Nmap学习
Nmap输出的是扫描目标的列表，以及每个目标的补充信息，至于是哪些信息则依赖于所使用的选项。“所感兴趣的端口表格”是其中的关键。那张表列出端口号，协议，服务名称和状态。状态可能是open(开放的)，filtered(被过滤的)，closed(关闭的)，或者unfiltered(未被过滤的)。 Open(开放的)意味着目标机器上的应用程序正在该端口监听连接/报文。filtered(被过滤的) 意味着防火墙，过滤器或者其它网络障碍阻止了该端口被访问，Nmap无法得知它是open(开放的) 还是closed(关闭的)。closed(关闭的) 端口没有应用程序在它上面监听，但是他们随时可能开放。 当端口对Nmap的探测做出响应，但是Nmap无法确定它们是关闭还是开放时，这些端口就被认为是unfiltered(未被过滤的) 如果Nmap报告状态组合open|filtered和closed|filtered时，那说明Nmap无法确定该端口处于两个状态中的哪一个状态。 当要求进行版本探测时，端口表也可以包含软件的版本信息。当要求进行IP协议扫描时 (-sO)，Nmap提供关于所支持的IP协议而不是正在监听的端口的信息。
以例子说明：
一、基础知识：
1、扫描单一的一个主机：nmap 219.228.135.201
2、扫描整个子网：
nmap 192.168.1.1/24
3、扫描多个目标、扫描一个范围内的目标：
nmap 192.168.1.2 192.168.1.5
nmap 192.168.1.1-100
4、扫描保存在txt文件下的ip地址列表，且和nmap在同一目录下：
nmap -iL target.txt
5、如果你想看到你扫描的所有主机的列表：
nmap -sL 192.168.1.1/24
6、扫描除过某一ip外的所有子网、扫描除过某一文件中ip外的子网主机：
nmap 192.168.1.1/24-exclude 192.168.1.1
namp 192.168.1.1/24-exclude filexxx.txt(xxx.txt中的文件将会从扫描的主机中排除）
7、扫描特定主机上的80、21、23端口：
nmap -p80,21,23 192.168.1.1
二、深入探讨Nmap扫描技术：
1、 TCP SYN Scan（sS)是一个基本的扫面方式，称为半开放扫描，因为该技术使得Nmap不需要通过完整的握手，就能获得远程主机的信息。Nmap发送SYN包到远程主机，但是它不会产生任何会话，因此不会在目标主机上产生任何日志记录，因为没有形成会话。这个就是SYN扫描的优势。如果Nmap命令中没有指出扫描类型，默认的就是Tcp SYN。但是它需要root或administrator权限。
nmap -sS 192.168.1.1
2、TCP connect() scan(sT)，如果不选择SYN扫描，TCP connect()扫描就是默认的扫描模式。不同于SYN扫描，TCP connect()扫描需要完成三次握手，并且要求扫描调用系统的connect()。TCP connect()扫描技术只适用于找出TCP和UDP端口。
nmap -sT 192.168.1.1
3、UDP Scan(sU)扫描技术用来寻找目标主机打开的UDP端口。它不需要发送任何的SYN包，因为这种技术是针对UDP端口的。UDP扫描发送UDP数据包到目标主机，并等待响应，如果返回ICMP不可达的错误消息，说明端口是关闭的；如果得到正确的适当的回应，说明端口是开放的。
nmap -sU 192.168.1.1
4、FINscan(sF)，有时候TCP SYN扫描不是最佳的扫描方式。因为有防火墙的存在，目标主机有时候可能有IDS和IPS系统的存在，防火墙会阻止掉SYN数据包。发送一个设置了FIN标志的数据包并不需要完成TCP的握手。FIN扫描也不会在目标主机上创建日志(FIN扫描的优势之一)。每个类型的扫描都是具有差异性的，FIN扫描发送的包只包含FIN标识，NULL扫描不发送数据包上的任何字节，XMAS扫描发送FIN、PSH和URG标识的数据包。
nmap -sF 192.168.1.8
5、PINGScan(sP)，PING扫描不同于其他的扫描方式，因为它只用于找出主机是否是存在在网络中的。它不是用来发现是否开放端口的。PING扫描需要root权限，如果用户没有root权限，PING扫描将会使用connect()调用。
nmap -sP 192.168.1.1
6、版本检测(sV)，是用来扫描目标主机和端口上运行的软件的版本。它不同于其他的扫描技术，它不是用来扫描目标主机上开放的端口，不过它需要从开放的端口获取信息来判断软件的版本。使用版本检测扫描之前需要先用TCP SYN扫描开放了哪些端口。
nmap -sV 192.168.1.1
7、IDleScan，是一种先进的扫描技术，它不是用你真实的主机IP发送数据包，而是使用另外一个目标网络的主机发送数据包。
nmap -sI 192.168.1.6 192.168.1.1
(1).理论基础
a. 每个IP包都有帧ID，记作IP ID
b. TCP正常建立链接的时候，第一步是主机A从端口X发给主机B端口Y一个 SYN，第二步是B回应A一个SYN/ACK，第三步是A回B一个ACK，连接建立了。如果A没有发给B一个SYN，而B发给A了一个SYN/ACK，那么A就会发给B一个RST
c. 大部分主机的TCP/IP协议实现中，RST中的IP ID是递增的，增加的单位是1，即incremental
(2).TCP Idle scan原理和步骤
a. 这里需要三台主机，一台攻击者，一台没有什么网络流量的空闲主机，还有就是我们的目标主机.
b. 目标的某个端口的状态可能是打开、关闭或则被过滤，在遇到我们的Idle scan的时候，不同状态的端口的scan的结果是不一样，由此来判断端口是否是打开的
c. 具体步骤为：
（1）找到一台空闲主机，并从攻击主机发给空闲主机一个SYN/ACK，获得并记录空闲主机的RST的IP ID
（2）在攻击者的主机上虚构一个从空闲主机到目标主机的一个SYN，于是根据目标主机的目标端口状态，如果目标主机的目标端口打开，将会发给空闲主机的一个SYN/ACK，所以空闲主机将会发给目标主机一个RST，否则不会发送RST
（3）再次从攻击主机发给空闲主机SYN/ACK，检查RST的IP ID，如果IP ID比第一步记录下的增加了二，则说明第二步中空闲主机给目标主机发送了一个RST，目标主机的目标端口处于打开状态，否则为没打开
根据目标主机的目标端口的不同状态，可得一下三附图：
a.选择空闲主机时，尽量选择离攻击主机和目标主机比较近的，这样可以增加nmap的性能和可靠性，nmap的-iR选项可以用来随机选择寻找的主机，-O和-v可以查看主机的IP ID增长的方式是否为incremental；在一种方法就是使用nmap的--script选项，指定脚本：ipidseq，如：
nmap --script ipidseq -iR 5 -O -v
b. 一个实例：
来源：http://blog.csdn.net/dong976209075/article/details/7771159
8、OS检测(O)，Nmap最重要的特点之一是能够远程检测操作系统和软件，Nmap的OS检测技术在渗透测试中用来了解远程主机的操作系统和软件是非常有用的，通过获取的信息你可以知道已知的漏洞。Nmap有一个名为的nmap-OS-DB数据库，该数据库包含超过2600操作系统的信息。Nmap把TCP和UDP数据包发送到目标机器上，然后检查结果和数据库对照。
namp -O 192.168.1.2
9、Nmap的操作系统指纹识别技术：
设备类型（路由器，工作组等）运行（运行的操作系统）操作系统的详细信息（操作系统的名称和版本）、网络距离（目标和攻击者之间的距离跳）。如果远程主机有防火墙，IDS和IPS系统，你可以使用-PN命令来确保不ping远程主机，因为有时候防火墙会阻止掉ping请求。-PN命令告诉Nmap不用ping远程主机。
nmap -O -PN 192.168.1.1/24
该命令告诉发信主机远程主机是存活在网络上的，所以没有必要发送ping请求,使用-PN参数可以绕过PING命令,但是不影响主机的系统的发现。
Nmap的操作系统检测的基础是有开放和关闭的端口，如果OSscan无法检测到至少一个开放或者关闭的端口，会返回以下错误：Warning:OSScan results may be unreliable because we could not find at least 1 open and 1 closed port。
想通过Nmap准确的检测到远程操作系统是比较困难的，需要使用到Nmap的猜测功能选项,–osscan-guess猜测认为最接近目标的匹配操作系统类型。
nmap -O --osscan-guess 192.168.1.1
三、扫描类型说明
-sT TCPconnect()扫描：这是最基本的TCP扫描方式。connect()是一种系统调用，由操作系统提供，用来打开一个连接。如果目标端口有程序监听，connect()就会成功返回，否则这个端口是不可达的。这项技术最大的优点是，你勿需root权限。任何UNIX用户都可以自由使用这个系统调用。这种扫描很容易被检测到，在目标主机的日志中会记录大批的连接请求以及错误信息。
-sS TCP同步扫描(TCPSYN)：因为不必全部打开一个TCP连接，所以这项技术通常称为半开扫描(half-open)。你可以发出一个TCP同步包(SYN)，然后等待回应。如果对方返回SYN|ACK(响应)包就表示目标端口正在监听；如果返回RST数据包，就表示目标端口没有监听程序；如果收到一个SYN|ACK包，源主机就会马上发出一个RST(复位)数据包断开和目标主机的连接，这实际上有我们的操作系统内核自动完成的。这项技术最大的好处是，很少有系统能够把这记入系统日志。不过，你需要root权限来定制SYN数据包。
-sF-sX-sN秘密FIN数据包扫描、圣诞树(XmasTree)、空(Null)扫描模式：即使SYN扫描都无法确定的情况下使用。一些防火墙和包过滤软件能够对发送到被限制端口的SYN数据包进行监视，而且有些程序比如synlogger和courtney能够检测那些扫描。这些高级的扫描方式可以逃过这些干扰。些扫描方式的理论依据是：关闭的端口需要对你的探测包回应RST包，而打开的端口必需忽略有问题的包(参考RFC793第64页)。FIN扫描使用暴露的FIN数据包来探测，而圣诞树扫描打开数据包的FIN、URG和PUSH标志。不幸的是，微软决定完全忽略这个标准，另起炉灶。所以这种扫描方式对Windows95/NT无效。不过，从另外的角度讲，可以使用这种方式来分别两种不同的平台。如果使用这种扫描方式可以发现打开的端口，你就可以确定目标注意运行的不是Windows系统。如果使用-sF、-sX或者-sN扫描显示所有的端口都是关闭的，而使用SYN扫描显示有打开的端口，你可以确定目标主机可能运行的是Windwos系统。现在这种方式没有什么太大的用处，因为nmap有内嵌的操作系统检测功能。还有其它几个系统使用和windows同样的处理方式，包括Cisco、BSDI、HP/UX、MYS、IRIX。在应该抛弃数据包时，以上这些系统都会从打开的端口发出复位数据包。
-sP ping扫描：有时你只是想知道此时网络上哪些主机正在运行。通过向你指定的网络内的每个IP地址发送ICMPecho请求数据包，nmap就可以完成这项任务。如果主机正在运行就会作出响应。不幸的是，一些站点例如：microsoft.com阻塞ICMPecho请求数据包。然而，在默认的情况下nmap也能够向80端口发送TCPack包，如果你收到一个RST包，就表示主机正在运行。nmap使用的第三种技术是：发送一个SYN包，然后等待一个RST或者SYN/ACK包。对于非root用户，nmap使用connect()方法。在默认的情况下(root用户)，nmap并行使用ICMP和ACK技术。注意，nmap在任何情况下都会进行ping扫描，只有目标主机处于运行状态，才会进行后续的扫描。如果你只是想知道目标主机是否运行，而不想进行其它扫描，才会用到这个选项。
-sU UDP扫描：如果你想知道在某台主机上提供哪些UDP(用户数据报协议,RFC768)服务，可以使用这种扫描方法。nmap首先向目标主机的每个端口发出一个0字节的UDP包，如果我们收到端口不可达的ICMP消息，端口就是关闭的，否则我们就假设它是打开的。有些人可能会想UDP扫描是没有什么意思的。但是，我经常会想到最近出现的solaris rpcbind缺陷。rpcbind隐藏在一个未公开的UDP端口上，这个端口号大于32770。所以即使端口111(portmap的众所周知端口号)被防火墙阻塞有关系。但是你能发现大于30000的哪个端口上有程序正在监听吗?使用UDP扫描就能！cDcBackOrifice的后门程序就隐藏在Windows主机的一个可配置的UDP端口中。不考虑一些通常的安全缺陷，一些服务例如:snmp、tftp、NFS使用UDP协议。不幸的是，UDP扫描有时非常缓慢，因为大多数主机限制ICMP错误信息的比例(在RFC1812中的建议)。例如，在Linux内核中(在net/ipv4/icmp.h文件中)限制每4秒钟只能出现80条目标豢纱锏腎CMP消息，如果超过这个比例，就会给1/4秒钟的处罚。solaris的限制更加严格，每秒钟只允许出现大约2条ICMP不可达消息，这样，使扫描更加缓慢。nmap会检测这个限制的比例，减缓发送速度，而不是发送大量的将被目标主机丢弃的无用数据包。不过Micro$oft忽略了RFC1812的这个建议，不对这个比例做任何的限制。所以我们可以能够快速扫描运行Win95/NT的主机上的所有65K个端口。
-sA ACK扫描：这项高级的扫描方法通常用来穿过防火墙的规则集。通常情况下，这有助于确定一个防火墙是功能比较完善的或者是一个简单的包过滤程序，只是阻塞进入的SYN包。这种扫描是向特定的端口发送ACK包(使用随机的应答/序列号)。如果返回一个RST包，这个端口就标记为unfiltered状态。如果什么都没有返回，或者返回一个不可达ICMP消息，这个端口就归入filtered类。注意，nmap通常不输出unfiltered的端口，所以在输出中通常不显示所有被探测的端口。显然，这种扫描方式不能找出处于打开状态的端口。
-sW对滑动窗口的扫描：这项高级扫描技术非常类似于ACK扫描，除了它有时可以检测到处于打开状态的端口，因为滑动窗口的大小是不规则的，有些操作系统可以报告其大小。这些系统至少包括：某些版本的AIX、Amiga、BeOS、BSDI、Cray、Tru64UNIX、DG/UX、OpenVMS、DigitalUNIX、OpenBSD、OpenStep、QNX、Rhapsody、SunOS4.x、Ultrix、VAX、VXWORKS。从nmap-hackers邮件3列表的文档中可以得到完整的列表。
-sR RPC扫描。这种方法和nmap的其它不同的端口扫描方法结合使用。选择所有处于打开状态的端口向它们发出SunRPC程序的NULL命令，以确定它们是否是RPC端口，如果是，就确定是哪种软件及其版本号。因此你能够获得防火墙的一些信息。诱饵扫描现在 还不能和RPC扫描结合使用。
-bFTP反弹攻击(bounceattack):FTP协议(RFC959)有一个很有意思的特征，它支持代理FTP连接。也就是说，我能够从evil.com连接到FTP服务器target.com，并且可以要求这台FTP服务器为自己发送Internet上任何地方的文件！1985年，RFC959完成时，这个特征就能很好地工作了。然而，在今天的Internet中，我们不能让人们劫持FTP服务器，让它向Internet上的任意节点发送数据。如同Hobbit在1995年写的文章中所说的，这个协议"能够用来做投递虚拟的不可达邮件和新闻，进入各种站点的服务器,填满硬盘，跳过防火墙，以及其它的骚扰活动，而且很难进行追踪"。我们可以使用这个特征，在一台代理FTP服务器扫描TCP端口。因此，你需要连接到防火墙后面的一台FTP服务器，接着进行端口扫描。如果在这台FTP服务器中有可读写的目录，你还可以向目标端口任意发送数据(不过nmap不能为你做这些)。传递给-b功能选项的参数是你要作为代理的FTP服务器。语法格式为：-busername:password@server:port。除了server以外，其余都是可选的。如果你想知道什么服务器有这种缺陷，可以参考我在Phrack51发表的文章。还可以在nmap的站点得到这篇文章的最新版本。
通用选项这些内容不是必需的，但是很有用。
-P0在扫描之前，不必ping主机。有些网络的防火墙不允许ICMPecho请求穿过，使用这个选项可以对这些网络进行扫描。microsoft.com就是一个例子，因此在扫描这个站点时，你应该一直使用-P0或者-PT80选项。
-PT扫描之前，使用TCPping确定哪些主机正在运行。nmap不是通过发送ICMPecho请求包然后等待响应来实现这种功能，而是向目标网络(或者单一主机)发出TCPACK包然后等待回应。如果主机正在运行就会返回RST包。只有在目标网络/主机阻塞了ping包，而仍旧允许你对其进行扫描时，这个选项才有效。对于非root用户，我们使用connect()系统调用来实现这项功能。使用-PT来设定目标端口。默认的端口号是80，因为这个端口通常不会被过滤。
-PS对于root用户，这个选项让nmap使用SYN包而不是ACK包来对目标主机进行扫描。如果主机正在运行就返回一个RST包(或者一个SYN/ACK包)。
-PI设置这个选项，让nmap使用真正的ping(ICMPecho请求)来扫描目标主机是否正在运行。使用这个选项让nmap发现正在运行的主机的同时，nmap也会对你的直接子网广播地址进行观察。直接子网广播地址一些外部可达的IP地址，把外部的包转换为一个内向的IP广播包，向一个计算机子网发送。这些IP广播包应该删除，因为会造成拒绝服务攻击(例如smurf)。
来源： http://jingyan.baidu.com/article/47a29f24312010c0142399f1.html
