十四、主动信息收集-端口扫描

1.UDP端口扫描

前提：基于已发现的存活主机
假设ICMP port unreachable响应代表端口关闭
目标系统不响应ICMP port unreachable时，可能产生误判

完整的UDP应用层请求
- 准确性高
- 耗时巨大

1.1 scapy udp scan

端口关闭：通过ICMP port unreachable
端口开放：没有回包
存在误判

(1)编写udp_scan脚本

#!/usr/bin/python

import logging
import subprocess
logging.getLogger("scapy.runtime").setLevel(logging.ERROR)
from scapy.all import *

if len(sys.argv) != 4:
    print "Usage - ./udp_scan.py[start port && end port]"
    print "Example - ./udp_scan.py 1.1.1.1 1-200"
    print "Example will preform an ICMP scan of the 1.1.1.0 is assigned"
    sys.exit()

ip = sys.argv[1]
start = int(sys.argv[2])
end = int(sys.argv[3])

for port in range (start,end):
    a = sr1(IP(dst=ip)/UDP(dport=port),timeout=3,verbose=0)
    time.sleep(1)
    if a == None:
        print port
    else:
        pass

查看扫描后结果（以metasploitable2为目标主机）：

扫描结果

1.2 nmap udp scan

nmap -sU 192.168.50.183
nmap 192.168.50.183 -sU -p53    //指定端口扫描

nmap默认扫描1000个常用端口
利用ICMP host unreachable

2.TCP端口扫描

所有的TCP扫描方式都是基于三次握手的变化来判断目标端口状态

基于连接的协议
三次握手
全连接扫描
2.1 隐蔽扫描
不建立完整连接 syn---syn/ack---rst
应用日志不记录扫描行为--隐蔽
2.1.1隐蔽扫描-scapy脚本实现

>>>a=sr1(IP(dst="192.168.50.183")/TCP(flags="S"),timeout=0,verbose=0)   //发送标志位为SYN的tcp包
>>> a.display()
###[ IP ]### 
  version= 4L
  ihl= 5L
  tos= 0x0
  len= 44
  id= 0
  flags= DF
  frag= 0L
  ttl= 64
  proto= tcp
  chksum= 0x5451
  src= 192.168.50.183
  dst= 192.168.50.115
  \options\
###[ TCP ]### 
     sport= http   //默认是80端口
     dport= ftp_data
     seq= 2348057631
     ack= 1
     dataofs= 6L
     reserved= 0L
     flags= SA   //返回包为syn+ack，标明端口是开放的
     window= 5840
     chksum= 0x8a52
     urgptr= 0
     options= [('MSS', 1460)]

从下面的抓包可以看见，返回了syn+ack，但是下面的RST并不是由于scapy产生的，而是由主机系统内核自己发出的rst

syn扫描抓包

#!/usr/bin/python

import logging
import subprocess
logging.getLogger("scapy.runtime").setLevel(logging.ERROR)
from scapy.all import *

if len(sys.argv) != 4:
    print "Usage - ./syn_scan.py[start port && end port]"
    print "Example - ./syn_scan.py 1.1.1.1 1-200"
    print "Example will preform an ICMP scan of the 1.1.1.0 is assigned"
    sys.exit()

ip = sys.argv[1]
start = int(sys.argv[2])
end = int(sys.argv[3])

for port in range (start,end):
    a = sr1(IP(dst=ip)/TCP(dport=port),timeout=1,verbose=0)
    if a == None:
        pass
    else:
        if int(a[TCP].flags) == 18:   //syn+ack位为1时，值为18
            print port
        else:
            pass

扫描结果

2.1.2 隐蔽扫描-nmap

nmap -sS 1.1.1.1 -p 80,21,25,443  //多个指定端口扫描

nmap -sS 1.1.1.1 -p 1-65535 --open

nmap -sS 1.1.1.1 -p - --open  //扫描1-65535并处于open状态的端口

nmap -sS -iL iplist.txt -p 80,21,23,53

nmap扫描

2.1.2 隐蔽扫描-hping3

hping3 1.1.1.1 --scan 80 -S  //发送syn包

hping3 1.1.1.1 --scan 80,21,25,443 -S

hping3 1.1.1.1 --scan 0-65535 -S

hping3 -c 100 -S --spoof 1.1.1.2 -p ++1 1.1.1.3  //发送100以内端口，++1逐个递加，并以伪造原地址为1.1.1.2去发送给1.1.1.3

hping3端口扫描

抓包结果

伪造源地址扫描

欺骗源地址抓包

2.2 僵尸扫描
极度隐蔽
实施条件苛刻
可伪造源地址
选择僵尸机
闲置系统
系统使用递增的IPID（ip包头中的Identification，而0或随机产生的情况是无法实现僵尸扫描的）
2.2.1 原理

①原理图--目标主机端口开放状态下

端口开放时

②原理图--目标主机端口关闭状态下

端口关闭时

2.2.2 实验1
*192.168.50.115(scanner扫描机)---------192.168.50.185(zombie僵尸机)---------192.168.50.183(target靶机) *

注：windows xp、windows server2003及以下可以用于zombie僵尸机，而linux或是更高版本的windows的ipid是随机的，无法用来完成此次实验。

>>> i=IP()
>>> t=TCP()
>>> rz=(i/t)
>>> rt=(i/t)
>>> rz[IP].dst="192.168.50.185"
>>> rz[TCP].dport=445
>>> rz[TCP].flags="SA"   //向zombie机发送syn+ack，此时zombie后返回reset
>>> rt[IP].src="192.168.50.185"
>>> rt[IP].dst="192.168.50.183"
>>> rt[TCP].dport=21
>>> rt[TCP].flags="S"  //以伪造zombie源地址发送syn给target，target会返回给zombie一个syn+ack，而zombie会返回给target一个reset

***观察结果***
>>>az1=sr1(rz)   //发送给zombie，返回ipidentification为1
###[ IP ]### 
  version= 4L
  ihl= 5L
  tos= 0x0
  len= 40
  id= 166  //id为166
  flags= 
  frag= 0L
  ttl= 128
  proto= tcp
  chksum= 0x53ad
  src= 192.168.50.185
  dst= 192.168.50.115

>>>at=sr1(rt,timeout=1)  //发送给taget，返回ipididentification为2
>>>az2=sr1(rz)   //再次发送给zombie，返回ipididentification为3
###[ IP ]### 
  version= 4L
  ihl= 5L
  tos= 0x0
  len= 40
  id= 168  //id为168
  flags= 
  frag= 0L
  ttl= 128
  proto= tcp
  chksum= 0x53ab
  src= 192.168.50.185
  dst= 192.168.50.115

查看抓包结果：

僵尸扫描抓包结果

当target端口(rt[TCP].dport=20325)不开放时，其id值相差为1

端口不开放下

2.2.3脚本实现僵尸扫描

上述是通过scapy命令行的方式实现的扫描，下面使用脚本的方式对其进行僵尸扫描，代码如下：

#!/usr/bin/python

import logging
logging.getLogger("scapy.runtime").setLevel(logging.ERROR)
from scapy.all import *

def ipid(zombie):  
    reply1 = sr1(IP(dst=zombie)/TCP(flags="SA"),timeout=2,verbose=0)
    send(IP(dst=zombie)/TCP(flags="SA"),verbose=0)
    reply2 = sr1(IP(dst=zombie)/TCP(flags="SA"),timeout=2,verbose=0)
    
    if reply2[IP].id == (reply1[IP].id + 2):      //探测是否满足zombie僵尸机
        print "IPID sequence is incremental and target appears to be idle,ZOMBIE located"
        response = raw_input("Do you want to use this zombie to perform a scan?(Y or N):")
        if response == "Y":
            target = raw_input("Enter the IP address of the target system:")
            zombiescan(target,zombie)
    else:
        print " Either the IPID sequence is not incremental or the target is not idle,not a good zombie"

def zombiescan(target,zombie):  //对target进行僵尸扫描
    print "\nScanning target" + target +"with zombie" + zombie 
    print "\n-------------Open Port on Target ----------------\n"
    for port in range(1,100):
        try:
            start_val = sr1(IP(dst=zombie)/TCP(flags="SA",dport=port),timeout=1,verbose=0) 
            send(IP(src=zombie,dst=target)/TCP(flags="S",dport=port),verbose=0)
            end_val = sr1(IP(dst=zombie)/TCP(flags="SA",dport=port),timeout=1,verbose=0)
            if end_val[IP].id == (start_val[IP].id + 2):
                print port
        except:
            pass
print "--------------Zombie Scan Suite------------------\n"   //程序执行组件/入口
print "1 -  Identify Zombie Host\n"
print "2 -  Perform Zombie Scan\n"
ans = raw_input("Select an Option (1 or 2):")
if ans == "1":
    zombie = raw_input("Enter IP address to test IPID sequence:")
    ipid(zombie)
else:
    if ans == "2":
        zombie = raw_input("Enter IP address for zombie system:")
        target = raw_input("Enter IP address for scan target:")
        zombiescan(target,zombie)

结果显示

2.2.4 nmap实现僵尸扫描

(1)发现僵尸机

namp -p445 192.168.50.185 --script=ipidseq.nse

判断是否为zombie

(2)扫描目标

nmap 192.168.50.183 -sI 192.168.50.185 -Pn -p 0-100

利用zombie扫描目标主机

2.3全连接端口扫描
2.3.1 scapy：
①syn扫描不需要raw packets
②内核认为syn/ack是非法包，直接发送rst终端连接
③全连接扫描对scapy比较困难 //需要iptables屏蔽reset
脚本1：

#!/usr/bin/python

import logging
logging.getLogger("scapy.runtime").setLevel(logging.ERROR)
from scapy.all import *

reponse=sr1(IP(dst="192.168.50.183")/TCP(dport=80,flags="S"))
reply=sr1(IP(dst="192.168.50.183")/TCP(dport=80,flags="A",ack=(reponse[TCP].seq+1)))   //发送一个ack确认包，并且seq以返回的+1

通过抓包发现，在对方返回syn+ack时，系统会给对方发送rst，此时在给对方发送ack确认包，对方会认为这不是连接，会返回一个rst

全连接扫描抓包

脚本2：
将上述的脚本完善一下，同时由于系统会自动返回reset，因此将其系统的reset屏蔽掉，再看结果：

#!/usr/bin/python

import logging
logging.getLogger("scapy.runtime").setLevel(logging.ERROR)
from scapy.all import *

SYN=IP(dst="192.168.50.183")/TCP(dport=21,flags="S")
SYN.display()

print "\n\n-- RECEIVED --"
response=sr1(SYN,timeout=1,verbose=0)
response.display()

if int(response[TCP].flags) ==18:
    print "\n\n -- SENT --"
    A=IP(dst="192.168.50.183")/TCP(dport=21,flags="A",ack=(response[TCP].seq+1))
    A.display()
    print "\n\n-- RECEIVED --"
    response2=sr1(A,timeout=1,verbose=0)
    response2.display()
else:
    print "SYN.ACK not returned"

** 设置iptables，将宿主机的rst包在output方向上drop**

# iptables -A OUTPUT -p tcp --tcp-flags RST RST -d 192.168.50.183 -j DROP

iptables生效

此时在抓包查看：

宿主机返回ACK

2.3.2 nmap

nmap -sT 192.168.50.183 -p1-500

2.3.3 dmitry

dmitry  -p 192.168.50.183

dmitry

2.3.4 NC

# nc -nv -w 1 -z 192.168.50.183 1-500  //-w表示扫描一个端口的等待时间为1s，-z表示使用扫描

Paste_Image.png

十四、主动信息收集-端口扫描

1.UDP端口扫描

1.1 scapy udp scan

1.2 nmap udp scan

2.TCP端口扫描

你可能感兴趣的:(十四、主动信息收集-端口扫描)