Nmap抓包分析与绕过Windows防火墙

前言

在打靶场的过程中使用Nmap时发现点小问题，借此机会详细分析下情况，于是有了这篇文章。

本文包含以下内容：

1. Nmap抓包分析

2. 内网下绕过Windows防火墙扫描存活主机

这里主要是针对Nmap进行讨论，实战中当然哪个快用哪个。不过万变不离其宗，哪怕稍微了解下其原理都受益无穷。

问题咨询和282G网络安全资料的领取点击此处即可

防火墙

这里的防火墙值得是Windows server自带的防火墙，主要绕过其两个防御规则：

1.禁止ICMP回显

2.隐藏模式

具体见[Stealth Mode in Windows Firewall with Advanced
Security](https://learn.microsoft.com/en-us/previous-versions/windows/it-
pro/windows-
server-2008-R2-and-2008/dd448557(v=ws.10)?redirectedfrom=MSDN)，大意为：不会使用ICMP不可达响应UDP查询，不使用RST响应TCP查询。默认开启。

<https://shamsher-khan-404.medium.com/understanding-nmap-scan-with-
wireshark-5144d68059f7>

-sn：禁用端口扫描

-P*用于选择不同的PING方法，用于存活扫描

Nmap抓包分析

拓扑图

关闭防火墙便于查看数据包

主机发现(Ping)

-PS(TCP SYN)

TCP SYN Ping：发送单个TCP SYN包到指定端口检测主机是否存活，默认80端口。该扫描就是经典的半开放扫描。

请求局域网主机135端口(开启)

nmap -sn -PS135 172.16.1.128 -vvv -n --disable-arp-ping  
#-n 禁用dns解析

注意nmap扫局域网存活主机都会预先进行arp扫描，在这里禁用了端口扫描，意味着nmap只会进行存活扫描，当nmap进行arp扫描后发现主机存活就不会进行后续操作，wireshark也就抓不到包，所以使用--disable- arp-ping禁用arp扫描。

【----帮助网安学习，以下所有学习资料免费领！加vx：yj009991，备注“freebuf”获取！】

① 网安学习成长路径思维导图
② 60+网安经典常用工具包
③ 100+SRC漏洞分析报告
④ 150+网安攻防实战技术电子书
⑤ 最权威CISSP 认证考试指南+题库
⑥ 超1800页CTF实战技巧手册
⑦ 最新网安大厂面试题合集（含答案）
⑧ APP客户端安全检测指南（安卓+IOS）

请求局域网主机666端口(关闭)

nmap -sn -PS666 172.16.1.128 -vvv -n --disable-arp-ping

请求远程主机135端口(开启)：

还是这里会发现，和扫局域网比起来多了很多包，为什么和扫局域网情况不一样？

还是fofa随便找个开启135端口的IP：

这里会发现，和扫局域网比起来多了很多包。