Nmap — Guia de Referência Completo

O Nmap é o canivete suíço da descoberta de redes. Se és sysadmin, DevOps, ou segurança, vais usá-lo mais vezes do que qualquer outra ferramenta de network. E com a NSE (Nmap Scripting Engine), as possibilidades são infinitas.

Quando comecei a trabalhar com redes, o Nmap era "aquele comando que faz scan a portas". Usava nmap -sT 192.168.1.1 e pronto. Mal sabia que estava a usar um dos modos mais ruidosos e lentos possíveis.

Com o tempo, aprendi a diferença entre -sS e -sT, descobri os scripts NSE que automatizam a deteção de vulnerabilidades, e aprendi a contornar firewalls sem fazer barulho. O Nmap não é uma ferramenta: é um ecossistema.

Este artigo serve como guia de referência rápido. Vou direto ao que interessa: tipos de scan, exemplos práticos, NSE, evasão e performance.

⬆ Scan Nmap com deteção de SO, versões de serviço e scripts NSE

Tipos de scan: tabela de referência

Dica: 90% dos meus scans usam -sS (SYN). É rápido, furtivo e fiável. Apenas mudo para -sT quando não tenho privilégios de root ou quando quero ser propositadamente detetado (testes de IDS).

Scans básicos no dia-a-dia

# Scan básico de portas (1000 portas mais comuns)
nmap 192.168.1.1

# SYN scan + versões + SO + scripts default (o pacote completo)
sudo nmap -sS -sV -O -sC 192.168.1.1

# Varrimento de uma rede inteira (/24) só a descobrir hosts
nmap -sn 192.168.1.0/24

# Portas específicas
nmap -p 22,80,443,8080 192.168.1.1

# Range de portas
nmap -p 1-1000 192.168.1.1

# Todas as portas (65535) — muito lento, mas completo
nmap -p- 192.168.1.1

Output formats: -on, -ox, -og, -oa

Guardar o resultado de um scan é essencial para auditoria e automação:

# Guardar nos três formatos de uma vez
sudo nmap -sS -sV -O -oA scan_servidor 192.168.1.1

# Extrair IPs com portas abertas do grepable
grep "/open/" scan_servidor.gnmap | awk '{print $2}'

NSE scripts: o poder do Nmap

A Nmap Scripting Engine (NSE) é o que separa o Nmap de qualquer outra ferramenta. São scripts em Lua que automatizam tarefas de deteção, exploração e pós-exploração.

Categorias principais

# Correr scripts safe automaticamente (-sC é atalho para --script=default)
nmap -sC 192.168.1.1

# Script específico
nmap --script http-headers 192.168.1.1

# Múltiplos scripts
nmap --script http-title,http-headers,ssl-enum-ciphers 192.168.1.1

# Scripts de vulnerabilidade para SMB (EternalBlue)
nmap -p 445 --script smb-vuln-* 192.168.1.1

# Correr scripts com argumentos
nmap --script http-brute --script-args userdb=users.txt,passdb=pass.txt 192.168.1.1

# Listar todos os scripts instalados
ls /usr/share/nmap/scripts/ | head -20

⬆ NSE a detetar vulnerabilidades: do Heartbleed ao EternalBlue

Evasão de firewall

Quando o alvo tem firewall, o Nmap tem truques na manga:

# Fragmentação — parte os pacotes para evitar deteção
sudo nmap -sS -f 192.168.1.1

# MTU personalizado (tem de ser múltiplo de 8)
sudo nmap -sS --mtu 32 192.168.1.1

# Decoy — esconde o teu IP entre IPs falsos
sudo nmap -sS -D decoy1.com,decoy2.com,ME 192.168.1.1

# Spoof de porta de origem
sudo nmap -sS -g 53 192.168.1.1

# Timing — mais lento = menos detetável
sudo nmap -sS -T paranoid 192.168.1.1

# Scan através de um proxy SOCKS
nmap --proxies socks4://127.0.0.1:9050 192.168.1.1

Atenção: O decoy -D só funciona com -sS (SYN scan) e com -sT (TCP connect). Não funciona com -sV, -O ou --traceroute. O scan demora mais porque cada IP falso também gera tráfego.

Performance: acelera os teus scans

# Scan agressivo para rede local (cuidado com IDS/IPS)
sudo nmap -sS --min-rate 5000 --max-retries 2 -T insane 192.168.1.0/24

# Scan equilibrado para servidor remoto
sudo nmap -sS -sV --min-rate 500 --max-retries 3 -T normal servidor.exemplo.pt

# Scan completo com timeout por host
sudo nmap -sS -p- --host-timeout 10m servidor.exemplo.pt

Comandos úteis do dia-a-dia

# Detetar servidores com porta 22 aberta na rede local
nmap -p 22 --open 192.168.1.0/24

# Detetar servidores web (porta 80 ou 443)
nmap -p 80,443 --open -oG - 192.168.1.0/24 | grep "/open/"

# Scan + exportar para XML (para importar no Metasploit)
sudo nmap -sS -sV -O -oX scan.xml 192.168.1.1

# Comparar dois scans (ver o que mudou)
nmap --resume scan_anterior.gnmap

# Scan de IPv6
nmap -6 -sS 2001:db8::1

Timing templates (-t)

Recapitulando

• -sS para 90% dos scans: SYN scan, rápido e furtivo
• -sV + -O para deteção de versões e SO
• -oA para guardar resultados nos 3 formatos
• NSE scripts com --script: do safe ao vuln
• Evasão: -f, -D, -g, -T0
• Performance: --min-rate, --max-retries

O Nmap é uma ferramenta que quanto mais usas, mais descobres. Começa com o básico, explora os scripts NSE, e com o tempo vais construir o teu próprio repertório de scans para cada situação.

Experimenta correr nmap --script-updatedb para teres a base de dados de scripts mais recente, e depois explora a categoria vuln nos teus servidores.

Recursos adicionais

• Documentação oficial Nmap
• NSE: Nmap Scripting Engine
• NSE Documentation Portal: todos os scripts
• Nmap XML DTD
• Performance and Timing