练气期·第一重 — 神识探查术（Nmap 原理）
场景设定
诸位道友（学生）刚踏入信息安全修真界，手中只有一柄“网路灵剑”（本地终端）。想要探知远处服务器的灵脉（端口）、功法（服务），必须习得《大衍网络探查术》——也就是 Nmap 的核心原理。
🌟 1. 为什么要学 Nmap？
- 情报为王：正如修仙先探灵气脉动，渗透测试第一步就是端口枚举和服务识别。
- 全局视野：Nmap 能一次性“放出神识”，扫遍 65 535 个穴位（端口），标记哪些灵脉畅通、哪些被禁。
- 进阶基石：后续漏洞扫描、权限提升、SOC 监控，全依赖这张“经脉图”打底。
🗺️ 2. 神识探查的四个境界
| 修炼境界 | Nmap 行为 | 现实比喻 |
|---|---|---|
| 凡人探路 | ping 扫描 | 拿竹竿试深浅 |
| 入门灵感 | TCP Connect 扫描 | 正面问门卫：能进吗？ |
| 匿息潜行 | TCP SYN 扫描 | 只递门票一角就撤，探测是否被接收（半开握手） |
| 幽影探光 | UDP 探针 | 放出灵符，若对方无回应，则可能有阵法（过滤） |
口诀：“SYN 半握探生门，ACK 确定防火墙，UDP 静默判有无。”
🔁 3. 三次握手 = 三步聚灵
- SYN —— “道友在否？”（客户端发起）
- SYN-ACK —— “在，下榻可。”（服务器回应）
- ACK —— “那我进了！”（客户端确认）
若服务器无应，可能是：
- RST：直接拒绝（门卫把你赶走）
- Filtered：啥也不回（护山大阵吸收灵气）
🔒 4. 防火墙与“护山大阵”
- 状态防火墙：记录 SYN→ACK→ACK 流程；若少了环节会被当妖修踢走。
- IPS/IDS：像宗门长老，监视异常灵压（端口暴力扫）。
- 旁路策略：道友可调慢扫速（
-T2），或用分布式探测（多 IP），降低灵压波动。
🪄 5. Nmap 模块化“法术书”
- 端口发现：选择 SYN、ACK、UDP、FIN、NULL 等“灵识符号”探测开关。
- 版本探测（-sV）：对开放端口施放“小型占卜术”获取服务 banner。
- OS 检测（-O）：根据 TCP 字段指纹推算目标修为（操作系统）。
- 脚本引擎 NSE：内置 600+ “术法卷轴”，可用
--script vuln直接测洞。
丹言妙语（Daniel Style）
“Nmap 就像网络界的《哈利·波特活点地图》：悄悄念咒语（命令），所有偷跑的端口都会闪烁小脚丫！”
📝 6. 课堂互动建议
- 白板绘制 “TCP/IP→灵脉图”，用不同颜色画 SYN、ACK 流向。
- 抓包演示：Wireshark 打开“三次握手”过滤器 (
tcp.flags.syn==1 && tcp.flags.ack==0) ，让学生看到“灵气波动”。 - 分组对抗：一组搭建简单 Python HTTP 服务，另一组用
nmap -sS探测端口并解释每个返回状态。
练气期毕： 完成以上内容，道友们已能“放出神识”，窥探目标端口灵动。下阶段 筑基期 将修炼具体 Nmap 命令法诀，敬请期待！
在练气期的课堂里，老师要把「抽象的三次握手」变成学生能摸得着的“灵气波动”。下面把 3 个互动环节拆成详细教案：材料准备、演示步骤、提问点与常见坑，方便你直接照搬。
⸻
- 白板绘制「TCP/IP → 灵脉图」
环节 教学指令 备注 & 彩蛋
准备 白板 1 块 + 3 支彩色笔（推荐🔴=SYN、🟢=SYN-ACK、🔵=ACK）。 “灵气三色笔，一笔一重天！”
步骤 1. 画四层同心圆：链路→互联网→传输→应用。2. 在传输层画两条箭头： 🔴客户端 → 服务器（SYN） 🟢服务器 → 客户端（SYN-ACK） 🔵客户端 → 服务器（ACK）   用房屋比喻：链路=地基，互联网=街道，传输=公交系统，应用=商铺。
互动提问 - “如果🔴出去却没收到🟢，可能遇到哪两种结界？” → 期待学生答 RST / Filtered   - “UDP 为什么只有一条箭头？” → 强调无连接、无确认 
易错点 忘记说明 RST 属于 TCP 控制报文 → 可用「门卫直接摔门」形容。
⸻
- Wireshark 抓包演示「灵气波动」
环节 教学指令 备注 & 彩蛋
准备 - Wireshark 已安装- 任意浏览器开 http://example.com 触发 TCP 连接
过滤器 tcp.flags.syn1 && tcp.flags.ack0 —— 仅显示纯 SYN 包  
步骤 1. 先按域名抓一段流量。2. 应用过滤器，屏幕只剩红色 SYN「灵气点」。3. 取消 ack==0，再看 SYN-ACK 蓝绿相间“灵气回波”。
讲解 - 把 Sequence Number 称作“灵气起始点”。- Window Size 可比作“真气容器容量”。
师生互动 让学生回答：① 为什么有时只看到🔴不见🟢？(可能被防火墙丢包)② SYN 里的 MSS 字段对应什么？(最大报文段)
常见坑 在公司网抓不到包？大概率 HTTPS+HSTS 出站 → 建议演示 curl http://neverssl.com。
⸻
- 分组对抗：Python HTTP 服-vs-Nmap 侦察
3.1 服务端组（筑炉护山）
进入任意空目录
python3 -m http.server 8000
若需绑定内网地址:
python3 -m http.server 8000 --bind 0.0.0.0 # Docs: Python documentation
显式声明端口 8000，方便学生观察。
3.2 侦察组（放神识探阵）
sudo nmap -sS -p 1-10000 -sV 192.168.56.101 # 改成实际 IP
• -sS：SYN 匿息术 
• -sV：服务切脉，应该显示 Python http.server 
• 若端口返回：
• open：穴位畅通，灵气流转 
• closed：门已锁，无法进气
• filtered：护山大阵吞包
• open|filtered：Nmap 分不清（UDP/NULL/FIN 才常见） 
3.3 课堂挑战 & 讲评
任务 预期结果 拓展问答
找出开放端口号 8000 “若换到 8443 并加 TLS，nmap 还能识别协议吗？”
解释四种状态 学生逐个举例 “open
实时抓包验证 Wireshark 过滤三次握手 “为啥只看见三对包？” → HTTP 短连接
Daniel 式吐槽
“如果你把 --scan-delay 设成 5s，Nmap 像老牛拉车，连 Wireshark 都着急：‘兄弟，你到底扫不扫？’”
⸻
课堂复盘清单
1. 学生能复述三次握手并在白板标注方向。
2. 能写出 tcp.flags.syn1 && tcp.flags.ack0 过滤器。
3. 能解释 Nmap 四种常见端口状态并给出示例。
4. 两组同学互换角色后仍能独立完成搭建与扫描。
完成以上互动即视为练气期圆满，可进入筑基期命令连招深造！
displaying-all-tcp-connections-with-syn-packets tcp-3-way-handshake-process man-port-scanning-basics Super User medium-using-nmap ask.wireshark.org Python documentation python3_https_server.py network-programming-python-http-server python3_https_server.py
