Nmap简介
Nmap 是一款网络扫描和主机侦测的非常有用的工具。合理使用,不仅可以用来信息收集和枚举,同时也可以用来作为一个漏洞探测器或安全扫描器。另外 Nmap 还跨平台,适用于 Windows、Linux 和 Macintosh 等主流操作系统,功能强大,乃居家旅行之必备良品。
Nmap 具有主机发现
、端口扫描
、服务版本侦测
、操作系统侦测
四大功能
这四大应用乃 Nmap 之精髓,同时它们之间具有逻辑上的顺序关系。首先进行主机判断,发现在指定信道上存活的主机,然后对这些存活的主机进行端口扫描,接着记录这些运行服务的版本号,最后针对不同操作系统我们还可以有不同的具体应对方案,顺手便把对方的操作系统给侦测了。
在这四大基本应用之上,Nmap 还有一些用来规避、绕过防火墙的组合技巧。
最后本文将介绍 Nmap 的一个强大的应用模块,名曰 Nmap 脚本引擎(Nmap Script Engine),简称 NSE。使用 NSE 来干一些本来看起来繁琐的事情,也就是说实现了自动化。
主机发现
1 | nmap -sn IP地址 # 表示 “使用 ping 扫描来侦测存活的主机,而不进行端口扫描” |
端口扫描
1 | nmap -sU IP地址 # UDP扫描。NTP(123端口)、SNMP(161端口)等服务,就必须使用 UDP 协议进行扫描 |
服务版本侦测
1 | nmap -sV IP地址 # 扫描和版本号侦测 |
操作系统侦测
1 | nmap -A IP地址 |
技巧
利用掩体(参入假ip)
1 | namp -D IP地址1,IP地址2... IP地址 |
你可以使用 D 选项(英文 decoy)跟一些 IP 地址,IP 和 IP 之间用逗号隔开。这样看起来用来侦测而发送的数据包不仅来自于你的 IP 地址,还来自于这些掩体 IP。这就叫做 “混入其中”。
空闲扫描
1 | nmap -sI 僵尸IP地址[:开放的僵尸端口] IP地址 |
和 D 选线不同的是,sI 根本不使用你自己的 IP 地址,而是使用空闲的网络资源。这样隐蔽性就更强了。开放的僵尸端口为选填,默认等于 80 端口。具体原理请参考 Nmap 文档。根据这个理论,你不能使用空闲扫描来扫描你自己的主机 IP。在 msfconsole 中,你可以使用 auxiliary/scanner/ip/ipidseq 来完成这个工作。
指定网卡进行扫描
1 | nmap -e 网卡 IP地址 |
当你拥有不止一个网卡的时候,这很有用
限制扫描时间
1 | nmap --host-timeout 时间 IP地址 |
限制每个 IP 地址的扫描时间(单位为秒),当要扫描大量的主机 IP 时这很有用
指定源 IP 地址
1 | nmap -S 源IP地址 IP地址 |
使用冒充的 IP 地址进行扫描以增强隐蔽性。这里伪装成的 IP 也可以来自于下线状态的主机地址
指定源主机端口
1 | nmap -g 53 IP地址 |
使用 g 参数,或者 source-port 参数,来手动设定用来扫描的端口。常用的,如 20、53、67 端口
添加垃圾数据
1 | nmap --data-length 垃圾数据长度 IP地址 |
一些常见的扫描之数据包是有特定的数据长度的,通过在发送的数据包末尾添加随机的垃圾数据,以达到混淆视听的作效果
随机选择扫描对象
1 | nmap --randomize-hosts IP地址 |
如果你要扫描大量的,比如成百上千的主机 IP,这很有效。它会打乱扫描顺序,以规避检测系统的检测
伪装 MAC 地址
1 | nmap --spoof-mac 伪造MAC IP地址 |
你可以通过指定供应商的名字来伪装 MAC 地址。可选的名字有 Dell、Apple、3Com。当然也可以手动指定 MAC 地址的值。或者为了简单起见,可以在上面 “伪造IP” 的地方填写数字 0,这将生成一个随机的 MAC 地址
伪造检验值
1 | nmap --badsum IP地址 |
这将使用伪造的 TCP / UDP / SCTP 校验和发送数据
扫描速度
1 | nmap -T0 IP地址 |
T后面跟的数字代表扫描速度,数字越大则速度越快。0~5分别表示:妄想症、鬼鬼祟祟、彬彬有礼、正常、好斗、精神病
跟踪路由
1 | nmap --traceroute <ip地址> |
跟踪路由用于检测您的计算机数据包从路由器到ISP的路由到互联网直至其特定目的地
Nmap脚本引擎
Nmap 脚本引擎内置在 Nmap 中,使用 script 参数进行调用。它的英文名是 Nmap Script Engine,简称 NSE。
Nmap 内置了一些已经写好的脚本,在 Kali 等主流渗透系统中被保存在 /usr/share/nmap/scripts/ 文件夹下。文件后缀名是 .nse。使用 sC(等价于 script=default)或者 script 参数对 Nmap 脚本进行调用
按类别扫描如下:1
nmap --script=类别 IP地址
Nmap 的脚本类别分为以下几类:
auth:负责处理鉴权证书、绕开鉴权的脚本。
broadcast:处理在局域网内探查更多服务开启的状况,如 dhcp / dns / sqlserver 等服务。
brute:提供暴力破解方式,针对常见的应用如 http / snmp 等。
default:使用 sC 或 A 选项时默认的脚本,提供基本脚本扫描能力。
discovery:挖掘更多的网络服务信息,如 smb 枚举、snmp 查询等。
dos:用于进行拒绝服务攻击。
exploit:利用已知的漏洞入侵系统。
external:利用第三方的数据库或资源,如进行 whois 解析。
fuzzer:模糊测试脚本,发送异常的包到目标主机,探测出潜在的漏洞。
malware:探测目标是否感染了病毒,是否开启了后门。
safe:与 fuzzer 功能相反,属于安全性脚本。
version:负责增强信性服务与版本扫描功能的脚本。
vuln:负责检查目标主机是否有常见的漏洞,如 ms08_067
使用特定的脚本扫描
1 | nmap --script=特定的脚本名字 IP地址 |
所谓 Nmap 脚本的名字,就是 /usr/share/nmap/scripts/ 文件夹下的那些文件,去掉后缀后的东西
增强和个性化定制脚本
CVE(Common Vulnerablities and Exposures)是安全界的一个规范。一个较著名的,Exploit-DB 数据库以 CVE 规范为基础,对确定披露的漏洞进行了分类。我们将使用下面的脚本直接访问 Exploit-DB 数据库(并导入 Nmap。这是 Exploit-DB 数据库的在线搜索接口。当然漏洞库多了去了,但我之所以将它列出,因为该地址默认是存储在 Kali 的收藏栏里面的
这里提供两个别人已经写好的脚本。(可以自己在 Github 寻找)
我已经安装好了,以下是一个使用示范。相比于普通的漏洞扫描,通常它会更多有价值的信息1
nmap -sV --script 脚本之间用逗号隔开 --script-args 参数之间用逗号隔开 IP地址
除此之外你还可以编写自己的 Nmap 脚本,这里是一个较为基础的入门指南