僵尸扫描简要介绍

·僵尸扫描【极度隐蔽的方式】【一般是搞黑产的】

​ 需要大量服务器，要进行地址伪造，伪造各种ip地址，做大批量DDOS攻击（通过发大量数据包让服务器无法正常运行），一般的DDOS攻击，防火墙和安全设备都可以抵挡得住；需要找到大量的ip地址，在网络上当中是闲置的。【因为都没有进行完整的三次握手，直接是从第二步开始进行的，第三步返回的还是RST包，所以相对来说要隐蔽一些】

·僵尸扫描过程

​ i=IP()

​ t=TCP()

​ rz=(i/t)【向僵尸机发送的数据包】

​ rt=(i/t)【向目标机发送的数据包】

​ rz[IP].dst=“192.168.1.105”【首先和僵尸机发送】

​ rz[TCP].dport=445【端口，最好写开放的】

​ rz[TCP].flags=“SA”【向僵尸机发送一个SYN 加ACK的包】

​ rt[IP].src=“192.168.1.105”【伪造原地址，写僵尸机的地址】

​ rt[IP].dst=“192.168.1.106”【目标地址】

​ rt[TCP].dport=80【目标机的端口】

​ rt[TCP].flags=“S”【发送给目标机器的SYN 包】

​ az1=sr1(rz)【向僵尸机发的第一个包】

​ at=sr1(rt，timeout=1)【向目标机发的第一个包】【因为是伪造地址，不会得到回应，所以发出去就不用管了】

​ az2=sr1(rz)【向僵尸机发的第二个包】

​ az1【比较az1和az2的区别】

​ az2【可以从返回结果中看出id即ipidseq增加了，可以证明目标端口445是开放的，证明僵尸网络扫描是成功的】

​ ·nmap -p445 192.168.1.105 --script=ipidseq.nse【判断是否能当僵尸机】【如果ipidseq不能增长，则不能当僵尸机】【如果端口没有开只返回一次ipid，开放，返回RST包，如果开放的话则返回两次（返回|_ipidseq: Incremental!出现这个代表可以当僵尸机）】

​ · nmap 192.168.1.106 -sI 192.168.1.105 -p1-1000【指定僵尸的主机】【192.168.1.105是扫描的僵尸主机】

​ ·nmap 192.168.1.106 -sI 192.168.1.101 -p1-100 -Pn --open