Nmap高级用法与典型场景

Nmap高级用法与典型场景

2012年9月15日 星期六

　　Nmap提供了四项基本功能（主机发现、端口扫描、服务与版本侦测、OS侦测）及丰富的脚本库。Nmap既能应用于简单的网络信息扫描，也能用在高级、复杂、特定的环境中：例如扫描互联网上大量的主机；绕开防火墙/IDS/IPS；扫描Web站点；扫描路由器等等。

　　简要回顾Nmap简单的扫描方式：

1.2  指定网口与IP地址
 
　　在Nmap可指定用哪个网口发送数据，-e <interface>选项。接口的详细信息可以参考--iflist选项输出结果。
示例：
nmap -e eth0 targetip
　　Nmap也可以显式地指定发送的源端IP地址。使用-S <spoofip>选项，nmap将用指定的spoofip作为源端IP来发送探测包。
　　另外可以使用Decoy（诱骗）方式来掩盖真实的扫描地址，例如-D ip1,ip2,ip3,ip4,ME，这样就会产生多个虚假的ip同时对目标机进行探测，其中ME代表本机的真实地址，这样对方的防火墙不容易识别出是扫描者的身份。
nmap -T4 -F -n -Pn -D192.168.1.100,192.168.1.101,192.168.1.102,ME 192.168.1.1
1.3  定制探测包
 
　　Nmap提供--scanflags选项，用户可以对需要发送的TCP探测包的标志位进行完全的控制。可以使用数字或符号指定TCP标志位：URG, ACK, PSH,RST, SYN,and FIN。
例如，
nmap -sX -T4 --scanflags URGACKPSHRSTSYNFINtargetip
　　此命令设置全部的TCP标志位为1，可以用于某些特殊场景的探测。
　　另外使用--ip-options可以定制IP包的options字段。
　　使用-S指定虚假的IP地址，-D指定一组诱骗IP地址（ME代表真实地址）。-e指定发送探测包的网络接口，-g（--source-port）指定源端口，-f指定使用IP分片方式发送探测包，--spoof-mac指定使用欺骗的MAC地址。--ttl指定生存时间。
 
2     扫描防火墙
 
　　防火墙在今天网络安全中扮演着重要的角色，如果能对防火墙系统进行详细的探测，那么绕开防火墙或渗透防火墙就更加容易。所以，此处讲解利用Nmap获取防火墙基本信息典型的用法。
　　为了获取防火墙全面的信息，需尽可能多地结合不同扫描方式来探测其状态。在设计命令行参数时，可以综合网络环境来微调时序参数，以便加快扫描速度。
SYN扫描
　　首先可以利用基本的SYN扫描方式探测其端口开放状态。
nmap -sS -T4 www.fakefirewall.com
　　扫描输出为：
 
4     扫描互联网
 
　　Nmap内部的设计非常强大灵活，既能扫描单个主机、小型的局域网，也可以扫描成千上万台主机从中发掘用户关注的信息。扫描大量主机，需要对扫描时序等参数进行仔细的优化。
4.1  发现互联网上web服务器
 
nmap -iR 100000 -sS -PS80 -p 80 -oG nmap.txt
　　随机地产生10万个IP地址，对其80端口进行扫描。将扫描结果以greppable（可用grep命令提取）格式输出到nmap.txt文件。
　　可以使用grep命令从输出文件提取关心的细节信息。
4.2  统计互联网主机基本数据
 
　　Nmap的创始人Fyodor在2008年的Black Hat大会发表一篇演讲，讲的是如何使用Nmap来扫描互联网（Nmap: Scanning the Internet），资料地址：http://nmap.org/presentations/BHDC08/。
　　Fyodor进行互联网扫描的初衷是统计出网络经验数据并用之优化Nmap的性能。例如，根据统计出每个端口开放的概率，优先扫描常见端口，以节省用户的时间。
产生随机IP地址
　　产生100万个随机的IP地址，并将之保存到文件中，方便后续扫描时作为参数输入。
nmap -iR 1200000 -sL -n | grep "not scanned" | awk '{print $2}' | sort -n | uniq >! tp; head -25000000 tp >! tcp-allports-1M-IPs; rm tp
　　上述命令含义：随机生成1200000个IP地址（-iR 120000），并进行列表扫描（-sL，列举出IP地址，不进行真正的扫描），不进行dns解析操作（-n），这样将产生Nmap列表扫描的结果。在此结果中搜出未扫描的行（grep “not scanned”），打印出每一行的第二列内容（awk ‘{print $2}’，也就是IP地址），然后对获取到的IP地址进行排序（sort -n），然后剔除重复IP地址，将结果保存到临时文件tp，再取出前1000000个IP地址保存到tcp-allports-1M-IPs文件中，删除临时文件。
　　总之，此处产生了1000000个随机IP地址存放在tcp-allports-1M-IPs文件中。
 
优化主机发现
nmap -sP -PE -PP -PS21,22,23,25,80,113,31339-PA80,113,443,10042 --source-port 53 -T4 -iL tcp-allports-1M-IPs
　　上述命令进行主机发现：使用产生的IP地址（-iL tcp-allports-1M-IPs），指定发送包的源端口为53（--source-port 53，该端口是DNS查询端口，一般的防火墙都允许来自此端口的数据包），时序级别为4（-T4，探测速度比较快），以TCP SYN包方式探测目标机的21,22,23,25,80,113,31339端口，以TCP ACK包方式探测对方80,113,443,10042端口，另外也发送ICMP ECHO/ICMP TIMESTAMP包探测对方主机。只要上述的探测包中得到一个回复，就可以证明目标主机在线。
 
完整的扫描命令
　　在准备了必要的IP地址文件，并对主机发现参数优化后，我们就得到最终的扫描命令：
nmap -S [srcip] -d --max-scan-delay 10 -oAlogs/tcp-allports-%T-%D -iL tcp-allports-1M-IPs --max-retries 1--randomize-hosts -p- -PS21,22,23,25,53,80,443 -T4 --min-hostgroup 256 --min-rate175 max-rate 300
　　上述命令用于扫描互联网上100万台主机全部的TCP端口的开放情况。
　　使用包含100万个IP地址的文件（-iL tcp-allports-1M-IPs），源端IP地址设置为srcip(指定一个IP地址，保证该IP地址位于统一局域网中，否则无法收到目标机的回复包)，主机发现过程使用TCP SYN包探测目标机的21,22,23,25,53,80,443，扫描过程将随机打乱主机顺序（--randomize-hosts，因为文件中的IP已经排序，这里将之打乱，避免被防火墙检查出），端口扫描过程检查全部的TCP端口（-p-，端口1到65535），使用时序级别为4（-T4，速度比较快），将结果以XML/grepable/普通格式输出到文件中（-oA logs/tcp-allports-%T-%D，其中%T表示扫描时间，%D表示扫描日期）。
　　-d表示打印调试出信息。
　　--max-scan-delay 10表示发包最多延时10秒，防止特殊情景下等待过长的时间。
　　--max-retries 1，表示端口扫描探测包最多被重传一次，防止Nmap在没有收到回复的情况下多次重传探测包，当然这样也会降低探测的准确性。
　　--min-host-group 256表示进行端口扫描与版本侦测时，同时进行探测的主机的数量，这里至少256个主机一组来进行扫描，可以加快扫描速度。
　　--min-rate 175和--max-rate 300，表示发包速率介于175和300之间，保证扫描速度不会太慢，也不会因为速率过高引起目标机的警觉。
扫描结果
　　Fyodor组织的此次扫描得出很多重要结论，统计出了互联网最有可能开放的10个TCP端口。
80 (http)23 (telnet)22 (ssh)443 (https)3389 (ms-term-serv)445 (microsoft-ds)139 (netbios-ssn)21 (ftp)135 (msrpc)25 (smtp)
最有可能开放的10个UDP端口。
137 (netbios-ns)161 (snmp)1434 (ms-sql-m)123 (ntp)138 (netbios-dgm)445 (microsoft-ds)135 (msrpc)67 (dhcps)139 (netbios-ssn)53 (domain)
 
5     扫描Web站点
 
　　Web是互联网上最广泛的应用，而且越来越多的服务倾向于以Web形式提供出来，所以对Web安全监管也越来越重要。目前安全领域有很多专门的Web扫描软件（如AppScan、WebInspect、W3AF），能够提供端口扫描、漏洞扫描、漏洞利用、分析报表等诸多功能。而Nmap作为一款开源的端口扫描器，对Web扫描方面支持也越来越强大，可以完成Web基本的信息探测：服务器版本、支持的Method、是否包含典型漏洞。功能已经远远超过同领域的其他开源软件，如HTTPrint、Httsquash。
　　目前Nmap中对Web的支持主要通过Lua脚本来实现，NSE脚本库中共有50多个HTTP相关的脚本。
　　扫描实例：
nmap -sV -p 80 -T4 --script http*,defaultscanme.nmap.org
 
　　上面以扫描scanme.nmap.org的Web应用展示Nmap提供Web扫描能力，从图中可以看到扫描结果中提供了比较丰富的信息。
　　首先是应用程序及版本：Apachehttpd 2.2.14 ((Ubuntu))
　　然后搜出了该站点的affiliate-id:该ID可用于识别同一拥有者的不同页面。
　　然后输出HTTP-headers信息，从中查看到基本配置信息。
　　从http-title中，可以看到网页标题。某些网页标题可能会泄漏重要信息，所以这里也应对其检查。