type
status
date
slug
summary
category
tags
password
icon
什么是端口扫描 (PortScan)？
端口扫描是一种探测目标服务器或主机上哪些TCP或UDP端口是开放的、正在监听的技术手段。你可以把它想象成去敲一栋大楼（服务器）的每一扇门（端口），看看哪扇门是开着的，后面有什么服务在运行。
为什么进行端口扫描？
端口扫描有多种用途，既可以用于合法的网络管理和安全审计，也可能被恶意攻击者利用：
- 网络管理员/安全专业人员的视角：
- 安全审计： 发现网络中不必要开放的端口，这些端口可能成为潜在的安全漏洞。
- 服务识别： 确定主机上运行了哪些服务（例如 Web 服务器通常在80端口，FTP在21端口等）。
- 网络拓扑发现： 了解网络结构和活动主机。
- 防火墙规则测试： 验证防火墙配置是否按预期工作。
- 故障排除： 检查某个服务是否因为端口未监听而无法访问。
- 攻击者的视角：
- 信息收集/侦察： 这是攻击者入侵系统的第一步。通过端口扫描，他们可以找到目标系统上开放的端口，进而识别运行的服务及其版本。
- 漏洞利用： 一旦识别出服务和版本，攻击者就可以查找已知的针对该服务或版本的漏洞进行攻击。
端口扫描如何工作？
端口扫描器向目标主机的特定端口范围发送特制的数据包，然后分析返回的响应（或没有响应）来判断端口的状态：
- 开放 (Open/Listening)： 目标主机上的应用程序正在该端口上监听连接或数据包。例如，对于TCP SYN扫描，收到SYN/ACK响应表示端口开放。
- 关闭 (Closed)： 端口是可访问的（即没有被防火墙阻止），但没有应用程序在上面监听。例如，对于TCP SYN扫描，收到RST/ACK响应表示端口关闭。
- 过滤 (Filtered)： 扫描器无法确定端口是开放还是关闭，因为数据包被防火墙、路由器规则或其他网络安全设备阻止了。扫描器通常收不到任何响应，或者收到表示不可达的ICMP错误消息。
常见的端口扫描类型：
- TCP SYN 扫描 (半开放扫描)： 这是最流行和最常用的扫描类型之一。它发送一个SYN包（请求建立连接），如果端口开放，目标会回复一个SYN/ACK包；如果端口关闭，则回复RST包。扫描器收到SYN/ACK后会发送RST包而不是ACK包来完成连接，从而避免在目标系统上留下完整的连接日志。
- TCP Connect() 扫描： 使用操作系统提供的
connect()系统调用来尝试与目标端口建立完整的TCP连接。如果连接成功，则端口开放；否则关闭。这种方式比较容易被检测和记录。
- UDP 扫描： UDP是无连接协议，扫描起来更复杂。通常发送特定UDP数据包到目标端口，如果收到ICMP "端口不可达" 错误，则端口关闭；如果没有响应，则端口可能开放或被过滤。有时，发送针对特定服务的UDP探测包可以得到更准确的结果。
- FIN, Xmas, Null 扫描： 这些是更隐蔽的TCP扫描技术，它们利用TCP协议规范中的一些细节。但现代的入侵检测系统（IDS）通常能检测到这类扫描。
常用的端口扫描工具：
- Nmap (Network Mapper)： 这是最著名、功能最强大的开源端口扫描工具。它支持多种扫描技术、操作系统指纹识别、服务版本探测等。
- Netcat (nc)： 一个灵活的网络工具，也可以用于简单的端口扫描。
- Masscan： 一个速度极快的互联网级别端口扫描器，可以在几分钟内扫描整个互联网。
- Unicornscan： 另一个高效的端口扫描器。
合法性与道德：
- 扫描自己的网络：通常是合法的，也是网络管理的必要部分。
- 扫描他人的网络：**未经授权扫描他人的网络或系统是非法的，并可能被视为恶意行为。**在进行任何端口扫描之前，务必获得明确的书面授权。
总结：
端口扫描是网络诊断和安全评估的重要工具。了解其工作原理、不同类型的扫描以及如何使用相关工具，对于网络管理员和安全专业人员至关重要。同时，也要强调合法合规使用的重要性。
Loading...
