入侵检测——nc(扫描篇)

环境介绍

NAT模式：

• kali攻击方
• win7受害者
• Metasploitable受害者

参数

关于nc端口扫描的进一步了解参见我之前的文章：图文介绍——NC使用笔记

nc只有简单的两种扫描方式，如下：
-z参数就是端口探测，默认使用TCP连接。
nc的端口扫描是从大到小，一旦能建立起三次握手，就发送FIN+ACK断开连接，然后扫描下一个端口。

nc -nvz 192.168.56.104 1-3000	#扫描win7的1-3000端口
nc -nvz 192.168.56.102 1-3000	#扫描meta的1-3000端口

nc -nvzu 192.168.239.132 1-65535	#UDP扫描win7的1-65535端口

数据包

TCP扫描

根据TCP端口扫描，发现：

1. 类似nmap的SYN扫描
2. 窗口大小是64240
3. tcp的option字段是固定的
4. 数据大小为空
5. 存在高并发

得出规则：

alert tcp any any -> any any (msg:"nc TCP端口扫描"; flags:S; window:64240; tcp.option:"|02 04 05 b4 04 02 08 0a 06 60|"; dsize:0; detection_filter:track by_src,count 100,seconds 5; metadata:service check-ports; sid:5; rev:1;)

特别注意：在这一个数据包的多条对话中，会发现tcp.option是存在部分变化的！
由于tcp.option不是snort可识别的关键字，不做截图

UDP扫描

可以看到：

1. 数据大小是1个字节
2. 存在高并发

补充：受害者回发icmp包，icmp包的意思的端口不可达

得出规则：

alert udp any any -> any any (msg:"nc UDP端口扫描"; dsize:1; detection_filter:track by_src,count 100,seconds 5; metadata:service check-ports; sid:6; rev:1;)