我在虚拟机中，使用nmap -sn 192.168.1.0/24，同时用wireshark抓包，-sn应该是ping吧，然而wireshark里是arp广播。
然后使用了nmap -PS 192.168.1.0/24，我看资料这里应该是用tcp syn进行扫描，但在wireshark里，先进行了arp广播，然后再进行了tcp扫描（这里的扫描并非广播，而是目的地址是arp广播的结果）
于是，我有如下的问题：
1.扫描存活主机，为什么都会先使用arp扫描？不可直接tcp yn扫描吗？
2.实际中，如果要去入侵人家防火墙，nids配置都比较完备的，都是用这些网上都能找到的工具来先进行扫描的吗？还是有什么秘密的，不在网上流传的工具？
3.求推荐国内比较大，有较多参考资料的黑客论坛。
4.再多问句，为什么同一局域网内的报文都能接收？总线型，环形我就知道原因，但是星形就想不明白。另外交换机，采用自学习(好像是这么叫？）就是收到的布置发往哪个端口的报文就广播，但是知道那个端口的好像不会广播的吧，这在局域网内怎么能使所有的报文都会发往本机？
