Nmap抓包分析与绕过Windows防火墙( 二 ) _Nmap抓包

按照最新官方文档解释，该包发送大概有以下几种情况：

1. 端口关闭->返回ICMP端口不可达包->判断主机存活。

2. 返回其他ICMP错误，如主机/网络不可达或TTL超标等->判断停机。

3. 端口开启且该服务不响应—>nmap未接收到返回包->判断停机。

4. 端口关闭且协议不匹配->返回ICMP端口不可达包->判断主机存活。

这就是为什么默认要用40125这么冷门的端口，避免有服务使用该端口。
nmap -sn -PA135 172.16.1.128-vvv -n --disable-arp-ping
返回ICMP端口不可达，仍旧判断出主机存活。

文章插图
image image
局域网没什么问题，扫外网的话同样有前文说的Vmware Nat网络问题，注意一下就好。
-PY (SCTP INIT)
SCTP INIT Ping：发送包含最小INIT块的SCTP包到指定端口检测主机是否存活，默认80端口。SCTP可看做TCP协议的改版。
nmap -sn -PY135 172.16.1.128-vvv -n --disable-arp-ping
返回协议不可达，以此判断出主机存活。

文章插图
image image -PR (ARP)
ARP Ping：ARP扫描，Nmap扫内网最常用的方式。
nmap -sn -PR 172.16.1.128-vvv -n
接收到arp返回包，判断主机存活。

文章插图
image image -PE/PP/PM (ICMP)
ICMP Ping：三种ICMP标准请求，如果防火墙关掉ICMP回显则收不到reply 。
第一个就是常说的Ping 。
image
第二个是时间戳请求
image
第三个是地址掩码请求
image
ICMP标准还有个信息请求，但目前未被广泛支持，所以Nmap没有做相关功能。
-PO (IP Protocol)
IP Protocol Ping：默认发送ICMP(协议1)、IGMP(协议2)和IP-in-IP(协议4)，更改协议需要改nmap.h文件中的 DEFAULT_PROTO_PROBE_PORT_SPEC。目前意义不大。
nmap -sn -PO -vv 172.16.1.128-n --disable-arp-ping

文章插图
【Nmap抓包分析与绕过Windows防火墙】image image 端口扫描(Scan)
其实端口扫描(Scan)很多参数和主机发现(Ping)的前期抓包情况是一样的。Ping相当于点到为止，根据回显发现主机存活即可，而Scan还需要进一步分析，判断端口是否开启、判断什么服务等。
由于大部分Scan参数与Ping参数请求包一致，而部分Scan参数在本文中并未体现，所以暂且贴出三个参数抓包情况。
-sS (TCP SYN)
TCP SYN scan：经典的半开放扫描。
nmap -Pn-sS -p 135-vvv 172.16.1.128-n

文章插图
image
可见发送的请求包和 -PS 是一样的，至于Nmap如何判断如何分析，这里就不关心了。
image -sT (TCP connect)
TCP connect scan：TCP连接扫描，三次握手确认目标后直接发送RST结束当前连接，跳过四次挥手阶段。
端口开启
nmap -Pn-sT -p 135172.16.1.128-vvv -n --disable-arp-ping
# -Pn 不进行主机存活探测

文章插图
image image

文章插图
image
端口关闭

文章插图
image image

文章插图
image
可以发现， -sT 和 -PS 两个扫描的抓包情况十分接近，只有收到SYN/ACK返回包后应答的不同，这也是 -PS 被称为半开放扫描的原理。
-sU (UDP)
UDP scans：发送UDP包进行扫描
nmap -Pn-sU -p 135172.16.1.128-vvv -n --disable-arp-ping
这里显示 open|filtered ，为什么呢？
因为UDP包请求到开放的端口，经常没有回显。而且这里使用 -Pn 跳过了主机存活探测，默认主机存活，又因为收不到回显，所以nmap无法判断该端口是开启还是被防御规则过滤。