【渗透-主机发现】从0到1，结合工具，入门渗透中的主机发现技术

最新推荐文章于 2024-03-14 20:01:41 发布

Hackyle

最新推荐文章于 2024-03-14 20:01:41 发布

阅读量675

点赞数

分类专栏： HackerTech 文章标签：渗透主机发现 map 网络

本文链接：https://blog.csdn.net/ComputerGeekHack/article/details/106058645

版权

HackerTech 专栏收录该内容

4 篇文章 0 订阅

订阅专栏

要实现一次成功的渗透操作，先要有一些预动作，例如：主机发现、信息收集、漏洞扫描等。主机发现的根本目的就是找到你要进行渗透操作的目标，其中，可以有很多思想方法可以借鉴，有很多工具可以利用。

Table of Contents

基于ARP协议的主机发现

基于ICMP协议的主机发现

基于TCP协议的主机发现

TCP-SYN扫描（又叫隐蔽扫描或半打开扫描）

TCP-ACK扫描

原理：试图与目标主机上的端口进行完整的三次握手。

在本个专栏《渗透-主机发现》中，我将尽自己所收集到的相关资料和学习笔记进行整理，并分享出来，一起进步成长，抵御可能发生在未来的一些事情。enjoy...

主机发现方式（扫描方式）：

主动扫描：主动发送一些数据包进行扫描，以找到网络中活动的主机。例如，主动发送一个ARP请求包，等待目标主机的响应。有响应则说明该机器存活，无响应则说明该机器没存活。
被动扫描：长期监听广播包，来发现某一网络中的活动主机。

PS：为了能对下文所述进行实操，建议搭建靶机环境，如Metasploitable2-Linux、VM中安装不同版本的Windows系统，~~因为网络上对于这些的文章教程太多了，我也不打算讲述这些~~。另外，以下的很多操作目标是Metasploitable2-Linux。

基于ARP协议的主机发现

ARP（Address Resolution Protocol）地址解析协议，其核心作用是根据IP获得MAC。

nmap实现ARP协议的主机发现：

nmap -sn -PR 10.253.6.0/24

Netdiscover（是一个主动/被动的ARP侦查工具）：

对某一范围进行扫描：netdiscover -r 192.168.0.0/24
对某个范围进行扫描：netdiscover -r 192.168.3.0/24 -i eth0
静态扫描：netdiscover -p(表示被动模式，不发送任何数据包) 目标

-r：指定IP范围
-i：指定扫描的接口

arp-scan（ARP扫描工具）：

可以单一扫描，也可以进行批量扫描（CIDR、地址范围、列表文件的方式制定）；
支持定制ARP数据包；
支持自动解析MAC，返回厂商；

语法：arp-scan <target>

arping（基于ARP的ping工具，在局域网内向其他主机发送ARP指令）：

语法：arping -c 数据包数量 <target>

基于ICMP协议的主机发现

ICMP（Internet Control Message Protocol）

因特网控制报文协议，工作在OSI的网络层，向数据通信中的源主机报告目标主机是否可达等信息。
其核心作用就是让用户能够检测网络的连续状态，也是“错误侦测与回报实施机制”。
通过ICMP ping扫描，可以发现目标主机是否存活。
用于在IP主机和路由器之间传递控制消息。控制消息值“网络通不通，主机是否可达，路由是否可用等网络本身的消息”。

ping（通用于UNIX，Linux，Windows）

语法格式：ping <target>

例：ping hackyle.net

nmap（基于ICMP协议）

nmap -PE <target> （-PE：表示发送一个ICMP echo，timestamp和netmask请求）
nmap -PP <target> （-PP：发送ICMP时间戳扫描存活主机）
nmap -PM <target> （-PM：试图用备选的ICMP登记ping指定的主机，这种类型的ping可以绕过配置有封锁标准ICMP请求策略的防火墙）

fping（可以定义任意多的IP地址或主机）

基于TCP协议的主机发现

理解TCP3次握手建立连接：

发送方：你听得到吗（SYN）？
接收方：我听得到（ACK），你能听得到我吗（SYN）？
发送方：我听得到（ACK）。
此时双方都知道彼此具备收发数据的能力！

TCP-SYN扫描（又叫隐蔽扫描或半打开扫描）

原理：向目标主机的指定端口发送SYN数据包。如果源主机收到RST数据包，则说明端口是关闭的；如果源主机收到SYN+ACK数据包，则说明目标端口处理监听状态。

特性：

由于源主机已经获取了目标主机的端口状态信息，并不需要建立连接，所以传送一个RST数据包给目标主机，从而停止了正常了三次握手连接。
在SYN扫描中，由于客户端与服务端并没有形成3次握手，所有没有建立一个正常的TCP连接，因此不会被防火墙和日志所记录，也即不会在目标主机上留下任何痕迹。

语法：

nmap -PS <target> （Nmap默认使用的这种方式来扫描，基于TCP ACK和ICMP Echo请求来判断主机是否响应）
nmap -sS <target> （-s：即scan，告诉nmap要运行那种类型的扫描，-S：即SYN，表示要执行的TCP SYN类型的扫描）

使用这两种方式扫描Metasploitable2-Linux漏洞主机：

TCP-ACK扫描

原理：

向目标主机的一个端口发送一个只有ACK标志的TCP数据包，无论目标主机的该端口是否开启，都会返回一个相应的RST数据包，然后通过RST包中的TTL，来判断目标主机的端口是否开启。
其中TTL<64表示端口开启，TTL>64时表示端口关闭。

语法：

nmap -PA <target> （可以探测阻止了TCP-SYN包和ICMP Echo请求的主机，但有可能会被防火墙阻止）
nmap -sA <target> （-s：即scan，表明你要使用哪种类型的扫描，-A：即TCP-ACK扫描）

TCP全连接扫描

原理：试图与目标主机上的端口进行完整的三次握手。

特性：

最基础、最稳定
速度慢，但准确度搞
容易被防火墙和IDS（入侵检测系统）发现

语法：

nmap -sT <target> (-s：即scan，-T：TCP)

TCP窗口扫描

原理：和ACK扫描一样，它通过检测返回的RST报文的TCP窗口域，来判断目标端口是否开放。当端口关闭，则表明窗口为0；当端口开放，即窗口大于0。

语法：nmap -sW <target>

TCP-FIN扫描

诞生背景：

如果目标主机有防火墙，会组织SYN数据包，这是可以考虑使用TCP-FIN扫描。因为TCP FIN标志的数据包，并不需要完成TCP的握手。

原理：

TCP-FIN扫描就是想目标端口发送一个FIN包。如果收到目标主机的响应RST包，则说明端口是关闭的；如果没有收到RST包，则说明端口可能是开放的或是被隐蔽的。

语法：nmap -sF <target> （-s：即scan；-F：FIN）

TCP-Xmas扫描

原理：又称为圣诞树扫描，它发送带有URG、PSH和FIN标志（注：URG、PSH、FIN是TCP报文中的标识位）的TCP数据包。如果目标主机响应一个RST标志的数据包，则说明目标主机的端口是关闭的。

语法：nmap -sX <target>

TCP-null扫描

原理和TCP-Xmas扫描一样，也是通过发送非常规的TCP通信数据包对目标计算机进行探测。在很多情况下，Null扫描和Xmas树扫描正好相反，因为TCP-null扫描向目标主机发送没有任何标记的数据包。如果目标主机的相应端口是关闭的话，则会响应一个RST数据包；如果目标主机的端口是开启的话，则不会响应任何信息。