软件开发培训班 >> 网络技术 >> 网络安全
linux下Nmap网络安全扫描器说明 |
|
名称 摘要 描述 对非ROOT的用户来说，nmap的正式版可以做很多重要的东西了。不幸的是部份关键的核心功能（比如raw sockets）需要root权限。所以尽量以root的身份运行nmap。 运行nmap后通常会得到一个关于你扫描的机器的一个实用的端口列表。nmap总是显示该服务的服务名称,端口号，状态以及协议。状态有‘open ‘,‘filtered‘和‘unfiltered‘三种。‘open‘指的是目标机器将会在该端口接受你的连接请求。‘filtered‘指的是有防火墙、过滤装置或者其它的网络障碍物在这个端口阻挡了nmap 进一步查明端口是否开放的动作。至于‘unfiltered‘则只有在大多数的扫描端口都处在‘filtered‘状态下才会出现的。 根据选项的使用，nmap还可以报告远程主机下面的特性：使用的操作系统、TCP连续性、在各端口上绑定的应用程序用户的用户名、DNS名、主机是否是个smurf地址以及一些其它功能。 选项 扫描类型 -sS TCP SYN 扫描：这类技术通常涉及一种“半开”式的扫描——因为你不打开完整的TCP连接，你发送一个SYN信息包就象你要打开一个真正的连接而且你在等待对方的回应。一个SYN|ACK(应答)会表明该端口是开放监听的。一个RST（空闲?）则代表该端口未被监听。如果SYN|ACK的回应返回，则会马上发送一个 RST包来中断这个连接（事实上是我们的系统核心在干这事）。这种扫描的最大好处是只有极少的站点会对它作出记录，但是——你需要有root权限来定制这些SYN包。 -sF -sX -sN -sP Ping扫描：有时你仅希望了解网络上有哪些主机是开放的，nmap可以通过对你指定的IP地址发送ICMP的echo request信息包来做到这一点，有回应的主机就是开放的啦。但令人讨厌的是一些站点比如microsoft.com对echo request包设置了障碍。这样的话nmap还能发送一个TCP ack包到80端口（默认），如果获得了RST返回，机器是开放的。第三个方法是发送一个SYN信息包并等待RST 或SYN/ACK响应了。作为非root的用户可以使用的，常用connect()模式。对root来说，默认的nmap同时使用ICMP和ACK的方法扫描，当然你也可以改变-P选项。注意你最好先ping一下用户，只有有回应的主机才有必要扫描，只有你不想探测任何的实际端口扫描只想大面积地搜索一下活动的主机，你可以使用此选项。 -sU UDP扫描：这一方法是用来确定哪个UDP(User Datagram Protocol,RFC 768)端口在主机端开放。这一技术是以发送零字节的UDP信息包到目标机器的各个端口，如果我们收到一个ICMP端口无法到达的回应，那么该端口是关闭的，否则我们可以认为它是敞开大门的。有些人或许会认为UDP扫描是无意义的，我通常会以最近的Solaris rcpbind漏洞来提醒他们。Rpcbind会隐藏在一个非正式的UDP端口于32770口以上，因此对111进行防火墙过滤是无关紧要的.但你是否查找过在30000以上的端口是否处在监听状态中……，用UDP扫描你就能轻松地做到这一点！或者大家还可以想想cDc出品的Back Orifice木马（BO），它可以在Windows的机器中配置一个UDP端口，更不用说如此众多可以利用UDP的、易受攻击的服务如snmp, tftp,NFS等了。但有一点不得不提及的是UDP扫描在目标主机按照RFC 1812（4.3.2.8节）建议的那样限制ICMP错误信息的传送速率时会令人痛苦的缓慢。举例来说吧，Linux 的核心配置(在net/ipv4/icmp.h)限制了每4秒产生80次的无法到达信息——每次产生1/4秒的延迟。Solaris有着更严格的限制（大约每秒两次就会延迟），所以这要耗费相当长的时间。nmap会侦测到这种限制并自动减缓速度——这也胜过用无意义的会被目标主机忽略的大量信息包来填充这个网络。如以往一样，微软还是不在乎RFC所建议的事而且没有任何限制性措施实行于WINDOWS或NT上，这样我们可以把多达65K的端口以极高的速度扫描完毕，欢呼吧！ -sR RPC扫描：这一方法是结合nmap多种扫描的一种模式，它取得所有的TCP/UDP开放端口并且用SunRPC程序NULL命令来试图确定是否是RPC 端口并且——如果是的话，其上运行什么程序，何种版本。这样你可以在目标主机躲在防火墙后或者由TCP wrappers防护着，它都能取得效果近似于‘rpcinfo -p‘的信息。但Decoys现在还不能正常工作在RPC扫描下，在以后我会在UDP RPC扫描中加入Decoy支持的。 -b(ftp relay host) 常规选项 -P0 在扫描前不尝试或者PING主机，这是用来扫描那些不允许ICMP echo 请求(或应答)的主机。microsoft.com就是这其中的一个例子，我们就必须使用-P0或者-PT80来察看microsoft.com的端口。 -PT 用TCP的ping来确定主机是否打开。作为替代发送ICMP echo请求包并等待回应的方式，我们可以大量发送TCP ACK包往目标网络（或者单机）并一点点地等待它的回应，打开的主机会返回一个RST。这一参数可以让你在ping信息包阻塞时仍能高效率地扫描一个网络 /主机。对非root的用户，我们用connect()，以如下格式设置目标探针-PT,默认的端口是80，因为这相端口往往未被过滤。 -PS 这一选项是root用户使用的，能用SYN(连接请求)包替代ACK包,打开的主机会有一个RST(或者SYN|ACK——但比较少见)应答。 -PI 这一选项是使用一个真正的ping(ICMP echo request)包。它找到开放的主机并且将该子网中的广播地址全数搜寻——该广播地址是能够到达并能正确解析IP包的。如果其会被大量的DoS (denial of service)攻击时，我们就能找到它。 -PB 默认的ping形式，它用于ACK(-PT)与ICMP(-PI)并行攻击，以这一形式可以通过防火墙或包过滤。 -O 经由TCP/IP获取‘指纹’来判别主机的OS类型，用另一说法，就是用一连串的信息包探测出你所扫描的主机位于操作系统有关堆栈信息并区分其精细差别，以此判别操作系统。它用搜集到的信息建立一个“指纹”用来同已知的操作系统的指印相比较(the nmap-os-fingerprints file) -I 这是用ident扫描方式的参数，如Dave Goldsmith于1996年在Bugtraq中所说的，这个ident协议(rfc 1413)允许通过TCP连接得到拥有进程的用户名——即使这个连接不是由该进程发起的。所以呢，举个例吧，你可以通过ident连接到一个http端口并找出该进程是否由root运行，但这只能在“全开”的对目标端口的TCP连接中使用（象-sT扫描参数）。当你用-I参数时，远程主机的identd在开放的端口接受连接质询——很明显的，如果主机不运行identd的话，那它就无法正常工作。 -f 这个参数配置以细小的IP碎片包实现SYN，FIN，XMAS或NULL扫描请求。这个想法是把TCP包头分别放在几个不同的信息包中，使包过滤器难于运作，而后你就可以闯入系统做你想做的事了。但要注意，部份程序可能会对这些小信息包处理错误。比方说我最喜欢的sniffer segmentation在接收第一个36字节的信息碎片时就出现麻烦，之后又来了个24字节的！当包过滤器和能将IP碎片排列的防火墙没有获得此顺序时（就象linux内核中的CON-FIG_IP_ALWAYS_DEFRAG选项），一些网络系统就不能反映出找到目标，并且放弃。 -v 详细模式。这是被强烈推荐的选项，因为它能带来你想要的更多信息。你可以重复使用它以获得更大效果。如果你需要大量翻动屏幕请使用 -d 命令两次 -h 这是一个快捷的帮助选项，可以在屏幕上显示nmap的参数使用方法——象你注意到的那样，这个man page实在不是一个“快速入门参考”:) -o -m -i -p -F 快速扫描模式。指定只希望扫描nmap里提供的services file中列出的端口列表里的端口。这明显会比扫描所有65535个端口来得快。 -D -S -e -g 虽然nmap在一般情况下都能够很好地在运行时间里尽可能迅速地完成扫描任务，但偶尔还是会有一些主机/端口无法侦测，这可能是nmap默认的时间策略和你的目标不太一致（相当于timeout的设定），下面就是一些选项能对扫描的时间进行控制： -T --host_timeout --max_rtt_timeout --initial_rtt_timeout --max_parallelism --scan_delay 目标说明 所有不带参数的选项都会被视为是nmap的目标主机描述。最简单的实例是仅仅在命令行列出单一的主机名或IP地址。如果你希望扫描一个IP地址的子网，你可以在主机名和IP地址中加入‘/mask‘。mask必需是在0（扫描整个网络）和32（特定的单一主机）。用/24则表明扫找一个C类地址，而 /16则是扫描B类 map还有一些更有用的符号说明方式可以让你用list/ranges来为每个元素指定IP地址。比如你要扫描B类网址128.210.*.*，则可以用‘128.210.*.*‘或‘128.210.0-255.0-255‘或者甚至是‘128.210.1-50,51- 255.1,2,3,4,5-255‘来表示。当然你也可以用上面提过的mask来表示:‘128.210.0.0/16‘。所有这些都是等价的，当你用 ‘*‘的时候记住多数的shell都要求用定界符比如引号将其标注。 另一个有趣的是你可以用其它方法将整个网络“分割”，比如你可以用‘*.*.5.6-7‘来扫描所有以.5.6或 .5.7结束的IP地址。要得到更多信息，你可以看看示例节。 扫描范例 这里是一些运用nmap的扫描范例，从最简单普通的到有一些复杂的例子都有。注意这里有真实的数字以及一些真实的域名——这样可以让扫描行为看起来更具体。在这里你可以用自己的网络里的名称代替其中的addresses/names。虽然端口扫描的结果分析可能会使某些人容易攻击，但我不认为它是不合法的,我曾经扫描过成百上千的机器但只收到一次抱怨。但我不是律师而一些（anal)人们对nmap探测觉得烦恼，所以最好在取得允许后扫描或者——冒险，后果由你自己承担。 map -v target.example.com 这样对target.example.com上所有的保留TCP端口做了一次扫描，-v表示用详细模式。 map -sS -O target.example.com/24 这将开始一次SYN的半开扫描，针对的目标是target.example.com所在的C类子网，它还试图确定在其上运行的是什么系统。这需要root权限，因为用到了半开扫描以及系统侦测。 map -sX -p 22,53,110,143,4564 128.210.*.1-127 发送一个Xmas tree扫描到B类128.210所在子网的一半范围内，我们将检测系统是否运行sshd, DNS, pop3d, imapd, 或者端口4564。要注意由于微软TCP堆栈的不完善，Xmas扫描将不能在其平台上运行成功，同样的问题可能存在于CISCO, IRIX, HP/UX, 和BSDI。 map -v -p 80 ‘*.*.2.3-5‘ 这是定位一个网域（将整个网络分隔成许多小部份）再进行扫描的方式，这里扫描的是所有以.2.3,.2.4, 或.2.5结束的IP地址。如果你是ROOT的话也可以用-sS。同样的你可以从127开始搜寻更多有趣的机器，你可以用‘127-222‘替代前面的星号——恕我直言，那个区域有着大量有趣的机器。 host -l company.com | cut ‘-d ‘ -f 4 | ./nmap -v -i - 做一个DNS zone transfer来寻找在company.com进而的主机并且将IP地址送至nmap(feed the IP addresses to nmap)。这个命令是在我的GNU/Linux平台下运行的，你可能需要用不同的选项参数或者不同的操作系统。 作者 Fyodor 发放 最新版本的nmap可以从以下URL获得（以下为版权信息） http://www.insecure.org/nmap/ map is (C) 1997,1998,1999 by Fyodor (fyodor@dhp.com, fyodor@insecure.org) libpcap is also distributed along with nmap. It is copy-righted by Van Jacobson, Craig Leres and Steven McCanne,all of the Lawrence Berkeley National Laboratory, University of California, Berkeley, CA.The Version distributed with nmap may be modified,pristine sources are available fromftp://ftp.ee.lbl.gov/libpcap.tar.Z . This program is free software; you can redistribute it and/or modify it under the terms of the GNU General Public License as published by the Free Software Foundation; Version 2. This guarantees your right to use, modify, and redistribute Nmap under certain conditions. If this license is unacceptable to you, Insecure.Org may be willing to sell alternative licenses (contact fyodor@dhp.com). This program is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the GNU General Public License for more details (it is in the COPYING file of the nmap distribution). It should also be noted that Nmap has been known to crash certain poorly written applications, TCP/IP stacks, and even operating systems. Nmap should never be run against mission critical systems unless you are prepared to suffer downtime. We acknowledge here that Nmap may crash your systems or networks and we disclaim all liability for any damage or problems Nmap could cause. All versions of Nmap equal to or greater than 2.0 are believed (through informal testing) to be Year 2000 (Y2K) compliant in all respects. That being said, we reiterate that Nmap comes with no warranty. There is no reason to believe versions earlier than 2.0 are susceptible to problems, but we have not tested them. map的运行平台 可移植性 OS Compiles TCP scan (-sT) SYN scan (-sS) FIN scan (-sF) Frag scan (-f) OS Detection (-O) |
