zmap使用笔记

最新推荐文章于 2024-09-03 08:18:57 发布

雜貨鋪老闆

最新推荐文章于 2024-09-03 08:18:57 发布

阅读量3.9k

点赞数

分类专栏： Linux 文章标签： linux

Linux 专栏收录该内容

152 篇文章 0 订阅

订阅专栏

zmap, 一个网络端口开放性的快速扫描工具。至于这个工具的特色，配置参数，和比的工具的对比，不做介绍。只记录一下近期使用过程中，遇到的问题。软件版本：2.1.1

传言与现实

传言：一小时之内扫描完整过互联网。

传言的基础条件是：1.1000Mbps的网络。2. 网络运营商或者云供应商不将此机器判定为DDOS攻击者。（大量对外发送TCP syn包）

传言：扫描结果误差率2%

使用结论：无法显示传言中如此低的误差率。使用了三个机房，不同网络供应商在同时启动扫描点情况下对一个A类网络地址段的扫描，三个机房得到的结果中，开放同一端口的IP数据重复率约为 80%，误差率其实非常高。

需要注意的点：

配置参数中的数据包速率与带宽限定。在使用的2.1.1版本zmap，配置参数中的 --rate(-r) 与 --bandwidth(-B) 两项，当配置了后者，也就是带宽限制之后，数据包发送项会被覆盖。例如：zmap -B 10Mbps -r 2000 -p 8080 这样的参数，实际上发送数据的速率是 15000p/s，而非 2000p/s
默认的黑名单。在使用 yum 安装的 zmap 中，默认的配置文件/etc/zmap/zmap.conf中指定了默认的黑名单文件/etc/zmap/blacklist.conf，默认屏蔽掉的是内网网络地址段。做内网扫描的朋友需要注意以下。
zmap 设置了带宽限制之后，实际对于出口带宽的利用率为 70% 左右。例如 zmap --bandwidth=100Mbps，此时实际出口带宽的使用量在 70Mbps左右。
官方文档中的错误配置参数summary。zmap官方文档中如下内容：

-g, --summary
Print configuration and summary of results at the end of the scan

在执行zmap --help中已经没有此配置选项，取而代之的是:

-m, --metadata-file=name Output file for scan metadata (JSON)`

如果需要扫描结论的朋友，需要注意此处。（官方文档不靠谱的开源软件，第一次遇见）

zmap扫描结果输出到Redis

如此简单的一件事情，却需要一个单独的段落来记录。

支持 tcp 与 local socks 方式连接 Redis
tcp 连接 Redis 的方式不支持 Redis 密码，也不支持选择 Redis DB，如果此 Redis 在公网可需要小心了。
输出到 Redis 有两种格式redis-packed redis-csv ，前一种为 Redis 二进制数据，后一种会以队列方式存储到 Redis。
输出模块 redis-csv，写入 Redis 队列的条件是，每1000个结果写入一次，并非实时。
输出模块 redis-csv，在写入 Redis 中的数据，默认配置下没有做结果过滤。也就是说，存在对方返回 tcp rst数据包（对方拒绝）,存在超过配置的cooldown时间的数据等结果。
建议配置 output-fiedls 与 output-filter。

示例配置文件一份。

#tination port to scan
target-port 8080
# cooldown time
cooldown 15

### Scan rate in packets/sec
#rate 10000
rate 2000

### Scan rate in bandwidth (bits/sec); overrides `rate`
#bandwidth 1M   # 1mbps
#bandwidth 8M   # 8Mbps

#output-fields "daddr,sport,seq,ack,in_cooldown,is_repeat,timestamp"
output-fields "saddr,sport,ttl,cooldown,repeat,timestamp-str,classification,success"
output-filter "success = 1 && cooldown = 0 && repeat = 0"
#output-filter "(success = 0 || success = 1) || (cooldown = 1 || cooldown = 0)"

output-file=/tmp/zmap.result
#output module. use zmap --list-output-modules list support modules
# output-module=redis-csv

#output redis args. tcp://ip:port/queuename
# output-args=tcp://127.0.0.1:6379/zmap

### Blacklist file to use. We encourage you to exclude
### RFC1918, IANA reserved, and multicast networks,
### in addition to those who have opted out of your
### network scans.
blacklist-file "/etc/zmap/blacklist.conf"

### Optionally print a summary at the end
#quiet
metadata-file /tmp/zamp.metadata