网络安全：信息收集之玩转nmap（理论篇） Posted 2023-03-29 虚幻私塾
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了网络安全：信息收集之玩转nmap（理论篇）相关的知识，希望对你有一定的参考价值。
2022年09月06日16:20:10
2022年10月28日21:19:20
完成最基本的内容，端口扫描，版本和系统探测，安全其他等 打算的更新计划：更多案例和图片，导出xml文件转为Excel分析（周末先休息一下吧） nmap（Network Mapper）是免费、开源的网络发现和安全审计工具，通常我们用于收集网络中的比如主机和端口等信息，从而为下一步的攻击提供突破口，制定攻击的计划。也可为网络管理员使用，从而针对性修复可能暴露的安全漏洞。
具体的功能介绍可以登录官网https://nmap.org ，来获取软件包和官方教程。
当我们下载好nmap后在命令行中会多出这些命令： nmap ，集成了：
主机发现（Host Discovery） 端口扫描（Port Scanning） 版本侦测（Version Detection） 操作系统侦测（Operating System Detection） zenmap ，zenmap为nmap的图像化版本。ncat ，可进行灵活的数据传输，重定向。ndiff ，对比扫描结果的工具。nping ，包生成和响应工具。
图1 .Windows查看nmap提供的可执行文件
nmap发现的原理无非就是，发送数据包到目标主机，依据响应报文来识别已经开放的端口等信息等，属于主动攻击。
nmap的命令基本上可以分为有**“三要素”，其中 扫描的目标是必选的**。扫描类型默认使用-sT。
nmap [ <扫描类型><选项><扫描目标说明>
可以使用-h参数或者无参数，以输出帮助信息。 一下介绍的主机发现、端口扫描的方式都可以排列组合来使用。 下面的篇幅较长，如果是忘记了命令，可以只看这部分即可，我在这里翻译了nmap -h原文，并做了小总结。时间宝贵，头发也宝贵呢。
Nmap 7.93 (https://nmap.org)
用法：nmap [扫描类型] [选项] 要扫描的目标
**扫描的目标：**
可以是 主机名、IP 地址、网络等。#(可以使用逗号,指定不连续的ip段 减号-指定连续ip段 斜杠/指定掩码 星号*代表全部)
例如：scanme.nmap.org、microsoft.com/24、192.168.0.1; 10.0.0-255.1-254
-iL ： 从文件中读取要扫描的主机列表
-iR <主机数量>： 选择随机目标 #0为无限生成
--exclude ：要排除的 主机/网络
--excludefile ： 从文件中选择要排除的主机列表
**主机发现：** -sL： 列表扫描 - 打印主机的列表(对域名进行扫描时，可以得到IP列表 )
-sn： Ping 扫描，同时禁用端口扫描，用来检查主机存活状态。
-Pn： 禁用 Ping 扫描，默认所有主机都是存活状态
-PS/PA/PU/PY[端口列表]：对指定的端口通过 TCP SYN/ACK、UDP 或 SCTP 扫描来发现主机
-PE/PP/PM： 对指定的端口通过 ICMP、时间戳 html nmap命令中扫描的目标是不可省略的参数，可以使用**/,-***符号来确认目标范围。当然这三种都可以混合使用。
# 直接单台主机ip，当然直接使用域名也可以，就是不怎么灵活而已
nmap 192.168.1.1
# 直接使用**/****掩码**，扫描网段内全部ip
nmap 192.168.1.**1****/24**
# 使用**,指定对象**，一般针对于不连续的网段
nmap 192.168.2.**1****,10,172,192,254**
# 使用**-****选择**连续的范围
nmap 192.168.3.**1****-255**
# 使用*选择本段全部,和0-255一样nmap 192.168.4.*****
# ,/-*四者可以任意结合起来使用
nmap 192.168.**1,2,****3**.*****
nmap 192.168.**1-****192,240**.**1****/24**
# 比如你指定了大范围内的ip，但是某些ip你又想排除,后面可以无限写
nmap 192.168.1.1/24 **--exclude** 192.168.1.1 192.168.1.100
有时候从dhcp服务器中导出了在线的ip，可以使用文件来批量的选择扫描的目标，比如某公司禁止公司内部电脑开启web服务等，使用文件导入的方法，可以跳过离线主机进行的扫描。
-iL <目标ip的文件路径>--excludefile <排除ip的文件路径>文件格式中ip之间可以使用换行（\\n），同时也支持,/-语法。
以下是我使用nmap -iR 2后的抓包，可以看到ip是随机的，默认的
图2 .默认扫描发送的报文
扫描类型可以省略，缺省时使用-sT参数，即TCP连接扫描，缺省情况下发送三个报文
ICMP Echo Request TCP SYN 80和443 nmap将端口分成六个状态:
open(开放)
closed(关闭)
无回显，可能是关闭了，也可能是防火墙设置为drop（丢弃而不做回应）。 filtered(被过滤)
在扫描者和被扫描着之间，此端口可能在防火墙、设备上的服务器、交换机路由器acl等过滤了。返回拒绝访问。 unfiltered(未被过滤)
可以访问端口，但是无法确认端口是否开放，一般情况只在TCP ACK扫描中出现。 open|filtered(开放或者被过滤)
当无法确定端口是开放还是被过滤的，可能是开放的端口不响应也可能返回目标端口报文在中途被防火墙、acl过滤了或者网络丢包了 closed|filtered(关闭或者被过滤)
和上面open|filtered类似，不知道是关闭还是被过滤了。 针对于不同的设备和网络环境，不同的扫描方式会有着截然不同的效果。
大体上分为这几种：
ICMP发现主机
TCP端口连接发现主机
UDP端口连接发现主机
DNS反向解析
sL通过向DNS服务器反向解析（当然不要加上-n） 其实这个参数不会对目标进行扫描操作，但因为nmap默认情况下是会对本机设置的所有DNS服务器反向解析其IP，即获取hostname，所以使用起来可以起到获取目标IP域名的效果。
图3 .sL扫描会向本机DNS依据IP反解析hostname
我的本机默认的DNS是192.168.24.8和223.5.5.5。话说对公网的DNS服务器反向解析内网的IP的hostname，是不是有点太搞笑了。
-dns-servers 指定DNS服务器-n 不解析DNS，那就真的只是列出IP地址而已了-R 强制解析DNS ┌──(kali㉿kali)-[~]
└─$ **nmap** **-sL 192.168.24.1/30 -dbs-servers 192.168.28.8**
Starting Nmap 7.93 ( https://nmap.org ) at 2022-10-26 22:39 EDT
Nmap scan report for 192.168.24.0
Nmap scan report for redmiAX6(192.168.1.1)
Nmap scan report for **xiaomi10s(192.168.24.2)**
Nmap scan report for 192.168.24.3Nmap done: 4 IP addresses (2 hosts up) scanned in 0.01 seconds
只使用Ping的方式判断主机存活。就和使用ping命令判断主机在线一样，如果有icmp回显那么nmap就认为其是存活的。
只发送icmp echo-request
有icmp echo-reply（icmp回显）就在线
图4 .sP方式扫描
┌──(kali㉿kali)-[~]
└─$ **nmap** **-sP 192.168.24.1-100**
Starting Nmap 7.93 ( https://nmap.org ) at 2022-10-26 23:14 EDT
Nmap scan report for 192.168.24.1
Host is up (0.0034s latency).
Nmap scan report for 192.168.24.4
Host is up (0.0021s latency).
Nmap scan report for 192.168.24.6
Host is up (0.0026s latency).
Nmap scan report for 192.168.24.9
Host is up (0.0027s latency).
Nmap scan report for 192.168.24.10
Host is up (0.0033s latency).
Nmap scan report for 192.168.24.15
Host is up (0.0025s latency).
...省略
如果对方关闭了icmp回显的功能，那么nmap会判断本主机不在线，同时后续的端口扫描等也不会进行，会给扫描结果带来干扰。
Windows下开关回显：
图5 .Windows系统可在防火墙规则开关icmp回显
Linux关闭回显：
#临时关闭
echo 0 >/proc/sys/net/ipv4/icmp\\_echo\\_ignore\\_all
#永久
echo net.ipv4.icmp\\_echo\\_ignore\\_all=0 >> /etc/sysctl.conf
sysctl -p
图6 .ping测试下的icmp开关效果
所以为了排除干扰，可以加上-P0参数，这样后续的端口扫描等操作也不会被干扰。请注意，P0虽然可以更彻底的扫描，但是代价是如果该地址本就真的不存在设备或者设备不在线，那么将花费大量的时间做无用功。
Windows主机上开启smb文件共享，确认开启445端口。并且是关闭的icmp回显。
图7 .使用netstat查看端口监听情况
对于关闭icmp回显的设备，加不加-P0参数对扫描的结果有很大的影响。
图8 .使用nmap 添加和不添加-P0的测试
向目标主机的常用端口发送标志SYN=1的TCP握手报文，默认-PS不加参数时候会向常用的TCP端口发送SYN报文，并不需要建立TCP连接，只要有回应那么就说明主机在线的。在判断主机存活时候随便还探测了开放的TCP端口。
这个常用的TCP端口官方说默认的目标端口是80，但是实际上抓包发现其实都有很多，因为默认情况下自带了对TCP1660个常用端口的扫描。
图9 .PS抓取报文的效果
#PS不带参数
nmap **-PS** 192.168.5.1/24
#如果需要添加指定端口，比如你发现目标喜欢使用65522作为ssh端口，或者65000到65535这些都有可能，可以添加到扫描列表中，默认情况下预设的TCP端口也依旧会扫描
nmap **-PS65522,65000-65535** 192.168.5.1/24
-PA和PS其实是类似的，向目标主机的常用端口发送TCP报文，只不过这次是ACK=1的TCP确认报文。主要是用于通过一些有防火墙防火墙，因为防火墙会依据SYN报文来识别TCP连接，比较容易暴露自己。
一般情况ACK和SYN一起发送效果比较好。
nmap -PS -PA 192.168.5.1/24
前面-PS和PA都是基于TCP扫描，PU使则是使用UDP扫描，如果网络中TCP的SYN和ACK都被防火墙隔离了，那就使用UDP。
nmap -PU 192.168.5.1/24
TCP和UDP这些都是基于IP扫描，如果只需要扫描局域网内（同网段，不跨越网关），可以使用ARP扫描，往往都不容易被察觉也比网络层扫描更可靠，当广播询问IP的对应MAC地址时候，当有回应那么就认为主机在线。
nmap -PR 192.168.5.1/24
nmap会对目标的IP地址进行反向域名解析。注意如果和-sL一起使用那就真的是只列出IP地址。 强制nmap对目标IP地址进行反向域名解析。 一般只有当发现机器正在运行时才进行这项操作。 如果使用-p自定义范围。
-p和主机发现类似的用法，可以使用**,-**来选择范围。 nmap -sS **-p** **1-1024,3389,3306** 192.168.5.1/24
也可以使用U:和T:来选择UDP端口、TCP端口范围。 nmap -sS -sU -p U:53,67,68,T:1-1024,3389,3306 192.168.5.1/24
默认是使用常见的1000个端口作为目标，如果觉得不够快也可以使用-F将使用最常见的100个端口作为目标。使用–top-ports也可以规定前几的端口为目标，-F相当于–top-ports 100的情况。
# 使用-F扫描最常用的100端口
nmap -F 192.168.5.1
# 使用--top-ports 自定义扫描最长用的端口，比如最常用的500个端口
nmap --top-ports 500 192.168.5.1
一个小参数，设置了可以按顺序扫描端口，默认情况是先扫常用端口再扫用户自定义的端口，其实意义不是那么大。
此模式需要管理员（administrator或root）权限。
sS是最常用的扫描方式，不会建立完整的TCP连接，只发送SYN连接请求，所以速度很快，而且通常不会被扫描目标记录。
发送SYN，返回SYN/ACK->open开放 发送SYN，返回RST->closed关闭 发送SYN，等待超时，发送SYN，等待超时->filtered被过滤 发送SYN，返回ICMP不可达->filtered被过滤 nmap -sS -p 1-65535 192.168.5.1
sT需要建立完整的TCP连接，即三次握手。所以判断端口开放更可靠，但是很有可能会被记录下连接的日志。
默认情况下不加参数都是使用此方法作为端口扫描。
nmap -sT 192.168.5.1
此模式需要管理员（administrator或root）权限。
对UDP端口进行扫描，使用-sT、-sS都不扫描UDP端口，所以如果有需要扫描UDP那就务必加上此。当然也可以结合TCP扫描来使用。
其原理为想目标端口发送UDP探测包，等待相应，返回ICMP端口不可达（ICMP port unreachable）为端口关闭，等待超时则为端口被过滤
sudo nmap -sS -sU -p U:53,67,68,161,162,T:1-65535 192.168.5.1/24
此模式需要管理员（administrator或root）权限。
nmap发现TCP端口开放与否对不同标志位上TCP报文有不同回应，回复RST报文则认为开放，超时则认为关闭或过滤。因为对于服务器来说这些TCP报文都是错误的，不保证所有端口的都可以正确的相应 ，但是这比SYN和整个TCP连接都要来得更隐蔽。（不过我都没有用过啊）
-sN，TCP Null扫描，发送标志位都为0的TCP包，用于测试防火墙。-sF，TCP FIN扫描，发送标志位FIN=1（关闭连接）的TCP包。端口扫描效果不是很好，但是很隐蔽。-sX，Xmas扫描，这个更过分了，直接把FIN，PSH和URG标志位都置1了。-sM，TCP Maimon扫描，发送标志位FIN，ACK的TCP报文。--scanflags (定制的TCP扫描)，这些标志位你甚至可以自己定义，不过记得配合其他TCP扫描。
sudo nmap -sA -F 127.0.0.1 --scanflags URGACKPSHRSTSYNFIN
此模式需要管理员（administrator或root）权限。
ACK扫描，将TCP报文标志位ACK=1，可以用于检测防火墙屏蔽了哪个端口，不过滤的主机端口反而啥也扫不出。
有空要补上图。因为我手机上并没有模拟出来效果啊。
IP 协议扫描确定目标机支持哪些IP协议 (TCP，UDP，ICMP，IGMP等等)。从技术上说，这不是端口扫描 ，既然它遍历的是IP协议号，但是也可以使用-p来指定端口，只不过这个端口对应的是协议的号码。
图10 .这里的数字不是代表端口，而是协议
僵尸主机也就是肉鸡，利用side-channel攻击，nmap对此端口进行扫描操作，从而更加隐蔽的进行扫描，若安全设备溯源也是溯源到肉鸡的IP。
sudo nmap -sI 192.168.2.8:8080 192.168.2.1/24 -Pn
这个是利用FTP代理链接漏洞，允许用户连接到一台FTP服务器，然后要求文件送到一台第三方服务器。可以有效的隐藏自己。
这里参数格式是-
sudo nmap -sS ftp:123@192.168.1.1:21
不同服务也有不同版本，比如SNMP有v1、v2c、v3三种版本，SMB也有v1.0、v2.0、v3.0三种版本。不同的版本也有不同的特性，为此这些信息也是很重要的内容。
-sV 打开版本探测。在端口扫描的基础上进行开放端口的服务分析。
–allports (不为版本探测排除任何端口) 默认情况下会跳过tcp:9100，因为某些打印机简单地打印送到该端口的任何数据，这回导致数十页HTTP get请求，二进制 SSL会话请求等等被打印出来 –version-intensity (设置 版本扫描强度) 强度范围：0和9，默认是7。强度越高越精确，但是耗时更久。
- --version-light (轻量级模式) 相当于--version-intensity 2
- --version-all (尝试每端口探测) 相当于--version-intensity 9
–version-trace（显示正在进行的扫描的调试信息）可以看到具体的日志。 -sR 利用RPC协议来进行版本探测，不过现在使用sV就涵盖了其中，少用。其实我也不太懂RPC，之前配置NFS时候遇到过RPC:111和113端口。 -A 操作系统和版本探测都进行，和启动-sV和-O一样，sV和O的参数在这里也可以使用。 因为nmap通常对整个进行扫描，倘若网段范围主机非常多，适当的添加参数调整参数会大大的节约时间。
只要记住这个就可以了，因为够用了，其他时间选项其实更加细致的设置，T时间模板已经封装好。
原来扫描结果需要最后才可以全部看到，但是可以设置组的大小，从而让当前组扫完就可以的看结果，如果组的大小定义为50，扫描50个主机扫描完成后可以得到报告(详细模式中的补充信息 除外)。
不过其实个人觉得-v或者-vv参数更有效果吧。
设置扫描包的发送间隔，单位ms。
跳过通信差的主机，设置多少ms延迟才跳过。比如楼下蹭网的邻居，每一次扫描需要等待许久，非常消耗时间，干脆跳过。
使用诱饵隐藏扫描。即发送参杂着假ip的数据包检测。作为诱饵ip须在线。
使用逗号分隔每个诱饵主机，比如：
sudo nmap -sS -D 192.168.1.1,192.168.2.1,192.168.3.1,192.168.5.1 192.168.5.2-254
-S 伪造IP报文中原地址，若有多张网卡那么要指定发送和接收的网卡。
-e 指定网卡 比如 -e eth0，在Windows上可以使用–iflist查看网卡。 自定义源端口
默认时候发送的IP报文都是没有数据的空白报文，追加随机的数据可以减小被怀疑的可能，但是性能消耗会增加。
设置ttl，比如–ttl 255
这个比较有趣，可以输入完整的mac地址,也可以输入前面3Byte的mac，也可以输入厂家的名字（使用自带库中的预设）。
比如 ----spoof-mac 01:01:01:01:22:1a,a20123,Cisco
nmap可以将结果输出为文件，同时也可以配合–resume实现继续之前未完成的任务。
输出以下的全部，当然如果不需要也可以任意选择需要的：
-oN (标准输出) 标准输出可以用于–resume断点继续。
–append-output (在输出文件中添加) -oX (XML输出) 推荐使用此格式，因为XML使用场景很广，可方便被编程语言调用。比如使用python的脚本导结果为excel表格等。
-oG (Grep输出) 可以很方便的在grep、awk、cut、sed、diff等命令中展现。
-vv 比起-v更详细，但是终端打印消息太多可能主要的信息就不太好看得见了。 -d [level] (提高或设置调试级别) 这个一般情况是调试用的 要求Nmap打印发送和接收的每个报文的摘要，也可以方便初学者理解nmap工作原理。
用于分析路由，如果报文发送错误网卡可以使用-e来定义网卡接口，但是nmap中的命名是Linux那一套，在Windows要注意。
图11 .显示网卡和路由
信息收集篇：玩转信息收集
都知道，信息收集这个东西在各行各业都能用到，在侦探业，现场的勘察以及细节信息需要了解；IT/网络安全/黑客这方面也更是如此，要谈信息收集这个东西说起来覆盖的业界可谓是非常的广泛，今天我就主要是在计算机行业这一块做一些简要的说明，以至于一些朋友也就不会连信息收集是个什么毛东西都不知道。
来自百度的解释：
信息收集（Information Gathering），信息收集是指通过各种方式获取所需要的信息。信息收集是信息得以利用的第一步，也是关键的一步。信息收集工作的好坏，直接关系到整个信息管理工作的质量。信息可以分为原始信息和加工信息两大类。原始信息是指在经济活动中直接产生或获取的数据、概念、知识、经验及其总结，是未经加工的信息。加工信息则是对原始信息经过加工、分析、改编和重组而形成的具有新形式、新内容的信息。两类信息都对企业的营销管理活动发挥着不可替代的作用。
主要方面（手动信息收集）：
QQ相关信息查询 SGK（社工库）相关查询 历史记录查询 IP、WHOIS、DNS、CDN等信息查询 QQ反查微信
信息收集的细节分类（个人理解）：
QQ相关信息查询：
那么，现在分类出了这些东西，手动信息收集大多数为是通过社工库、搜索引擎等等渠道进行信息方面的收集，例如，我们在QQ群上得到了一个人的QQ，我们就可以通过这个QQ查询他/她的个人相关信息：
得到QQ后，我们可以通过对于该QQ进行信息的查询（为了个人隐私已经打码），当然，这也只是信息收集的一个小技巧，有时候运气好还能看见别人的贴吧ID等，通过QQ，我们还可以对QQ号码的主人进行IP地址的定位查询，常用的相关工具有木子李QQIP定位工具 ，该款工具通过对QQ好友进行套路获取对方的外网IP，在这里我就不用具体说明外网IP的作用对各位安全爱好者来说有哪些了吧？（图片工具测试来自小刀娱乐网）：
现在我们来细节分类通过QQ可以获得什么信息：
外网IP QQ号码主人个人信息 QQ注册历史记录查询 QQ反查手机号 ……
常见的QQ相关的信息主要就这几种，现在有对于QQ方面的网站反查针对收集有历史注册查询，不过就不在这里多展示了，平时可以自己利用搜索引擎查询到，毕竟是违禁的。
现在的圈子内有通过QQ号码反查手机号，然后通过手机号码反查注册人再通过出户籍的相关人士，不过大多数都是联系的条子（指网警），我本人在这里先声明一下，本篇博文仅供技术参考，如若有人对此进行违法犯罪的操作或活动与本人无关。
SGK相关信息查询：
社工库（A social worker library）：指通过对个人信息以及一些邮箱信息、QQ老密等进行规范的整理，并导入网站数据库进行查询，当然，也不只是网站，也可以导入到软件内进行查询；简称：社工库。
由于国家的规范整改，社工库这类违反相关规定的查询方式已经渐渐的淡出了互联网，所以我本人只是在这里简短的提及一下就结束。
历史记录查询：
历史记录这个东西，在信息收集这方面也是蛮有用的，特别是在社工这方面的技术；现在有查询邮箱和手机号的历史记录的网站，比较好的主要是一下的：
https://www.reg007.com
不过这个网站注册是需要邀请码的，也不贵，也就1-2瓶水的钱，我本人也是在这里注册了，平时的查询都会用到，这个网站的原理就是通过你键入的手机号或者邮箱进行对各个网站一个一个的碰撞，如若有的话那么就返回已经注册，没有的话就跳过，这个网站的一个特点就是你可以对你个人账号进行隐私保护，也就是像我这样的：
IP信息、WHOIS信息、DNS信息查询：
这里的话，常见的也就是有站长之家 、全球whois查询 等，效果也就是把你注册的whois信息给整理到一起然后方便查看,以下的图片是我用的参考：
IP信息的话， 也就是常见的端口信息了，站长之家这里也可以方便我们在线查询，推荐一个地址：
http://www.atool.org/port_scanner.php
在这里，你可以直接将你想扫描的IP或者域名输入进去，然后网站就会自动帮你枚举：
常见的手动信息收集主要就是这几个方面，其实还有很多，这里我也就不一一介绍了，之前也说了只介绍常见的。
以上是关于网络安全：信息收集之玩转nmap（理论篇）的主要内容，如果未能解决你的问题，请参考以下文章
TCP/IP之玩转HTTP协议
蓝队思路总结-理论篇
蓝队思路总结-理论篇
手势滑动之玩转onTouchEvent()与Scroller
JAVA秒会技术之玩转PDFIText转PDF秒会
runtime之玩转成员变量
