Using NMAP Like a Red Team Operator (OPSEC Matters!)

• 1

  被動優先降低風險：使用 Shodan、DNS Dumpster、SSL 憑證查詢等工具進行被動偵察，往往能直接獲得開放端口和服務版本，完全避免主動掃描暴露自己的行為。

• 2

  住宅代理隱藏來源：建立 SSH 隧道到 VPS，再透過住宅代理伺服器（如 webshare.io、brightdata.com）轉發掃描流量，讓目標記錄的是普通家庭 IP 而非雲伺服器 IP，住宅流量通常不會被阻止。

• 3

  特徵混淆破壞簽名：Nmap 掃描有獨特特徵，透過 --data-length 添加隨機資料、--ttl 偽裝 OS（Linux/Mac 64、Windows 128）、自訂 User-Agent 字串，讓掃描看起來像正常流量。

• 4

  時機控制減少檢測：使用 -T0 至 -T2 大幅降低掃描速度（T0 約 8 小時掃 100 端口）、--scan-delay 精確設定延遲、只掃描必要端口、跳過 DNS 和 ICMP，全面降低噪音和被偵測風險。

• 被動偵察工具
• Shodan：查詢開放端口、服務版本、漏洞信息
• DNS Dumpster：查詢 DNS 記錄歷史
• SSL 憑證查詢：可能洩露真實 IP
• useragents.io：獲取最新 User-Agent 字串
• 住宅代理服務
• webshare.io（10 個免費代理、付費後增加配額）
• brightdata.com（提供住宅代理服務）
• 代理埠：3128（Squid 標準埠）
• Nmap 關鍵選項
• `-n`：跳過 DNS 解析（防止 DNS 洩露）
• `-Pn`：跳過 ping/主機發現（ICMP 與 proxychains 不相容）
• `-p 445,8080`：指定掃描端口（只掃必要端口）
• `-sT`：TCP 連線掃描（proxychains 必須用此模式）
• `-sV`：服務版本枚舉（會增加噪音）
• `-T0` 至 `-T5`：計時選項（T0 最慢約 5 分鐘/包）
• `--scan-delay 55s`：設定掃描延遲（可客製化 300s、5300s 等）
• `--data-length 24`：添加隨機資料破壞簽名
• `--ttl 64`（Linux/Mac）或 `128`（Windows）：偽裝 TTL
• `--script-args http.user-agent="[字串]"`：自訂 User-Agent
• Proxychains 配置
• 配置檔：`/etc/proxychains4.conf`
• SSH 動態 SOCKS：`ssh -N -D 127.0.0.1:1080 root@VPS_IP`
• 代理埠：1080（標準 SOCKS 埠）
• 掃描命令：`proxychains nmap [選項] [目標]`
• 驗證工具
• Wireshark：抓包確認掃描來源 IP 是否成功偽裝
• 規避 WAF/防火牆的額外手段
• 查詢郵件頭：透過忘記密碼、聯絡我們頁面獲取真實 IP
• DNS 歷史記錄：使用 DNS Dumpster 發現舊 DNS 記錄中的真實 IP
• SSL 憑證查詢：檢查是否有憑證綁定到真實 IP（不只是 WAF IP）
• JA3 欺騙工具：針對 SSL 握手特徵進行混淆
• 逐個端口探測：速度緩慢但隱蔽性最高

“紅隊掃描的核心是在每一步都思考行動安全：優先使用被動工具，再用代理和住宅 IP 隱藏來源，最後透過特徵混淆和時機控制降低檢測風險，才能在真實環境中保持隱蔽。”