Kali渗透测试之端口扫描2——僵尸扫描(Scapy、python脚本、nmap)

一、僵尸扫描

1、极度隐蔽；

2、实施条件苛刻；

3、扫描发起方和被扫描的目标服务器之间的网络必须实现地址伪造（现在的边界路由器大都加入了防地址伪造过滤的策略）；

4、必须有一个僵尸机。

选择僵尸机的条件：

• 闲置系统
• 系统使用递增的IPID（如果目标系统的IPID永远是0或者是随机产生的，则僵尸扫描无法实现）。现在主流的Linux系统和新版Windows系统的IPID都是随机产生的，早期的XP、2003、2000的IPID都是顺序产生的）

二、扫描目的

控制僵尸机，通过僵尸机的IPID值判断被扫服务器上那些端口是开放的。

三、扫描原理

扫描过程：

1、Scanner（扫描者）向Zombie（僵尸机）发送一个SYN/ACK 数据包（在此之前，扫描者和僵尸机没有建立三次握手）

2、正常情况下，僵尸机向扫描者返回一个RST，RST包中会有一个IPID，假设为X

3、扫描者向目标主机发送一个SYN包，SYN包中伪造源IP地址为僵尸机的IP地址，所以在目标主机看来，SYN包是由僵尸机发给它的

4、如果目标主机的端口是开放状态，则目标主机向僵尸机发送SYN/ACK包

5、在僵尸机看来，它和目标主机之前并没有建立TCP连接，因此，僵尸机会向目标主机返回一个RST包，算上它上次向扫描者发的RST包，这是僵尸机发的第二个RST包，故RST包中的IPID值为X+1

6、此时，扫描者再向僵尸机发送一个SYN/ACK数据包，僵尸机一看，扫描者又向它无缘无故发送了一个SYN/ACK数据包，所以二话不说，直接向扫描者发出它的第三个RST包，此时IPID=X+2。

7、扫描者根据僵尸机发给它的RST包中的IPID值来判断目标端口的开放状态。如果目标端口开放，则IPID为X+2；否则为X+1。

        在上述扫描过程中，如果僵尸机和其他主机之间产生数据包的传输，IPID就会递增，从