一、漏洞扫描与利用之Nmap网络扫描

1.步骤一

任务描述：安装Nmap

实验目的：掌握windows下nmap的安装方法。

1）下载nmap (在实验机内使用浏览器进行下载)

下载地址：https://nmap.org/download.html

2）安装namp

注：安装过程中，保持默认设置，按照提示进行安装即可。

安装完成后桌面会自动添加一个nmap的快捷方式，双击该图标会出现nmap的图形化界面：

2.步骤二

任务描述：Zenmap基本应用

实验目的：通过扫描目标计算机熟悉nmap图形界面Zenmap的基本使

Nmap端口扫描+Nmap脚本扫描漏洞（学习笔记）

Nmap具体功能：端口扫描，协议扫描，漏洞扫描，绕过防护，漏洞利用等。

一、Nmap端口扫描

端口状态：

1、Open：端口开启，有程序监听此端口

2、Closed：端口关闭，数据能到达主机，但是没有程序监听此端口

3、Filtered：数据未能到达主机

4、Unfiltered：数据能到达主机，但是Nmap无法判断端口开启还是关闭

5、Open | filtered：端口没返回值，主要出现在UDP，IP，FIN，NULL和Xmas扫描

6、Closed | filtered：只出现在IP ID idle 扫描

单个扫描：nmap xxx.xxx.xxx.xxx

多个扫描：nmap 192.168.1.1 192.168.1.2

网段扫描：nmap 192.168.2.1-192.168.2.100

导入扫描：nmap -iL [LIST.TXT]

-sS：TCP SYN扫描（匿名扫描，默认不加类型，需要root权限，扫描速度快）

-sT：TCP全连接扫描（不需要root权限，TCP扫描的默认模式，端口状态和SYN相同，耗时长）

-sU：UDP扫描（扫描DNS，SNMP和DHCP等服务，更慢更困难）

-sV：指定nmap进行版本探测

-O：nmap进行OS探测

例如：

nmap -sS 192.168.88.1-255

nmap -sT 192.168.88.1-255

nmap -sU 192.168.88.1-255

二、Nmap脚本加载扫描

nmap脚本大概分类如下：

• auth：负责处理鉴权证书（绕开鉴权）的脚本

• broadcast：在局域网内探查更多服务开启状况，如dhcp、dns、sqlserver等服务

• brute：提供暴力破解方式，针对常见的应用，如http、snmp等

• default：使用-sC或-A选项扫描时候默认的脚本，提供基本脚本扫描能力

• discovery：对网络进行更多的信息，如SMB枚举、SNMP查询等

• dos：用于进行拒绝服务攻击

• exploit：利用已知的漏洞入侵系统

• external：利用第三言的数据库或资源，例如进行whois解析

• fuzzer：模糊测试的脚本，发送异常的包到目标机，探测出潜在的漏洞

• intrusive：入侵性的脚本，此类脚本可能引发对方的IDS/IPS的记录或屏蔽

• malware：探测目标机是否感染了病毒、开启了后门等信息

• safe：此类与intrusive相反，属于安全性脚本

• version：负责增强服务与版本扫描（Version Detection）功能的脚本

• vuln：负责检查目录机是否有常见的漏洞（Vulnerability），如是否有MS08_067

  提供默认参数扫描
  
  提供特定脚本扫描
  
  脚本分析及自定义脚本
  

例如：

1、默认脚本扫描，主要搜索各种应用服务的信息，收集后，可再针对具体服务进行攻击

nmap --script=default 192.168.88.131

2、检查是否存在常见漏洞

nmap --script=vuln 192.168.1.104

3、提供暴力破解的方式，可对数据库、smb、snmp等进行简单密码的暴力猜解

nmap --script=brute 192.168.88.131

4、利用FTP指定脚本对目标特定FTP协议进行密码爆破

nmap --script=ftp-brute.nse 192.168.88.131

5、利用第三方的数据库或资源，例如进行whoise解析

nmap --script=external 192.168.88.131

参考：https://blog.csdn.net/jiangliuzheng/article/details/51992220

Nmap指令格式：

Nmap 7.70 ( https://nmap.org )
Usage: nmap [Scan Type(s)] [Options] {target specification}
TARGET SPECIFICATION:
  Can pass hostnames, IP addresses, networks, etc.
  Ex: scanme.nmap.org, microsoft.com/24, 192.168.0.1; 10.0.0-255.1-254
  -iL <inputfilename>: Input from list of hosts/networks
  -iR <num hosts>: Choose random targets
  --exclude <host1[,host2][,host3],...>: Exclude hosts/networks
  --excludefile <exclude_file>: Exclude list from file
HOST DISCOVERY:
  -sL: List Scan - simply list targets to scan
  -sn: Ping Scan - disable port scan
  -Pn: Treat all hosts as online -- skip host discovery
  -PS/PA/PU/PY[portlist]: TCP SYN/ACK, UDP or SCTP discovery to given ports
  -PE/PP/PM: ICMP echo, timestamp, and netmask request discovery probes
  -PO[protocol list]: IP Protocol Ping
  -n/-R: Never do DNS resolution/Always resolve [default: sometimes]
  --dns-servers <serv1[,serv2],...>: Specify custom DNS servers
  --system-dns: Use OS's DNS resolver
  --traceroute: Trace hop path to each host
SCAN TECHNIQUES:
  -sS/sT/sA/sW/sM: TCP SYN/Connect()/ACK/Window/Maimon scans
  -sU: UDP Scan
  -sN/sF/sX: TCP Null, FIN, and Xmas scans
  --scanflags <flags>: Customize TCP scan flags
  -sI <zombie host[:probeport]>: Idle scan
  -sY/sZ: SCTP INIT/COOKIE-ECHO scans
  -sO: IP protocol scan
  -b <FTP relay host>: FTP bounce scan
PORT SPECIFICATION AND SCAN ORDER:
  -p <port ranges>: Only scan specified ports
    Ex: -p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080,S:9
  --exclude-ports <port ranges>: Exclude the specified ports from scanning
  -F: Fast mode - Scan fewer ports than the default scan
  -r: Scan ports consecutively - don't randomize
  --top-ports <number>: Scan <number> most common ports
  --port-ratio <ratio>: Scan ports more common than <ratio>
SERVICE/VERSION DETECTION:
  -sV: Probe open ports to determine service/version info
  --version-intensity <level>: Set from 0 (light) to 9 (try all probes)
  --version-light: Limit to most likely probes (intensity 2)
  --version-all: Try every single probe (intensity 9)
  --version-trace: Show detailed version scan activity (for debugging)
SCRIPT SCAN:
  -sC: equivalent to --script=default
  --script=<Lua scripts>: <Lua scripts> is a comma separated list of
           directories, script-files or script-categories
  --script-args=<n1=v1,[n2=v2,...]>: provide arguments to scripts
  --script-args-file=filename: provide NSE script args in a file
  --script-trace: Show all data sent and received
  --script-updatedb: Update the script database.
  --script-help=<Lua scripts>: Show help about scripts.
           <Lua scripts> is a comma-separated list of script-files or
           script-categories.
OS DETECTION:
  -O: Enable OS detection
  --osscan-limit: Limit OS detection to promising targets
  --osscan-guess: Guess OS more aggressively
TIMING AND PERFORMANCE:
  Options which take <time> are in seconds, or append 'ms' (milliseconds),
  's' (seconds), 'm' (minutes), or 'h' (hours) to the value (e.g. 30m).
  -T<0-5>: Set timing template (higher is faster)
  --min-hostgroup/max-hostgroup <size>: Parallel host scan group sizes
  --min-parallelism/max-parallelism <numprobes>: Probe parallelization
  --min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <time>: Specifies
      probe round trip time.
  --max-retries <tries>: Caps number of port scan probe retransmissions.
  --host-timeout <time>: Give up on target after this long
  --scan-delay/--max-scan-delay <time>: Adjust delay between probes
  --min-rate <number>: Send packets no slower than <number> per second
  --max-rate <number>: Send packets no faster than <number> per second
FIREWALL/IDS EVASION AND SPOOFING:
  -f; --mtu <val>: fragment packets (optionally w/given MTU)
  -D <decoy1,decoy2[,ME],...>: Cloak a scan with decoys
  -S <IP_Address>: Spoof source address
  -e <iface>: Use specified interface
  -g/--source-port <portnum>: Use given port number
  --proxies <url1,[url2],...>: Relay connections through HTTP/SOCKS4 proxies
  --data <hex string>: Append a custom payload to sent packets
  --data-string <string>: Append a custom ASCII string to sent packets
  --data-length <num>: Append random data to sent packets
  --ip-options <options>: Send packets with specified ip options
  --ttl <val>: Set IP time-to-live field
  --spoof-mac <mac address/prefix/vendor name>: Spoof your MAC address
  --badsum: Send packets with a bogus TCP/UDP/SCTP checksum
OUTPUT:
  -oN/-oX/-oS/-oG <file>: Output scan in normal, XML, s|<rIpt kIddi3,
     and Grepable format, respectively, to the given filename.
  -oA <basename>: Output in the three major formats at once
  -v: Increase verbosity level (use -vv or more for greater effect)
  -d: Increase debugging level (use -dd or more for greater effect)
  --reason: Display the reason a port is in a particular state
  --open: Only show open (or possibly open) ports
  --packet-trace: Show all packets sent and received
  --iflist: Print host interfaces and routes (for debugging)
  --append-output: Append to rather than clobber specified output files
  --resume <filename>: Resume an aborted scan
  --stylesheet <path/URL>: XSL stylesheet to transform XML output to HTML
  --webxml: Reference stylesheet from Nmap.Org for more portable XML
  --no-stylesheet: Prevent associating of XSL stylesheet w/XML output
MISC:
  -6: Enable IPv6 scanning
  -A: Enable OS detection, version detection, script scanning, and traceroute
  --datadir <dirname>: Specify custom Nmap data file location
  --send-eth/--send-ip: Send using raw ethernet frames or IP packets
  --privileged: Assume that the user is fully privileged
  --unprivileged: Assume the user lacks raw socket privileges
  -V: Print version number
  -h: Print this help summary page.
EXAMPLES:
  nmap -v -A scanme.nmap.org
  nmap -v -sn 192.168.0.0/16 10.0.0.0/8
  nmap -v -iR 10000 -Pn -p 80
SEE THE MAN PAGE (https://nmap.org/book/man.html) FOR MORE OPTIONS AND EXAMPLES

1.拒绝服务漏洞

、

2.IIS短文件泄露

漏洞简介：windows下通过～表示短文件名，如test～1，在IIS中可通过短文件名的方式判断目标文件是否存在，从而降低文件名暴力破解的难度。

可见南邮的网站无此漏洞。

3.ftp弱口令暴力破解

无此漏洞。

4.检测CVE-2011-2523中的ftp-vsftpd-backdoor

5.验证http中开启的-methods方法

6.验证HTTP.sys远程代码执行

7.验证SSL POODLE information leak

8.验证http中开启了put方法

9.验证mysql匿名访问

不可实现

10.验证低安全的SSHv1，SSSLv2协议

11.验证SSL-cert证书问题

12.验证SSL证书的有效期

13.验证Debian OpenSSL keys

14.验证弱加密SSL套件

15.在网络中检测某主机是否存在窃听他人流量

不留情面。。

16.暴力破解telnet

nmap -p 23 --script telnet-brute --script-args userdb=myusers.lst,passdb=mypwds.lst --script-args telnet-brute.timeout=8s 202.119.230.10

17.验证telnet是否支持加密

18.精准确认端口上运行的服务

19.收集VNC信息

20.使用nmap进行信息挖掘

21.使用nmap进行拒绝服务攻击

Nmap -script dos 202.119.230.10

22.利用已知的漏洞入侵系统

失败。

23.利用第三方的数据库或者资源进行信息收集或者攻击

24.直接入侵可能会引发对方的IDS/IPS记录 

Nmap -script intrusive 202.119.230.10

25.检测目标机是否感染病毒、开启后门等

26.进行模糊测试，发送异常的包到目标机，探测潜在漏洞