示

b) comment 字段：以--開頭的行，描述腳本輸出格式

c) author 字段：描述腳本作者

d) license 字段：描述腳本使用許可證，通常配置為Nmap 相同的license

e) categories 字段：描述腳本所屬的類别，以對腳本的調用進行管理。描述腳本執行的規則，也就是确定觸發腳本執行的條件。在 Nmap 中有四種類型的規則，prerule 用于在Nmap 沒有執行掃描之前觸發腳本執行，這類腳本并不需用到任何Nmap 掃描的結果；hostrule 用在Nmap 執行完畢主機發現後觸發的腳本，根據主機發現的結果來觸發該類腳本；portrule 用于Nmap 執行端口掃描或版本偵測時觸發的腳本，例如檢測到某個端口時觸發某個腳本執行以完成更詳細的偵查。postrule 用于Nmap 執行完畢所有的掃描後，通常用于掃描結果的資料提取和整理。在上述執行個體中，隻有一個portrule，說明該腳本在執行端口掃描後，若檢測到TCP 13 号端口開放，那麼觸發該腳本的執行。

f) action 字段：腳本執行的具體内容。當腳本通過 rule 字段的檢查被觸發執行時，就會調用action 字段定義的函數。

3）用法

a) –sC：使用預設類别的腳本進行掃描

b) –script=<Lua scripts>：使用某個或某類腳本進行掃描，支援通配符描述

c) –script-args=<n1=v1, [n2=v2,…]>：為腳本提供預設參數

d) –script-args-file=filename：使用檔案夾為腳本提供參數

e) –script-trace：顯示腳本執行過程中發送與接收的資料

f) –script-updatedb：更新腳本資料庫

g) –script-help=<Luascripts>：顯示腳本的幫助資訊

後話

1） Namp的圖形化使用者界面程式：Zenmap

2） Nmap掃描的挑戰

a) 選取要掃描的IP：網絡上有大量的IP位址，需要targeted scans而不是giant scan

b) 防火牆：防火牆内部網絡與外部網絡的不同，繞過防火牆有一定難度

c) 效率和準确性

3） TCP主機發現，十個最常用的端口：80/http，25/smtp，22/ssh，443/https，21/ftp，113/auth，23/telnet，53/domain，554/rtsp，3389/ms-term-server

4） TCP端口掃描，十個最常用的端口：80/http，23/telnet，22/ssh，443/https，3389/ms-term-serv，445/microsoft-ds，139/netbios-ssn，21/ftp，135/msrpc，25/smtp

5） UDP端口掃描，十個最常用的端口：137/netbios-ns，161/snmp，1434/ms-sql-m，123/ntp，138/netbios-dgm，445/microfost-ds，135/msrpc，67/dhcps，139/netbios-ssn，53/domain

6）阻止nmap掃描的幾種過濾機制，進而nmap掃不到tcp端口和作業系統的版本号，但80端口仍然可以提供好的http服務

a) iptables –F

b) iptables -AINPUT -p tcp –tcp-flags ALL FIN,URG,PSH -j Drop

c) iptables -AINPUT -p tcp –tcp-flags SYN,RST SYN,RST -j Drop

d) iptables -A INPUT-p tcp –tcp-flags SYN,FIN SYN,FIN -j Drop

e) iptables -AINPUT -p tcp –tcp-flags SyN SYN –dport 80 -j Drop

針對其他的掃描如UDP掃描，也應該可以設定相應的過濾機制