Nmap扫描原理（上）

转自：https://blog.csdn.net/qq_34398519/article/details/89055991

Nmap是一款开源免费的网络发现（Network Discovery）和安全审计（Security Auditing）工具。软件名字Nmap是Network Mapper的简称。Nmap最初是由Fyodor在1997年开始建立的。随后在开源社区众多的志愿者参与下，该工具逐渐成为最为流行安全必备工具之一。最新版的Nmap6.0在2012年5月21日发布，详情请参见：www.nmap.org。

通常状况下，Nmap用于列举网络主机清单、管理服务升级调度、监控主机或服务运行情况。Nmap能够检测目标机是否在线、端口开放状况、侦测运行的服务类型及版本信息、侦测操做系统与设备类型等信息。

Nmap的优势：

1.      灵活。支持数十种不一样的扫描方式，支持多种目标对象的扫描。

2.      强大。Nmap能够用于扫描互联网上大规模的计算机。

3.      可移植。支持主流操做系统：Windows/Linux/Unix/MacOS等等；源码开放，方便移植。

4.      简单。提供默认的操做能覆盖大部分功能，基本端口扫描nmap targetip，全面的扫描nmap –A targetip。

5.      自由。Nmap做为开源软件，在GPL License的范围内能够自由的使用。

6.      文档丰富。Nmap官网提供了详细的文档描述。Nmap做者及其余安全专家编写了多部Nmap参考书籍。

7.      社区支持。Nmap背后有强大的社区团队支持。

8.      赞誉有加。得到不少的奖励，并在不少影视做品中出现（如黑客帝国二、Die Hard4等）。

9.      流行。目前Nmap已经被成千上万的安全专家列为必备的工具之一。

 

1.1    Zenmap

Zenmap是Nmap官方提供的图形界面，一般随Nmap的安装包发布。Zenmap是用Python语言编写而成的开源免费的图形界面，可以运行在不一样操做系统平台上（Windows/Linux/Unix/Mac OS等）。Zenmap旨在为nmap提供更加简单的操做方式。简单经常使用的操做命令能够保存成为profile，用户扫描时选择profile便可；能够方便地比较不一样的扫描结果；提供网络拓扑结构(NetworkTopology)的图形显示功能。

 

其中Profile栏位，用于选择“Zenmap默认提供的Profile”或“用户建立的Profile”；Command栏位，用于显示选择Profile对应的命令或者用户自行指定的命令；Topology选项卡，用于显示扫描到的目标机与本机之间的拓扑结构。

1.2    功能架构图

Nmap包含四项基本功能：

1. 主机发现（Host Discovery）

2. 端口扫描（Port Scanning）

3. 版本侦测（Version Detection）

4. 操做系统侦测（Operating System Detection）

而这四项功能之间，又存在大体的依赖关系（一般状况下的顺序关系，但特殊应用另外考虑），首先须要进行主机发现，随后肯定端口情况，而后肯定端口上运行具体应用程序与版本信息，而后能够进行操做系统的侦测。而在四项基本功能的基础上，Nmap提供防火墙与IDS（IntrusionDetection System,入侵检测系统）的规避技巧，能够综合应用到四个基本功能的各个阶段；另外Nmap提供强大的NSE（Nmap Scripting Language）脚本引擎功能，脚本能够对基本功能进行补充和扩展。

 

 

2     Nmap基本扫描方法

Nmap主要包括四个方面的扫描功能，主机发现、端口扫描、应用与版本侦测、操做系统侦测。在详细讲解每一个具体功能以前，首先能够看看Nmap的典型用法。

2.1    用法引入

2.1.1    肯定端口情况

若是直接针对某台计算的IP地址或域名进行扫描，那么Nmap对该主机进行主机发现过程和端口扫描。该方式执行迅速，能够用于肯定端口的开放情况。

命令形式:

nmap targethost

能够肯定目标主机在线状况及端口基本情况。

2.1.2    完整全面的扫描

若是但愿对某台主机进行完整全面的扫描，那么可使用nmap内置的-A选项。使用了改选项，nmap对目标主机进行主机发现、端口扫描、应用程序与版本侦测、操做系统侦测及调用默认NSE脚本扫描。

命令形式：

nmap –T4 –A –v targethost

其中-A选项用于使用进攻性（Aggressive）方式扫描；-T4指定扫描过程使用的时序（Timing），总有6个级别（0-5），级别越高，扫描速度越快，但也容易被防火墙或IDS检测并屏蔽掉，在网络通信情况良好的状况推荐使用T4；-v表示显示冗余（verbosity）信息，在扫描过程当中显示扫描的细节，从而让用户了解当前的扫描状态。

例如，扫描局域网内地址为192.168.1.100的电脑。显而易见，扫描出的信息很是丰富，在对192.168.1.100的扫描报告部分中（以红框圈出），能够看到主机发现的结果“Host is up”；端口扫描出的结果，有996个关闭端口，4个开放端口（在未指定扫描端口时，Nmap默认扫描1000个最有可能开放的端口）；而版本侦测针对扫描到的开放情况进一步探测端口上运行的具体的应用程序和版本信息；OS侦测对该目标主机的设备类型与操做系统进行探测；而绿色框图是nmap调用NSE脚本进行进一步的信息挖掘的显示结果。

 

2.2    主机发现

主机发现（Host Discovery），即用于发现目标主机是否在线（Alive，处于开启状态）。

2.2.1    主机发现原理

主机发现发现的原理与Ping命令相似，发送探测包到目标主机，若是收到回复，那么说明目标主机是开启的。Nmap支持十多种不一样的主机探测方式，好比发送ICMP ECHO/TIMESTAMP/NETMASK报文、发送TCPSYN/ACK包、发送SCTP INIT/COOKIE-ECHO包，用户能够在不一样的条件下灵活选用不一样的方式来探测目标机。

主机发现基本原理：（以ICMP echo方式为例）

Nmap的用户位于源端，IP地址192.168.0.5，向目标主机192.168.0.3发送ICMP Echo Request。若是该请求报文没有被防火墙拦截掉，那么目标机会回复ICMP Echo Reply包回来。以此来肯定目标主机是否在线。

默认状况下，Nmap会发送四种不一样类型的数据包来探测目标主机是否在线。

1.      ICMP echo request

2.      a TCP SYN packet to port 443

3.      a TCP ACK packet to port 80

4.      an ICMP timestamp request

依次发送四个报文探测目标机是否开启。只要收到其中一个包的回复，那就证实目标机开启。使用四种不一样类型的数据包能够避免因防火墙或丢包形成的判断错误。

2.2.2    主机发现的用法

一般主机发现并不单独使用，而只是做为端口扫描、版本侦测、OS侦测先行步骤。而在某些特殊应用（例如肯定大型局域网内活动主机的数量），可能会单独专门适用主机发现功能来完成。

无论是做为辅助用法仍是专门用途，用户均可以使用Nmap提供的丰富的选项来定制主机发现的探测方式。

[plain] view plaincopy

1. -sL: List Scan 列表扫描，仅将指定的目标的IP列举出来，不进行主机发现。

2. -sn: Ping Scan 只进行主机发现，不进行端口扫描。

3. -Pn: 将全部指定的主机视做开启的，跳过主机发现的过程。

4. -PS/PA/PU/PY[portlist]: 使用TCPSYN/ACK或SCTP INIT/ECHO方式进行发现。

5. -PE/PP/PM: 使用ICMP echo, timestamp, and netmask 请求包发现主机。-PO[protocollist]: 使用IP协议包探测对方主机是否开启。

6. -n/-R: -n表示不进行DNS解析；-R表示老是进行DNS解析。

7. –dns-servers <serv1[,serv2],…>: 指定DNS服务器。

8. –system-dns: 指定使用系统的DNS服务器

9. –traceroute: 追踪每一个路由节点

其中，比较经常使用的使用的是-sn，表示只单独进行主机发现过程；-Pn表示直接跳过主机发现而进行端口扫描等高级操做（若是已经确知目标主机已经开启，可用该选项）；-n，若是不想使用DNS或reverse DNS解析，那么可使用该选项。

2.2.3    使用演示

探测scanme.nmap.org

下面以探测scanme.nmap.org 的主机为例，简单演示主机发现的用法。

命令以下：

nmap –sn –PE –PS80,135 –PU53 scanme.nmap.org

 

使用Wireshark抓包，咱们看到，scanme.nmap.org 的IP地址74.207.244.221发送了四个探测包：ICMPEcho，80和135端口的TCP SYN包，53端口的UDP包（DNS domain）。而收到ICMP Echo的回复与80端口的回复。从而肯定了scanme.nmap.org主机正常在线。

探测局域网内活动主机

扫描局域网192.168.1.100-192.168.1.120范围内哪些IP的主机是活动的。

命令以下：

nmap –sn 192.168.1.100-120

从结果中，能够看到这个IP范围内有三台主机处于活动状态。

从Wireshark抓取的包中，能够看到发送的探测包的状况：

在局域网内，Nmap是经过ARP包来询问IP地址上的主机是否活动的，若是收到ARP回复包，那么说明主机在线。

例如，某条ARP回复的报文详细信息以下：

 

2.3    端口扫描

端口扫描是Nmap最基本最核心的功能，用于肯定目标主机的TCP/UDP端口的开放状况。

默认状况下，Nmap会扫描1000个最有可能开放的TCP端口。

Nmap经过探测将端口划分为6个状态：

1. open：端口是开放的。

2. closed：端口是关闭的。

3. filtered：端口被防火墙IDS/IPS屏蔽，没法肯定其状态。

4. unfiltered：端口没有被屏蔽，可是否开放须要进一步肯定。

5. open|filtered：端口是开放的或被屏蔽。

6. closed|filtered ：端口是关闭的或被屏蔽。

2.3.1    端口扫描原理

Nmap在端口扫描方面很是强大，提供了十多种探测方式。

2.3.1.1    TCP SYN scanning

这是Nmap默认的扫描方式，一般被称做半开放扫描（Half-open scanning）。该方式发送SYN到目标端口，若是收到SYN/ACK回复，那么判断端口是开放的；若是收到RST包，说明该端口是关闭的。若是没有收到回复，那么判断该端口被屏蔽（Filtered）。由于该方式仅发送SYN包对目标主机的特定端口，但不创建的完整的TCP链接，因此相对比较隐蔽，并且效率比较高，适用范围广。

TCP SYN探测到端口关闭：

TCP SYN探测到端口开放：

2.3.1.2    TCP connect scanning

TCP connect方式使用系统网络API connect向目标主机的端口发起链接，若是没法链接，说明该端口关闭。该方式扫描速度比较慢，并且因为创建完整的TCP链接会在目标机上留下记录信息，不够隐蔽。因此，TCP connect是TCP SYN没法使用才考虑选择的方式。

TCP connect探测到端口关闭：

TCP connect探测到端口开放：

2.3.1.3    TCP ACK scanning

向目标主机的端口发送ACK包，若是收到RST包，说明该端口没有被防火墙屏蔽；没有收到RST包，说明被屏蔽。该方式只能用于肯定防火墙是否屏蔽某个端口，能够辅助TCP SYN的方式来判断目标主机防火墙的情况。

TCP ACK探测到端口被屏蔽：

TCP ACK探测到端口未被屏蔽：

2.3.1.4    TCP FIN/Xmas/NULL scanning

这三种扫描方式被称为秘密扫描（Stealthy Scan），由于相对比较隐蔽。FIN扫描向目标主机的端口发送的TCP FIN包或Xmas tree包/Null包，若是收到对方RST回复包，那么说明该端口是关闭的；没有收到RST包说明端口多是开放的或被屏蔽的（open|filtered）。

其中Xmas tree包是指flags中FIN URG PUSH被置为1的TCP包；NULL包是指全部flags都为0的TCP包。

TCP FIN探测到主机端口是关闭的：

TCP FIN探测到主机端口是开放或屏蔽的：

2.3.1.5    UDP scanning

UDP扫描方式用于判断UDP端口的状况。向目标主机的UDP端口发送探测包，若是收到回复“ICMP port unreachable”就说明该端口是关闭的；若是没有收到回复，那说明UDP端口多是开放的或屏蔽的。所以，经过反向排除法的方式来判定哪些UDP端口是可能出于开放状态。

UDP端口关闭：

UDP端口开放或被屏蔽：

2.3.1.6    其余方式

除上述几种经常使用的方式以外，Nmap还支持多种其余探测方式。例如使用SCTP INIT/COOKIE-ECHO方式来探测SCTP的端口开放状况；使用IP protocol方式来探测目标主机支持的协议类型（TCP/UDP/ICMP/SCTP等等）；使用idle scan方式借助僵尸主机（zombie host，也被称为idle host，该主机处于空闲状态而且它的IPID方式为递增。详细实现原理参见：http://nmap.org/book/idlescan.html）来扫描目标在主机，达到隐蔽本身的目的；或者使用FTP bounce scan，借助FTP容许的代理服务扫描其余的主机，一样达到隐藏本身的身份的目的。

 

2.3.2    端口扫描用法

端口扫描用法比较简单，Nmap提供丰富的命令行参数来指定扫描方式和扫描端口。

 

具体能够参见以下描述。

2.3.2.1    扫描方式选项

[plain] view plaincopy

1. -sS/sT/sA/sW/sM:指定使用 TCP SYN/Connect()/ACK/Window/Maimon scans的方式来对目标主机进行扫描。

2.   -sU: 指定使用UDP扫描方式肯定目标主机的UDP端口情况。

3.   -sN/sF/sX: 指定使用TCP Null, FIN, and Xmas scans秘密扫描方式来协助探测对方的TCP端口状态。

4.   –scanflags <flags>: 定制TCP包的flags。

5.   -sI <zombiehost[:probeport]>: 指定使用idle scan方式来扫描目标主机（前提须要找到合适的zombie host）

6.   -sY/sZ: 使用SCTP INIT/COOKIE-ECHO来扫描SCTP协议端口的开放的状况。

7.   -sO: 使用IP protocol 扫描肯定目标机支持的协议类型。

8.   -b <FTP relay host>: 使用FTP bounce scan扫描方式

 

2.3.2.2    端口参数与扫描顺序

[plain] view plaincopy

1. -p <port ranges>: 扫描指定的端口

2. 实例: -p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080,S:9（其中T表明TCP协议、U表明UDP协议、S表明SCTP协议）

3. -F: Fast mode – 快速模式，仅扫描TOP 100的端口

4. -r: 不进行端口随机打乱的操做（如无该参数，nmap会将要扫描的端口以随机顺序方式扫描，以让nmap的扫描不易被对方防火墙检测到）。

5. –top-ports <number>:扫描开放几率最高的number个端口（nmap的做者曾经作过大规模地互联网扫描，以此统计出网络上各类端口可能开放的几率。以此排列出最有可能开放端口的列表，具体能够参见文件：nmap-services。默认状况下，nmap会扫描最有可能的1000个TCP端口）

6. –port-ratio <ratio>: 扫描指定频率以上的端口。与上述–top-ports相似，这里以几率做为参数，让几率大于–port-ratio的端口才被扫描。显然参数必须在在0到1之间，具体范围几率状况能够查看nmap-services文件。

 

2.3.3    端口扫描演示

这里，咱们以扫描局域网内192.168.1.100主机为例。

命令以下：

nmap –sS –sU –T4 –top-ports 300 192.168.1.100

参数-sS表示使用TCP SYN方式扫描TCP端口；-sU表示扫描UDP端口；-T4表示时间级别配置4级；–top-ports 300表示扫描最有可能开放的300个端口（TCP和UDP分别有300个端口）。

从上图中，咱们看到扫描结果，横线处写明有共有589端口是关闭的；红色框图中列举出开放的端口和多是开放的端口。

2.4    版本侦测

版本侦测，用于肯定目标主机开放端口上运行的具体的应用程序及版本信息。

Nmap提供的版本侦测具备以下的优势：

• 高速。并行地进行套接字操做，实现一组高效的探测匹配定义语法。

• 尽量地肯定应用名字与版本名字。

• 支持TCP/UDP协议，支持文本格式与二进制格式。

• 支持多种平台服务的侦测，包括Linux/Windows/Mac OS/FreeBSD等系统。

• 若是检测到SSL，会调用openSSL继续侦测运行在SSL上的具体协议（如HTTPS/POP3S/IMAPS）。

• 若是检测到SunRPC服务，那么会调用brute-force RPC grinder进一步肯定RPC程序编号、名字、版本号。

• 支持完整的IPv6功能，包括TCP/UDP，基于TCP的SSL。

• 通用平台枚举功能（CPE）

• 普遍的应用程序数据库（nmap-services-probes）。目前Nmap能够识别几千种服务的签名，包含了180多种不一样的协议。

2.4.1    版本侦测原理

简要的介绍版本的侦测原理。

版本侦测主要分为如下几个步骤：

1. 首先检查open与open|filtered状态的端口是否在排除端口列表内。若是在排除列表，将该端口剔除。

2. 若是是TCP端口，尝试创建TCP链接。尝试等待片刻（一般6秒或更多，具体时间能够查询文件nmap-services-probes中Probe TCP NULL q||对应的totalwaitms）。一般在等待时间内，会接收到目标机发送的“WelcomeBanner”信息。nmap将接收到的Banner与nmap-services-probes中NULL probe中的签名进行对比。查找对应应用程序的名字与版本信息。

3. 若是经过“Welcome Banner”没法肯定应用程序版本，那么nmap再尝试发送其余的探测包（即从nmap-services-probes中挑选合适的probe），将probe获得回复包与数据库中的签名进行对比。若是反复探测都没法得出具体应用，那么打印出应用返回报文，让用户自行进一步断定。

4. 若是是UDP端口，那么直接使用nmap-services-probes中探测包进行探测匹配。根据结果对比分析出UDP应用服务类型。

5. 若是探测到应用程序是SSL，那么调用openSSL进一步的侦查运行在SSL之上的具体的应用类型。

6. 若是探测到应用程序是SunRPC，那么调用brute-force RPC grinder进一步探测具体服务。

2.4.2    版本侦测的用法

版本侦测方面的命令行选项比较简单。

[plain] view plaincopy

1. -sV: 指定让Nmap进行版本侦测

2. –version-intensity <level>: 指定版本侦测强度（0-9），默认为7。数值越高，探测出的服务越准确，可是运行时间会比较长。

3. –version-light: 指定使用轻量侦测方式 (intensity 2)

4. –version-all: 尝试使用全部的probes进行侦测 (intensity 9)

5. –version-trace: 显示出详细的版本侦测过程信息。

 

2.4.3    版本侦测演示

命令：

nmap –sV 192.168.1.100

对主机192.168.1.100进行版本侦测。

从结果中，咱们能够看到996个端口是关闭状态，对于4个open的端口进行版本侦测。图中红色为版本信息。红色线条划出部分是版本侦测获得的附加信息，由于从应用中检测到微软特定的应用服务，因此推断出对方运行的Windows的操做系统。

2.5    OS侦测

操做系统侦测用于检测目标主机运行的操做系统类型及设备类型等信息。

Nmap拥有丰富的系统数据库nmap-os-db，目前能够识别2600多种操做系统与设备类型。

2.5.1    OS侦测原理

Nmap使用TCP/IP协议栈指纹来识别不一样的操做系统和设备。在RFC规范中，有些地方对TCP/IP的实现并无强制规定，由此不一样的TCP/IP方案中可能都有本身的特定方式。Nmap主要是根据这些细节上的差别来判断操做系统的类型的。

具体实现方式以下：

 

1. Nmap内部包含了2600多已知系统的指纹特征（在文件nmap-os-db文件中）。将此指纹数据库做为进行指纹对比的样本库。

2. 分别挑选一个open和closed的端口，向其发送通过精心设计的TCP/UDP/ICMP数据包，根据返回的数据包生成一份系统指纹。

3. 将探测生成的指纹与nmap-os-db中指纹进行对比，查找匹配的系统。若是没法匹配，以几率形式列举出可能的系统。

 

2.5.2    OS侦测用法

OS侦测的用法简单，Nmap提供的命令比较少。

[plain] view plaincopy

1. -O: 指定Nmap进行OS侦测。

2. –osscan-limit: 限制Nmap只对肯定的主机的进行OS探测（至少需确知该主机分别有一个open和closed的端口）。

3. –osscan-guess: 大胆猜想对方的主机的系统类型。由此准确性会降低很多，但会尽量多为用户提供潜在的操做系统。

2.5.3    OS侦测演示

命令：

nmap –O 192.168.1.100

从上图中可看到，指定-O选项后先进行主机发现与端口扫描，根据扫描到端口来进行进一步的OS侦测。获取的结果信息有设备类型，操做系统类型，操做系统的CPE描述，操做系统细节，网络距离等。