网络安全扫描--基础篇

前言

1、了解互联网安全领域中日趋重要的扫描技术

2、了解在不同网络场景下扫描技术手段

3、熟悉linux下系统内核防护策略并能大件一个有效的系统防护体系

4、增强工作安全意识，并能有效的实践于工作场景中

目录

1、熟悉主机扫描工具（fping，hping）安装和使用

2、熟悉路由扫描工具（traceroute,mtr）使用

3、熟悉批量服务扫描工具（nmap,ncat）使用

4、熟悉如何通过linux内核预防恶意的扫描或者syn***

主机扫描

fping工具

作用：

批量的给目标发送ping要求，测试主机存活情况

特点：

并行发送，结果易读

源码包安装：

解压缩，./configure,make(编译)，make install(安装到系统目录)

常用的参数：

-a：只显示存活的主机（相反参数-u）

1、通过标准输入方式 fping + IP1 + IP2

-g  支持主机段的方式 192.168.1.1 192.168.1.200 (192.168.1.9/24)

2、通过读取一个文件的IP内容

-f 文件

hping工具

特点：支持是使用TCP/IP数据包组装、分析工具

源码包安装：

遇到安装的问题，如果can not find ***

****表示的是库文件名称,l是library。缺少的是ltcl

yum install -y tcl-devel(***-devel.)

Hping常用参数

一、对制定目标端口发起tcp探测

-p 端口

-S 设置TCP模式SYN包

二、伪造源IP，模拟Ddos***

-a 伪造IP地址

示例：hping -p 22 -S 192.168.0.1

路由扫描：

作用：查询一个主机到另一个主机的经过路由的跳数，及数据延迟情况

常用工具：traceroute，mtr

mtr：能测试主机到每一个路由间的连通性

traceroute(选项)(参数)

一、默认使用的是UDP协议（30000以上的端口）

二、使用TCP协议 -T -p

三、使用ICMP协议 -I

常用参数：

-q:制定发送多少个数据包（默认为三）

-g:设置来源路由网关

-x:开启或关闭数据包的正确性检验

-s:设置本地主机送出数据包的IP地址

mtr

在线源安装yum install -y mtr

源码包安装，解压缩文件，编译安装

常用参数：

mtr -s：用来指定ping数据包的大小

mtr -nno-dns：不对IP地址做域名解析

mtr -a：来设置发送数据包的IP地址 这个对一个主机由多个IP地址是有用的

mtr -i：使用这个参数来设置ICMP返回之间的要求默认是1秒

批量主机扫描

目的：1、批量主机存活扫描。2、针对主机服务扫描

作用：

1、能更方便快捷获取网络中主机的存活状态

2、更加细致、智能获取主机服务侦察情况

典型命令：nmap，ncat

nmap工具

扫描类型 概述 特点

ICMP协议类型（-P） ping扫描 简单、快速、有效

TCP SYN扫描（-S) TCP半开放扫描 1、高效 2、不易被检测 3、通用

TCP connect（）扫描（-sT） TCP全开放扫描1、真实 2、结果可靠

UDP扫描（-sU） UDP协议扫描 有效透过防火墙策略

ncat工具使用

组合参数：

-w设置的超时时间

-z一个输入输出模式

-v显示命令执行过程

方式一、基于tcp协议（默认）

nc -v -z -w2 192.168.1.1  1-100

方式二、基于udp协议-u

nc -v -z -w2 -u 192.168.1.1 1-100

预防策略

常见的***方法：

1、SYN***

利用TCP协议缺陷进行，导致系统服务停止响应，网络带宽跑满或者响应缓慢

方式1、减少发送syn+ack包重试次数

sysctl -w net.ipv4.tcp_synack_retries=3

sysctl -w net.ipv4.tcp_syn_retires=3

方式2、SYNcookies技术（不做等待）

sysctl -w net.ipv4_syncookies=1

方式3、增加backlog队列

sysctl -w net.ipv4.tcp_max_syn_backlog=2048

Linux下其他预防策略

策略1、如何关闭ICMP协议请求

sysctl -w net.ipv4.icpm_echo_ignore_all=1

策略2、通过iptables防止扫描

iptables -A FORWARD -p -tcp -icmp-type echo-request -j DROP