从一道题分析Nmap SYN/半连接/半开放扫描流量

最新推荐文章于 2023-09-21 14:12:50 发布

末初

最新推荐文章于 2023-09-21 14:12:50 发布

阅读量1.6k

点赞数 3

文章标签： Nmap SYN扫描 TCP半连接扫描半开放扫描 Nmap扫描流量分析

本文链接：https://blog.csdn.net/mochu7777777/article/details/127569366

版权

题目来源于2021创安杯线上知识赛第九题，是一道流量分析的题目

附件链接：https://pan.baidu.com/s/1g7dMAFufEYIxGsAL6oOk-Q 
提取码：l3km

在这里插入图片描述

首先第一个问题显而易见是Nmap的端口扫描和服务识别，且tcp contains "nmap"可以流量中发现很多Nmap关键字
从流量整体来看，大部分流量包并没有建立起TCP全连接，所以这里应该是TCP SYN扫描，也叫半连接扫描或者半开放扫描
一直在尝试对其他IP发起TCP连接的扫描的IP也显而易见就是192.168.0.4
TCP扫描端口，如果端口开放，则服务端会返回SYN + ACK标志位都处于Set状态的包

利用过滤器：tcp.flags.syn==1 and tcp.flags.ack==1，过滤出两个标志位都处于Set状态下的包，然后包中的源端口即是扫描到的开放端口：80、135、139、445、3389、3306、49157、49165、49155、49154、49153、49152
tcp contains "Apache"查找关键字即可在HTTP响应头中发现Apache/2.4.23

关注