Cheatsheet Nmap 2026

100+ comandos Nmap de lo básico a lo avanzado. Descubrimiento de hosts, tipos de escaneo, scripts NSE, evasión de firewalls, formatos de salida — la única referencia Nmap que necesitas.

Última actualización:

Navegación rápida

01 Descubrimiento de hosts 02 Tipos de escaneo 03 Especificación de puertos 04 Servicios y versiones 05 Detección de OS 06 Scripts NSE 07 Evasión de firewall 08 Timing y rendimiento 09 Formatos de salida 10 Combos reales

# Descubrimiento de hosts

Encontrar hosts activos antes de escanear puertos. Por defecto Nmap envía ARP (local), ICMP echo + TCP SYN 443 + TCP ACK 80 (remoto).

nmap -sn 192.168.1.0/24
Ping sweep — encontrar todos los hosts activos en la subred (sin escaneo de puertos)
nmap -sn -PR 192.168.1.0/24
Descubrimiento solo ARP — más rápido en red local, evita firewalls de host
nmap -sn -PE -PP -PM TARGET
Descubrimiento ICMP: Echo + Timestamp + Address Mask — evita filtros ICMP-echo-only
nmap -sn -PS22,80,443 -PA80,443 TARGET
Descubrimiento TCP SYN+ACK en puertos comunes — funciona cuando ICMP está bloqueado
nmap -Pn TARGET
Omitir descubrimiento — tratar todos los hosts como activos (cuando el ping está bloqueado)
nmap -sL 10.0.0.0/24
List scan — solo resolución DNS inversa, ningún paquete enviado (recon pasivo)

# Tipos de escaneo

Diferentes técnicas de escaneo TCP/UDP. El escaneo SYN es el predeterminado y el más popular.

FlagTipo de escaneoCuándo usarlo
-sSTCP SYN (sigiloso)Predeterminado, rápido, no completa el handshake
-sTTCP ConnectCuando no tienes privilegios de raw socket
-sUUDP ScanDescubrir DNS, SNMP, DHCP, TFTP
-sATCP ACKMapear reglas de firewall (filtrado vs no-filtrado)
-sNTCP NullSin flags — evade algunos firewalls
-sFFIN ScanSolo flag FIN — sigiloso contra algunos IDS
-sXXmas ScanFIN+PSH+URG — técnica de evasión
-sIIdle/Zombie ScanMáxima sigilo — usa un host zombie como proxy
nmap -sS TARGET
Escaneo SYN sigiloso — el tipo de escaneo más común y recomendado (requiere root)
nmap -sU --top-ports 200 TARGET
Escaneo UDP en los 200 puertos más comunes — lento pero esencial (SNMP, DNS, TFTP son UDP)
nmap -sS -sU -p T:1-1000,U:53,111,161,500 TARGET
Escaneo combinado TCP+UDP — escanear TCP top 1000 + puertos UDP específicos simultáneamente
nmap -sI zombie_ip TARGET
Idle scan — escaneo completamente ciego vía host zombie (0 paquetes de tu IP)

# Especificación de puertos

Controlar exactamente qué puertos escanear. Por defecto Nmap escanea los top 1000 puertos.

nmap -p- TARGET
Escanear los 65535 puertos TCP — nunca omitas esto en un pentest
nmap -p 80,443,8080,8443 TARGET
Escanear solo puertos específicos
nmap -p 1-1024 TARGET
Escanear un rango de puertos (todos los puertos privilegiados)
nmap --top-ports 100 TARGET
Escanear solo los 100 puertos más comunes (recon rápida)
nmap -p- --min-rate=1000 TARGET
Escaneo completo a 1000+ paquetes/seg — estrategia de escaneo rápido

# Detección de servicios y versiones

No te conformes con encontrar puertos abiertos — identifica qué corre y qué versión. Crítico para encontrar exploits.

nmap -sV TARGET
Detección de versión — sondear puertos abiertos para identificar servicio y versión
nmap -sV --version-intensity 9 TARGET
Detección máxima — intentar todas las sondas (más lento pero más preciso)
nmap -sC TARGET
Scripts por defecto — equivalente a --script=default (seguro, info útil)
nmap -sC -sV -p 22,80,443 TARGET
El combo clásico: detección de versión + scripts por defecto en puertos específicos
nmap -A TARGET
Escaneo agresivo: -sV + -sC + -O + --traceroute (ruidoso pero completo)

# Detección de OS

Identificar el sistema operativo analizando el comportamiento del stack TCP/IP.

nmap -O TARGET
Detección de OS — necesita al menos 1 puerto abierto + 1 cerrado para ser preciso
nmap -O --osscan-guess TARGET
Estimación agresiva de OS — mostrar la mejor estimación incluso con incertidumbre

# Scripts NSE

El Nmap Scripting Engine es increíblemente poderoso. 600+ scripts para escaneo de vulnerabilidades, fuerza bruta, enumeración y más.

💡 Consejo: Listar todos los scripts disponibles: ls /usr/share/nmap/scripts/ | wc -l

Categorías de scripts

nmap --script=vuln TARGET
Todos los scripts de detección de vulnerabilidades — encuentra CVEs, misconfigs
nmap --script=safe TARGET
Todos los scripts marcados safe — no crashean servicios, no disparan IDS

Scripts más útiles

nmap -p 445 --script=smb-enum-shares,smb-enum-users,smb-os-discovery TARGET
Enumeración SMB — compartidos, usuarios, versión OS
nmap -p 80,443 --script=http-enum,http-headers,http-methods,http-title TARGET
Enumeración HTTP — directorios, headers, métodos permitidos, títulos de páginas
nmap -p 53 --script=dns-zone-transfer --script-args dns-zone-transfer.domain=DOMAIN TARGET
Intento de transferencia de zona DNS
nmap -p 21 --script=ftp-anon,ftp-bounce,ftp-syst TARGET
Enumeración FTP — login anónimo, ataque bounce, info del sistema
nmap -p 443 --script=ssl-enum-ciphers,ssl-cert,ssl-heartbleed TARGET
Auditoría SSL/TLS — suites de cifrado, info certificado, verificación Heartbleed
nmap --script=smb-vuln-ms17-010 -p 445 TARGET
Verificar EternalBlue (MS17-010) — aún se encuentra en la naturaleza

# Evasión de firewall e IDS

Técnicas para evadir firewalls, IDS/IPS y evitar la detección durante los escaneos.

nmap -f TARGET
Fragmentar paquetes — dividir en fragmentos de 8 bytes para evadir inspección
nmap -D RND:10 TARGET
Escaneo con señuelos — generar 10 IPs aleatorias para ocultar tu fuente real
nmap -g 53 TARGET
Puerto fuente 53 — algunos firewalls confían en tráfico del puerto DNS
nmap --data-length 25 TARGET
Agregar datos aleatorios — evadir firmas basadas en tamaño de paquetes
nmap --scan-delay 5s TARGET
Esperar 5 segundos entre sondas — evadir detección IDS basada en velocidad
nmap --badsum TARGET
Enviar checksums erróneos — hosts reales rechazan, firewalls/proxies pueden responder

# Timing y rendimiento

Controlar la velocidad de escaneo. T0-T1 para sigilo, T3 predeterminado, T4-T5 para velocidad.

FlagTemplateUso
-T0ParanoicoEvasión IDS — 5 min entre sondas
-T1SigilosoEvasión IDS — 15 seg entre sondas
-T2EducadoReducir uso de ancho de banda
-T3NormalPredeterminado — velocidad equilibrada
-T4AgresivoEscaneos rápidos en redes confiables
-T5InsanoLo más rápido — puede perder puertos en redes lentas
nmap -T4 --min-rate=1000 -p- TARGET
Escaneo completo rápido — timing agresivo + mínimo 1000 paquetes/seg
nmap --max-retries 1 TARGET
Máximo 1 retransmisión — más rápido pero podría perder puertos filtrados

# Formatos de salida

Guarda tus resultados. Usa siempre -oA para guardar los 3 formatos a la vez.

nmap -oN scan.txt TARGET
Salida normal — archivo de texto legible
nmap -oX scan.xml TARGET
Salida XML — para parsing, importar en herramientas (Metasploit, etc.)
nmap -oG scan.gnmap TARGET
Salida grepable — fácil de parsear con grep/awk/cut
nmap -oA scan TARGET
Los 3 formatos a la vez — crea scan.nmap, scan.xml, scan.gnmap
nmap -v --reason TARGET
Verbose + reason — mostrar por qué cada puerto está abierto/cerrado/filtrado

# Combos reales

Combinaciones listas para copiar y pegar para escenarios comunes de pentest.

💡 Workflow pro: Paso 1: Descubrimiento rápido de puertos. Paso 2: Escaneo profundo dirigido solo a los puertos abiertos.

Recon inicial (Pentest / OSCP)

nmap -p- --min-rate=1000 -T4 TARGET -oN allports.txt
Paso 1: Escaneo completo de puertos rápido
nmap -p OPEN_PORTS -sC -sV -oA detailed TARGET
Paso 2: Escaneo profundo solo en puertos descubiertos (scripts + versión)

Auditoría servidor web

nmap -p 80,443,8080,8443 -sV --script="http-*" TARGET
Enumeración HTTP completa — todos los scripts http-* en puertos web

Active Directory / Controlador de dominio

nmap -p 53,88,135,139,389,445,464,636,3268,3269 -sV -sC TARGET
Escaneo de puertos DC — DNS, Kerberos, RPC, SMB, LDAP, Global Catalog

Escaneo sigiloso

nmap -sS -T1 -f -D RND:5 -g 53 --data-length 25 TARGET
Máximo sigilo: SYN + timing lento + fragmentación + señuelos + puerto fuente 53 + padding

Barrido de red

nmap -sn 10.0.0.0/24 -oG - | grep "Up" | awk '{print $2}' > live_hosts.txt
Descubrir hosts activos y guardar en un archivo
nmap -iL live_hosts.txt -p- --min-rate=1000 -oA full_scan
Escaneo completo de puertos en todos los hosts activos descubiertos

❓ Preguntas frecuentes sobre Nmap

-sS (escaneo SYN) envía un SYN sin completar el handshake — más rápido y sigiloso, requiere root. -sT (TCP Connect) completa el handshake completo y deja registros de conexión en el objetivo. Usa -sS siempre que tengas privilegios root.

Usa nmap -p- TARGET. Para mayor velocidad, añade flags de timing: nmap -p- --min-rate=1000 -T4 TARGET. Suele completarse en menos de 2 minutos en un host receptivo y garantiza no perder servicios en puertos no estándar.

-A activa el modo agresivo: detección de SO (-O), detección de versión (-sV), scripts por defecto (-sC) y traceroute. Completo pero muy ruidoso. Úsalo para CTF y laboratorios — evítalo en auditorías de producción donde importa el sigilo.

Combina -T4 --min-rate=1000 --max-retries=1 para máxima velocidad. En redes grandes, añade --min-parallelism=100. Evita -T5 en redes poco fiables o de alta latencia — puede perder puertos abiertos por timeouts agresivos.

NSE (Nmap Scripting Engine) es un framework basado en Lua con 600+ scripts para detección de vulnerabilidades, enumeración y fuerza bruta. Usa --script=vuln para todos los scripts de vulnerabilidad, --script=safe para scripts no intrusivos, o --script=smb-* para todos los scripts SMB.

Usa nmap -sU TARGET. UDP es mucho más lento que el escaneo TCP. Usa --top-ports 200 para un equilibrio práctico. Nunca omitas UDP — SNMP (161), DNS (53), DHCP (67/68) y TFTP (69) solo funcionan sobre UDP y suelen ser explotables.

Por defecto, nmap realiza un escaneo TCP SYN (-sS con root, -sT sin él) sobre los 1000 puertos más comunes, precedido de descubrimiento de hosts (ICMP echo + TCP SYN 443 + TCP ACK 80). Ejecuta con -v para ver exactamente qué hace nmap en cada paso.

Usa el flag --script=vuln para ejecutar todos los scripts de vulnerabilidad NSE: nmap -sV --script=vuln TARGET. Para CVE específicas, usa scripts dirigidos como --script=smb-vuln-ms17-010 (EternalBlue) o --script=http-shellshock. Ejecuta siempre la detección de versión (-sV) primero para que los scripts NSE tengan datos de versión precisos.

-sV sondea los puertos abiertos y compara las respuestas con más de 11 000 firmas de servicio. La precisión suele ser del 90-95 % para servicios comunes. Usa --version-intensity 9 para sondeo máximo (más lento). Los datos de versión alimentan directamente los scripts NSE y la correlación de vulnerabilidades, inclúyelos siempre en tus escaneos iniciales.

Varias técnicas: -f para fragmentar paquetes, --mtu 24 para fragmentación personalizada, -D RND:10 para añadir IP señuelo, --source-port 53 para falsificar el puerto de origen (DNS suele estar permitido). Para firewalls con estado, -sA (escaneo ACK) mapea las reglas sin activar la detección stateful. Confirma siempre con --reason para ver por qué se determinó cada estado de puerto.

📚 Recursos Relacionados

✨
Informe de pentest asistido por IA

Transforma tus hallazgos en un informe PDF profesional. La IA rellena CVE, CVSS y severidad automáticamente.

Probar gratis →

¿Quieres los 12,020+ comandos?

Esta cheatsheet Nmap es solo una herramienta. Pentest Mindmap organiza 12,020+ comandos en 34 categorías — de recon a post-explotación — con búsqueda instantánea y copia en un clic.

Crear una cuenta gratis →
📎 ¿Te resulta útil esta cheatsheet?