Nmap常见扫描方式流量分析

最新推荐文章于 2025-09-08 10:50:41 发布

原创

最新推荐文章于 2025-09-08 10:50:41 发布 · 3.5k 阅读

CC 4.0 BY-SA版权

本文深入探讨了Nmap工具的各种扫描方式，包括SYN扫描、全连接扫描、NULL扫描、FIN扫描、XMAS-TREE扫描等，详细分析了每种扫描方式的工作原理及流量特征，特别强调了不同操作系统对这些扫描的反应差异。

扫描者：manjaro linux， IP地址：192.168.31.160

被扫描者：centos 7，IP地址：192.168.31.175

分析工具：wireshark

nmap 版本：version 7.80

这里对TCP的三次握手知识进行简单的回顾，方便后面理解Nmap的扫描流量

关于TCP协议相关内容看：http://networksorcery.com/enp/default.htm

「Source Port」：源端口

「Destination Port」：目的端口

「Sequence Number」：序列号。

「Acknowledgment Number」：确认号

「Control Bits」：包含一下几种（这几个字段这里要有印象，后续关于nmap的扫描都和这里会有关系）：

字段	含义
URG	紧急指针是否有效。如果设置1，用于通知接收数据方在处理所有数据包之前处理紧急数据包
ACK	确认号是否有效。用于确认主机成功接收数据包。如果「Acknowledgment Number」包含有效的确认号码，则设置ACK标志为。例如tcp三次握手的第二步，发送ACK=1和SYN=1 ，就是告知对方它已经收到初始包
PSH	强制将数据压入缓冲区
RST	连接重置
SYN	表示建立连接
FIN	表示关闭连接

下图是TCP三次握手的过程：

Nmap 的默认扫描方式就是SYN扫描，在192.168.31.160 执行如下命令进行扫描：

➜ sudo nmap -p22 192.168.31.175
Starting Nmap 7.80 ( https://nmap.org ) at 2020-07-04 11:45 CST
Nmap scan report&nbs