Nmap -sn: varredura ou sem varredura?

A nmappágina de manual tem a dizer sobre o -snparâmetro:

-sn (No port scan) .
    This option tells Nmap not to do a port scan after host
    discovery, and only print out the available hosts that
    responded to the scan.

A primeira metade da frase menciona que não há verificação, mas a segunda metade diz que há uma verificação. Existe um tipo diferente de varredura que uma varredura de porta à qual a segunda metade está se referindo? Uma varredura de descoberta de host, talvez (adivinhando pelo pouco que eu sei nmap)?

Você está certo que a documentação está mal formulada. -snsignifica "pular a fase de verificação da porta" e estava disponível anteriormente como -sP, com o mnemônico "Ping scan".

As verificações do Nmap ocorrem em fases . Esses são:

1. Resolução de nomes
2. Fase de pré-verificação do script NSE
3. Descoberta de host (verificação "ping", mas não necessariamente solicitação de eco ICMP)
4. Resolução paralela de nomes reversos
5. Varredura de porta ou protocolo
6. Detecção de versão de serviço
7. Impressão digital do SO
8. Traceroute
9. Portrule NSE e fase de varredura de script hostrule
10. Fase de pós-varredura do NSE

Observe que nem todas essas fases são executadas em todas as varreduras, dependendo dos argumentos. Essa verificação:

nmap -sn scanme.nmap.org

executará as fases 1, 3 e 4.

EDIT: Corrigi a documentação que você mencionou na r33790:

Essa opção informa ao Nmap para não fazer uma varredura de porta após a descoberta do host e imprimir apenas os hosts disponíveis que responderam aos testes de descoberta do host .

Em seu modo padrão, o nmap faz dois tipos diferentes de varredura: uma varredura de host, para determinar quais hosts estão disponíveis para varredura adicional de porta, e uma varredura de porta, que revela o status das portas nas máquinas disponíveis. -snnão faz varredura de porta, mas faz uma varredura de host - isso é particularmente útil ao varrer um intervalo com o nmap, onde imprimirá os hosts que responderam à varredura (que poderiam, por exemplo, revelar alguns dos hosts disponíveis no uma certa sub-rede).

Por exemplo:

$ nmap -sn 192.168.0.0/24

Starting Nmap 6.40 ( http://nmap.org ) at 2013-08-23 17:54 CEST
Nmap scan report for 192.168.0.11
Host is up (0.051s latency).
Nmap scan report for 192.168.0.37
Host is up (0.063s latency).
Nmap scan report for 192.168.0.65
Host is up (0.016s latency).
Nmap scan report for 192.168.0.85
Host is up (0.00090s latency).
Nmap scan report for 192.168.0.149
Host is up (0.024s latency).
Nmap scan report for 192.168.0.202
Host is up (0.021s latency).
Nmap scan report for 192.168.0.253
Host is up (0.042s latency).
Nmap done: 256 IP addresses (7 hosts up) scanned in 22.26 seconds

Sim, -sné uma verificação de ping para descoberta de host e não faz nenhuma verificação de porta detalhada (quais portas estão abertas no host). Essas são duas varreduras diferentes das quais a página de manual está falando. Sua interpretação é bem próxima.