如何使用Nmap进行端口扫描（三）什么是端口扫描？

时间：2020-07-28 10:27:23 阅读：173 评论：0 收藏：0 [点我收藏+]

1.3 什么是端口扫描？
端口扫描是远程测试多个端口以确定它们处于什么状态的行为。通常我们最感兴趣的状态是open，这意味着应用程序正在侦听并接受端口上的连接。虽然许多端口扫描程序传统上将所有端口都集中到open或closed状态，但Nmap更加精细，它将端口划分为六个状态。这些状态不是端口本身的固有属性，而是描述Nmap如何看待它们。例如，来自与目标相同的网络的Nmap扫描可能会将端口135/tcp显示为open，而同时使用来自Internet的相同选项的扫描可能会将该端口显示为filtered。
Nmap认可的六种端口状态：
1）open状态
应用程序正在此端口上主动接受TCP连接或UDP数据包。查找open状态的端口通常是端口扫描的主要目标。有安全意识的人都知道每个开放的端口都是***的途径。***者和***测试人员希望利用开放端口，而管理员则尝试使用防火墙关闭或保护它们，而不会阻止合法用户。开放端口对于非安全扫描也很有意义，因为它们显示可在网络上使用的服务。在您对开放端口过于兴奋之前，请注意应用程序可能受TCP包装器的（tcpd）保护，或者应用程序本身配置为仅为已批准的客户端IP地址提供服务。这样的情况仍然比closed的端口留下更多的***面。
2）closed状态
一个closed的端口是可以被访问的（它接收并响应Nmap探测数据包），但没有应用程序正在侦听它。它们可以帮助显示主机是否在线并使用IP地址（主机发现或Ping扫描），以及作为操作系统检测的一部分。由于可以访问封闭端口，因此在某些情况下该端口打开时是值得扫描的。管理员希望使用防火墙阻止此类端口，以便它们显示为已过滤状态。
3）filtered状态
Nmap无法确定端口是否打开，因为数据包过滤会阻止其探测到达端口。过滤可能来自专用防火墙设备，路由器规则或基于主机的防火墙软件。这些端口会让***者感到沮丧，因为它们提供的信息很少。有时它们会响应ICMP错误消息，例如类型3代码13（目标无法访问：管理上禁止通信），但过滤器只是丢弃探测而不响应更为常见。这会强制Nmap重试几次，以防由于网络拥塞而不是过滤而导致探测被丢弃。这种过滤会大大减慢扫描速度。
4）unfiltered状态
未过滤状态意味着可以访问端口，但Nmap无法确定它是打开还是关闭。只有的ACK扫描会将端口分类为此状态。使用其他扫描类型（如窗口扫描，SYN扫描或FIN扫描）扫描unfiltered的端口可能有助于解决端口是否打开的问题。
5）open | filtered
当无法确定端口是打开还是已过滤时，Nmap会将端口置于此状态。如果一个开放的端口对扫描没有响应就会发生这种情况。缺乏响应也可能意味着数据包过滤器丢弃了探针或它引发的任何响应。因此，Nmap不确定端口是打开还是被过滤UDP，IP协议，FIN，NULL和Xmas扫描以这种方式对端口进行分类。
6）closed | filtered
当Nmap无法确定端口是关闭还是已过滤时，将标记为此状态。我们将在“TCP空闲扫描（-sI）”部分再讨论。
虽然Nmap尝试生成准确的结果，但请注意，它的所有见解都是基于目标计算机（或它们前面的防火墙）返回的数据包。此类主机可能不值得信任，并发送旨在混淆或误导Nmap的响应。更常见的是不符合RFC的主机，它们不响应Nmap探针。 FIN，NULL和Xmas扫描特别容易受到此问题的影响。