端口掃描在百度百科上的定義是:
端口掃描是指某些別有用心的人發送一組端口掃描消息,試圖以此侵入某台計算機,並了解其提供的計算機網絡服務類型(這些網絡服務均與端口號相關),但是端口掃描不但可以為黑客所利用,同時端口掃描還是網絡安全工作者的必備的利器,通過對端口的掃描,了解網站中出現的漏洞以及端口的開放情況,對網站安全方面有着不可或缺的貢獻,是你學習網絡安全的第一門課程的首選
目前在市面上主要的端口掃描工具是X_Scan、SuperScan、nmap,其中在這里主推的是nmap,因為nmap具有以下的這一些優點:
1、多種多樣的參數,豐富的腳本庫,滿足用戶的個人定制需求,其中腳本庫還提供了很多強大的功能任你選擇
2、強大的可移植性,基本上能在所有的主流系統上運行,而且代碼是開源的
3、詳細的文檔說明,和強大的社區團隊進行支持,方面新人上手
Nmap是一款開源免費的網絡發現(Network Discovery)和安全審計(Security Auditing)工具,但是nmap也是有一些缺點的,比如說上手較難,但是難上手是相對的,與其他達到這種功能性的軟件產品相比,還是比較容易上手的,但是這也不妨礙nmap成為世界千萬安全專家列為必備的工具之一,在其中的一些影視作品中《黑客帝國2》、《特警判官》中都有亮相
廢話不多說,開始今天的nmap學習:
nmap的安裝:直接從百度上下載,然后安裝的步驟跟其他的軟件一樣,最后確認安裝成功只需要在命令行中輸入nmap回車,有相關的參數輸出即為安裝成功,安裝的具體步驟可以查看:http://jingyan.baidu.com/article/5bbb5a1b1e0a7713eba179cb.html,在此就不多說了
Nmap包含四項基本功能:
- 主機發現(Host Discovery)
- 端口掃描(Port Scanning)
- 版本偵測(Version Detection)
- 操作系統偵測(Operating System Detection)
下面就從主機發現一步一步進行探討
主機發現顧名思義就是發現所要掃描的主機是否是正在運行的狀態,接下來就來一個簡單例子
例子要求:獲取http://nmap.org 的主機是否開啟
輸入命令:nmap -F -sT -v nmap.org
-F:掃描100個最有可能開放的端口 -v 獲取掃描的信息 -sT:采用的是TCP掃描 不寫也是可以的,默認采用的就是TCP掃描
運行如下:
由圖中的1,我們可以發現對URL進行解析花了16.5秒,這個地方花費的時間是可以進行優化的,優化的方法會稍后介紹
圖中的2,是總共的運行時間
圖中的3是說明有96個端口被屏蔽了,也就是說明了網站的防火牆是開啟的,因為沒有開啟防火牆是不會對端口進行屏蔽的,
補充說明:
端口端口一般是有下面這幾種狀態的
狀態 | 詳細的參數說明 |
Open | 端口開啟,數據有到達主機,有程序在端口上監控 |
Closed | 端口關閉,數據有到達主機,沒有程序在端口上監控 |
Filtered | 數據沒有到達主機,返回的結果為空,數據被防火牆或者是IDS過濾 |
UnFiltered | 數據有到達主機,但是不能識別端口的當前狀態 |
Open|Filtered | 端口沒有返回值,主要發生在UDP、IP、FIN、NULL和Xmas掃描中 |
Closed|Filtered |
只發生在IP ID idle掃描 |
圖中的4是本次返回的關鍵信息,其中我們要主要關注的是端口號,端口狀態,端口上的服務
那你可能就會要問為什么要關注這些端口呢?那這個問題就要轉到探討為什么要進行掃描?
掃描對於黑客和安全人員來說,主要的流程是這樣的
上面的圖中的IP寫錯了,應該改為FTP
從這個圖中我們不難發現,我們主要關注的區域就是這些內容
接下來就來討論下面上面提出來的問題?怎樣對URL解析的時間進行優化,在Nmap重提供了不進行解析的參數(-n),這樣就不會對域名進行解析了
其中關於域名解析的相關參數還有:
-R 為所有的目標主機進行解析
--system-dns 使用系統域名解析器進行解析,這個解析起來會比較慢
--dns-server 服務器選擇DNS解析
說到-R注釋的意思你會有所體會,其實nmap的掃描解析不止是對一個目標主機進行解析,還可以對一定范圍內的目標主機群進行解析
例如:查找45.33.49.119-120的主機的狀態以及端口狀態
分析:
1、雖然查找的主機的數量不多,但是這樣查找起來也是很浪費時間的, 所有我們可以通過使用快速查找的方法來節約時間
快速查找端口方法的原理如下:
默認的情況下,我們的查找是查找最有可能開放的1000端口,但是使用快速端口查找(參數 -F )會查找最有可能開放的100個端口,這樣也就節約了10倍的時間
2、這里我們需要獲取端口的狀態,所以就不能使用參數(-sn),這個參數是可以跳過端口掃描,直接進行主機發現的
輸入命令:nmap -F -sT -v -n 45.33.49.119-120 45.33.49.119:nmap.org的IP地址
PS:1、-sn參數只能掃描的主機,不能掃描端口,另一個參數也要特別注意的是(-PE)通過ICMP echo判定主機是否存活
運行情況如下:
圖片中的1處指的是,采用sT的掃描方法,這種掃描方法准確,速度快,但是這樣的掃描容易被防火牆和IDS發現並記錄,所以這種方法,實際中並不多用
由圖中的3處我們可以知道在不進行解析的情況下掃描用時為26.92秒,比解析的時候用的時間節約了不少
圖中的4說明了掃描了2個主機,然后只有一個主機為開啟
提示:
在nmap運行的時候,如果我們可以像其他編程一樣打“斷點”,直接按鍵盤的d鍵就行了,如果想知道運行的進度可以按下X鍵
好了,示例也講完了,下面我們就來分析一下掃描的各種方法:
端口掃描
1、TCP掃描(-sT)
這是一種最為普通的掃描方法,這種掃描方法的特點是:掃描的速度快,准確性高,對操作者沒有權限上的要求,但是容易被防火牆和IDS(防入侵系統)發現
運行的原理:通過建立TCP的三次握手連接來進行信息的傳遞
① Client端發送SYN;
② Server端返回SYN/ACK,表明端口開放;
③ Client端返回ACK,表明連接已建立;
④ Client端主動斷開連接。
2、SYN掃描(-sS)
這是一種秘密的掃描方式之一,因為在SYN掃描中Client端和Server端沒有形成3次握手,所以沒有建立一個正常的TCP連接,因此不被防火牆和日志所記錄,一般不會再目標主機上留下任何的痕跡,但是這種掃描是需要root權限(對於windows用戶來說,是沒有root權限這個概念的,root權限是linux的最高權限,對應windows的管理員權限)
運行的原理圖如下:
3、NULL掃描
NULL掃描是一種反向的掃描方法,通過發送一個沒有任何標志位的數據包給服務器,然后等待服務器的返回內容。這種掃描的方法比前面提及的掃描方法要隱蔽很多,但是這種方法的准確度也是較低的, 主要的用途是用來判斷操作系統是否為windows,因為windows不遵守RFC 793標准,不論端口是開啟還是關閉的都返回RST包
但是雖然NULL具有這樣的一些用處,但是本人卻認為不宜使用NULL
1、NULL方法的精確度不高,端口的狀態返回的不是很准確
2、要獲取目標主機的運行系統,可以使用參數(-O),來獲取對於一些操作系統無法准確判斷的,可以加上參數(-osscan-guess)
3、NULL掃描易被過濾
4、FIN掃描
FIN掃描的原理與NULL掃描的原理基本上是一樣的在這里就不重復了
5、ACK掃描
ACK掃描的原理是發送一個ACK包給目標主機,不論目標主機的端口是否開啟,都會返回相應的RST包,通過判斷RST包中的TTL來判斷端口是否開啟
運行原理圖:
TTL值小於64端口開啟,大於64端口關閉
大致上主要的掃描方法就是這些,除了我們可以按照這樣些參數去執行掃描外,還可以自己定義一個TCP掃描包
6、自定義TCP掃描包的參數為(--scanflags)
例如:定制一個包含ACK掃描和SYN掃描的安裝包
命令:nmap --scanflags ACKSYN nmap.org
好了,接下來還有各種掃描方法的端口列表參數
-PS 端口列表用,隔開[tcp80 syn 掃描]
-PA 端口列表用,隔開[ack掃描](PS+PA測試狀態包過濾防火牆【非狀態的PA可以過】)【默認掃描端口1-1024】
-PU 端口列表用,隔開[udp高端口掃描 穿越只過濾tcp的防火牆]
其他的常見命令
輸出命令
-oN 文件名 輸出普通文件
-oX 文件名 輸出xml文件
錯誤調試:
--log-errors 輸出錯誤日志
--packet-trace 獲取從當前主機到目標主機的所有節點
其他的相關參數可以參考:http://www.2cto.com/Article/201203/125686.html 到時候需要再進行查找
相關資料:
http://www.tuicool.com/articles/ZBvmYrN
http://www.2cto.com/Article/201203/125686.html
在此特別感謝各位前輩為nmap提供了為數不多的寶貴資料