Nmap -sn: ¿escaneo o no escaneo?

La nmappágina del manual tiene esto que decir sobre el -snparámetro:

-sn (No port scan) .
    This option tells Nmap not to do a port scan after host
    discovery, and only print out the available hosts that
    responded to the scan.

La primera mitad de la oración menciona que no hay exploración, pero la segunda mitad dice que hay una exploración. ¿Existe un tipo diferente de escaneo que un escaneo de puertos al que se refiere la segunda mitad? ¿Una exploración de descubrimiento de host tal vez (adivinando lo poco que sé nmap)?

Tienes razón en que la documentación está mal redactada. -snsignifica "omitir la fase de escaneo de puertos", y anteriormente estaba disponible como -sP, con el mnemónico "escaneo de ping".

Los escaneos de Nmap ocurren en fases . Estos son:

1. Resolución de nombre
2. Fase de preescaneo de script NSE
3. Detección de host (exploración "ping", pero no necesariamente solicitud de eco ICMP)
4. Resolución de nombre inverso en paralelo
5. Escaneo de puerto o protocolo
6. Servicio de detección de versiones
7. Huella digital del sistema operativo
8. Traceroute
9. NSE portrule y fase de escaneo de script hostrule
10. Fase posterior al escaneo NSE

Tenga en cuenta que no todas estas fases se ejecutan en cada exploración, según los argumentos. Este escaneo:

nmap -sn scanme.nmap.org

ejecutará las fases 1, 3 y 4.

EDITAR: corrigí la documentación a la que se refirió en r33790:

Esta opción le dice a Nmap que no realice un escaneo de puertos después del descubrimiento de host, y solo imprima los hosts disponibles que respondieron a las sondas de descubrimiento de host .

En su modo estándar, nmap realiza dos tipos diferentes de escaneo: un escaneo de host, para determinar qué hosts están disponibles para escanear más puertos, y un escaneo de puertos, que revela el estado de los puertos en las máquinas disponibles. -snno escanea el puerto, pero sí escanea el host; esto es particularmente útil cuando escanea un rango con nmap, donde imprimirá los hosts que respondieron al escaneo (que podría, por ejemplo, revelar algunos de los hosts disponibles en cierta subred).

Por ejemplo:

$ nmap -sn 192.168.0.0/24

Starting Nmap 6.40 ( http://nmap.org ) at 2013-08-23 17:54 CEST
Nmap scan report for 192.168.0.11
Host is up (0.051s latency).
Nmap scan report for 192.168.0.37
Host is up (0.063s latency).
Nmap scan report for 192.168.0.65
Host is up (0.016s latency).
Nmap scan report for 192.168.0.85
Host is up (0.00090s latency).
Nmap scan report for 192.168.0.149
Host is up (0.024s latency).
Nmap scan report for 192.168.0.202
Host is up (0.021s latency).
Nmap scan report for 192.168.0.253
Host is up (0.042s latency).
Nmap done: 256 IP addresses (7 hosts up) scanned in 22.26 seconds

Sí, -snes un escaneo de ping para el descubrimiento de host, y no realiza ningún escaneo de puertos detallado (qué puertos están abiertos en el host). Estos son 2 escaneos diferentes de los que habla la página de manual. Tu interpretación es bastante cercana.