漏洞掃描技術(shù)應(yīng)用分析研究[2]

  端口掃描用來探測主機所開放的端口。端口掃描通常只做最簡單的端口聯(lián)通性測試，不做進一步的數(shù)據(jù)分析，因此比較適合進行大范圍的掃描：對指定IP地址進行某個端口值段的掃描，或者指定端口值對某個IP地址段進行掃描。根據(jù)端口掃描使用的協(xié)議，分為TCP掃描和UDP掃描。

  2.2.1 TCP掃描

  主機間建立TCP連接分三步（也稱三次握手）：

  （1）請求端發(fā)送一個SYN包，指明打算連接的目的端口。

  （2）觀察目的端返回的包：

  返回SYN／ACK包，說明目的端口處于偵聽狀態(tài)；

  返回RST／ACK包，說明目的端口沒有偵聽，連接重置。

  （3）若返回SYN／ACK包，則請求端向目的端口發(fā)送ACK包完成3次握手，TCP連接建立。

  根據(jù)TCP連接的建立步驟，TCP掃描主要包含兩種方式：

  （1）TCP全連接和半連接掃描

  全連接掃描通過三次握手，與目的主機建立TCP連接，目的主機的log文件中將記錄這次連接。而半連接掃描（也稱TCP SYN掃描）并不完成TCP三次握手的全過程。掃描者發(fā)送SYN包開始三次握手，等待目的主機的響應(yīng)。如果收到SYN／ACK包，則說明目標(biāo)端口處于偵聽狀態(tài)，掃描者馬上發(fā)送RST包，中止三次握手。因為半連接掃描并沒有建立TCP連接，目的主機的log文件中可能不會記錄此掃描。

  （2）TCP隱蔽掃描

  根據(jù)TCP協(xié)議，處于關(guān)閉狀態(tài)的端口，在收到探測包時會響應(yīng)RST包，而處于偵聽狀態(tài)的端口則忽略此探測包。根據(jù)探測包中各標(biāo)志位設(shè)置的不同，TCP隱蔽掃描又分為SYN／ACK掃描、FIN掃描、XMAS（圣誕樹）掃描和NULL掃描四種。

[1]  [2]  [3]  [4]  [5]  [6]