nmap端口扫描原理_nmap端口扫描使用方法_端口扫描_黑客业务‖网站/服务器入侵业务‖软件/文件破解业务‖大学成绩修改‖网站入侵‖软件破解‖黑客小组‖微博等公关危机数据处理‖中国VIP黑客业务网络

nmap扫描端口命令

nmap扫描端口的命令是：nmap -PS ip地址。

使用该命令可以扫描目标地址所开放的端口地址，nmap 扫描器主要基本功能有三个，一是探测一组主机是否在线，其次是扫描主机端口，嗅探所提供的网络服务，还可以推断主机所用的操作系统。也可以深入探测 UDP 或者 TCP 端口，直至主机所使用的操作系统；还可以将所有探测结果记录到各种格式的日志中，供进一步分析操作。

以下是一些 nmap 常用的命令：

查看当前开放的端口：nmap localhost。

查看主机端口（1024-65535）中开放的端口：nmap -p 1024-65535 localhost。

探测目标主机开放的端口：nmap -PS ip 地址。

探测所列出的目标主机端口：nmap -p22,80,3306 ip 地址。

探测目标主机操作系统类型、端口服务名称、版本信息：nmap -sV -O localhost。

nmap端口扫描原理_nmap端口扫描使用方法

使用Nmap进行端口扫描

在未经授权的情况下夺取计算机系统控制权的行为是违法行为，此篇文章仅作为学习交流和探讨，若要测试成果，请在自己虚拟机上测试，或者被允许渗透的计算机系统上演练，请勿做出违法之骚操作，操作者做出的一切违法操作均与本人和此文无关

本文使用Nmap进行扫描，其他扫描手段本文不进行探讨

Nmap是端口扫描方面的业内标准，网上的资料让人眼花缭乱，时至今日，各式各样的防火墙已经普遍采用了入侵检测和入侵防御技术，他们能够有效地拦截常见的端口扫描，所以，即使使用Nmap程序扫描结果一无所获也不是什么意外的事。换句话说，如果你在公网上对指定网段进行主机扫描时没检测出一台在线主机，那么就应当认为扫描行动多半是被防火墙系统拦截下来了，反之则是另一种极端情况：每台主机都在线，每个端口都处于开放状态

SYN扫描

所谓的SYN扫苗实际上是一种模拟TCP握手的端口扫描技术。TCP握手分为3个阶段：SYN、SYN-ACK、ACK。在进行SYN扫描时，Nmap程序向远程主机发送SYN数据包并等待对方的SYN-ACK数据。如果在最初发送SYN数据包之后没有收到SYN-ACK响应，那么既定端口就不会是开放端口，在此情况下，既定端口不是关闭就是被过滤了

在使用Nmap扫描之前，可以先使用maltego之类的信息搜集工具分析出有用的信息。我使用一个非法网站的IP来作为演示

需要注意的是，某个端口是开放端口不代表这个端口背后的程序存在安全缺陷，我们仅能够通过开放端口初步了解计算机运行的应用程序，进而判断这个程序是否存在安全缺陷

版本扫描

虽然SYN扫描具有某种隐蔽性，但它不能告诉我们打开这些端口的程序到底是什么版本，如果说我们想要知道这台主机的某个端口在运行着什么程序以及它运行的版本，这在我们后期威胁建模阶段有极大的用处，使用-sT或者-sV 即可查看

运气很好，看来这个网站运行的程序有安全漏洞，这个名为OpenSSH 5.3的软件存在着一个CVE-2016-10009漏洞，攻击者可以通过远程攻击openssh来获得服务器权限。我们在这里不做攻击操作，毕竟这是别人的网站，虽然是个违法网站。如果有机会后期笔者将会根据情况写一些关于漏洞利用的文章

UPD扫描

Nmap的SYN扫描和完整的TCP扫描都不能扫描UDP，因为UDP的程序采用无连接的方式传输。在进行UDP扫描时，Nmap将向既定端口发送UPD数据包，不过UDP协议的应用程序有着各自不同的数据传输协议，因此在远程主机正常回复该数据的情况下，能够确定既定端口处于开放状态。如果既定端口处于关闭状态，那么Nmap程序应当收到ICMP协议的端口不可达信息。如果没有从远程主机收到任何数据那么情况就比较复杂了，比如说：端口可能处于发放状态，但是响应的应用程序没有回复Nmap发送的查询数据，或者远程主机的回复信息被过滤了，由此可见在开放端口和被防火墙过滤的端口方面，Nmap存在相应的短板

扫描指定端口

指定端口的扫描可能造成服务器崩溃，最好还是踏踏实实的彻底扫描全部端口。就不拿别人的服务器来测试了，毕竟我也怕被报复，在这里我把渗透目标设置为我自己的xp靶机，步骤跟前面一样，扫描出端口查看是否有可利用程序，然后对想扫描的端口进行扫描

在渗透测试中，我们都不希望致使任何服务器崩溃，但是我们的确可能会遇到那些无法正确受理非预期输入的应用程序，在这种情况下，Nmap的扫描数据就可能引发程序崩溃

nmap扫描的几种方式

原文 the art of port scanning

这种方式最简单。直接与被扫描的端口建立tcp链接，如果成功，则说明端口开放，如果不成功则说明端口关闭的。这种扫描的特点是与被扫描端口建立完成的tcp链接，完整的tcp三次握手。优点主要是不需要root权限即可扫描端口。因为connect可以在用户态直接调用

这种扫描方式又被称为tcp半开放扫描。顾名思义，这种扫描不需要建立完整的tcp连接，即可扫描端口的状态。发送tcp syn数据包，这个也是tcp握手的第一个包。如果端口开放，则会返回 tcp syn+ack数据包。如果端口关闭，则返回 tcp rst数据包。这样我们就不用进行tcp 握手的第三步，也可以探测端口的状态。这种扫描需要构建raw socket。所以需要root权限

有些时候防火墙绘过滤tcp syn数据包，有些时候会记录syn数据包并检测时候有nmap扫描。这时候可以使用TCP FIN scanning。这种方式很简单。发送tcp FIN数据包到待测端口。如果返回RST数据包，则说明该端口关闭，如果无返回则说明该端口开放。这时tcp协议的一个BUG，所以这种扫描方式不一定百分之百可靠（例如windows），但是这种扫描方式适合大部分 *NIX 系统。

在RFC 793的第65页写到，如果目的端口的是关闭的，并且接受到的tcp数据包如果可能会导致系统错误，则返回RST。如果开放的端口接受到诸如SYN RST ACK，则丢弃或者不做任何处理。根据此RFC描述，我们可以发送不包含SYN RST或者ACK标志的数据包，如果返回RST则说明端口是关闭状态，如果什么都没有返回则说明端口是开放状态。

上面这三种扫描的结果都是一致的，如果接受到到RST，则说明端口是关闭的。如果无响应，则端口可能是开放或者filteted状态。如果返回icmp unreachable error(type 3, code 0, 1, 2, 3, 9, 10, 13)，则说明端口一定是filtered的。

这种扫描只设置tcp ack标志位。这种扫描一般来探测防火墙是否过滤被扫描的端口。如果扫描的端口未被防火墙保护，那么无论是开放或者是关闭，都会返回RST。nmap将该端口标记为未被封锁的（unfiltered），但是不能确定该端口是开放或者关闭状态。如果无响应，或者返货icmp error，则该端口一定被防火墙封锁了

tcp窗口扫描，如果接收到RST，则说明端口封锁了。在某些操作系统，开放的端口会返回一个正数的tcp窗口值，如果端口关闭，则返回tcp窗口值为0或者负数。但是这种扫描不是很靠谱

这种扫描为发送同时设置FIN/ACK的数据包。如果返回RST，则说明端口是开放的，如果无响应，则是关闭状态的。

这种是专门扫描ip协议的。扫描类似于udp扫描，如果IP协议号不存在，返回 icmp错误。具体没用过，不太好写

如果udp端口开放，则无响应。如果udp端口关闭，则会返回icmp unreachable error错误。这种扫描需要root权限，因为需要构建raw socket。

这种直接一个一个建立udp连接，如果能建立，则说明端口开放，不能建立则端口关闭呗。

渗透测试之端口扫描

端口扫描:端口对应网络服务及应用端程序

服务端程序的漏洞通过端口攻入

发现开放的端口

更具体的攻击面

UDP端口扫描:

如果收到ICMP端口不可达,表示端口关闭

如果没有收到回包,则证明端口是开放的

和三层扫描IP刚好相反

Scapy端口开发扫描

命令:sr1(IP(dst="192.168.45.129")/UDP(dport=53),timeout=1,verbose=1)

nmap -sU 192.168.45.129

TCP扫描:基于连接的协议

三次握手:基于正常的三次握手发现目标是否在线

隐蔽扫描:发送不完整的数据包,不建立完整的连接,如ACK包,SYN包,不会在应用层访问,

僵尸扫描:不和目标系统产生交互,极为隐蔽

全连接扫描:建立完整的三次握手

所有的TCP扫描方式都是基于三次握手的变化来判断目标系统端口状态

隐蔽扫描:发送SYN数据包,如果收到对方发来的ACK数据包,证明其在线,不与其建立完整的三次握手连接,在应用层日志内不记录扫描行为,十分隐蔽,网络层审计会被发现迹象

僵尸扫描:是一种极其隐蔽的扫描方式,实施条件苛刻,对于扫描发起方和被扫描方之间,必须是需要实现地址伪造,必须是僵尸机(指的是闲置系统,并且系统使用递增的IPID)早期的win xp,win 2000都是递增的IPID,如今的LINUX,WINDOWS都是随机产生的IPID

1,扫描者向僵尸机发送SYN+ACY,僵尸机判断未进行三次握手,所以返回RST包,在RST数据包内有一个IPID,值记为X,那么扫描者就会知道被扫描者的IPID

2,扫描者向目标服务器发送SYN数据包,并且伪装源地址为僵尸机,如果目标服务器端口开放,那么就会向僵尸机发送SYN+ACK数据包,那么僵尸机也会发送RST数据包,那么其IPID就是X+1(因为僵尸机足够空闲,这个就为其收到的第二个数据包)

3,扫描者再向僵尸机发送SYN+ACK,那么僵尸机再次发送RST数据包,IPID为X+2,如果扫描者收到僵尸机的IPID为X+2,那么就可以判断目标服务器端口开放

使用scapy发送数据包:首先开启三台虚拟机,

kali虚拟机:192.168.45.128

Linux虚拟机:192.168.45.129

windows虚拟机:192.168.45.132

发送SYN数据包:

通过抓包可以查看kali给linux发送syn数据包

linux虚拟机返回Kali虚拟机SYN+ACK数据包

kali系统并不知道使用者发送了SYN包,而其莫名其妙收到了SYN+ACK数据包,便会发RST包断开连接

也可以使用下列该命令查看收到的数据包的信息,收到对方相应的SYN+ACK数据包,scapy默认从本机的80端口往目标系统的20号端口发送,当然也可以修改

如果向目标系统发送一个随机端口:

通过抓包的获得:1,kali向linux发送SYN数据包,目标端口23456,

2,Linux系统由自己的23456端口向kali系统的20号端口返回RST+ACK数据包,表示系统端口未开放会话结束

使用python脚本去进行scapy扫描

nmap做隐蔽端口扫描:

nmap -sS 192.168.45.129 -p 80,21,110,443 #扫描固定的端口

nmap -sS 192.168.45.129 -p 1-65535 --open #扫描该IP地址下1-65535端口扫描,并只显示开放的端口

nmap -sS 192.168.45.129 -p --open #参数--open表示只显示开放的端口

nmap -sS -iL iplist.txt -p 80

由抓包可知,nmap默认使用-sS扫描,发送SYN数据包,即nmap=nmap -sS

hping3做隐蔽端口扫描:

hping3 192.168.45.129 --scan 80 -S #参数--scan后面接单个端口或者多个端口.-S表示进行SYN扫描

hping3 192.168.45.129 --scan 80,21,25,443 -S

hping3 192.168.45.129 --scan 1-65535 -S

由抓包可得:

hping3 -c 100 -S --spoof 192.168.45.200 -p ++1 192.168.45.129

参数-c表示发送数据包的数量

参数-S表示发送SYN数据包

--spoof:伪造源地址,后面接伪造的地址,

参数-p表示扫描的端口,++1表示每次端口号加1,那么就是发送SYN从端口1到端口100

最后面跟的是目标IP

通过抓包可以得知地址已伪造,但对于linux系统(192.168.45.129)来说,它收到了192.168.45.200的SYN数据包,那么就会给192.168.45.200回复SYN+ACK数据包,但该地址却是kali伪造的地址,那么要查看目标系统哪些端口开放,必须登陆地址为kali伪造的地址即(192.168.45.200)进行抓包

hping3和nmap扫描端口的区别:1,hping3结果清晰明了

2,nmap首先对IP进行DNS反向解析,如果没成功,那么便会对其端口发送数据包,默认发送SYN数据包

hping3直接向目标系统的端口发送SYN数据包,并不进行DNS反向解析

全连接端口扫描:如果单独发送SYN数据包被被过滤,那么就使用全连接端口扫描,与目标建立三次握手连接,结果是最准确的,但容易被入侵检测系统发现

response=sr1(IP(dst="192.168.45.129")/TCP(dport=80,flags="S"))

reply=sr1(IP(dst="192.168.45.129")/TCP(dport=80,flags="A",ack=(response[TCP].seq+1)))

抓包情况:首先kali向Linux发送SYN,Linux回复SYN+ACK给kali,但kali的系统内核不清楚kali曾给linux发送给SYN数据包,那么kali内核莫名其妙收到SYN+ACK包,那么便会返回RST请求断开数据包给Linux,三次握手中断,如今kali再给Linux发ACK确认数据包,Linux莫名其妙收到了ACK数据包,当然也会返回RST请求断开数据包,具体抓包如下:

那么只要kali内核在收到SYN+ACK数据包之后,不发RST数据包,那么就可以建立完整的TCP三次握手,判断目标主机端口是否开放

因为iptables存在于Linux内核中,通过iptables禁用内核发送RST数据包,那么就可以实现

使用nmap进行全连接端口扫描:(如果不指定端口,那么nmap默认会扫描1000个常用的端口,并不是1-1000号端口)

使用dmitry进行全连接端口扫描:

dmitry:功能简单,但功能简便

默认扫描150个最常用的端口

dmitry -p 192.168.45.129 #参数-p表示执行TCP端口扫描

dmitry -p 192.168.45.129 -o output #参数-o表示把结果保存到一个文本文档中去

使用nc进行全连接端口扫描:

nc -nv -w 1 -z 192.168.45.129 1-100: 1-100表示扫描1-100号端口

参数-n表示不对Ip地址进行域名解析,只把其当IP来处理

参数-v表示显示详细信息

参数-w表示超时时间

-z表示打开用于扫描的模式

nmap扫描工具的使用二网络探测

Nmap的6种端口状态:

Open：开放状态

Closed：关闭状态

Filtered: 过滤状态（可能被过滤，可能网络阻塞）

Unfiltered:未被过滤状态（可以访问，但未知端口处于开放还是关闭状态）

Open|Filtered：开放还是过滤的

Closed|Filtered:不能确定端口事关闭还是被过滤的

-T 时序选项

-p|-F|-r 常用扫描方式

-sS TCP SYN扫描:(需要root权限)

-sT TCP连接扫描:完整三次握手，最基础最稳定的扫描方式

-sU UDP扫描(速度非常慢，一般用-p指定端口范围以节约时间)

-sN/sF/sX 隐蔽扫描

-sA TCP ACK扫描

-sW TCP窗口扫描

-sM TCP Maimon扫描

–scanflags 自定义TCP扫描

-sI 空闲扫描

-sO IP协议扫描

-b * FTP Bounce扫描

时序选项：

-T0(偏执的):非常慢的扫描，用于IDS逃避

-T1(鬼祟的):缓慢的扫描，用于IDS逃避

-T2(文雅的):降低速度以降低对带宽的消耗，一般不同

-T3(普通的):默认，根据目标的反应自动调整时间

-T4(野蛮的):快速扫描，常用，需要在很好的网络环境下进行扫描，请求可能会淹没目标

-T5(疯狂的):极速扫描，以牺牲准确度来提升扫描速度

例子：

（1）指定端口扫描：

nmap -p 80 192.168.20.16

如图，直接输入nmap -p 80 192.168.20.16的时候提示Host seems down。我们可以通过ping命令来确定网络的连通性，此处使用的命令是ping 192.168.20.16，发现可以ping通，即网络是通的，使用Ctrl+z停止执行ping命令。再使用nmap -p 80 192.168.20.16命令的时候就可以出现正确的结果了。