目录
只是记录
学习笔记
参考:这个
端口扫描
-
每个服务器上面都会跑很多应用,每个应用都会侦听某些端口,通过侦听端口接收来自客户端或其他用户对应用程序的访问。
-
所以在发现目标主机存活后,我们需要知道目标主机上都开放了那些端口,应用程序的漏洞都是通过端口体现出来的。
-
后续的渗透测试如果能攻击进入一个操作系统的话,都是通过端口后面的应用程序的漏洞攻击进去的。所以说,二三四层主机发现只是为了准确发现活着的IP,确定攻击面;
-
端口扫描发现开放的端口,确定攻击点。
-
端口对应网络服务及应用端程序
服务端程序的漏洞通过端口攻入
UDP端口扫描
基于端口的扫描,都是针对存活的主机而言。
端口关闭,则目标系统会响应端口不可达。
端口关闭:ICMP port unreachable
端口开放:没有回包
1. 使用脚本的方式实现扫描多个端口
注意python2、3 对print的格式
#!/usr/bin/python
#该脚本使用UDP协议扫描多个目标主机端口
from scapy.all import *
import time
import sys
if len( sys.argv ) !=4:
print "Example: ./UDP_scan.py 110.242.68.3 1 100 "
sys.exit()
ip=sys.argv[1] //目标主机IP
start=int(sys.argv[2]) //起始端口
end=int(sys.argv[3]) //终止端口
for port in range(start,end):
a=sr1(IP(dst=ip)/UDP(dport=port),timeout=1,verbose=0) //udp的探测命令
time.sleep(1) //防止因扫描过快,造成误判
if a==None: //响应包为空,则目标主机端口开放,打印该端口
print port
else:
pass
chmod +x UDP_scapy.py //赋予文件执行权限
./UDP_scapy.py 110.242.68.3 1 100
2. 使用nmap-sU
-sU:使用UDP协议
如果没有使用-p 指定扫描端口,默认扫描1000个常用端口;
如果没有回应目标端口不可达,则该端口开放;
否则,则端口关闭
nmap -sU 192.168.247.129
nmap -sU 192.168.247.129 -p 53
nmap -iL iplist.txt -sU -p 1-200 //指定扫描地址列表
TCP端口扫描
-
TCP是基于连接的协议
-
TCP扫描可以分为隐蔽扫描、僵尸扫描、全连接扫描(可伪造源地址、闲置、系统使用递增的IPID
-
所有TCP扫描方式,都是基于三次握手的变化来判断目标端口的状态
一、隐蔽扫描
syn
- 我给你发SYN包,只要你给我回SYN+ACK包,说明端口就是开放的;
- 端口没开放,会回RST+ACK。不管目标主机会什么包,我都不会回ACK数据包,所以目标系统的应用层日志中不会有日志(因为没有建立完整的TCP连接),但是网络层会有一些迹象,所以该扫描方式较隐蔽。
SYN——SYN|ACK——RST //目标端口开放
SYN——RST|ACK //目标端口不开放
1.开一台kali使用Scapy
#测试80端口是否开放
>>> a=sr1(IP(dst="112.45.120.4")/TCP(dport=80),timeout=1,verbose=0)
>>> a
flags=SA ,80端口开放
操作系统内核看来,没来由的发送SYN+ACK,目标系统返回RST,表示不接受,该包可能会在后续扫描中,造成障碍
#测试66端口是否开放
>>> a=sr1(IP(dst="112.45.120.5")/TCP(dport=66),timeout=1,verbose=0)
>>> a
2. 使用脚本实现隐蔽扫描
#!/usr/bin/python
# -*- coding: utf-8 -*-
#该脚本用户实现扫描目标主机中开放的TCP端口
from scapy.all import*
import sys
if len( sys.argv ) !=4:
print "Example - ./syn_scan.py 1.1.1.1 1 100"
sys.exit()
ip = str(sys.argv[1])
start = int(sys.argv[2])
end = int(sys.argv[3])
for port in range(start,end+1):
a=sr1(IP(dst=ip)/TCP(dport=port),timeout=0.1,verbose=0)
if a ==None:
pass
else:
if int(a[TCP].flags)==18: #SYN+ACK值为18,linux会返回一个RST,中断三次握手
print (port)
else:
pass
chmod +x SYN_scan.py
./SYN_scan.py 192.168.247.130 1 200
nmap
nmap 192.168.247.130 -p 1-100
nmap -sS 192.168.247.130 -p 80,88,53,22,25
nmap -sS -iL IP.txt -p 80,88,53,22 //扫描指定文件中的IP地址
root@kali:~# nmap 192.168.247.130 -p 1-100 //默认-sS,扫描端口1-100
hping3
hping3 192.168.247.130 --scan 1-100 -S
hping3 192.168.247.130 --scan 80,88,53,22 -S
hping3 -c 100 -S --spoof 伪造的IP地址 -p ++1 源IP地址
hping3 192.168.247.130 --scan 1-100 -S //-S:SYN包
Scanning 192.168.247.130 (192.168.247.130), port 1-100
100 ports to scan, use -V to see all the replies
+----+-----------+---------+---+-----+-----+-----+
|port| serv name | flags |ttl| id | win | len |
+----+-----------+---------+---+-----+-----+-----+
22 ssh : .S..A... 64 0 14600 46
80 http : .S..A... 64 0 14600 46
All replies received. Done.
Not responding ports:
#源地址欺骗,但是不知道扫描后的结果
root@kali:~# hping3 -c 100 -S --spoof 192.168.247.140 -p ++1 192.168.247.130
HPING 192.168.247.130 (eth0 192.168.247.130): S set, 40 headers + 0 data bytes
二、僵尸扫描
三、全连接端口扫描
全连接扫描(SYN、ACK+SYN、ACK)不隐蔽。只要建立完整的三次握手,行为就很容易被识别出来
1. 全连接端口扫描——nmap -sT
nmap -sT 192.168.247.129 //扫描1000个常见端口
nmap -sT 192.168.247.129 -p 1-100 //-p 指定端口进行扫描
2. 全连接端口扫描——dmitry -p
功能简单,使用简单
默认扫描150个最常用的端口
dmitry -p 112.45.120.14 //-p 执行TCP扫描
Deepmagic Information Gathering Tool
"There be some deep magic going on"
3. 全连接端口扫描——nc
nc -nv -w 1 -z 192.168.247.129 1-200
(UNKNOWN) [192.168.247.129] 139 (netbios-ssn) open
(UNKNOWN) [192.168.247.129] 135 (loc-srv) open
(UNKNOWN) [192.168.247.129] 80 (http) open
#
-nv 不做域名解析
-w 超时时间
-z