端口扫描cmd_端口扫描c++

端口扫描的最新技术有些什么?

一：TCP/IP相关问题

连接端及标记

IP地址和端口被称作套接字，它代表一个TCP连接的一个连接端。为了获得TCP服务，必须在发送机的一个端口上和接收机的一个端口上建立连接。TCP连接用两个连接端来区别，也就是(连接端1，连接端2)。连接端互相发送数据包。

一个TCP数据包包括一个TCP头，后面是选项和数据。一个TCP头包含6个标志位。它们的意义分别为：

SYN: 标志位用来建立连接，让连接双方同步序列号。如果SYN=1而ACK=0，则表示该数据包为连接请求，如果SYN=1而ACK=1则表示接受连接。

FIN: 表示发送端已经没有数据要求传输了，希望释放连接。

RST: 用来复位一个连接。RST标志置位的数据包称为复位包。一般情况下，如果TCP收到的一个分段明显不是属于该主机上的任何一个连接，则向远端发送一个复位包。

URG: 为紧急数据标志。如果它为1，表示本数据包中包含紧急数据。此时紧急数据指针有效。

ACK: 为确认标志位。如果为1，表示包中的确认号时有效的。否则，包中的确认号无效。

PSH: 如果置位，接收端应尽快把数据传送给应用层。

TCP连接的建立

TCP是一个面向连接的可靠传输协议。面向连接表示两个应用端在利用TCP传送数据前必须先建立TCP连接。 TCP的可靠性通过校验和，定时器，数据序号和应答来提供。通过给每个发送的字节分配一个序号，接收端接收到数据后发送应答，TCP协议保证了数据的可靠传输。数据序号用来保证数据的顺序，剔除重复的数据。在一个TCP会话中，有两个数据流(每个连接端从另外一端接收数据，同时向对方发送数据)，因此在建立连接时，必须要为每一个数据流分配ISN(初始序号)。为了了解实现过程，我们假设客户端C希望跟服务器端S建立连接，然后分析连接建立的过程(通常称作三阶段握手)：

1： C --SYN XXà S

2： C ?-SYN YY/ACK XX+1------- S

3： C ----ACK YY+1--à S

1：C发送一个TCP包(SYN 请求)给S，其中标记SYN(同步序号)要打开。SYN请求指明了客户端希望连接的服务器端端口号和客户端的ISN(XX是一个例子)。

2：服务器端发回应答，包含自己的SYN信息ISN(YY)和对C的SYN应答，应答时返回下一个希望得到的字节序号(YY+1)。

3：C 对从S 来的SYN进行应答，数据发送开始。

一些实现细节

大部分TCP/IP实现遵循以下原则：

1：当一个SYN或者FIN数据包到达一个关闭的端口，TCP丢弃数据包同时发送一个RST数据包。

2：当一个RST数据包到达一个监听端口，RST被丢弃。

3：当一个RST数据包到达一个关闭的端口，RST被丢弃。

4：当一个包含ACK的数据包到达一个监听端口时，数据包被丢弃，同时发送一个RST数据包。

5：当一个SYN位关闭的数据包到达一个监听端口时，数据包被丢弃。

6：当一个SYN数据包到达一个监听端口时，正常的三阶段握手继续，回答一个SYN ACK数据包。

7：当一个FIN数据包到达一个监听端口时，数据包被丢弃。"FIN行为"(关闭得端口返回RST，监听端口丢弃包)，在URG和PSH标志位置位时同样要发生。所有的URG，PSH和FIN，或者没有任何标记的TCP数据包都会引起"FIN行为"。

二：全TCP连接和SYN扫描器

全TCP连接

全TCP连接是长期以来TCP端口扫描的基础。扫描主机尝试(使用三次握手)与目的机指定端口建立建立正规的连接。连接由系统调用connect()开始。对于每一个监听端口，connect()会获得成功，否则返回-1，表示端口不可访问。由于通常情况下，这不需要什么特权，所以几乎所有的用户(包括多用户环境下)都可以通过connect来实现这个技术。

这种扫描方法很容易检测出来(在日志文件中会有大量密集的连接和错误记录)。Courtney,Gabriel和TCP Wrapper监测程序通常用来进行监测。另外，TCP Wrapper可以对连接请求进行控制，所以它可以用来阻止来自不明主机的全连接扫描。

TCP SYN扫描

在这种技术中，扫描主机向目标主机的选择端口发送SYN数据段。如果应答是RST，那么说明端口是关闭的，按照设定就探听其它端口;如果应答中包含SYN和ACK，说明目标端口处于监听状态。由于所有的扫描主机都需要知道这个信息，传送一个RST给目标机从而停止建立连接。由于在SYN扫描时，全连接尚未建立，所以这种技术通常被称为半打开扫描。SYN扫描的优点在于即使日志中对扫描有所记录，但是尝试进行连接的记录也要比全扫描少得多。缺点是在大部分操作系统下，发送主机需要构造适用于这种扫描的IP包，通常情况下，构造SYN数据包需要超级用户或者授权用户访问专门的系统调用。

三：秘密扫描与间接扫描

秘密扫描技术

由于这种技术不包含标准的TCP三次握手协议的任何部分，所以无法被记录下来，从而必SYN扫描隐蔽得多。另外，FIN数据包能够通过只监测SYN包的包过滤器。

秘密扫描技术使用FIN数据包来探听端口。当一个FIN数据包到达一个关闭的端口，数据包会被丢掉，并且回返回一个RST数据包。否则，当一个FIN数据包到达一个打开的端口，数据包只是简单的丢掉(不返回RST)。

Xmas和Null扫描是秘密扫描的两个变种。Xmas扫描打开FIN，URG和PUSH标记，而Null扫描关闭所有标记。这些组合的目的是为了通过所谓的FIN标记监测器的过滤。

秘密扫描通常适用于UNIX目标主机，除过少量的应当丢弃数据包却发送reset信号的操作系统(包括CISCO，BSDI，HP/UX，MVS和IRIX)。在Windows95/NT环境下，该方法无效，因为不论目标端口是否打开，操作系统都发送RST。

跟SYN扫描类似，秘密扫描也需要自己构造IP 包。

间接扫描

间接扫描的思想是利用第三方的IP(欺骗主机)来隐藏真正扫描者的IP。由于扫描主机会对欺骗主机发送回应信息，所以必须监控欺骗主机的IP行为，从而获得原始扫描的结果。间接扫描的工作过程如下：

假定参与扫描过程的主机为扫描机，隐藏机，目标机。扫描机和目标记的角色非常明显。隐藏机是一个非常特殊的角色，在扫描机扫描目的机的时候，它不能发送任何数据包(除了与扫描有关的包)。

四：认证扫描和代理扫描

认证扫描

到目前为止，我们分析的扫描器在设计时都只有一个目的：判断一个主机中哪个端口上有进程在监听。然而，最近的几个新扫描器增加了其它的功能，能够获取监听端口的进程的特征和行为。

认证扫描是一个非常有趣的例子。利用认证协议，这种扫描器能够获取运行在某个端口上进程的用户名(userid)。认证扫描尝试与一个TCP端口建立连接，如果连接成功，扫描器发送认证请求到目的主机的113TCP端口。认证扫描同时也被成为反向认证扫描，因为即使最初的RFC建议了一种帮助服务器认证客户端的协议，然而在实际的实现中也考虑了反向应用(即客户端认证服务器)。

代理扫描

文件传输协议(FTP)支持一个非常有意思的选项：代理ftp连接。这个选项最初的目的(RFC959)是允许一个客户端同时跟两个FTP服务器建立连接，然后在服务器之间直接传输数据。然而，在大部分实现中，实际上能够使得FTP服务器发送文件到Internet的任何地方。许多攻击正是利用了这个缺陷。最近的许多扫描器利用这个弱点实现ftp代理扫描。

ftp端口扫描主要使用ftp代理服务器来扫描tcp端口。扫描步骤如下：

1：假定S是扫描机，T是扫描目标，F是一个ftp服务器，这个服务器支持代理选项，能够跟S和T建立连接。

2：S与F建立一个ftp会话，使用PORT命令声明一个选择的端口(称之为p-T)作为代理传输所需要的被动端口。

3：然后S使用一个LIST命令尝试启动一个到p-T的数据传输。

4：如果端口p-T确实在监听，传输就会成功(返回码150和226被发送回给S)。否则S回收到"425无法打开数据连接"的应答。

5：S持续使用PORT和LIST命令，直到T上所有的选择端口扫描完毕。

FTP代理扫描不但难以跟踪，而且当ftp服务器在防火墙后面的时候

五：其它扫描方法

Ping扫描

如果需要扫描一个主机上甚至整个子网上的成千上万个端口，首先判断一个主机是否开机就非常重要了。这就是Ping扫描器的目的。主要由两种方法用来实现Ping扫描。

1：真实扫描：例如发送ICMP请求包给目标IP地址，有相应的表示主机开机。

2：TCP Ping：例如发送特殊的TCP包给通常都打开且没有过滤的端口(例如80端口)。对于没有root权限的扫描者，使用标准的connect来实现。否则，ACK数据包发送给每一个需要探测的主机IP。每一个返回的RST表明相应主机开机了。另外，一种类似于SYN扫描端口80(或者类似的)也被经常使用。

安全扫描器

安全扫描器是用来自动检查一个本地或者远程主机的安全漏洞的程序。象其它端口扫描器一样，它们查询端口并记录返回结果。但是它们。它们主要要解决以下问题：

1：是否允许匿名登录。

2：是否某种网络服务需要认证。

3：是否存在已知安全漏洞。

可能SATAN是最著名的安全扫描器。1995年四月SATAN最初发布的时候，人们都认为这就是它的最终版本，认为它不但能够发现相当多的已知漏洞，而且能够针对任何很难发现的漏洞提供信息。但是，从它发布以来，安全扫描器一直在不断地发展，其实现机制也越来越复杂。

栈指纹

绝大部分安全漏洞与缺陷都与操作系统相关，因此远程操作系统探测是系统管理员关心的一个问题。

远程操作系统探测不是一个新问题。近年来，TCP/IP实现提供了主机操作系统信息服务。FTP，TELNET，HTTP和DNS服务器就是很好的例子。然而，实际上提供的信息都是不完整的，甚至有可能是错误的。最初的扫描器，依靠检测不同操作系统对TCP/IP的不同实现来识别操作系统。由于差别的有限性，现在只能最多只能识别出10余种操作系统。

最近出现的两个扫描器，QueSO和NMAP，在指纹扫描中引入了新的技术。 QueSO第一个实现了使用分离的数据库于指纹。NMAP包含了很多的操作系统探测技术，定义了一个模板数据结构来描述指纹。由于新的指纹可以很容易地以模板的形式加入，NMAP指纹数据库是不断增长的，它能识别的操作系统也越来越多。

这种使用扫描器判断远程操作系统的技术称为(TCP/IP)栈指纹技术。

另外有一种技术称为活动探测。活动探测把TCP的实现看作一个黑盒子。通过研究TCP对探测的回应，就可以发现 TCP实现的特点。TCP/IP 栈指纹技术是活动探测的一个变种，它适用于整个TCP/IP协议的实现和操作系统。栈指纹使用好几种技术来探测TCP/IP协议栈和操作系统的细微区别。这些信息用来创建一个指纹，然后跟已知的指纹进行比较，就可以判断出当前被扫描的操作系统。

栈指纹扫描包含了相当多的技术。下面是一个不太完整的清单：

1：FIN探测

2：BOGUS标记探测

3：TCP ISN 取样

4：TCP 初始窗口

5：ACK值

6：ICMP错误信息

7：ICMP信息

8：服务类型

9：TCP选项

渗透测试之端口扫描

端口扫描:端口对应网络服务及应用端程序

服务端程序的漏洞通过端口攻入

发现开放的端口

更具体的攻击面

UDP端口扫描:

如果收到ICMP端口不可达,表示端口关闭

如果没有收到回包,则证明端口是开放的

和三层扫描IP刚好相反

Scapy端口开发扫描

命令:sr1(IP(dst="192.168.45.129")/UDP(dport=53),timeout=1,verbose=1)

nmap -sU 192.168.45.129

TCP扫描:基于连接的协议

三次握手:基于正常的三次握手发现目标是否在线

隐蔽扫描:发送不完整的数据包,不建立完整的连接,如ACK包,SYN包,不会在应用层访问,

僵尸扫描:不和目标系统产生交互,极为隐蔽

全连接扫描:建立完整的三次握手

所有的TCP扫描方式都是基于三次握手的变化来判断目标系统端口状态

隐蔽扫描:发送SYN数据包,如果收到对方发来的ACK数据包,证明其在线,不与其建立完整的三次握手连接,在应用层日志内不记录扫描行为,十分隐蔽,网络层审计会被发现迹象

僵尸扫描:是一种极其隐蔽的扫描方式,实施条件苛刻,对于扫描发起方和被扫描方之间,必须是需要实现地址伪造,必须是僵尸机(指的是闲置系统,并且系统使用递增的IPID)早期的win xp,win 2000都是递增的IPID,如今的LINUX,WINDOWS都是随机产生的IPID

1,扫描者向僵尸机发送SYN+ACY,僵尸机判断未进行三次握手,所以返回RST包,在RST数据包内有一个IPID,值记为X,那么扫描者就会知道被扫描者的IPID

2,扫描者向目标服务器发送SYN数据包,并且伪装源地址为僵尸机,如果目标服务器端口开放,那么就会向僵尸机发送SYN+ACK数据包,那么僵尸机也会发送RST数据包,那么其IPID就是X+1(因为僵尸机足够空闲,这个就为其收到的第二个数据包)

3,扫描者再向僵尸机发送SYN+ACK,那么僵尸机再次发送RST数据包,IPID为X+2,如果扫描者收到僵尸机的IPID为X+2,那么就可以判断目标服务器端口开放

使用scapy发送数据包:首先开启三台虚拟机,

kali虚拟机:192.168.45.128

Linux虚拟机:192.168.45.129

windows虚拟机:192.168.45.132

发送SYN数据包:

通过抓包可以查看kali给linux发送syn数据包

linux虚拟机返回Kali虚拟机SYN+ACK数据包

kali系统并不知道使用者发送了SYN包,而其莫名其妙收到了SYN+ACK数据包,便会发RST包断开连接

也可以使用下列该命令查看收到的数据包的信息,收到对方相应的SYN+ACK数据包,scapy默认从本机的80端口往目标系统的20号端口发送,当然也可以修改

如果向目标系统发送一个 随机端口:

通过抓包的获得:1,kali向linux发送SYN数据包,目标端口23456,

2,Linux系统由自己的23456端口向kali系统的20号端口返回RST+ACK数据包,表示系统端口未开放会话结束

使用python脚本去进行scapy扫描

nmap做隐蔽端口扫描:

nmap -sS  192.168.45.129 -p 80,21,110,443 #扫描固定的端口

nmap -sS 192.168.45.129 -p 1-65535 --open  #扫描该IP地址下1-65535端口扫描,并只显示开放的端口

nmap -sS 192.168.45.129 -p --open  #参数--open表示只显示开放的端口

nmap -sS -iL iplist.txt -p 80

由抓包可知,nmap默认使用-sS扫描,发送SYN数据包,即nmap=nmap  -sS

hping3做隐蔽端口扫描:

hping3 192.168.45.129 --scan 80 -S  #参数--scan后面接单个端口或者多个端口.-S表示进行SYN扫描

hping3 192.168.45.129 --scan 80,21,25,443 -S

hping3 192.168.45.129 --scan 1-65535 -S

由抓包可得:

hping3 -c 100  -S  --spoof 192.168.45.200 -p ++1 192.168.45.129

参数-c表示发送数据包的数量

参数-S表示发送SYN数据包

--spoof:伪造源地址,后面接伪造的地址,

参数-p表示扫描的端口,++1表示每次端口号加1,那么就是发送SYN从端口1到端口100

最后面跟的是目标IP

通过抓包可以得知地址已伪造,但对于linux系统(192.168.45.129)来说,它收到了192.168.45.200的SYN数据包,那么就会给192.168.45.200回复SYN+ACK数据包,但该地址却是kali伪造的地址,那么要查看目标系统哪些端口开放,必须登陆地址为kali伪造的地址即(192.168.45.200)进行抓包

hping3和nmap扫描端口的区别:1,hping3结果清晰明了

  2,nmap首先对IP进行DNS反向解析,如果没成功,那么便会对其端口发送数据包,默认发送SYN数据包

hping3直接向目标系统的端口发送SYN数据包,并不进行DNS反向解析

全连接端口扫描:如果单独发送SYN数据包被被过滤,那么就使用全连接端口扫描,与目标建立三次握手连接,结果是最准确的,但容易被入侵检测系统发现

response=sr1(IP(dst="192.168.45.129")/TCP(dport=80,flags="S"))

reply=sr1(IP(dst="192.168.45.129")/TCP(dport=80,flags="A",ack=(response[TCP].seq+1)))

抓包情况:首先kali向Linux发送SYN,Linux回复SYN+ACK给kali,但kali的系统内核不清楚kali曾给linux发送给SYN数据包,那么kali内核莫名其妙收到SYN+ACK包,那么便会返回RST请求断开数据包给Linux,三次握手中断,如今kali再给Linux发ACK确认数据包,Linux莫名其妙收到了ACK数据包,当然也会返回RST请求断开数据包,具体抓包如下:

那么只要kali内核在收到SYN+ACK数据包之后,不发RST数据包,那么就可以建立完整的TCP三次握手,判断目标主机端口是否开放

因为iptables存在于Linux内核中,通过iptables禁用内核发送RST数据包,那么就可以实现

使用nmap进行全连接端口扫描:(如果不指定端口,那么nmap默认会扫描1000个常用的端口,并不是1-1000号端口)

使用dmitry进行全连接端口扫描:

dmitry:功能简单,但功能简便

默认扫描150个最常用的端口

dmitry -p 192.168.45.129  #参数-p表示执行TCP端口扫描

dmitry -p 192.168.45.129 -o output  #参数-o表示把结果保存到一个文本文档中去

使用nc进行全连接端口扫描:

nc -nv -w 1 -z 192.168.45.129 1-100:      1-100表示扫描1-100号端口

参数-n表示不对Ip地址进行域名解析,只把其当IP来处理

参数-v表示显示详细信息

参数-w表示超时时间

-z表示打开用于扫描的模式

nmap和masscan 在半开放模式下扫描速度的对比分析

一、扫描命令和参数：

1、nmap x.x.x.x -sS -sU -Pn -p T:80, --source-port 58914 --min-rate 100 --max-rate 100 -n -v -T3 --open --stats-every 5s --min-hostgroup 100 --max-hostgroup 100 

2、masscan  x.x.x.x --ports T:80, --source-port 58914 --rate 100 --wait 1

带宽都是100，端口都是T:80。都为半开放扫描（其中masscan默认半开放扫描，nmap -sS 指定为半开放扫描）。

二、扫描结果：

1、masscan扫描时会回RST包，有时会回两次RST。

masscan扫描80端口

多回了一个RST包。

masscan扫描C段的80、443端口

用时：

masscan扫描C段的全部常用端口

用时

2、nmap半开放扫描时不回RST包，等待服务器自己关闭。

nmap扫描一个ip的80端口

nmap扫描C段的80、443端口

 目标地址会重试连接并返回RST包。

用时：

nmap扫描C段的全部常用端口

三、对比：

经过对比发现，masscan有时会多回一个RST包，而nmap根本不回RST包让目标服务器自己关闭。

由此可以看出，nmap对每个目标会少发一到两个RST包，用时会更少，nmap扫描较快。 

四、外网对比：

masscan默认不开启重试。nmap在网络性能差的情况下会触发重试机制，可以设置--max-retries=0关闭重试

1、masscan扫描C段全部常用端口，用时 

2、nmap扫描C段全部常用端口，用时

扫描C段全部常用端口，用时 

nmap扫描C段全部常用端口,关闭重试，用时

外网扫描速度比较：nmap关闭重试扫描 masscan默认扫描  nmap默认扫描

外网扫描端口存活数据比较：nmap默认扫描存活数 masscan默认扫描存活数 nmap关闭重试扫描存活数

有

端口扫描、跳板的详细教程！

特别提醒：千万不要做国内的主机啊！做日本或者阿扁（台湾）吧，这样既不违反 我们国家的法律，也体现了自己的爱国心，哈哈（摘录别人的话），不过最好还是老老实实的做跳板，不要总是去想着做什么坏事。 千万不要用国内的主机做试验啊，否则等着警车来接你啦 怎样制作代理跳板 说明：（1）这篇文章是我自己做跳板的一点体会，是些给那些从来没有做过跳板的网友看的。做过跳板的网友就不用看了。 （2）本文讲述的是做跳板最简单，最基础的方法，仅仅是给新手提供一个思路，一些稍微复杂的方法比如unicode，CGI等等这里不讲。 （3）做跳板毕竟算是一种入侵行为，有了跳板和肉鸡以后，千万要用在该用的地方，不要刻意去“黑“别人啊！！ 准备工作： 做一件事情，至少需要两个方面的准备工作：相关的基础知识和做这件事情的工具。 基本的工具：（1）x-scan v1.3：强大的漏洞扫描工具，对于初学者来说非常好的一个工具。我们主要用他来扫描一些基本的漏洞（主要是NT弱密码），用法在后面会具体说。（其实流光很不错的，但是我觉得流光再扫NT弱密码的时候太烦了） （2）superscan：非常快速的端口扫描工具，可以在很短的时间里发现某个IP域上IP的分布。为什么用他呢？主要是避免盲目扫描，提高效率：某个 IP域上IP地址的分布不是连续的，也许他从xxx.xxx.0.0-xxx.xxx.50.255上每个IP都是有计算机存在的，而从 xxx.xxx.51.0- xxx.xxx.100.255每个IP都没有计算机存在。如果你事先不知道这一段上根本没有主机的话，花了很长时间去扫描也不会有结果,浪费时间和金钱 啊。 （3）fluxay 4.0：大名鼎鼎的扫描工具，我们主要用它的NT管道命令功能来连接目标主机，以及添加用户、远程启动服务等。注意了：最好是fluxay 4.0版本。 （4）windows2000下的c:\命令提示符工具：也就是说，跳板的制作至少是要在windows2000以上的操作系统下进行。 （5）sksockserver.exe：做跳板的主角，就是用它来实现远程主机的socks5代理功能的。 （6）全球IP地址分配表：这个对于高手来说是不必要的，用他的目的是考虑到很多以前没有做过跳板的网友对IP的分布不了解，我们主要的目标还是国外的主 机，因此对国外的IP分布有一些了解是很重要的，也是以后我们选定所要扫描的IP域的主要根据。这样的话，就省得再去用“追捕”软件查找IP的实际所在地 了。 好了工具准备完了，现在了解一下做跳板的大概过程。 注意：刚才你下载的这些东东不是放在你的硬盘上！放在什么地方呢？放在“肉鸡”上！ 就是说我们做跳板的过程是在肉鸡上完成的。 名词解释肉鸡：肉鸡是开了3389端口微软终端服务（microsoft terminal service），又有弱密码的高速服务器，俗称“肉鸡”。我们之所以要在肉鸡上做，是出于安全考虑，因为做跳板毕竟是一种非法入侵行为，我们需要隐藏自 己的踪迹，当然，不想用肉鸡也可以，前提是你有足够的带宽，而且不怕公安上门找你麻烦。（当然，进入肉鸡本身也是一种非法的入侵）。我们用 mstsc.exe这个软件登陆上肉鸡，就可以像平时我们在自己电脑上一样用鼠标控制远程的服务器（也就是肉鸡）做我们要做的事情。 过程：为了叙述的方便，先假设我们已经有了一个肉鸡。下面的步骤没有特殊说明都是在“肉 鸡”上完成的。 （1） 先在自己的机器上打开全球IP地址分配表，选取一个IP区域 （2） 登陆上肉鸡，把刚才说到的工具在肉鸡上下载好，就用肉鸡自己的IE下载就行了。 （3） 主要的过程是：先用superscan扫描（1）选定的IP区域，找到其中一个IP很集中的区域，然后放到x-scan进行漏洞扫描（因为是面对以前没有 做过跳板的网友，所以这里只介绍用NT弱密码制作跳板），找到若干个有弱密码的IP，把sksockserver.exe上传到目标主机上，然后远程启动 sksockserver。这样，跳板就做好了。 我们一起来实践一下，做一个跳板： （1） 刚才说过了，没有肉鸡做跳板是不行的，尤其是拨号上网的网友（速度慢）。我们首先登陆上一个已经知道的肉鸡：xxx.xxx.xxx.xxx。帮刚才上面 提到的东东都准备好。最好是集中放置，这样便于我们使用。不要到处乱放，否则主人一进来就知道有人进过他的机器。 （2） 我们选择210.85.0.0-210.85.50.255这一段IP（台湾），放在superscan里面去，把superscan的端口设置改成只有 80一个端口，然后确定，开始扫描。这时，在下面的输出框里面，就会出现一大批的活跃IP，看见了吗？210.85.0.0-210.85.40.255 这一段上都是活跃的IP。现在我们随便选一个IP区域，比如我们就选210.85.0.0-210.85.5.255这一段，不要太长，因为下一步我们要 把他们放进x-scan进行扫描，x-scan扫描速度并不是很快，太多的话，会降低效率，而且IP区域过长的话，有可能使x-scan出现误报。 x-scan的使用方法这里就不详细叙述了这里要做的就是：在“设置”菜单里，先选“扫描模块”，选择“开放端口”和“NT弱密码”两个选项，在“扫描参 数”里，填上我们刚才选定的IP范围：210.85.0.0-210.85.5.255，接着，在其中“端口相关设置”里，把原先一长串的端口去掉，只填 上80，3389两个端口，其他的设置就用默认的好了，不用再改了。然后就开始搜索，这需要大概你8、9分钟的时间（因为x-scan虽然简单，但是速度慢），这段时间你大可以做一点自己的其他事情，等时间差不多了，你再看看x-scan里面的结果：好的，N个机器的密码为空，这下子有收获了！但是要说的 是，x-scan有一些误报，大家一定要有耐心去试啊！ （3） 我们随便从中间随便选了一个，比如：210.85.0.14：administrator 空。接下来的事情， 是要验证它到底接不接受我们的连接，密码是不是正确。现在用到流光了，打开流光，选择“工具”里面的“ＮＴ管道远程命令”，出现对话框，把刚才的ＩＰ，用户名，密码填进去，然后回车。在界面上“ＮＴＣＭＤ”提示符后面打入ＣＭＤ，连接成功，屏幕上出现了“Ｃ：\ＷＩＮＮＴ\ ＳＹＳＴＥＭ３２”的提示符。这证明，刚才的用户名和密码是正确的，这台机器已经基本是你的了。好了，我们进去了，想想我们要做什么呢？对了，是做跳板，我们还要把sksockserver.exe放到210.85.0.14上，这样才能启动服务，让这台机器做为跳板！怎么把这个东东放上去呢： 调出肉鸡上的ＣＭＤ，在命令提示符下按下面的方法做： c:\net use \\210.85.0.14\ipc$ “”/user:“administrator”（建立IPC连接） 系统提示：命令成功完成。 Copy c:\sksockserver.exe \\210.85.0.14\admin$ 系统提示：成功复制一个文件。 这样我们就成功地把sksockserver.exe传到了目标主机上。接下来的任务就是把他远程启动就行了。 我们又回到刚才流光的NTCMD里，在提示符下按下面的方法做： c:\sksockserver –install 系统提示：snake sockproxy service installed c:\sksockserver –config port 1949（端口自己来定，这里的1949是随便选的） 系统提示：the port value have set to 1949 c:\sksockserver –config starttype 2 系统提示：the starttype have set to 2---auto c:\net start skserver 系统提示服务启动成功。 这个时候，这台机器已经成为你的跳板了。 下面简单的说一说自己找肉鸡的方法。 工具：（1）sockscap：强大的socks代理调度软件。 （2）snake的代理跳板GUI（图形界面程序） （3）mstsc：微软terminal service终端服务的客户端程序。用于登陆3389肉 鸡。有了它，我们就可以象控制自己的机器一样控制终端服务器，做我们的事情了。 其实前面两个都是附属的工具，只有mstsc才是真正唱主角的。 Sockscap和sksockserver GUI配合实现实现跳板的使用，可以隐藏我们的 入侵痕迹。 我们现在还没有肉鸡，那么一切事情都只能在我们自己的机器上做了，如果你不放心的话 可以到网吧去做下面的事情。 但是，要提醒的是，千万不要做国内的主机啊！做日本或者阿扁（台湾）吧，这样既不违反 我们国家的法律，也体现了自己的爱国心，哈哈（摘录别人的话），不过最好还是老老实实 的做跳板，不要总是去想着做什么坏事。 步骤其实跟做跳板也很相似的。刚才我们在x-scan搜索的端口里设置了3389，如果一台机 器开了3389端口，而且有了弱密码的话，那这样的机器就是所谓的“肉鸡”了。（当然输入 法漏洞有的时候也可以做成肉鸡，但是毕竟现在有输入法漏洞的机器太少了，远远不及有弱 密码的终端服务器那么多，所以我们还是选择了后者，而且输入法漏洞只适合国内机器。一 个一个去试验，真是太浪费时间了！会烦死的。） 具体搜索过程跟刚才在作跳板里是一样的，找到一个开了3389端口服务，而且有弱密码的 机器。我们在上面搜索的结果中仔细地看看，终于发现了一台：210.85.2.84:frank41:空。而 且开了3389服务。要把这台机器变成自己地机器那肯定要有自己的登录名，否则每次总是 用别人的，那还怎么叫是自己的机器？我们现在来为自己添加一个用户名，把自己提升成为 root权限，那么我们就可以做任何事情了。打开流光，选择“工具”里面的“NT管道命令” 填上刚才得到的用户名跟密码：frank41：空。然后确定，进入NTCMD界面，在提示符下 键入:CMD,连接成功以后在系统提示符下如下操作： c:\net user admin /add（添加一个admin用户） c:\net user admin shonline788（使得admin的密码是shonline788） c:\net localgroup administrators admin /add（把用户admin提升为administrator即管理员身份） 这样我们就成功的在这台机器中取得了root权限，可以作任何事情了，但是别做坏事噢。 下一步，就要用上我们刚才准备的这些工具了。在网上搞几个socks代理，把sockscap和 sksockserverGUI设置好，把mstsc的图标拖到sockscap里去，双击mstsc的图标，在其中填 上你刚才找到的肉鸡IP：210.85.2.84,然后回车进行连接。成功以后，会出现一个跟我们平 时登陆windows2000时候一样的一个蓝色的界面，在里面填上我们刚才添加的用户名和密 码，回车登陆。登陆成功以后就会出现该主机的图形界面，这个时候你就可以象操作自己的 机器一样，操作别人的机器。至此，你已经获得了一台肉鸡。就可以做我们上面做过的事情 了。

linux下用C写的一个端口扫描器,想得到扫描主机的操作系统类型

nmap 命令行

zenmap 图形化界面

一般能扫描出主机的操作系统版本

什么是端口扫描？

一个端口就是一个潜在的通信通道，也就是一个入侵通道。对目标计算机进行端口扫描，能得到许多有用的信息。进行扫描的方法很多，可以是手工进行扫描，也可以用端口扫描软件进行。 在手工进行扫描时，需要熟悉各种命令。对命令执行后的输出进行分析。用扫描软件进行扫描时，许多扫描器软件都有分析数据的功能。 通过端口扫描，可以得到许多有用的信息，从而发现系统的安全漏洞。 什么是扫描器 扫描器是一种自动检测远程或本地主机安全性弱点的程序，通过使用扫描器你可一不留痕迹的发现远程服务器的各种TCP端口的分配及提供的服务和它们的软件版本！这就能让我们间接的或直观的了解到远程主机所存在的安全问题。 工作原理 扫描器通过选用远程TCP/IP不同的端口的服务，并记录目标给予的回答，通过这种方法，可以搜集到很多关于目标主机的各种有用的信息（比如：是否能用匿名登陆！是否有可写的FTP目录，是否能用TELNET，HTTPD是用ROOT还是nobady在跑！） 扫描器能干什么 扫描器并不是一个直接的攻击网络漏洞的程序，它仅仅能帮助我们发现目标机的某些内在的弱点。一个好的扫描器能对它得到的数据进行分析，帮助我们查找目标主机的漏洞。但它不会提供进入一个系统的详细步骤。 扫描器应该有三项功能：发现一个主机或网络的能力；一旦发现一台主机，有发现什么服务正运行在这台主机上的能力；通过测试这些服务，发现漏洞的能力。 编写扫描器程序必须要很多TCP/IP程序编写和C, Perl和或SHELL语言的知识。需要一些Socket编程的背景，一种在开发客户/服务应用程序的方法。开发一个扫描器是一个雄心勃勃的项目，通常能使程序员感到很满意。 常用的端口扫描技术 TCP connect() 扫描 这是最基本的TCP扫描。操作系统提供的connect()系统调用，用来与每一个感兴趣的目标计算机的端口进行连接。如果端口处于侦听状态，那么connect()就能成功。否则，这个端口是不能用的，即没有提供服务。这个技术的一个最大的优点是，你不需要任何权限。系统中的任何用户都有权利使用这个调用。另一个好处就是速度。如果对每个目标端口以线性的方式，使用单独的connect()调用，那么将会花费相当长的时间，你可以通过同时打开多个套接字，从而加速扫描。使用非阻塞I/O允许你设置一个低的时间用尽周期，同时观察多个套接字。但这种方法的缺点是很容易被发觉，并且被过滤掉。目标计算机的logs文件会显示一连串的连接和连接是出错的服务消息，并且能很快的使它关闭。 TCP SYN扫描 这种技术通常认为是“半开放”扫描，这是因为扫描程序不必要打开一个完全的TCP连接。扫描程序发送的是一个SYN数据包，好象准备打开一个实际的连接并等待反应一样（参考TCP的三次握手建立一个TCP连接的过程）。一个SYN|ACK的返回信息表示端口处于侦听状态。一个RST返回，表示端口没有处于侦听态。如果收到一个SYN|ACK，则扫描程序必须再发送一个RST信号，来关闭这个连接过程。这种扫描技术的优点在于一般不会在目标计算机上留下记录。但这种方法的一个缺点是，必须要有root权限才能建立自己的SYN数据包。 TCP FIN 扫描 有的时候有可能SYN扫描都不够秘密。一些防火墙和包过滤器会对一些指定的端口进行监视，有的程序能检测到这些扫描。相反，FIN数据包可能会没有任何麻烦的通过。这种扫描方法的思想是关闭的端口会用适当的RST来回复FIN数据包。另一方面，打开的端口会忽略对FIN数据包的回复。这种方法和系统的实现有一定的关系。有的系统不管端口是否打开，都回复RST，这样，这种扫描方法就不适用了。并且这种方法在区分Unix和NT时，是十分有用的。 IP段扫描 这种不能算是新方法，只是其它技术的变化。它并不是直接发送TCP探测数据包，是将数据包分成两个较小的IP段。这样就将一个TCP头分成好几个数据包，从而过滤器就很难探测到。但必须小心。一些程序在处理这些小数据包时会有些麻烦。 TCP 反向 ident扫描 ident 协议允许(rfc1413)看到通过TCP连接的任何进程的拥有者的用户名，即使这个连接不是由这个进程开始的。因此你能，举