Kali学习笔记9：端口扫描详解（上）
UDP端口扫描：
原理：回应ICMP不可达，代表端口关闭；没有回应，端口开启
建议了解应用层的UDP包头结构，构建对应的UDP数据包用来提高准确度
另外：所有的扫描都存在误判情况
我们用Scapy写个脚本来试试：
#!/usr/bin/python import logging logging.getLogger("scapy.runtime").setLevel(logging.ERROR) from scapy.all import * import time import sys if len(sys.argv) != 4: print "./udp_scan.py [target ip] [first port] [last port]" print "example ./udp_scan.py 10.0.0.5 1 100" print "example will UDP port scan ports 1 to 100 on 10.0.0.5" ip = sys.argv[1] start = int(sys.argv[2]) end = int(sys.argv[3]) for port in range(start, end): a = sr1(IP(dst=ip) / UDP(dport=port), timeout=5, verbose=0) time.sleep(1) if a == None: print port else: pass
如果是从WINDOWS复制过去的
vi udp_scan.py
:set fileformat=unix
:wq
chmod u+x udp_scan.py
执行：./udp_scan.py 10.0.0.0 1 100
接下来看看使用最强大的Nmap:
Nmap在端口扫描方面使用-sU参数
而我们使用Nmap如果不指定任何端口的话，他会扫描定义好的1000个常用端口
当然也可以指定端口扫描：
如果你一定要扫描全部端口，也是可以的：
好的，接下来我们看TCP端口扫描：
基于连接协议扫描：
所有的扫描都是基于三次握手的变化来判断目标端口状态
首先我们先用SCAPY演示：
我开启一个Metasploitable的虚拟机，查看到它的IP：192.168.22.129
再查看下Kali虚拟机的IP：192.168.22.130
打开Scapy测试：
我们主动发一个SYN包，只要回应SYN+ACK包，就代表端口开启，
我们不能继续回应ACK包，而要回复RST断开连接防止被发现！
第一行的意思是发送一个TCP数据包将返回值赋给a
然后我们查看下这个a包：发现默认扫描80端口，并且返回SYN+ACK
我们为什么这里不主动回RST包呢？
原因：可以抓包发现，操作系统会自动回复给"莫名其妙"的TCP包RST
接下来我们换个端口扫描：22
这种情况也说明这里的22端口是开放的
那么如果我们扫描一个关闭的端口呢？
发现目标机器回复的是一个RST+ACK
代表：这台机器是活着的，但是当前扫描的端口（22222）是没有开放的
我们在scapy的基础上写一个简单的扫描脚本：syn_scan.py
#!/usr/bin/python import logging logging.getLogger("scapy.runtime").setLevel(logging.ERROR) from scapy.all import * import time import sys if len(sys.argv) != 4: print "./syn_scan.py [target ip] [first port] [last port]" print "example ./udp_scan.py 10.0.0.5 1 100" print "example will TCP SYN scan ports 1 to 100 on 10.0.0.5" ip = sys.argv[1] start = int(sys.argv[2]) end = int(sys.argv[3]) for port in range(start, end): a = sr1(IP(dst=ip) / TCP(dport=port), timeout=1, verbose=0) time.sleep(1) if a == None: pass else: if int(a[TCP].flags)==18: print port else: pass
难点：这里为什么flags==18？
抓包发现SYN和ACK分别是2和2的4次方即为16，加在一起恰好为18
使用这个脚本：
老规矩，如果是windows转移过去的：
vi syn_scan.py
:set fileformat=unix
:wq
chmod u+x syn_scan.py
执行：./syn_scan.py 10.0.0.0 1 100
这里并没有扫描完全，不过效果达到了（如果扫windows端口，1-100不会有任何开放端口）
隐蔽端口扫描这种方式其实比UDP的方式稳多了
当然，强大的Nmap也可以实现：而且效率更高
不过扫描原理就是上边写的内容
无参数扫描：
使用后发现比自己搞的脚本快太多，而且完善，真不愧是强大的Nmap
这里我们扫描的机器没有防火墙，所以扫描到的端口都是open的，如果存在close或filter，我们需要一个参数才能获取open的端口
nmap还可以加上一个参数：-sS:
其实和默认方式是一样的，所以直接使用即可
如果需要全部扫描：nmap [ip] -p -65535
如果需要扫描指定端口：nmap [ip] -p 80,22,...,139
其他端口扫描方式：
Hping3：
-S表示用SYN扫描，flags的S，A当然就代表SYN和ACK了
下面来个有趣的：
先解释下这行命令：-c 100发送一百个包，和-p ++1组合，意味对端口1-100分别发送SYN包，
有趣在--spoof参数，伪造源IP地址，我这台机器无法查看扫描结果，只有我登陆伪造的192.168.168.168机器才可以查看结果。
其实下边这十几行都没有用
这种方式有很大的优点也有很大的缺点：
优点：非常隐蔽，基本不会被发现，在目标看来是另外一个机器发送的探测数据包
缺点：麻烦，需要另外一台机器
上边的都是TCP半连接端口扫描
接下来，看看TCP全连接端口扫描：
下一篇博客我们继续：
