Nmap源码分析（服务与系统版本扫描）

在进行端口扫描后，Nmap可以进一步探测出运行在端口上的服务类型及应用程序的版本。目前Nmap可以识别几千种服务程序的签名（Signature），覆盖了180多种应用协议。比如，端口扫描检测到80端口是开放的，可以通过服务与版本扫描来确定其实际运行的协议（正常情况下是HTTP）及Web服务器名称及版本（比如是Apache xxx.xxx或者Microsoft IIS等）。

1   简单引入

1.1  扫描原理

扫描原理是服务指纹（或称签名）对比匹配。Nmap内部包含了几千种常见服务指纹的数据库（nmap-service-probes），对目标端口进行连接通信，产生当前端口的服务指纹，再与指纹数据库对比，寻找出匹配的服务类型。

服务与版本侦测主要分为以下几个步骤：

1.        首先检查open与open|filtered状态的端口是否在排除端口列表内。如果在排除列表，将该端口剔除。

2.        如果是TCP端口，尝试建立TCP连接。尝试等待片刻（通常6秒或更多，具体时间可以查询文件nmap-services-probes中ProbeTCP NULL q||对应的totalwaitms）。通常在等待时间内，会接收到目标机发送的“Welcome Banner”信息。nmap将接收到的Banner与nmap-services-probes中NULLprobe中的签名进行对比。查找对应应用程序的名字与版本信息。

3.        如果通过“Welcome Banner”无法确定应用程序版本，那么nmap再尝试发送其他的探测包（即从nmap-services-probes中挑选合适的probe），将probe得到回复包与数据库中的签名进行对比。如果反复探测都无法得出具体应用，那么打印出应用返回报文，让用户自行进一步判定。

4.        如果是UDP端口，那么直接使用nmap-services-probes中探测包进行探测匹配。根据结果对比分析出UDP应用服务类型。

5.        如果探测到应用程序是SSL，那么调用openSSL进一步的侦查运行在SSL之上的具体的应用类型。

6.        如果探测到应用程序是SunRPC，那么调用brute-forceRPC grinder进一步探测具体服务。

1.2  服务扫描用法

版本侦测选项如下：

1. -sV: 指定让Nmap进行版本侦测 
2. 
   
3. --version-intensity<level>: 指定版本侦测强度（0-9），默认为7。数值越高，探测出的服务越准确，但是运行时间会比较长。 
4. 
   
5. --version-light: 指定使用轻量侦测方式 (intensity 2) 
6. 
   
7. --version-all: 尝试使用所有的probes进行侦测 (intensity 9) 
8. 
   
9. --version-trace: 显示出详细的版本侦测过程信息。 

官方手册：http://nmap.org/book/man-version-detection.html

2   实现框架

下面先介绍服务与版本扫描涉及到的源文件与库、核心Class，然后介绍服务扫描的核心函数实现流程及流程的细节。