端口扫描是网络管理员与攻击者共同依赖的一项基础技术。从字面理解，端口扫描似乎只是"把目标主机的端口逐个试一遍"，但软考命题所考察的从来不是这个字面含义，而是隐藏在扫描动作背后的传输层协议行为。要给出精准定义，需要先厘清三个层次的概念：端口是什么，端口状态有几种，扫描行为的本质是什么。
端口是传输层协议为区分不同应用进程而设立的编号机制。TCP与UDP各自拥有独立的端口号空间，取值范围从零到六万五千五百三十五。其中零到一千零二十三被称作知名端口，由互联网号码分配机构统一管理，例如超文本传输协议对应的八零端口、安全外壳协议对应的二二端口；一千零二十四到四万九千一百五十一为注册端口；其余为动态端口或私有端口。主机上运行的服务通过绑定特定端口对外提供访问能力，因此端口号的开放与否直接反映了主机上运行着哪些服务。对攻击者而言，端口信息是确定攻击面的第一手情报；对管理员而言，端口信息是核查服务暴露面的基本依据。这正是端口扫描存在的价值前提。
端口状态是扫描技术全部判定的落脚点。业界通用的端口状态分类来源于著名扫描工具的网络探测模型，共分六种：开放状态指端口上有服务在监听并响应连接请求；关闭状态指主机可达但端口上没有服务监听；过滤状态指探测报文被防火墙或路由器丢弃，既收不到服务响应也收不到主机回执；未过滤状态指报文可达端口但无法判断开放或关闭；开放过滤状态指开放与过滤无法区分，常见于无响应类型的探测；关闭过滤状态指关闭与过滤无法区分。软考题目中频繁出现的是前三种状态的判定，而判定依据恰恰是各类扫描报文触发的协议栈响应差异。
扫描行为的本质是构造特定标志位的探测报文并观察响应规律。每一个端口状态判定都对应着传输层协议栈的一条具体处理规则，扫描技术实质上是对这些规则的工程化利用。例如传输控制协议规范文档明确规定：如果连接不存在，除复位标志置位的报文外，任何到达关闭端口的报文段都应触发复位响应；而到达开放端口的报文段若不能匹配已有连接，则直接被丢弃。这些规则本是为保证连接管理的严谨性而设计的，却恰好成为扫描技术判定端口状态的可靠依据。理解了这一点，就能明白端口扫描的教科书定义：通过向目标主机的若干端口发送经过精心构造的探测报文，根据返回响应的有无与类型推断端口开放状态的技术过程。软考对端口扫描的考察，考的正是考生对这套协议栈规则的理解程度，而非对某款工具菜单的记忆。
要理解各类扫描技术，必须先掌握三次握手过程中开放端口与关闭端口的响应差异，这是所有基于传输控制协议的扫描技术的判定基线。三次握手的完整过程是：客户端发送同步标志置位且不含确认标志的报文段，携带初始序列号，请求建立连接；若端口开放，服务端返回同步与确认标志同时置位的报文段，完成第二步；客户端再发送确认标志置位的报文段，连接进入已建立状态。在这个序列中，关键的分岔点出现在第一步之后：端口开放时返回的是同步确认报文，端口关闭时返回的是复位报文，两者在标志位上有着截然不同的特征，扫描技术正是抓住这个分岔点来做判定。
半开扫描的全称是同步扫描，其实现逻辑最为直观：向目标端口发送同步标志置位的探测报文，然后根据返回报文进行判断。收到同步确认报文说明端口开放，扫描方此时发送一个复位报文主动终止连接，避免完成第三次握手；收到复位报文说明端口关闭；若多次重发仍无任何响应，则端口大概率处于过滤状态。这种扫描之所以被称为半开扫描，是因为它刻意不完成三次握手，连接在服务端只会短暂停留于半连接状态。对服务端而言，未完成的连接往往不会进入应用层日志，因此半开扫描具备一定的隐蔽性。同时它速度快、判定准确，是当前使用最广泛的扫描方式。软考题目中一旦出现"发送SYN报文后收到RST应答"的描述，考生应立刻定位到"端口关闭"这一结论。
结束标志扫描的判定逻辑与直觉完全相反，这正是软考命题人最钟爱的考点。根据传输控制协议规范，当一个不含复位标志的报文段到达一个不存在的连接时，如果目标端口处于关闭状态，协议栈必须回复复位报文；如果目标端口处于开放状态，协议栈则静默丢弃该报文，不做任何响应。也就是说，结束标志探测报文打到关闭端口会收到复位，打到开放端口反而石沉大海。这一规则最初是为了避免陈旧报文段对已建立连接的干扰而设计的，却在扫描技术中产生了判定的反转效应：收到复位说明端口关闭，收不到任何响应说明端口开放。
为什么开放端口要丢弃结束标志报文？这要从连接的半关闭机制说起。传输控制协议支持单方向关闭连接，连接的一端发送结束标志报文段后，本方向的数据传输终止，但对方仍可继续发送数据。此时连接处于半关闭状态，而协议栈在收到不属于任何已有连接或处于异常状态的报文段时，为避免产生虚假的复位风暴，选择了静默丢弃。这一设计保证了复杂网络环境下的连接稳定性，却也把开放端口的"沉默"变成了一种可被利用的信号。真题中常见的提问方式是：发送结束标志置位的传输控制协议报文后，目标主机丢弃不回复，说明目标主机状态如何？正确答案是目标主机活动且该端口开放。大量考生按照"有响应说明有东西"的直觉作答，恰恰落入陷阱。
在结束标志扫描的基础上，扫描技术进一步衍生出空标志扫描与圣诞树扫描两个变体，三者合称隐蔽扫描族。空标志扫描发送不设置任何标志位的报文段，相当于一个协议栈眼里的"怪胎报文"；圣诞树扫描则相反，把结束、推送、紧急三个标志位同时置位，如同圣诞树上挂满彩灯。两者的判定逻辑与结束标志扫描完全一致：关闭端口回复复位，开放端口静默丢弃。软考对这两个变体的考察相对较少，但一旦出现，考生只需记住它们与结束标志扫描共用同一套判定规则即可，不必重新推导。
这一族扫描的真正意义在于穿透简单的包过滤设备。早期的防火墙规则往往只检查同步标志置位的报文，对不含同步标志的报文一律放行，这给隐蔽扫描族留下了绕过空间。但必须指出的是，这种绕过能力在现代状态检测防火墙面前已经大幅失效，命题人也不会引导考生得出"隐蔽扫描无所不能"的错误结论。正确的理解是：隐蔽扫描的价值在于其探测报文不属于正常连接建立流程，因此在目标主机的应用层日志中几乎不留痕迹，而非万能地绕过一切防护。
用户数据报协议是无连接的，不存在三次握手，也没有复位报文一说，这让基于用户数据报协议的扫描变得暧昧不清。其判定规则是：向目标端口发送用户数据报协议数据报，若端口关闭，主机协议栈回复网际控制报文协议的端口不可达报文；若端口开放，服务端可能回复应用层数据，也可能完全静默。于是出现了扫描技术中最令人头疼的悖论：有响应反而是坏消息，无响应反而可能是好消息，但无响应也可能仅仅是因为探测报文被过滤或者不可达报文被限速。
用户数据报协议扫描的准确性受制于网际控制报文协议的速率限制机制。主流操作系统普遍对不可达报文的发送频率做了限制，一旦超过阈值便停止回复，这会导致关闭端口也表现为沉默，与开放端口无从区分。因此用户数据报协议扫描的结论往往只能落在"开放或过滤"的模糊区间，软考题目若涉及此点，正确选项通常强调其不确定性。这一特性也使它在扫描谱系中处于效率最低、结果最含糊的位置，命题人常常用它来测试考生对扫描技术局限性的认知。
全连接扫描通过完整地走完三次握手来判定端口状态。客户端调用系统的连接函数向目标端口发起连接，成功建立连接说明端口开放，收到复位或连接超时说明端口关闭。其优点显而易见：实现简单，任何平台都支持，不需要构造原始报文，普通应用程序就能完成；判定结果绝对可靠，因为连接建立是应用层可感知的确定事件。缺点同样突出：三次握手必然在目标主机的系统日志与应用日志中留下完整记录，且大量半途建立的连接会消耗目标资源。对于扫描者而言，全连接扫描等同于在监控摄像头下光明正大地试门锁，任何一个称职的管理员都会在日志中发现它。正因如此，全连接扫描在实际攻防中更多用于网络
本篇完！