入侵检测——nbtscan(扫描篇)

最新推荐文章于 2022-07-11 16:08:45 发布

lainwith

最新推荐文章于 2022-07-11 16:08:45 发布

阅读量9.4k

点赞数 2

分类专栏：入侵检测文章标签： nbtscan

本文链接：https://blog.csdn.net/weixin_44288604/article/details/115665504

版权

入侵检测专栏收录该内容

31 篇文章 36 订阅

订阅专栏

环境介绍

NAT模式：

kali攻击方
win7受害者
Metasploitable受害者

工具简介

一个在本地或远程TCP/IP网络上扫描开放的NETBIOS名称服务器的命令行工具。它基于Windows系统的nbtstat工具的功能实现，但它可在许多地址上运行，而不是仅一个地址。
用法：

用法: nbtscan-unixwiz [选项] 目标 [目标...]

   目标可以是IP地址，DNS名称或地址的列表范围。
   范围可以表示成“192.168.12.0/24”或“192.168.12.64-97”

   -V        显示版本信息
   -f        显示完整的NBT资源记录响应(推荐)
   -H        生成HTTP请求头
   -v        开启详细输出调试
   -n        不查找响应IP地址的反向名称
   -p <n>    绑定UDP端口(默认0)
   -m        响应中包含MAC地址 (等同'-f')
   -T <n>    超时不响应 (默认2秒)
   -w <n>    次写入后等待秒数 (默认10ms)
   -t <n>    每个地址尝试次数(默认1次)
   -P        以perl的hashref格式生成结果

这里可以不用参数，直接扫

nbtscan 192.168.239.0/24

数据包

注意到数据包与入侵检测——enum4linux(扫描篇)极为相似，可以通过正则取逆的方式来避开误报，有误我这里被要求使用双向规则，双向都要告警，所以，只有设置请求包noalert，相应包取逆才可以避开误报，那，我这里就暂时按通用匹配处理。
在这里插入图片描述

规则

直接拿来enum4linux的双向规则：

alert udp any any -> any any (msg:"enum4linux 扫描"; content:"CKAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA|00 00 21 00 01|"; flowbits:set,enum4linux_scan; metadata:service nbns, service udp, service check-ports; sid:1; rev:1;)
alert udp any any -> any any (msg:"enum4linux 响应"; content:"CKAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA|00 00 21 00 01|"; content:"WORKGROUP"; flowbits:isset,enum4linux_scan; metadata:service nbns, service udp, service check-ports; sid:2; rev:1;)