僵尸扫描方式

实用性不强

概念：僵尸主机是指感染僵尸程序病毒，从而被黑客程序控制的计算机设备。但是僵尸扫描中的主机指的是一个闲置的OS（不会主动和任何人进行通信），且此系统中的IP数据报中的ID是递增的
IPID是通信过程中IP数据包的ID
特征：极高的隐蔽性，但是实施条件苛刻（无法保证主机在一段时间内不向外进行通信，即ip数据报的ID会巨大变化）

1.目标网络可伪造源地址进行访问
2.选择僵尸机，僵尸机需要在互联网上是一个闲置的OS，需要系统使用递增的IPID，如XP系统
前提是在指定网络区域内获得肉机。僵尸扫描可以不拿到肉鸡权限，只要系统的IPID是递增的就可以

使用肉鸡进行僵尸扫描的目的：
使用肉鸡进行网络探测，保证目的主机不会发现探测者，只能发现肉鸡

使用肉鸡进行僵尸扫描的原理：
核心是利用主机递增的IPID进行判断被探测主机的指定端口是否开启
1.本机向肉鸡发送TCP建立的第二阶段的报文
2.肉鸡表示没有向本机提出连接请求，向本机发送RST重置连接报文，此报文中含有第一个需要的IPID
3.本机伪造IP包，使用肉鸡的IP作为IP包的源IP向被探测主机发送SYN请求表示“肉鸡”想建立连接
4.若端口开放至5.1/6.1，不开放至5.2
5.1被探测主机端口开放则向肉鸡发送TCP建立连接第二阶段数据包
6.1肉鸡表示没有向你提出连接请求，发送RST请求重置连接，此时IPID已增1
5.2被探测主机端口未开放则无响应
6.2肉鸡无响应
7.本机向肉鸡发送TCP建立的第二阶段的报文
8.肉鸡表示没有向你提出连接请求，发送RST请求重置连接，此时IPID已增1，此IPID为第二个要求的IPID
9.判断端口是否开启，若两次IPID差为2则开启，差为1则未开启

实战：一台XP的虚拟机作为僵尸主机，关闭XP的防火墙，选择目标主机，确认sshd服务能够正常访问
语句：
rz1=sr1(IP(dst="192.168.1.50")/TCP(dport=445,flag="SA"))
rt=sr1(IP(src="192.168.1.50",dst="192.168.1.60")/TCP(dport=22).timeout=1)
rz2=sr1(IP(dst="192.168.1.50")/TCP(dport=445,flag="SA"))
作用：使用肉鸡50探测目的60的22号端口是否开启
rz1.display() 查看存的内容

操作技巧：快速，可以多用几个窗口进行操作

nmap僵尸扫描
1.获得僵尸主机
nmap 192.168.1.0/24 -p1-1024 --script=ipidseq.nse > a.txt
扫描该局域网中的设备，使用该脚本判断可用僵尸主机并将结果存入TXT中
僵尸标：Incremental(增加的，递增的)，IPID是递增的
2.僵尸扫描
nmap 192.168.1.60 -sI 192.168.1.50 -p1-100
用僵尸50扫描目的60的1-100端口