Nmap扫描原理与用法 - 网络安全技术修炼
分类： 端口扫描目录(?)
[+]
[置顶] Nmap扫描原理与用法
2012-06-26 21:40 29887人阅读
评论(3) 收藏 举报
脚本tcp
防火墙
dns 服务器scripting
网络
Nmap 扫描原理与用法
2012年6月16日
1 Nmap 介绍
Nmap 扫描原理与用法PDF ：下载地址
Nmap 是一款开源免费的网络发现（Network Discovery ）和安全审计（Security Auditing ）工具。软件名字Nmap 是Network Mapper 的简称。Nmap 最初是由Fyodor 在1997年开始创建的。随后在开源社区众多的志愿者参与下，该工具逐渐成为最为流行安全必备工具之一。最新版的Nmap6.0在2012年5月21日发布，详情请参见：https://www.360docs.net/doc/c59814069.html, 。
一般情况下，Nmap 用于列举网络主机清单、管理服务升级调度、监控主机或服务运行状况。Nmap 可以检测目标机是否在线、端口开放情况、侦测运行的服务类型及版本信息、侦测操作系统与设备类型等信息。
Nmap 的优点：
1. 灵活。支持数十种不同的扫描方式，支持多种目标对象的扫描。
2. 强大。Nmap 可以用于扫描互联网上大规模的计算机。
3. 可移植。支持主流操作系统：Windows/Linux/Unix/MacOS 等等；源码开放，方便移植。
4. 简单。提供默认的操作能覆盖大部分功能，基本端口扫描nmap targetip ，全面的扫描nmap –A targetip 。
5. 自由。Nmap 作为开源软件，在GPL License 的范围内可以自由的使用。
6. 文档丰富。Nmap 官网提供了详细的文档描述。Nmap 作者及其他安全专家编写了多部Nmap 参考书籍。
7. 社区支持。Nmap 背后有强大的社区团队支持。
8. 赞誉有加。获得很多的奖励，并在很多影视作品中出现（如黑客帝国2、Die Hard4等）。9. 流行。目前Nmap 已经被成千上万的安全专家列为必备的工具之一。
1.1 Zenmap
Zenmap 是Nmap 官方提供的图形界面，通常随Nmap 的安装包发布。Zenmap 是用Python 语言编写而成的开源免费的图形界面，能够运行在不同操作系统平台上（Windows/Linux/Unix/Mac OS 等）。Zenmap 旨在为nmap 提供更加简单的操作方式。简单常用的操作命令可以保存成为profile ，用户扫描时选择profile 即可；可以方便地比较不同的扫描结果；提供网络拓扑结构(NetworkTopology)的图形显示功能。
原创：转载：译文：评论：个人资料
AspirationFlow
访问：积分：等级：
排名：文章搜索
文章分类端口扫描漏洞扫描漏洞利用经典书籍编程练习文章存档2012年10月2012年09月2012年08月2012年07月2012年06月阅读排行
Nmap 扫描原理与用法
Nmap 源码分析（基本框架）Nmap/Netcat/Hping3工具对比Google 搜索技巧与黑客入侵Nmap 源码分析（脚本引擎）Nmap 高级用法与典型场景Nmap 源码分析（操作系统扫描）目录视图摘要视图订阅
网络安全技术修炼
记录我们曾经迷茫的探索
登录 | 注册
64271次635千里之外
15篇0篇0篇
16条
(12)(0)(0)(1)(2)
(2)(5)(5)(2)(1)
(29844)
(4342)(3978)(3695)(3408)(3309)(2542)
其中Profile 栏位，用于选择“Zenmap 默认提供的Profile”或“用户创建的Profile”；Command 栏位，用于显示选择Profile 对应的命令或者用户自行指定的命令；Topology 选项卡，用于显示扫描到的目标机与本机之间的拓扑结构。
1.2 功能架构图
Nmap 包含四项基本功能：1. 主机发现（Host Discovery ）2. 端口扫描（Port Scanning ）3. 版本侦测（Version Detection ）
4. 操作系统侦测（Operating System Detection ）
而这四项功能之间，又存在大致的依赖关系（通常情况下的顺序关系，但特殊应用另外考虑），首先需要进行主机发现，随后确定端口状况，然后确定端口上运行具体应用程序与版本信息，然后可以进行操作系统的侦测。而在四项基本功能的基础上，Nmap 提供防火墙与IDS （IntrusionDetection System,入侵检测系统）的规避技巧，可以综合应用到四个基本功能的各个阶段；另外Nmap 提供强大的NSE （Nmap Scripting Language ）脚本引擎功能，脚本可以对基本功能进行补充和扩展。
Nmap 源码分析（端口扫描）Nmap 源码分析（主机发现）Nmap 源码分析（服务与版本扫描）评论排行
Nmap 源码分析（基本框架）Nmap 扫描原理与用法
Nmap 源码分析（脚本引擎）Nmap 源码分析（端口扫描）Nmap 源码分析（服务与版本扫描）Nmap 用法的思维导图Google 搜索技巧与黑客入侵
Nmap 源码分析（主机发现）Nmap 源码分析（操作系统扫描）网络安全书籍介绍
推荐文章
最新评论
Nmap 扫描原理与用法
j441746426: 有理有据有例子，令人信服。
Nmap 源码分析（基本框架）bj015852: 膜拜一下！楼主总结这么多真是辛苦了！感谢！Nmap 用法的思维导图
bj015852: 非常赞！！很有帮助的图。不知道是谁画的。Nmap 扫描原理与用法
lcltmac : 博主您好，小弟我最近也在研究Nmap ，拜读了您的博客，很受启发，不知可否加个qq ，方便交流，谢谢！！Nmap 扫描原理与用法Enockipp : 很好，mark Nmap 源码分析（端口扫描）schoolers : mark
Nmap 源码分析（脚本引擎）kx4xrl : 请教，这些流程图是用什么工具画的。很清晰。
Nmap 源码分析（基本框架）季风: 最近正在分析nmap 源码，楼主厉害啊，学习啦！Nmap 源码分析（脚本引擎）AspirationFlow : @fighter_lp:不好意思，现在才看到你的留言。你可以尝试在命令行里加入-d 选项（表示输出调试...
Nmap 源码分析（基本框架）salarycd : 楼主好，因为我也最近在看关于扫描工具方面的东西，感觉Nmap 功能相当强大，尤其在操作系统判断方面相关...
(2528)(1960)(1697)
(6)(3)
(3)(2)(1)(1)(0)
(0)(0)(0)
2 Nmap基本扫描方法
Nmap主要包括四个方面的扫描功能，主机发现、端口扫描、应用与版本侦测、操作系统侦测。在详细讲解每个具体功能之前，首先可以看看Nmap的典型用法。
2.1 用法引入
2.1.1 确定端口状况
如果直接针对某台计算的IP地址或域名进行扫描，那么Nmap对该主机进行主机发现过程和端口扫描。该方式执行迅速，可以用于确定端口的开放状况。
命令形式:
nmap targethost
可以确定目标主机在线情况及端口基本状况。
2.1.2 完整全面的扫描
如果希望对某台主机进行完整全面的扫描，那么可以使用nmap内置的-A选项。使用了改选项，nmap对目标主机进行主机发现、端口扫描、应用程序与版本侦测、操作系统侦测及调用默认NSE脚本扫描。
命令形式：
nmap –T4 –A –v targethost
其中-A选项用于使用进攻性（Aggressive）方式扫描；-T4指定扫描过程使用的时序（Timing），总有6个级别（0-5），级别越高，扫描速度越快，但也容易被防火墙或IDS检测并屏蔽掉，在网络通讯状况良好的情况推荐使用T4；-v表示显示冗余（verbosity）信息，在扫描过程中显示扫描的细节，从而让用户了解当前的扫描状态。
例如，扫描局域网内地址为192.168.1.100的电脑。显而易见，扫描出的信息非常丰富，在对192.168.1.100的扫描报告部分中（以红框圈出），可以看到主机发现的结果“Host is up”；端口扫描出的结果，有996个关闭端口，4个开放端口（在未指定扫描端口时，Nmap默认扫描1000个最有可能开放的端口）；而版本侦测针对扫描到的开放状况进一步探测端口上运行的具体的应用程序和版本信息；OS侦测对该目标主机的设备类型与操作系统进行探测；而绿色框图是nmap调用NSE脚本进行进一步的信息挖掘的显示结果。
2.2 主机发现
主机发现（Host Discovery），即用于发现目标主机是否在线（Alive，处于开启状态）。
2.2.1 主机发现原理
主机发现发现的原理与Ping命令类似，发送探测包到目标主机，如果收到回复，那么说明目标主机是开启的。Nmap支持十多种不同的主机探测方式，比如发送ICMP ECHO/TIMESTAMP/NETMASK报文、发送
TCPSYN/ACK包、发送SCTP INIT/COOKIE-ECHO包，用户可以在不同的条件下灵活选用不同的方式来探测目标机。
主机发现基本原理：（以ICMP echo方式为例）
Nmap的用户位于源端，IP地址192.168.0.5，向目标主机192.168.0.3发送ICMP Echo Request。如果该请求报文没有被防火墙拦截掉，那么目标机会回复ICMP Echo Reply包回来。以此来确定目标主机是否在线。
默认情况下，Nmap会发送四种不同类型的数据包来探测目标主机是否在线。
1. ICMP echo request
2. a TCP SYN packet to port 443
3. a TCP ACK packet to port 80
4. an ICMP timestamp request
依次发送四个报文探测目标机是否开启。只要收到其中一个包的回复，那就证明目标机开启。使用四种不同类型的数据包可以避免因防火墙或丢包造成的判断错误。
2.2.2 主机发现的用法
通常主机发现并不单独使用，而只是作为端口扫描、版本侦测、OS侦测先行步骤。而在某些特殊应用（例如确定大型局域网内活动主机的数量），可能会单独专门适用主机发现功能来完成。
不管是作为辅助用法还是专门用途，用户都可以使用Nmap提供的丰富的选项来定制主机发现的探测方式。
[plain]
01. ‐sL: List Scan 列表扫描，仅将指定的目标的IP列举出来，不进行主机发现。
02.
03. ‐sn: Ping Scan 只进行主机发现，不进行端口扫描。
04.
05. ‐Pn: 将所有指定的主机视作开启的，跳过主机发现的过程。
06.
07. ‐PS/PA/PU/PY[portlist]: 使用TCPSYN/ACK或SCTP INIT/ECHO方式进行发现。
08.
09. ‐PE/PP/PM: 使用ICMP echo, timestamp, and netmask 请求包发现主机。‐PO[protocollist]: 使用IP协议包
探测对方主机是否开启。
10.
11. ‐n/‐R: ‐n表示不进行DNS解析；‐R表示总是进行DNS解析。
12.
13. ‐‐dns‐servers
14.
15. ‐‐system‐dns: 指定使用系统的DNS服务器
16.
17. ‐‐traceroute: 追踪每个路由节点
其中，比较常用的使用的是-sn，表示只单独进行主机发现过程；-Pn表示直接跳过主机发现而进行端口扫描等高级操作（如果已经确知目标主机已经开启，可用该选项）；-n，如果不想使用DNS或reverse DNS解析，那么可以使用该选项。
2.2.3 使用演示
探测https://www.360docs.net/doc/c59814069.html,
下面以探测https://www.360docs.net/doc/c59814069.html, 的主机为例，简单演示主机发现的用法。
命令如下：
nmap –sn –PE –PS80,135 –PU53 https://www.360docs.net/doc/c59814069.html,
使用Wireshark抓包，我们看到，https://www.360docs.net/doc/c59814069.html, 的IP地址182.140.147.57发送了四个探测包：ICMPEcho，80和135端口的TCP SYN包，53端口的UDP包（DNS domain）。而收到ICMP Echo的回复与80端口的回复。从而确定了https://www.360docs.net/doc/c59814069.html,主机正常在线。
探测局域网内活动主机
扫描局域网192.168.1.100-192.168.1.120范围内哪些IP的主机是活动的。
命令如下：
nmap –sn 192.168.1.100-120
从结果中，可以看到这个IP范围内有三台主机处于活动状态。
从Wireshark抓取的包中，可以看到发送的探测包的情况：
在局域网内，Nmap是通过ARP包来询问IP地址上的主机是否活动的，如果收到ARP回复包，那么说明主机在线。
例如，某条ARP回复的报文详细信息如下：
2.3 端口扫描
端口扫描是Nmap最基本最核心的功能，用于确定目标主机的TCP/UDP端口的开放情况。
默认情况下，Nmap会扫描1000个最有可能开放的TCP端口。
Nmap通过探测将端口划分为6个状态：
1. open：端口是开放的。
2. closed：端口是关闭的。
3. filtered：端口被防火墙IDS/IPS屏蔽，无法确定其状态。
4. unfiltered：端口没有被屏蔽，但是否开放需要进一步确定。
5. open|filtered：端口是开放的或被屏蔽。
6. closed|filtered ：端口是关闭的或被屏蔽。
2.3.1 端口扫描原理
Nmap在端口扫描方面非常强大，提供了十多种探测方式。
2.3.1.1 TCP SYN scanning
这是Nmap默认的扫描方式，通常被称作半开放扫描（Half-open scanning）。该方式发送SYN到目标端口，如果收到SYN/ACK回复，那么判断端口是开放的；如果收到RST包，说明该端口是关闭的。如果没有收到回复，那么判断该端口被屏蔽（Filtered）。因为该方式仅发送SYN包对目标主机的特定端口，但不建立的完整的TCP 连接，所以相对比较隐蔽，而且效率比较高，适用范围广。
TCP SYN探测到端口关闭：
TCP SYN探测到端口开放：
2.3.1.2 TCP connect scanning
TCP connect方式使用系统网络API connect向目标主机的端口发起连接，如果无法连接，说明该端口关闭。该方式扫描速度比较慢，而且由于建立完整的TCP连接会在目标机上留下记录信息，不够隐蔽。所以，TCP connect是TCP SYN无法使用才考虑选择的方式。
TCP connect探测到端口关闭：
TCP connect探测到端口开放：
2.3.1.3 TCP ACK scanning
向目标主机的端口发送ACK包，如果收到RST包，说明该端口没有被防火墙屏蔽；没有收到RST包，说明被屏蔽。该方式只能用于确定防火墙是否屏蔽某个端口，可以辅助TCP SYN的方式来判断目标主机防火墙的状况。TCP ACK探测到端口被屏蔽：
TCP ACK探测到端口未被屏蔽：
2.3.1.4 TCP FIN/Xmas/NULL scanning
这三种扫描方式被称为秘密扫描（Stealthy Scan），因为相对比较隐蔽。FIN扫描向目标主机的端口发送的TCP FIN包或Xmas tree包/Null包，如果收到对方RST回复包，那么说明该端口是关闭的；没有收到RST包说明端口可能是开放的或被屏蔽的（open|filtered）。
其中Xmas tree包是指flags中FIN URG PUSH被置为1的TCP包；NULL包是指所有flags都为0的TCP包。
TCP FIN探测到主机端口是关闭的：
TCP FIN探测到主机端口是开放或屏蔽的：
2.3.1.5 UDP scanning
UDP扫描方式用于判断UDP端口的情况。向目标主机的UDP端口发送探测包，如果收到回复“ICMP port unreachable”就说明该端口是关闭的；如果没有收到回复，那说明UDP端口可能是开放的或屏蔽的。因此，通过反向排除法的方式来断定哪些UDP端口是可能出于开放状态。
UDP端口关闭：
UDP端口开放或被屏蔽：
2.3.1.6 其他方式
除上述几种常用的方式之外，Nmap还支持多种其他探测方式。例如使用SCTP INIT/COOKIE-ECHO方式来探测SCTP的端口开放情况；使用IP protocol方式来探测目标主机支持的协议类型（TCP/UDP/ICMP/SCTP等等）；使用idle scan方式借助僵尸主机（zombie host，也被称为idle host，该主机处于空闲状态并且它的IPID方式为递增。详细实现原理参见：https://www.360docs.net/doc/c59814069.html,/book/idlescan.html）来扫描目标在主机，达到隐蔽自己的目的；或者使用FTP bounce scan，借助FTP允许的代理服务扫描其他的主机，同样达到隐藏自己的身份的目的。
2.3.2 端口扫描用法
端口扫描用法比较简单，Nmap提供丰富的命令行参数来指定扫描方式和扫描端口。
具体可以参见如下描述。
2.3.2.1 扫描方式选项
[plain]
01. ‐sS/sT/sA/sW/sM:指定使用 TCP SYN/Connect()/ACK/Window/Maimon scans的方式来对目标主机进行扫描。
02.
03. ‐sU: 指定使用UDP扫描方式确定目标主机的UDP端口状况。
04.
05. ‐sN/sF/sX: 指定使用TCP Null, FIN, and Xmas scans秘密扫描方式来协助探测对方的TCP端口状态。
06.
07. ‐‐scanflags
08.
09. ‐sI
zombie host）
10.
11. ‐sY/sZ: 使用SCTP INIT/COOKIE‐ECHO来扫描SCTP协议端口的开放的情况。
12.
13. ‐sO: 使用IP protocol 扫描确定目标机支持的协议类型。
14.
15. ‐b
2.3.2.2 端口参数与扫描顺序
[plain]
01. ‐p
02.
03. 实例: ‐p22; ‐p1‐65535; ‐p U:53,111,137,T:21‐25,80,139,8080,S:9（其中T代表TCP协议、U代表UDP协议、
S代表SCTP协议）
04.
05. ‐F: Fast mode – 快速模式，仅扫描TOP 100的端口
06.
07. ‐r: 不进行端口随机打乱的操作（如无该参数，nmap会将要扫描的端口以随机顺序方式扫描，以让nmap的扫描不易
被对方防火墙检测到）。
08.
09. ‐‐top‐ports
出网络上各种端口可能开放的概率。以此排列出最有可能开放端口的列表，具体可以参见文件：nmap‐services。默认情况下，nmap会扫描最有可能的1000个TCP端口）
10.
11. ‐‐port‐ratio
于‐‐port‐ratio的端口才被扫描。显然参数必须在在0到1之间，具体范围概率情况可以查看nmap‐services文
件。
2.3.3 端口扫描演示
这里，我们以扫描局域网内192.168.1.100主机为例。
命令如下：
nmap –sS –sU –T4 –top-ports 300 192.168.1.100
参数-sS表示使用TCP SYN方式扫描TCP端口；-sU表示扫描UDP端口；-T4表示时间级别配置4级；--top-ports 300表示扫描最有可能开放的300个端口（TCP和UDP分别有300个端口）。
从上图中，我们看到扫描结果，横线处写明有共有589端口是关闭的；红色框图中列举出开放的端口和可能是开放的端口。
2.4 版本侦测
版本侦测，用于确定目标主机开放端口上运行的具体的应用程序及版本信息。
Nmap提供的版本侦测具有如下的优点：
高速。并行地进行套接字操作，实现一组高效的探测匹配定义语法。
尽可能地确定应用名字与版本名字。
支持TCP/UDP协议，支持文本格式与二进制格式。
支持多种平台服务的侦测，包括Linux/Windows/Mac OS/FreeBSD等系统。
如果检测到SSL，会调用openSSL继续侦测运行在SSL上的具体协议（如HTTPS/POP3S/IMAPS）。
如果检测到SunRPC服务，那么会调用brute-force RPC grinder进一步确定RPC程序编号、名字、版本号。
支持完整的IPv6功能，包括TCP/UDP，基于TCP的SSL。
通用平台枚举功能（CPE）
广泛的应用程序数据库（nmap-services-probes）。目前Nmap可以识别几千种服务的签名，包含了180多种不同的协议。
2.4.1 版本侦测原理
简要的介绍版本的侦测原理。
版本侦测主要分为以下几个步骤：
1. 首先检查open与open|filtered状态的端口是否在排除端口列表内。如果在排除列表，将该端口剔除。
2. 如果是TCP端口，尝试建立TCP连接。尝试等待片刻（通常6秒或更多，具体时间可以查询文件nmap-
services-probes中Probe TCP NULL q||对应的totalwaitms）。通常在等待时间内，会接收到目标机发送的“WelcomeBanner”信息。nmap将接收到的Banner与nmap-services-probes中NULL probe中的签名进行对比。查找对应应用程序的名字与版本信息。
3. 如果通过“Welcome Banner”无法确定应用程序版本，那么nmap再尝试发送其他的探测包（即从nmap-
services-probes中挑选合适的probe），将probe得到回复包与数据库中的签名进行对比。如果反复探测都无法得出具体应用，那么打印出应用返回报文，让用户自行进一步判定。
4. 如果是UDP端口，那么直接使用nmap-services-probes中探测包进行探测匹配。根据结果对比分析出
UDP应用服务类型。
5. 如果探测到应用程序是SSL，那么调用openSSL进一步的侦查运行在SSL之上的具体的应用类型。
6. 如果探测到应用程序是SunRPC，那么调用brute-force RPC grinder进一步探测具体服务。
2.4.2 版本侦测的用法
版本侦测方面的命令行选项比较简单。
[plain]
01. ‐sV: 指定让Nmap进行版本侦测
02.
03. ‐‐version‐intensity
行时间会比较长。
04.
05. ‐‐version‐light: 指定使用轻量侦测方式 (intensity 2)
06.
07. ‐‐version‐all: 尝试使用所有的probes进行侦测 (intensity 9)
08.
09. ‐‐version‐trace: 显示出详细的版本侦测过程信息。
2.4.3 版本侦测演示
命令：
nmap –sV 192.168.1.100
对主机192.168.1.100进行版本侦测。
从结果中，我们可以看到996个端口是关闭状态，对于4个open的端口进行版本侦测。图中红色为版本信息。红色线条划出部分是版本侦测得到的附加信息，因为从应用中检测到微软特定的应用服务，所以推断出对方运行的Windows的操作系统。
2.5 OS侦测
操作系统侦测用于检测目标主机运行的操作系统类型及设备类型等信息。
Nmap拥有丰富的系统数据库nmap-os-db，目前可以识别2600多种操作系统与设备类型。
2.5.1 OS侦测原理
Nmap使用TCP/IP协议栈指纹来识别不同的操作系统和设备。在RFC规范中，有些地方对TCP/IP的实现并没有强制规定，由此不同的TCP/IP方案中可能都有自己的特定方式。Nmap主要是根据这些细节上的差异来判断操作系统的类型的。
具体实现方式如下：
1. Nmap内部包含了2600多已知系统的指纹特征（在文件nmap-os-db文件中）。将此指纹数据库作为进行
指纹对比的样本库。
2. 分别挑选一个open和closed的端口，向其发送经过精心设计的TCP/UDP/ICMP数据包，根据返回的数据
包生成一份系统指纹。
3. 将探测生成的指纹与nmap-os-db中指纹进行对比，查找匹配的系统。如果无法匹配，以概率形式列举出
可能的系统。
2.5.2 OS侦测用法
OS侦测的用法简单，Nmap提供的命令比较少。
[plain]
01. ‐O: 指定Nmap进行OS侦测。
02.
03. ‐‐osscan‐limit: 限制Nmap只对确定的主机的进行OS探测（至少需确知该主机分别有一个open和closed的端
口）。
04.
05. ‐‐osscan‐guess: 大胆猜测对方的主机的系统类型。由此准确性会下降不少，但会尽可能多为用户提供潜在的操作
系统。
2.5.3 OS侦测演示
命令：
nmap –O 192.168.1.100
从上图中可看到，指定-O选项后先进行主机发现与端口扫描，根据扫描到端口来进行进一步的OS侦测。获取的
结果信息有设备类型，操作系统类型，操作系统的CPE描述，操作系统细节，网络距离等。
3 Nmap高级用法
3.1 防火墙/IDS规避
防火墙与IDS规避为用于绕开防火墙与IDS（入侵检测系统）的检测与屏蔽，以便能够更加详细地发现目标主机的状况。
Nmap提供了多种规避技巧，通常可以从两个方面考虑规避方式：数据包的变换（Packet Change）与时序变换（Timing Change）。
3.1.1 规避原理
3.1.1.1 分片（Fragmentation）
将可疑的探测包进行分片处理（例如将TCP包拆分成多个IP包发送过去），某些简单的防火墙为了加快处理速度可能不会进行重组检查，以此避开其检查。
3.1.1.2 IP诱骗（IP decoys）
在进行扫描时，将真实IP地址和其他主机的IP地址（其他主机需要在线，否则目标主机将回复大量数据包到不存在的主机，从而实质构成了拒绝服务攻击）混合使用，以此让目标主机的防火墙或IDS追踪检查大量的不同IP地址的数据包，降低其追查到自身的概率。注意，某些高级的IDS系统通过统计分析仍然可以追踪出扫描者真实IP 地址。
3.1.1.3 IP伪装（IP Spoofing）
顾名思义，IP伪装即将自己发送的数据包中的IP地址伪装成其他主机的地址，从而目标机认为是其他主机在与之通信。需要注意，如果希望接收到目标主机的回复包，那么伪装的IP需要位于统一局域网内。另外，如果既希望隐蔽自己的IP地址，又希望收到目标主机的回复包，那么可以尝试使用idle scan或匿名代理（如TOR）等网络技术。
3.1.1.4 指定源端口
某些目标主机只允许来自特定端口的数据包通过防火墙。例如FTP服务器配置为：允许源端口为21号的TCP包通过防火墙与FTP服务端通信，但是源端口为其他端口的数据包被屏蔽。所以，在此类情况下，可以指定Nmap 将发送的数据包的源端口都设置特定的端口。
3.1.1.5 扫描延时
某些防火墙针对发送过于频繁的数据包会进行严格的侦查，而且某些系统限制错误报文产生的频率（例如，Solaris 系统通常会限制每秒钟只能产生一个ICMP消息回复给UDP扫描），所以，定制该情况下发包的频率和发包延时可以降低目标主机的审查强度、节省网络带宽。
3.1.1.6 其他技术
Nmap还提供多种规避技巧，比如指定使用某个网络接口来发送数据包、指定发送包的最小长度、指定发包的MTU、指定TTL、指定伪装的MAC地址、使用错误检查和（badchecksum）。
更多信息https://www.360docs.net/doc/c59814069.html,/book/man-bypass-firewalls-ids.html
3.1.2 规避用法
[plain]
01. ‐f; ‐‐mtu
02.
03. ‐D
04.
05. ‐S
06.
07. ‐e
08.
09. ‐g/‐‐source‐port
10.
11. ‐‐data‐length
12.
13. ‐‐ip‐options
14.
15. ‐‐ttl
16.
17. ‐‐spoof‐mac
18.
19. ‐‐badsum: 使用错误的checksum来发送数据包（正常情况下，该类数据包被抛弃，如果收到回复，说明回复来自防
火墙或IDS/IPS）。
3.1.3 规避演示
使用命令：
nmap -v -F -Pn -D192.168.1.100,192.168.1.102,ME -e eth0 -g 3355 192.168.1.1
其中，-F表示快速扫描100个端口；-Pn表示不进行Ping扫描；-D表示使用IP诱骗方式掩盖自己真实IP（其中ME 表示自己IP）；-e eth0表示使用eth0网卡发送该数据包；-g 3355表示自己的源端口使用3355；192.168.1.1是被扫描的目标IP地址。
我们可以从Wireshark中看到数据包的流动情况：对于每个探测包，Nmap都使用-D选项指定的IP地址发送不同的数据包，从而达到扰乱对方防火墙/IDS检查的目的（更好的方式-D选项中嵌入RND随机数，这样更具有迷惑性）。当探测到80端口时候，目标主机向我们回复了SYN/ACK包回来（当然也向其他诱骗的IP回复SYN/ACK 包，我们无法接收到），证明80端口是开放的。
3.2 NSE脚本引擎
NSE脚本引擎（Nmap Scripting Engine）是Nmap最强大最灵活的功能之一，允许用户自己编写脚本来执行自动化的操作或者扩展Nmap的功能。
NSE使用Lua脚本语言，并且默认提供了丰富的脚本库，目前已经包含14个类别的350多个脚本。
NSE的设计初衷主要考虑以下几个方面：
网络发现（Network Discovery）
更加复杂的版本侦测（例如skype软件）
漏洞侦测(Vulnerability Detection)
后门侦测(Backdoor Detection)
漏洞利用(Vulnerability Exploitation)
3.2.1 NSE创建脚本方法
下面以daytime.nse脚本为例说明一下NSE格式。
NSE的使用Lua脚本，并且配置固定格式，以减轻用户编程负担。通常的一个脚本分为几个部分：
description字段：描述脚本功能的字符串，使用双层方括号表示。
comment字段：以--开头的行，描述脚本输出格式
author字段：描述脚本作者
license字段：描述脚本使用许可证，通常配置为Nmap相同的license
categories字段：描述脚本所属的类别，以对脚本的调用进行管理。
rule字段：描述脚本执行的规则，也就是确定触发脚本执行的条件。在Nmap中有四种类型的规则，prerule用于在Nmap没有执行扫描之前触发脚本执行，这类脚本并不需用到任何Nmap扫描的结果；hostrule用在Nmap执行完毕主机发现后触发的脚本，根据主机发现的结果来触发该类脚本；portrule用于Nmap执行端口扫描或版本侦测时触发的脚本，例如检测到某个端口时触发某个脚本执行以完成更详细的侦查。postrule用于Nmap执行完毕所有的扫描后，通常用于扫描结果的数据提取和整理。在上述实例中，只有一个portrule，说明该脚本在执行端口扫描后，若检测到TCP 13号端口开放，那么触发该脚本的执行。
action字段：脚本执行的具体内容。当脚本通过rule字段的检查被触发执行时，就会调用action字段定义的函数。
3.2.2 NSE脚本用法
Nmap提供不少脚本使用的命令行参数。
[plain]
01. ‐sC: 等价于 ‐‐script=default，使用默认类别的脚本进行扫描。
02.
03. ‐‐script=
04.
05. ‐‐script‐args=
06.
07. ‐‐script‐args‐file=filename: 使用文件来为脚本提供参数
08.
09. ‐‐script‐trace: 显示脚本执行过程中发送与接收的数据
10.
11. ‐‐script‐updatedb: 更新脚本数据库
12.
13. ‐‐script‐help=
别。
主题推荐dns 服务器ftp 服务器operating system 开源社区思维导图
猜你在找
轻量级网页安全漏洞扫描工具-Wapiti libpcap使用
下一篇C语言编程快速解决爱因斯坦谜题
3.2.3 NSE 用法演示
配合脚本扫描192.168.1.1，查看能否获得有用的信息。命令如下：
nmap –sV –p 80 –v –script default,http*192.168.1.1
从上图中，我们可以看到Nmap 扫描到对方80端口是开放的，然后使用了大量的名字为http 开头的脚本对其进行扫描。扫描过程发现在http-auth 脚本执行，出现了“Basic relm=TP-LINK Wireless N router WR740”字样（红线划出部分），这里已经挖掘对方的设备类型与具体版本信息。如果我们知道更多关于WR740已知的漏洞，那么就可以进行更进一步的渗透测试了。
4 参考资料
4.1 书籍
Nmap Network Scanning
Nmap 创始人Fyodor 编写的Nmap 的权威指南，非常详尽地描述Nmap 的实现原理及使用方法。Nmap 官方文档正是来自该书部分章节。
Secrets of Network Cartography
该书对Nmap 的实现原理及使用场景有比较丰富的介绍。Nmap in the Enterprise: Your Guide to Network Scanning 这本书描述Nmap 在企业领域的运用。Nmap mindmap.pdf
这nmap 使用方法的思维导图（一页纸的图片），对Nmap 用法整理很完整。
4.2 网站
官网：https://www.360docs.net/doc/c59814069.html,
安全工具排名：https://www.360docs.net/doc/c59814069.html,/
TCP标志位解决UnicodeEncodeError ascii codec cant encode
一个华为人辞职创业后的几个反思vim显示行号语法高亮自动缩进的设置
characters in position 问题
大话内容分发网络CDN分布式缓存GemFire架构介绍
我的软考之路八三大原则学会数据流图
sql server 2005 用户组或角色 在当前数据库中已
存在 解决办法
查看评论
3楼 j441746426 2014-10-19 11:21发表
有理有据有例子，令人信服。
2楼 lcltmac 2014-06-05 10:34发表
博主您好，小弟我最近也在研究Nmap，拜读了您的博客，很受启发，不知可否加个qq，方便交流，谢谢！！
1楼 Enockipp 2014-05-15 13:48发表
很好，mark
您还没有登录,请[登录]或[注册]
* 以上用户言论只代表其个人观点，不代表CSDN网站的观点或立场
核心技术类目
全部主题 Hadoop AWS 移动游戏 Java Android iOS Swift 智能硬件 Docker
OpenStack VPN Spark ERP IE10 Eclipse CRM JavaScript 数据库 Ubuntu NFC
WAP jQuery BI HTML5 Spring Apache .NET API HTML SDK IIS Fedora XML
LBS Unity Splashtop UML components Windows Mobile Rails QEMU KDE Cassandra
CloudStack FTC coremail OPhone CouchBase 云计算 iOS6 Rackspace Web App
SpringSide Maemo Compuware 大数据 aptech Perl Tornado Ruby Hibernate ThinkPHP
HBase Pure Solr Angular Cloud Foundry Redis Scala Django Bootstrap
公司简介|招贤纳士|广告服务|银行汇款帐号|联系方式|版权声明|法律顾问|问题报告|合作伙伴|论坛反馈网站客服杂志客服微博客服webmaster@https://www.360docs.net/doc/c59814069.html,400-600-2320|北京创新乐知信息技术有限公司 版权所有|
江苏乐知网络技术有限公司 提供商务支持
京 ICP 证 070598 号|Copyright ? 1999-2014, https://www.360docs.net/doc/c59814069.html,, All Rights Reserved
网络安全实验---NMAP扫描
一、实验目的和要求 了解信息搜集的一般步骤 学会熟练使用ping命令 学会利用Nmap等工具进行信息搜集 二、实验内容和原理 1．信息搜集的步骤 攻击者搜集目标信息一般采用七个基本的步骤： （1）找到初始信息，比如一个IP地址或者一个域名； （2）找到网络地址范围，或者子网掩码； （3）找到活动机器； （4）找到开放端口和入口点； （5）弄清操作系统； （6）弄清每个端口运行的是哪种服务； （7）画出网络结构图。 2．ping命令探测技巧 使用ping可以测试目标主机名称和IP地址，验证与远程主机的连通性，通过将ICMP 回显请求数据包发送到目标主机，并监听来自目标主机的回显应答数据包来验证与一台或多台远程主机的连通性，该命令只有在安装了TCP/IP协议后才可以使用。 ping命令格式：ping [选项] 目标主机。常用选项见表19-1-1。 表19-1-1 ping命令常用选项
生存时间（TTL）：指定数据报被路由器丢弃之前允许通过的网段数量。TTL是由发送主机设置的，以防止数据包在网络中循环路由。转发IP数据包时，要求路由器至少将TTL 减小1。 TTL字段值可以帮助我们猜测操作系统类型，如表19-1-2所示。 表19-1-2 各操作系统ICMP回显应答TTL对照 3．Nmap介绍 nmap是一个网络探测和安全扫描程序，系统管理者和个人可以使用这个软件扫描大型的网络，获取哪台主机正在运行以及提供什么服务等信息。nmap支持很多扫描技术，例如：UDP、TCP connect()、TCP SYN(半开扫描)、ftp代理(bounce攻击)、反向标志、ICMP、FIN、ACK扫描、圣诞树(Xmas Tree)、SYN扫描和null扫描。nmap还提供了一些高级的特征，例如：通过TCP/IP协议栈特征探测操作系统类型，秘密扫描，动态延时和重传计算，并行扫描，通过并行ping扫描探测关闭的主机，诱饵扫描，避开端口过滤检测，直接RPC扫描(无须端口映射)，碎片扫描，以及灵活的目标和端口设定。 nmap运行通常会得到被扫描主机端口的列表。nmap总会给出well known端口的服务名(如果可能)、端口号、状态和协议等信息。每个端口的状态有：open、filtered、unfiltered。open状态意味着目标主机能够在这个端口使用accept()系统调用接受连接。filtered状态表示：防火墙、包过滤和其它的网络安全软件掩盖了这个端口，禁止nmap探测其是否打开。unfiltered表示：这个端口关闭，并且没有防火墙/包过滤软件来隔离nmap的探测企图。通常情况下，端口的状态基本都是unfiltered状态，只有在大多数被扫描的端口处于filtered状态下，才会显示处于unfiltered状态的端口。 根据使用的功能选项，nmap也可以报告远程主机的下列特征：使用的操作系统、TCP
nmap扫描原理
Nmap是在免费软件基金会的GNU General Public License (GPL)下发布的，可从https://www.360docs.net/doc/c59814069.html,/nmap站点上免费下载。下载格式可以是tgz格式的源码或RPM格式。目前较稳定的版本是2.12。带有图形终端，本文集中讨论Nmap命令的使用。Nmap 的语法相当简单。Nmap的不同选项和-s标志组成了不同的扫描类型，比如：一个Ping-scan命令就是"-sP"。在确定了目标主机和网络之后，即可进行扫描。如果以root 来运行Nmap，Nmap的功能会大大的增强，因为超级用户可以创建便于Nmap利用的定制数据包。 在目标机上，Nmap运行灵活。使用Nmap进行单机扫描或是整个网络的扫描很简单，只要将带有"/mask"的目标地址指定给Nmap即可。地址是"victim/24"，则目标是c类网络，地址是"victim/16"，则目标是B类网络。 另外,Nmap允许你使用各类指定的网络地址，比如192.168.7.*,是指192.168.7.0/24, 或192.168.7.1,4,8-12，对所选子网下的主机进行扫描。 Ping扫描(Ping Sweeping) 入侵者使用Nmap扫描整个网络寻找目标。通过使用" -sP"命令，进行ping扫描。缺省情况下，Nmap给每个扫描到的主机发送一个ICMP echo和一个TCP ACK, 主机对任何一种的响应都会被Nmap得到。 举例：扫描192.168.7.0网络： # nmap -sP 192.168.7.0/24 Starting nmap V. 2.12 by Fyodor (fyodor@https://www.360docs.net/doc/c59814069.html,, https://www.360docs.net/doc/c59814069.html,/nmap/) Host (192.168.7.11) appears to be up. Host (192.168.7.12) appears to be up. Host (192.168.7.76) appears to be up. Nmap run completed -- 256 IP addresses (3 hosts up) scanned in 1 second 如果不发送ICMP echo请求，但要检查系统的可用性，这种扫描可能得不到一些站点的响应。在这种情况下，一个TCP"ping"就可用于扫描目标网络。 一个TCP"ping"将发送一个ACK到目标网络上的每个主机。网络上的主机如果在线，则会返回一个TCP RST响应。使用带有ping扫描的TCP ping选项，也就是"PT"选项可以对网络上指定端口进行扫描(本文例子中指的缺省端口是80（http）号端口)，它将可能通过目标边界路由器甚至是防火墙。注意，被探测的主机上的目标端口无须打开，关键取决于是否在网络上。 # nmap -sP -PT80 192.168.7.0/24 TCP probe port is 80 Starting nmap V. 2.12 by Fyodor (fyodor@https://www.360docs.net/doc/c59814069.html,, https://www.360docs.net/doc/c59814069.html,/nmap/)
自己搜集总结的nmap常用命令及参数说明
nmap BT5(BackTrack--Information Gathering--Network Analysis--Network Scanners-nmap) -sP渗透内网之后判断当前网络那些主机在线 nmap-sP192.168.1/255 -vv现实详细的扫描过程 -sS使用SYN半开式扫描，这种扫描方式使得扫描结果更加正确(又称半开放,或 隐身扫描) nmap-vv-sS IP -O大写O代表OS判断主机操作系统 nmap-O IP 延时策略 -T(0-5)默认为3 0即Paranoid模式。为了避开IDS的检测使扫描速度极慢，nmap串所有的扫描， 每隔至少5分钟发送一个包 1即Sneaky模式。也差不多，只是数据包的发送间隔是15秒 2即Polite模式。不增加太大的网络负载，串行每个探测，并使每个探测间隔 0.4秒 3即Normal模式。nmap的默认选项，在不使网络过载或者主机/端口丢失的情况 下尽可能快速地扫描 4即Aggressive模式。设置5分钟的超时限制，对每台主机的扫描时间不超过5分 钟，并且对每次探测回应的等待时间不超过1.5秒。 5即lnsane模式。只适合快速的网络或者不在意丢失默些信息，每台主机的超时 限制为75秒，对每次探测只等待0.3秒。 nmap-sS-T1IP
-sV探测端口的服务类型/具体版本等信息 nmap-vv-sV IP -p端口号对某个端口的服务版本进行详细探测有助于升入的针对性攻击， 比如缓冲溢出攻击 nmap-vv-sV IP-p21 适用于内外网的探测，以内网操作为示例(外网参数同) 简单端口扫描：nmap-vv-sT(sS、sF、sU、sA)192.168.0.1-D127.0.0.1 (-D伪造的地址) OS检测：nmap-vv-sS-O192.168.0.1 RPC鉴别：nmap-sS-sR192.168.0.1Linux上的portmap就是一个简单的RPC服务，监听端口为111(默认) Ping扫射：nmap-sP172.16.15.0/24 1)获取远程主机的系统类型及开放端口 Get info about remote host ports and OS detection nmap-sS-P0-sV-O
实验报告-网络扫描与监听
信息安全实验报告 学号： 学生姓名： 班级：
实验一网络扫描与监听 一、实验目的 网络扫描是对整个目标网络或单台主机进行全面、快速、准确的获取信息的必要手段。通过网络扫描发现对方，获取对方的信息是进行网络攻防的前提。该实验使学生了解网络扫描的内容，通过主机漏洞扫描发现目标主机存在的漏洞，通过端口扫描发现目标主机的开放端口和服务，通过操作系统类型扫描判断目标主机的操作系统类型。 通过该实验，了解网络扫描的作用，掌握主机漏洞扫描、端口扫描、操作系统类型扫描软件的使用的方法，能够通过网络扫描发现对方的信息和是否存在漏洞。要求能够综合使用以上的方法来获取目标主机的信息。 而网络监听可以获知被监听用户的敏感信息。通过实验使学生了解网络监听的实现原理，掌握网络监听软件的使用方法，以及对网络中可能存在的嗅探结点进行判断的原理。掌握网络监听工具的安装、使用，能够发现监听数据中的有价值信息，了解网络中是否存在嗅探结点的判断方法及其使用。 二、实验要求 基本要求了解网络扫描的作用，掌握主机漏洞扫描、端口扫描、操作系统类型扫描软件的使用的方法，能够通过网络扫描发现对方的信息和是否存在漏洞。掌握网络监听工具的安装、使用，能够发现监听数据中的有价值信息等。提高要求能够对网络中可能存在的嗅探结点进行判断的方法及工具使用等。 三、实验步骤 1）扫描软件X-Scan 和Nmap 以及WinPcap 驱动安装包并安装。 2）打开X-Scan，如下图所示。 3）点击“设置”->“扫描参数”，弹出扫描参数设置对话框，在“指定IP 范围”输入被扫描的IP 地址或地址范围。在“全局设置”的“扫描模块”设置对话框中选择需要检测的模块。其他可以使用默认的设置，也可以根据实际需要进行选择。最后点击“确定”回到主界面。
nmap命令详解
nmap是一个网络探测和安全扫描程序，系统管理者和个人可以使用这个软件扫描大型的网络，获取那台主机正在运行以及提供什么服务等信息。nmap支持很多扫描技术，例如：UDP、TCP connect()、TCP SYN(半开扫描)、ftp代理(bounce攻击)、反向标志、ICMP、FIN、ACK扫描、圣诞树(Xmas Tree)、SYN扫描和null扫描。从扫描类型一节可以得到细节。nmap还提供了一些高级的特征，例如：通过TCP/IP协议栈特征探测操作系统类型，秘密扫描，动态延时和重传计算，并行扫描，通过并行ping扫描探测关闭的主机，诱饵扫描，避开端口过滤检测，直接RPC扫描(无须端口影射)，碎片扫描，以及灵活的目标和端口设定. -------------------------------------------------------------------------------- 1.名称 nmap-网络探测和安全扫描工具 2.语法 nmap [Scan Type(s)] [Options] 3.描述 nmap是一个网络探测和安全扫描程序，系统管理者和个人可以使用这个软件扫描大型的网络，获取那台主机正在运行以及提供什么服务等信息。nmap支持很多扫描技术，例如：UDP、TCP connect()、TCP SYN(半开扫描)、ftp代理(bounce攻击)、反向标志、ICMP、FIN、ACK扫描、圣诞树(Xmas Tree)、SYN扫描和null扫描。从扫描类型一节可以得到细节。nmap还提供了一些高级的特征，例如：通过TCP/IP协议栈特征探测操作系统类型，秘密扫描，动态延时和重传计算，并行扫描，通过并行ping扫描探测关闭的主机，诱饵扫描，避开端口过滤检测，直接RPC扫描(无须端口影射)，碎片扫描，以及灵活的目标和端口设定。 为了提高nmap在non-root状态下的性能，软件的设计者付出了很大的努力。很不幸，一些内核界面(例如raw socket)需要在root状态下使用。所以应该尽可能在root使用nmap。 nmap运行通常会得到被扫描主机端口的列表。nmap总会给出well known端口的服务名(如果可能)、端口号、状态和协议等信息。每个端口的状态有：open、filtered、unfiltered。open状态意味着目标主机能够在这个端口使用accept()系统调用接受连接。filtered状态表示：防火墙、包过滤和其它的网络安全软件掩盖了这个端口，禁止nmap探测其是否打开。unfiltered表示：这个端口关闭，并且没有防火墙/包过滤软件来隔离nmap的探测企图。通常情况下，端口的状态基本都是unfiltered状态，只有在大多数被扫描的端口处于filtered
端口扫描工具nmap使用实验
我们可以使用ping扫描的方法（-sP），与fping的工作方式比较相似，它发送icmp回送请求到指定范围的ip地址并等待响应。现在很多主机在扫描的时候都做了处理，阻塞icmp 请求，这种情况下。nmap将尝试与主机的端口80进行连接，如果可以接收到响应（可以是
syn/ack，也可以是rst），那么证明主机正在运行，反之，则无法判断主机是否开机或者是否在网络上互连。 扫描tcp端口 这里-sR是怎样在打开的端口上利用RPC命令来判断它们是否运行了RPC服务。 nmap可以在进行端口扫描的tcp报文来做一些秘密的事情。首先，要有一个SYN扫描（-sS),它只做建立TCP连接的前面一些工作，只发送一个设置SYN标志的TCP报文，一个RESET报文，那么nmap假设这个端口是关闭的，那么就不做任何事情了。如果接收到一个响应，它并不象正常的连接一样对这个报文进行确认，而是发送一个RET报文，TCP的三次握手还没有完成，许多服务将不会记录这次连接。 有的时候，nmap会告诉我们端口被过滤，这意味着有防火墙或端口过滤器干扰了nmap，使其不能准确的判断端口是打开还是关闭的，有的防火墙只能过滤掉进入的连接。 扫描协议 如果试图访问另一端无程序使用的UDP端口，主机将发回一个icmp“端口不可达”的提示消息，IP协议也是一样。每个传输层的IP协议都有一个相关联的编号，使用最多的是ICMP(1)、TCP(6)和UDP(17)。所有的IP报文都有一个“协议”域用于指出其中的传输层报文头所使用的协议。如果我们发送一个没有传输层报文头的原始IP报文并把其协议域编号为130[该编号是指类似IPSEC协议的被称为安全报文外壳或SPS协议]，就可以判断这个协议是否在主机上实现了。如果我们得到的是ICMP协议不可达的消息，意味着该协议没有被实现，否则就是已经实现了，用法为-sO. 隐蔽扫描行为 nmap给出了几个不同的扫描选项，其中一些可以配套着隐藏扫描行为，使得不被系统日志、防火墙和IDS检测到。提供了一些随机的和欺骗的特性。具体例子如下： FTP反弹，在设计上，FTP自身存在一个很大的漏洞，当使用FTP客户机连接到FTP 服务器时，你的客户机在TCP端口21上与FTP服务器对话，这个TCP连接称为控制连接。FTP服务器现在需要另一条与客户机连接，该连接称为数据连接，在这条连接上将传送实际的文件数据，客户机将开始监听另一个TCP端口上从服务器发挥的数据连接，接下来执行一个PORT命令到服务器，告诉它建立一条数据连接到客户机的IP地址和一个新打开的端口，这种操作方法称为主动传输。许多客户机使用网络地址转换或通过防火墙与外界连接，所以主动传输FTP就不能正常工作，因为由服务器建立的客户机的连接通常不允许通过。 被动传输是大多数FTP客户机和服务器所使用的方法，因为客户机既建立控制连接又建立数据连接，这样可以通过防火墙或NAT了。
实验3综合扫描及攻击工具的使用
实验3 综合扫描及攻击工具的使用 1 实验目的 1、通过使用综合扫描工具，扫描系统的漏洞并给出安全性评估报告，加深对系统漏洞的理解。 2、通过使用攻击工具了解远程攻击的方法，理解远程攻击的步骤和手段。 2 实验环境 VMware中预装Windows XP/7/2003/2008R2的计算机，X-Scan，Nmap，Winshell和NC等工具。 3 实验原理或背景知识 3.1 扫描工具的工作原理 综合扫描工具是一种自动检测系统和网络安全弱点的程序。其工作原理是，首先获得主机系统在网络服务、版本信息、Web应用等方面的相关信息，然后采用模拟攻击的方法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱口令等，如果模拟攻击成功，则视为漏洞存在。此外，也可以根据系统事先定义的系统安全漏洞库，对系统可能存在的、已知的安全漏洞逐项进行扫描和检查，按照规则匹配的原则将扫描结果与安全漏洞库进行对比，如满足匹配条件，则视为漏洞存在。 3.2 X-Scan简介 1、版本介绍 X-Scan是一个完全免费漏洞扫描软件，由“安全焦点”开发。对于黑客们来讲，X-Scan 是一款非常优秀的扫描器，现在的版本为X-Scan v3.3。从3.0及后续版本X-Scan提供了简单的插件开发包，便于有编程基础的朋友自己编写或将其他调试通过的代码修改为X-Scan插件。 2、X-Scan的使用 运行解压文件夹下的xscan_gui，即进入X-Scan，首先可以通过“普通信息”查看X-Scan 的使用，如图1所示。
上面是非常简洁的GUI界面。菜单栏如图2所示： 图2 菜单栏 我们点击第一个按钮，在弹出的“扫描参数”中，有如下几个参数可选： （1）检测范围：该模块指定您要扫描的对象，本地服务器还是网络中的计算机。默认 是localhost,这意味着你扫描的是本地计算机。范围也可以是1个IP段，方式如下： 223.221.21.0-223.221.21.100 这就说明你扫描的范围是在这两个IP范围内所有的计算机。 （2）全局设置 该功能模块包括以下4种功能子模块：扫描模块、并发扫描、扫描报告以及其他设置。 扫描模块：该列表包含了你所要扫描的项目、开放服务、NT-SERVER弱口令、NETBIOS 信息、SNMP信息等等的20个选项。 并发扫描：该模块限制了并发扫描的主机数量以及并发线程数量。 扫描报告：该功能模块是在您完成您的扫描后，X-Scan将以什么样的形式反馈扫描报 告。有3种文件参数：HTML，XML，TXT。默认的为localhost_report.HTML。 其他设置：该功能可以帮助您处理一些扫描过程中的问题，包括跳过没有响应主机，无 条件扫描等等。 （3）插件设置 该项目包括了端口相关设置，SNMP相关设置，NETBIOS相关设置，漏洞检测脚本设置， CGI相关设置，字典文件设置这6项设置。 端口相关设置：该模块将根据您的要求设置扫描的端口以及扫描方式。默认的端口扫描 参数为：7，9，13，19，21，22，23，25，53，79，80，110，111，119，135，139，143，
Nmap实验报告
本文档如对你有帮助，请帮忙下载支持！ 网络扫描软件Nmap的应用 在网络攻击时，攻击者往往会使用网络和端口扫描软件对目标主机进行扫描，发现漏洞，为后续攻击做准备。本实验使用网络扫描软件Nmap对北邮官网1.隐藏扫描(Stealth Scanning) －ｓＳ为TCP同步扫描，原理是源主机发送一个TCP同步包（SYN），然后等待目的主机的回应。如果对方返回SYN｜ACK包，就表示该目标端口打开。Wireshark抓包可以看出在扫描过程中，源主机（１０.８.７０.２２４）向目标主机（１０.３.９.２５４）最可能打开的１０００个端口发送了TCP同步包，其中只有８０端口和３３０６端口返回了SYN｜ACK包，说明目标主机开放了这两个端口。从Nmap扫描结果可以看出８０端口提供的是http服务，３３０６提供的是mysql服务。 2.端口扫描(port scanning) －ｓＴ扫描是调用系统函数connect()用来打开一个链接，所以耗时要比－ｓＳ要多。RTTVAR（往返延时变量）很大，应该网络拥塞引起的。从wireshark抓包看出 源主机与目的主机之间建立了完全的TCP链接，探测到端口开放后立即发送RST 断开链接。 3.UDP扫描（UDP Scanning） UDP扫描是向目标主机的每个端口发送一个0字节的UDP包，如果收到端口不可到达的ICMP消息，端口就是关闭的。如wireshark抓包所示 源主机向目标机的1031端口发送了一个0字节的UDP包。 端口1031收到了ICMP消息，说明端口是关闭的。 端口123开启的是ntp服务。值得注意的是，此时发送的并不是0字节的UDP 包，而是内容为ntp的总长为224bit的UDP包。 4.Ping扫描（Ping Sweeping） 对源主机所在网段（，Nmap是通过发送ARP包来询问IP地址上的主机是否活动的，如果收到ARP回复包，那么说明该主机在线。如wireshark抓包所示 源主机广播所扫描网段的ARP请求，没有回复的主机均视为没有在线。 ，说明 、 5.TCP ACK扫描 TCP ACK扫描是向目标机的端口发送ACK包，如果返回一个RST包，则这个端口就视为unfiltered状态。如wireshark抓包所示 如９０端口收到了RET包，说明这个端口处于unfiltered状态。 6.操作系统类型扫描 从扫描结果可以得到目标主机的详细信息。目标主机的操作系统为AVM FRITZ！Box WLAN７２４０WAP。 7.Traceroute路由跟踪扫描 使用－traceroute可以得到本机到目标主机之间的拓扑结构和路由信息。从Nmap结果可以看出，本地主机到１０.３.９.２５４一共要经过４跳才能到达。拓扑图如下 再对校内的图书馆，教务处，论坛进行扫描后可以得到学校的网络拓扑图 对百度进行扫描后得到校园网到外网的拓扑图
Nmap扫描原理与用法
[+] Nmap扫描原理与用法 2012年6月16日 1Nmap介绍 Nmap基本命令和典型用法 ?全面进攻性扫描（包括各种主机发现、端口扫描、版本扫描、OS扫描及默认脚本扫描）: nmap -A -v targetip ?Ping扫描: nmap -sn -v targetip ?快速端口扫描: nmap -F -v targetip ?版本扫描: nmap -sV -v targetip ?操作系统扫描: nmap -O -v targetip 2
Nmap扫描原理与用法PDF：下载地址 Nmap是一款开源免费的网络发现（Network Discovery）和安全审计（Security Auditing）工具。软件名字Nmap是Network Mapper的简称。Nmap最初是由Fyodor在1997年开始创建的。随后在开源社区众多的志愿者参与下，该工具逐渐成为最为流行安全必备工具之一。最新版的Nmap6.0在2012年5月21日发布，详情请参见：https://www.360docs.net/doc/c59814069.html,。 一般情况下，Nmap用于列举网络主机清单、管理服务升级调度、监控主机或服务运行状况。Nmap 可以检测目标机是否在线、端口开放情况、侦测运行的服务类型及版本信息、侦测操作系统与设备类型等信息。 Nmap的优点： 1. 灵活。支持数十种不同的扫描方式，支持多种目标对象的扫描。 2. 强大。Nmap可以用于扫描互联网上大规模的计算机。 3. 可移植。支持主流操作系统：Windows/Linux/Unix/MacOS等等；源码开放，方便移植。 4. 简单。提供默认的操作能覆盖大部分功能，基本端口扫描nmap targetip，全面的扫描nmap –A targetip。 5. 自由。Nmap作为开源软件，在GPL License的范围内可以自由的使用。 6. 文档丰富。Nmap官网提供了详细的文档描述。Nmap作者及其他安全专家编写了多部Nmap 参考书籍。 7. 社区支持。Nmap背后有强大的社区团队支持。 8. 赞誉有加。获得很多的奖励，并在很多影视作品中出现（如黑客帝国2、Die Hard4等）。 9. 流行。目前Nmap已经被成千上万的安全专家列为必备的工具之一。 1.1 Zenmap
Nmap中文教程
Nmap中文教程-详细版 用法: nmap 扫描类型(多个) [选项] {目标} 目标说明： 可以通过主机名，IP地址，网络等 例如：https://www.360docs.net/doc/c59814069.html,，https://www.360docs.net/doc/c59814069.html,/24， 192.168.0.1;10.0.0-255.1-254 -iL < 输入文件名>: 输入从主机/网络列表 -iR < 主机数量>: 选择随机指标 –exclude < 主机1[,主机2][,主机3],…>: 排除主机/网络 –excludefile <排除文件>: 从列表文件中排除 主机发现： -sL: 列表扫描–简单扫描列表目标 -sP: Ping扫描主机是否存在但不进行端口扫描。 -PN: 跳过主机发现，扫描所有主机不管是否开机。 -PS/PA/PU/PY[端口列表]: TCP SYN/ACK, UDP 或SCTP 发现指定的端口 -PE/PP/PM: ICMP echo, timestamp, 和netmask request发现 -PO [协议列表]:IP协议ping
-n/-R: 从不DNS解析/始终解析[默认: 有时] –dns-servers < 服务器1[,服务器2],…>: 指定自定义DNS服务器–system-dns: 使用操作系统的DNS解析器 –traceroute: 每个主机跟踪一跳路径 扫描技术： -sS：半开扫描，只进行两次握手。 -sT：全开扫描，完整的三次握手。 -sA： -sW： -sM: Maimon 扫描，使用FIN和ACK标志位。 TCP SYN/Connect()/ACK/Window/ -sU: UDP扫描 -sN/sF/sX: TCP Null, FIN, 和Xmas 扫描 –scanflags < 标志>: 自定义TCP扫描标志 -sI < 僵尸主机[:探测端口]>: 闲置扫描 -sY/sZ: SCTP INIT/COOKIE-ECHO 扫描 -sO: IP协议扫描 -b : 使用FTP bounce扫描
nmap 使用介绍
nmap 使用介绍 nmap是目前为止最广为使用的国外端口扫描工具之一。我们可以从 https://www.360docs.net/doc/c59814069.html,/进行下载，可以很容易的安装到Windows和unix操作系统中，包括mac os x（通过configure、make 、make install等命令）也可以直接从http： //https://www.360docs.net/doc/c59814069.html,/下载windows二进制（包括所需要的winpcap）也可以从http： //https://www.360docs.net/doc/c59814069.html,/获得nmap的图形windows。 扫描主机
我们可以使用ping扫描的方法（-sP），与fping的工作方式比较相似，它发送icmp回送请求到指定范围的ip地址并等待响应。现在很多主机在扫描的时候都做了处理，阻塞icmp请求，这种情况下。nmap将尝试与主机的端口80进行连接，如果可以接收到响应（可以是 syn/ack，也可以是rst），那么证明主机正在运行，反之，则无法判断主机是否开机或者是否在网络上互连。 扫描tcp端口 这里-sR是怎样在打开的端口上利用RPC命令来判断它们是否运行了RPC服务。 nmap可以在进行端口扫描的tcp报文来做一些秘密的事情。首先，要有一个SYN扫描（-sS),它只做建立TCP连接的前面一些工作，只发送一个设置SYN标志的TCP报文，一个RESET报文，那么nmap假设这个端口是关闭的，那么就不做任何事情了。如果接收到一个响应，它并不象正常的连接一样对这个报文进行确认，而是发送一个RET报文，TCP的三次握手还没有完成，许多服务将不会记录这次连接。 有的时候，nmap会告诉我们端口被过滤，这意味着有防火墙或端口过滤器干扰了nmap，使其不能准确的判断端口是打开还是关闭的，有的防火墙只能过滤掉进入的连接。 扫描协议 如果试图访问另一端无程序使用的UDP端口，主机将发回一个icmp“端口不可达”的提示消息，IP协议也是一样。每个传输层的IP协议都有一个相关联的编号，使用最多的是ICMP(1)、TCP(6)和UDP(17)。所有的IP报文都有一个“协议”域用于指出其中的传输层报文头所使用的协议。如果我们发送一个没有传输层报文头的原始IP报文并把其协议域编号为130[该编号是指类似IPSEC协议的被称为安全报文外壳或SPS协议]，就可以判断这个协议是否在主机上实现了。如果我们得到的是ICMP协议不可达的消息，意味着该协议没有被实现，否则就是已经实现了，用法为-sO. 隐蔽扫描行为 nmap给出了几个不同的扫描选项，其中一些可以配套着隐藏扫描行为，使得不被系统日志、防火墙和IDS检测到。提供了一些随机的和欺骗的特性。具体例子如下： FTP反弹，在设计上，FTP自身存在一个很大的漏洞，当使用FTP客户机连接到FTP服务器时，你的客户机在TCP端口21上与FTP服务器对话，这个TCP连接称为控制连接。FTP服务器现在需要另一条与客户机连接，该连接称为数据连接，在这条连接上将传送实际的文件数据，
图解NMAP用法
《Network Security Technology》 Lecture Code: 011184 Experiment Guideline Experiment Title：使用NMAP进行网络扫描 KeyWords：NMAP，Scan，Vulnerability Lecturer：Dong Wang Time：Week 01 Location：Training Building 401 Teaching Audience：09Net1&2 Aug29, 2011
User Guidance 1.该配置文档系《网络安全技术》实训课所属内容。 2.在试验开始前，请参看‘Self-checking list for VM Environment’，逐 一检查自己电脑（虚拟机）配置，制作还原快照。 3.学生不应该以抓图为唯一目的使用该文档，对文档所涉及到的各相 关操作和问题需逐一思考解答并举一反三。 4.实验结果的抓图应当在没有文档和外界帮助下独立完成。 5.如学生不能在本节课上规定时间内完成文档介绍的配置任务时应当 在课后尽快补交试验报告。 6.该文档的最终解释权归授课教师王东所有，如有疑问请在课上当面 询问或课后与任课老师联络释疑。
Self-checking list for VM Environment 1.VM_2k3-1：安装1块网卡：NAT；VM_XP：安装1块网卡NAT； 2.开机运行VM_2K3-1 & VM_XP，2台机的应当位于同一网段且能够相 互Ping通； 3.将2k3-1(2)计算机命名为‘学号_姓名缩写_2K3-1(2)’，将XP命名为 ‘学号_姓名缩写_XP’,重命名之后重启。 4.确保已用管理员账户登录2k3-1和XP并具有管理员权限。 5.确保VMware Tools和Backinfo插件已正确安装。 6.用虚拟机的snapshot拍快照，制作还原点。 注：以上检查列表中逐条只是试验前的预检查，试验中的具体设置应当根据情况具体对待。
nmap常用命令
十条常用nmap命令行格式 1)获取远程主机的系统类型及开放端口 Get info about remote host ports and OS detection nmap -sS -P0 -sV -O
实验2_Nmap网络扫描实验
网络扫描实验 崔信息安全111班 030 实验目的 （1）了解网络扫描技术的工作原理。 （2）掌握常用扫描工具的基本用法。 （3）熟悉网络扫描的用途与后果。 实验环境 每2位学生为一个实验组，使用2台安装Windows 2000/XP的PC机，通过局域网互联，IP网络为192.168.1.0/24。其中一台（192.168.1.101）上安装Windows平台下的Nmap 4.11软件，另一台（192.168.1.100）上安装软件防火墙，实验环境的网络拓扑如图1所示。 192.168.1.101192.168.1.100 图1 网络扫描实验拓扑 实验要求 1、实验任务 （1）安装和运行网络扫描软件。 （2）进行典型的探测，如主机探测、系统探测、TCP扫描等。 （3）记录并分析实验结果。 2、实验预习
（1）预习本实验指导书，深入理解实验的目的与任务，熟悉实验步骤和基本环节。 （2）复习有关网络扫描的基本知识。 3、实验报告 （1）简要描述实验过程。 （2）实验中遇到了什么问题，如何解决的。 （3）分析网络扫描器在网络管理和网络安全方面的作用。 （4）实验收获与体会。 实验背景 1 基础知识 扫描的目的是收集被扫描系统或网络的信息。通常，扫描是利用一些程序或专用的扫描器来实现，扫描器是一种自动检测远程或本地主机安全性弱点的程序。通过使用扫描器，可以发现远程服务器是否存活、对外开放的各种TCP端口的分配及提供的服务、所使用的软件版本，如操作系统或其他应用软件的版本，以及可能被利用的系统漏洞。根据这些信息，可以使用户了解目标主机所存在的安全漏洞。 扫描器不仅是黑客用作网络攻击的工具，也是网络安全管理员维护网络安全的重要工具。网络安全管理员可以根据扫描的结果更正网络安全漏洞和系统中的错误。 2 网络扫描工具Nmap简介 Nmap是一款开放源代码的网络探测和安全审核的工具，基本包括了常用的扫描方式，并且提供了许多非常实用的辅助功能，以对目标主机做出进一步的侦测，如操作系统识别、进程用户分析以及众多可选的方式来逃避目标系统的监测等。Nmap可任意指定主机、网段甚至是整个网络作为扫描目标，扫描方式亦可通过添加合适的选项按需组合。 本实验使用基于Windows的Nmap软件，其命令语法如下： nmap [扫描类型] [选项] <主机或网络 #1……[#N]> 在Nmap的所有参数中，只在目标参数是必须给出的，其最简单的形式是在命令行直接输入一个主机名或者一个IP地址。如果希望扫描某个IP地址的一个子网，可以在主机名或者IP地址的后面加上/掩码。掩码的范围是0（扫描整个网络）~32（只扫描这个主机）。使用/24扫描C类地址，/16扫描B类地址。 可以使用nmap –h快速列出Nmap选项参数的说明，下面列举出一些常用的扫描类型：-sT 表示TCP全连接扫描（TCP connect（））。 -sS 表示TCP半开扫描。 -sF 表示隐蔽FIN数据包扫描。 -sA 表示Xmas Tree扫描。
Nmap实验报告
网络扫描软件Nmap的应用 在网络攻击时，攻击者往往会使用网络和端口扫描软件对目标主机进行扫描，发现漏洞，为后续攻击做准备。本实验使用网络扫描软件Nmap对北邮官网https://www.360docs.net/doc/c59814069.html,（IP地址：１０.３.９.２５４）进行多类型的主机和端口扫描并进行分析。 1.隐藏扫描(Stealth Scanning) －ｓＳ为TCP同步扫描，原理是源主机发送一个TCP同步包（SYN），然后等待目的主机的回应。如果对方返回SYN｜ACK包，就表示该目标端口打开。Wireshark抓包可以看出 在扫描过程中，源主机（１０.８.７０.２２４）向目标主机（１０.３.９.２５４）最可能打开的１０００个端口发送了TCP同步包，其中只有８０端口和３３０６端口返回了SYN｜ACK包，说明目标主机开放了这两个端口。从Nmap扫描结果可以看出８０端口提供的是http服务，３３０６提供的是mysql服务。
2.端口扫描(port scanning) －ｓＴ扫描是调用系统函数connect()用来打开一个链接，所以耗时要比－ｓＳ要多。RTTVAR（往返延时变量）很大，应该网络拥塞引起的。从wireshark抓包看出 源主机与目的主机之间建立了完全的TCP链接，探测到端口开放后立即发送RST 断开链接。
口不可到达的ICMP消息，端口就是关闭的。如wireshark抓包所示 源主机向目标机的1031端口发送了一个0字节的UDP包。 端口1031收到了ICMP消息，说明端口是关闭的。 包，而是内容为ntp的总长为224bit的UDP包。
对源主机所在网段（10.8.64.0/19）的主机进行Ping扫描。在局域网内，Nmap是通过发送ARP包来询问IP地址上的主机是否活动的，如果收到ARP 回复包，那么说明该主机在线。如wireshark抓包所示
Nmap扫描实验
附件2 贵州大学实验报告 学院：计算机科学与技术专业：网络工程班级：131 姓名学号实验组 实验时间指导教师成绩 实验项目名称网络扫描实验 实验目的 网络与系统调查阶段的网络扫描、网络拓扑探测是信息收集的主要手段，本次试验主要内容是掌握网络扫描技术的作用，网络扫描技术是为使系统管理员能够及时了解系统中存在的安全漏洞，并采取相应防范措施，从而降低系统的安全风险。可以对局域网络、Web站点、主机操作系统、系统服务以及防火墙系统等的安全漏洞进行扫描，系统管理员可以了解在运行的网络系统中存在的不安全的网络服务，在操作系统上存在的可能被利用从而导致攻击的安全漏洞。通过实验掌握网络扫描的主要功能，掌握主流的网络扫描技术。 实 验 环 境 根据本实验的特点，采用以学生自主训练为主的开放模式组织教学。 实验内容1.通过实验掌握网络扫描技术的原理。 2.通过实验掌握网络扫描的主要功能。 3.熟悉使用主流的网络扫描工具Nmap以及会对结果进行分析和利用。 4.掌握Nmap中的各参数的含义以及所对应的扫描类型。
实验数据1.请使用Nmap对你的实验机器所在的网段的所有主机进行ping扫描(ping scan)；请 排除自己的实验机器；请检测有多少主机在线。 命令是nmap –sn 192.168.2.* 如图： 由图可知，本网段内有43台主机，除掉自己的主机，有42台主机 2.请使用Nmap对局域网内的某台存活的主机进行Xmas scans隐蔽扫描和UDP扫描。 对本网段的113号主机进行Xmas scans隐蔽扫描和UDP扫描 隐蔽扫描如图：
由图可知：用时39.89秒 UDP扫描如图： 由图可知：用时35.31秒 3.nmap -v https://www.360docs.net/doc/c59814069.html,扫描与nmap -vv https://www.360docs.net/doc/c59814069.html,扫描的区别是什么? Nmap –v https://www.360docs.net/doc/c59814069.html,
nmap命令使用详细说明
nmap命令使用详解 [Ping扫描（Ping Sweeping）] [端口扫描（Port Scanning）] [隐蔽扫描（Stealth Scanning）] [UDP扫描（UDP Scanning）] [操作系统识别（OS Fingerprinting）] [Ident扫描（Ident Scanning）] [选项（Options）] 简介： 黑客想要入侵一台电脑，首先要有一套完整的计划。在入侵系统之前，黑客必须先找到一台目标主机，并查出哪些端口在监听之后才能进行入侵。 找出网络上的主机,测试哪些端口在监听，这些工作通常是由扫描来实现的。扫描网络是黑客进行入侵的第一步。通过使用扫描器(如Nmap)扫描网络，寻找存在漏洞的目标主机。一旦发现了有漏洞的目标，接下来就是对监听端口的扫描。Nmap通过使用TCP协议栈指纹准确地判断出被扫主机的操作系统类型。 本文全方位地介绍Nmap的使用方法，可以让安全管理员了解在黑客眼中的站点。并通过使用它，安全管理员可以发现自己网站的漏洞，并逐步完善自己的系统。 Nmap 是在免费软件基金会的GNU General Public License (GPL)下发布的，可从https://www.360docs.net/doc/c59814069.html,/nmap站点上免费下载。下载格式可以是tgz格式的源码或RPM格式。目前较稳定的版本是2.12。带有图形终端，本文集中讨论Nmap命令的使用。Nmap的语法相当简单。Nmap的不同选项和-s标志组成了不同的扫描类型，比如：一个Ping-scan命令就是"-sP"。在确定了目标主机和网络之后，即可进行扫描。如果以root来运行Nmap，Nmap的功能会大大的增强，因为超级用户可以创建便于Nmap利用的定制数据包。 在目标机上，Nmap运行灵活。使用Nmap进行单机扫描或是整个网络的扫描很简单，只要将带有"/mask"的目标地址指定给Nmap即可。地址是"victim/24"，则目标是c类网络，地址是"victim/16"，则目标是B类网络。 另外,Nmap允许你使用各类指定的网络地址，比如192.168.7.*,是指192.168.7.0/24, 或192.168.7.1,4,8-12，对所选子网下的主机进行扫描。 Ping扫描(Ping Sweeping) 入侵者使用Nmap扫描整个网络寻找目标。通过使用" -sP"命令，进行ping扫描。缺省情况下，Nmap给每个扫描到的主机发送一个ICMP echo和一个TCP ACK, 主机对任何一种的响应都会被Nmap得到。 举例：扫描192.168.7.0网络： # nmap -sP 192.168.7.0/24 Starting nmap V. 2.12 by Fyodor (fyodor@https://www.360docs.net/doc/c59814069.html,, https://www.360docs.net/doc/c59814069.html,/nmap/) Host (192.168.7.11) appears to be up. Host (192.168.7.12) appears to be up. Host (192.168.7.76) appears to be up.