内网渗透思考（实践）

工具简介

Nmap

• Nmap（网络映射器）是一款用于网络发现和安全审计的网络安全工具，它是自由软件。软件名字Nmap是Network Mapper的简称。Nmap最初是由Fyodor在1997年开始创建的。随后在开源社区众多的志愿者参与下，该工具逐渐成为最为流行安全必备工具之一。一般情况下，Nmap用于列举网络主机清单、管理服务升级调度、监控主机或服务运行状况。Nmap可以检测目标机是否在线、端口开放情况、侦测运行的服务类型及版本信息、侦测操作系统与设备类型等信息。Nmap包含四项基本功能：主机发现（Host Discovery）,端口扫描（Port Scanning）,版本侦测（Version Detection）,操作系统侦测（Operating System Detection）。而这四项功能之间，又存在大致的依赖关系（通常情况下的顺序关系，但特殊应用另外考虑），首先需要进行主机发现，随后确定端口状况，然后确定端口上运行具体应用程序与版本信息，然后可以进行操作系统的侦测。而在四项基本功能的基础上，Nmap提供防火墙与IDS（IntrusionDetection System,入侵检测系统）的规避技巧，可以综合应用到四个基本功能的各个阶段；另外Nmap提供强大的NSE（Nmap Scripting Language）脚本引擎功能，脚本可以对基本功能进行补充和扩展。
• 1、用法引入
  • 1.1、确定端口状况
    如果直接针对某台计算的IP地址或域名进行扫描，那么Nmap对该主机进行主机发现过程和端口扫描。该方式执行迅速，可以用于确定端口的开放状况。
    命令形式:
    nmap targethost
    可以确定目标主机在线情况及端口基本状况。
  • 1.2、完整全面的扫描
    如果希望对某台主机进行完整全面的扫描，那么可以使用nmap内置的-A选项。使用了该选项，nmap对目标主机进行主机发现、端口扫描、应用程序与版本侦测、操作系统侦测及调用默认NSE脚本扫描。
    命令形式：
    nmap –T4 –A –v targethost
    其中-A选项用于使用进攻性（Aggressive）方式扫描；-T4指定扫描过程使用的时序（Timing），总有6个级别（0-5），级别越高，扫描速度越快，但也容易被防火墙或IDS检测并屏蔽掉，在网络通讯状况良好的情况推荐使用T4；-v表示显示冗余（verbosity）信息，在扫描过程中显示扫描的细节，从而让用户了解当前的扫描状态。
• 2、主机发现
  主机发现（Host Discovery），即用于发现目标主机是否在线（Alive，处于开启状态）。
  • 2.1、主机发现原理
    主机发现的原理与Ping命令类似，发送探测包到目标主机，如果收到回复，那么说明目标主机是开启的。Nmap支持十多种不同的主机探测方式，比如发送ICMP ECHO/TIMESTAMP/NETMASK报文、发送TCPSYN/ACK包、发送SCTP INIT/COOKIE-ECHO包，用户可以在不同的条件下灵活选用不同的方式来探测目标机。
    主机发现基本原理：（以ICMP echo方式为例），Nmap的用户位于源端，IP地址10.10.10.3，向目标主机10.10.10.4发送ICMP Echo Request。如果该请求报文没有被防火墙拦截掉，那么目标机会回复ICMP Echo Reply包回来。以此来确定目标主机是否在线。默认情况下，Nmap会发送四种不同类型的数据包来探测目标主机是否在线。1.ICMP echo request 2.a TCP SYN packet to port 443 3.a TCP ACK packet to port 80 4.an ICMP timestamp request依次发送四个报文探测目标机是否开启。只要收到其中一个包的回复，那就证明目标机开启。使用四种不同类型的数据包可以避免因防火墙或丢包造成的判断错误。
  • 2.2.2、主机发现的用法
    通常主机发现并不单独使用，而只是作为端口扫描、版本侦测、OS侦测先行步骤。而在某些特殊应用（例如确定大型局域网内活动主机的数量），可能会单独专门适用主机发现功能来完成。不管是作为辅助用法还是专门用途，用户都可以使用Nmap提供的丰富的选项来定制主机发现的探测方式。
    -sL: List Scan 列表扫描，仅将指定的目标的IP列举出来，不进行主机发现。
    -sn: Ping Scan 只进行主机发现，不进行端口扫描。
    -Pn: 将所有指定的主机视作开启的，跳过主机发现的过程。
    -PS/PA/PU/PY[portlist]: 使用TCPSYN/ACK或SCTP INIT/ECHO方式进行发现。
    -PE/PP/PM: 使用ICMP echo, timestamp,netmask 请求包发现主机。
    -PO[protocollist]: 使用IP协议包探测对方主机是否开启。
    -n/-R: -n表示不进行DNS解析；-R表示总是进行DNS解析。
    –dns-servers <serv1[,serv2],…>: 指定DNS服务器。
    –system-dns: 指定使用系统的DNS服务器
    –traceroute: 追踪每个路由节点
    其中，比较常用的使用的是-sn，表示只单独进行主机发现过程；-Pn表示直接跳过主机发现而进行端口扫描等高级操作（如果已经确知目标主机已经开启，可用该选项）；-n，如果不想使用DNS或reverse DNS解析，那么可以使用该选项。在局域网内，Nmap是通过ARP包来询问IP地址上的主机是否活动的，如果收到ARP回复包，那么说明主机在线。
    扫描局域网192.168.1.100-192.168.1.120范围内哪些IP的主机是活动的。
    命令如下：
    nmap –sn 192.168.1.100-120
• 3、端口扫描
  端口扫描是Nmap最基本最核心的功能，用于确定目标主机的TCP/UDP端口的开放情况。
  默认情况下，Nmap会扫描1000个最有可能开放的TCP端口。
  Nmap通过探测将端口划分为6个状态：
  open：端口是开放的。
  closed：端口是关闭的。
  filtered：端口被防火墙IDS/IPS屏蔽，无法确定其状态。
  unfiltered：端口没有被屏蔽，但是否开放需要进一步确定。
  open|filtered：端口是开放的或被屏蔽。
  closed|filtered ：端口是关闭的或被屏蔽。
  • 3.1端口扫描原理
    Nmap在端口扫描方面非常强大，提供了十多种探测方式。
    • 3.1.1、TCP SYN scanning
      这是Nmap默认的扫描方式，通常被称作半开放扫描（Half-open scanning）。该方式发送SYN到目标端口，如果收到SYN/ACK回复，那么判断端口是开放的；如果收到RST包，说明该端口是关闭的。如果没有收到回复，那么判断该端口被屏蔽（Filtered）。因为该方式仅发送SYN包对目标主机的特定端口，但不建立的完整的TCP连接，所以相对比较隐蔽࿰