Nmap是一款比较常用的开源工具,可以从https://nmap.org/下载,它可以用来探测目标机器开放了哪些端口,使用的操作系统类型和启用了哪些服务,同时,可以针对具体的服务发起一些枚举攻击以及漏洞扫描,并且根据漏扫发现的漏洞使用某个CVE发起攻击。本文主要对一些常用的nmap命令进行说明,并且针对一些功能举行实例说明。
Nmap主要的功能和相对应的实例罗列如下:
一、探测主机
- TCP SYN ping
Nmap -sS -Pn 192.168.0.1
Nmap -sS -p- 192.168.0.1
- TCP ACKping
Nmap -sn -PA -Pn 192.168.0.1
- UDP ping scan
Nmap -sn -PU 192.168.0.1
- ARP Ping [很快和很准,但是,经常有防火墙拦截]
Nmap -PR 192.168.0.1
- ICMP ECHO ping
Nmap -PE 192.168.0.1
- ICMP timestamp Ping
Nmap -PP 192.168.0.1
- IP Protocol Ping
Nmap -PO1 192.168.0.1 使用IP协议
Nmap -PO2 192.168.0.1 使用IGMP协议,经常被防火墙拦截。
- Traceroute
Nmap -sn 192.168.0.1 --traceroute
- Reverse DNS resolution
Nmap -R 192.168.0.1
- Defaut scan 只扫描最常用的1000个端口
Nmap 192.168.0.1
- 扫描端口与协议
Nmap -p 22 192.168.0.1 扫描某个端口
Nmap -p 22,80,443 192.168.0.1 扫描端口列表
Nmap -p 20-1000 192.168.0.1 扫描某个范围的端口
Nmap -p ssh 192.168.0.1 扫描ssh协议的端口
- Full链接扫描,由于需要建立链接来扫描,扫描速度很慢
Nmap -sT -p- 22 192.168.0.1
- 快速扫描
Nmap -F 192.168.0.102
nmap -F -sV 192.168.0.102 快速扫描服务的版本
- 结果输出 -o -oN -X -oS -oG <file>
Nmap -F 192.168.0.102 -oX output.xml
- 显示扫描的过程信息
nmap -v 192.168.0.102
nmap -vvv -sS -A -F 192.168.0.102 v的数量越多,显示的信息越详细
- FIN (-sF)、NULL Scan(-sN)、Xmas scan (-sX)
nmap -sN 192.168.0.104 请求消息,没有设置TCP flag。
nmap -sF 192.168.0.104 TCP flag被设置为FIN
nmap -sX 192.168.0.104 TCP Flag 被设置为FIN PSH URG
二、探测操作系统和服务
- 探测OS
Nmap -sS -O 192.168.0.107
- 探测服务【检测会比较慢】
Nmap -sS -sV -p- 192.168.0.107 -sV 表示显示服务的版本
- 可以扫描机器是否运行在虚拟机软件上
nmap -sn 192.168.0.1/24 --exclude 192.168.0.10
- Aggressive scan 会尝试去发起攻击,探测可能存在的漏洞
nmap -sS -A 192.168.0.102
- 综合,搜索发现比较全的信息
nmap -sS -sV -O -p- 192.168.0.107
三、UDP 扫描
- 使用UDP协议
nmap -sU -p1-1000 192.168.0.107
四、Nmap reason
- 主要用于检测nmap是如何检测和做决策的
Nmap -sn 192.168.0.107 --reason
五、探测防火墙
- 使用ACK Probing探测防火墙
nmap -sA 192.168.0.106
- Packet Fragmentation
Nmap -sS -f 192.168.0.106
使用-f之后,可以发现探测的端口比-sA 要多探测出来两个端口。
- Specifying MTU
nmap --mtu 16 192.168.0.106
- IP地址欺骗
使用一个地址列表扫描:
nmap -sS -F -D 192.168.0.1,192.168.0.2 192.168.0.106
使用随机的地址扫描:
nmap -D RND:5 192.168.0.100
- MAC 地址欺骗
nmap -sS --spoof-mac 0 192.168.0.100
nmap -sS --spoof-mac Apple 192.168.0.100 模拟某个厂商的MAC
六、扫描时间和性能
- 时间模板【减少扫描可能花的时间】
-T<0-5> 数字越大,扫描速度越快,越容易被网络设备探测到。
-T0 Paranoid
-T1 Sneaky
-T2 Polite
-T3 Normal 【默认值】
-T4 Aggressive
-T5 The fastest
nmap 192.168.0.100 命令默认使用T3.
nmap -sV -T1 192.168.0.100 可以通过设置不同的时间模板,比较一下速度。
- 并行扫描【设置并行扫描,加快速度,增加流量】
nmap -sS -F 192.168.0.100 -T4 --min-parallelism 10 设置最小并行数量
nmap -sS -F 192.168.0.100 -T4 --max-parallelism 10 设置最大并行数量
- 设置主机超时时间 --host-timeout <time> 超时就放弃当前扫描的目标
nmap -Pn 192.168.0.0-100 --host-timeout 20s
注意:时间太短,可能会错过一些目标,一般建议20s~30s。
- 延时扫描 (有时可以使用延时扫描绕过IDS检测)
nmap -sS -p1-100 192.168.0.0-100 -T1 --scan-delay 10s [由于延时,这种扫描比较花时间]
七、NSE:NmaP Script Engine [https://nmap.org/book/nse.html#nse-intro]
- 查看nmap所有的支持的script
- ls -al /usr/share/nmap/scripts
-
sudo nmap --script-updatedb 更新最新的脚本库
- 使用script枚举ftp服务
ls -al /usr/share/nmap/scripts | grep ftp 可以找到所有ftp相关的script
通过名字就知道ftp-anon.nse是探测ftp是否支持匿名登录的脚本
nmap -p 21 --script ftp-anon 192.168.0.105
- 同时运行多个script【逗号隔开不同的脚本名字或者通配符】
nmap -p 21 --script ftp-anon, ftp-vsftpd-backdoor 192.168.0.105
nmap -p 21 --script "ftp-*" 192.168.0.105
- 使用默认的script类 【https://nmap.org/nsedoc/categories/default.html】
nmap -sC 192.168.0.105 【一般不指定类别,都是用默认的类别】
- 使用指定的Script类
nmap --script auth 192.168.0.105
nmap --script auth,default 192.168.0.105 【使用多种类别的script】
nmap --script 192.168.0.105 【使用所有的类别的脚本】
八、服务枚举
- 抓取banner
sudo nmap -p22,80 --script banner 192.168.0.105
sudo nmap -F -T4 --script banner 192.168.0.105 快速扫描所有的服务的banner
- whois & Traceroute Geo-location枚举
ls -al /usr/share/nmap/scripts | grep whois 可以查案支持哪些whois
nmap -sn --script whois-domain nmap.scanme.org
nmap -sn --script “whois-*” nmap.scanme.org 使用所有的whois脚本
nmap -sn --script traceroute nmap.scanme.org
sudo nmap -sn --script traceroute-geolocation nmap.scanme.org
- ftp枚举
ls -al /usr/share/nmap/scripts | grep ftp 查询所有ftp的脚本
nmap -sV -p 21 192.168.0.105 先探测FTP的服务和版本
接下来根据几个script可以发起枚举攻击分析:
sudo nmap -sS -p 21 --script ftp-anon,tftp-enum,ftp-vsftpd-backdoor 192.168.0.105
- SMTP 枚举
ls -al /usr/share/nmap/scripts | grep smtp查询所有smtp的脚本
sudo nmap -p25 --script smtp-commands 192.168.0.103 [查询支持的命令]
sudo nmap -p25 --script smtp-commands --script-args smtp-enum-users.methods={VRFY} 192.168.0.103 枚举潜在的用户
sudo nmap -p25 --script smtp-vuln-cve2011-1720 192.168.0.103 尝试利用某个CVE
- DNS枚举
ls -al /usr/share/nmap/scripts | grep dns查询所有dns的脚本
sudo nmap -Pn --script dns-brute --script-args dns-brute.thread=5,dns-brute.hostlist=hosts.txt zonetransfer.me
暴力破解的列表可以参考:
【https://github.com/danielmiessler/SecLists/tree/master/Discovery/DNS】
sudo nmap -Pn --script dns-zone-transfer --script-args dns-zone-transfer.server=nsztml.digi.ninja,dns-zone-transfer.domain=zonetransfer.me,dns-zone-transfer.port=53
- HTTP枚举
ls -al /usr/share/nmap/scripts | grep http查询所有http的脚本
sudo nmap -Pn -sV -p 80 --script http-methods --script-args http-methods.test=all nmap.scanme.org [枚举支持的Method,效果和发送HTTP的OPTIONS方法差不多,如果防火墙禁用OPTIONS,就不能用OPTIONS了。]
sudo nmap -F -sV -T5 192.168.0.103 【先看一下是否有http服务】
sudo nmap -sV -p 80 --script http-enum 192.168.0.103 [枚举服务端的路径]
nmap -Pn -p 80,443 --script http-waf-detect,http-waf-fingerprint 192.168.0.103 [探测waf]
- SMB枚举
ls -al /usr/share/nmap/scripts | grep smb查询所有smb的脚本
nmap -p 445 --script smb-os-discovery 192.168.0.103 [检测OS类型]
nmap -p 445 --script smb-enum-shares 192.168.0.103 [检测所有的smb共享路径]
- MySQL枚举
ls -al /usr/share/nmap/scripts | grep mysql查询所有mysql的脚本
nmap -p 3306 --script mysql-info 192.168.0.103 [获得mysql的信息]
nmap -p 3306 --script mysql-enum 192.168.0.103 [获得mysql的账号信息]
nmap -p 3306 --script mysql-empty-password 192.168.0.103 [检测mysql的账号是否有空密码]
nmap -p 3306 --script mysql-brute --script-args mysql-brute.threads=20 192.168.0.103 [暴力破解mysql的账号和密码,如果不指定]
- 漏洞扫描
ls -al /usr/share/nmap/scripts | grep vulners查询所有漏洞的脚本
也可以访问https://github.com/vulnersCom/nmap-vulners获取nmap支持的漏洞列表的脚本。
sudo nmap -sV -p21-8080 --script vulners 192.168.0.103 [根据端口枚举相关的漏洞]
获得CVE之后,可以通过https://vulners.com/cve/CVE-2012-1667 ,获得CVE的详细信息。
九、WEBmap
- 是一个基于Web的工具,可以发起nmap扫描,也可以将nmap的扫描结果以图形化显示以及生成报告,具体可以参考一下网站https://hub.docker.com/r/reborntc/webmap