搜索

[13961] 2019-04-08_Nmap在VMwareNAT网络下探测主机存活误报的分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-04-08_Nmap在VMwareNAT网络下探测主机存活误报的分析 N m a p 在 V M w a r e   N A T 网 络 下 探 测 主 机 存 活 误 报 的 分 析 S h a d 0 w p f _   F r e e B u f   2 0 1 9 - 0 4 - 0 8 起 因 起 因 昨 天 ， 在 某 安 全 交 流 群 ， 看 到 关 于 昨 天 ， 在 某 安 全 交 流 群 ， 看 到 关 于 N m a p 扫 描 的 讨 论 ， 对 一 个 段 做 主 机 存 活 扫 描 ， 发 现 主 机 全 部 存 活 。 扫 描 的 讨 论 ， 对 一 个 段 做 主 机 存 活 扫 描 ， 发 现 主 机 全 部 存 活 。
扫 描 源 主 机 是 安 装 在 虚 拟 机 上 的 K a l i ， 网 络 连 接 为 N A T 模 式 ， 使 用 - s P 参 数 对 1 9 2 . 1 6 8 . 0 . 0 / 2 4 网 段 扫 描 ， 探 测 存 活 主
机 ， 返 回 结 果 为 2 5 6 个 I P 全 部 在 线 ， 而 实 际 情 况 是 该 网 段 只 有 几 个 I P 存 活 ， 使 用 P i n g 命 令 ， 其 它 不 在 线 的 I P 是 P i n g 不 通 的 。 分 析 分 析 难 道 是 N m a p 出 错 了 ？ 带 着 这 个 疑 问 ， 我 查 阅 了 N m a p 的 官 方 文 档 ， N m a p 使 用 参 数 指 定 只 做 主 机 存 活 发 现 （ 以 前 的 一 些 版 本 中 使 用 ， 新 版 本 中 和 都 可 以 使 用 ， 为 同 一 参 数 ） ， 不 做 端 口 扫 描 。 N m a p 默 认 的 主 机 存 活 发 现 使 用 了 以 下 四 种 方 式 ： 只 要 其 中 一 个 主 机 存 活 的 特 征 存 在 ， N m a p 判 断 为 主 机 存 活 。 L i n u x 下 默 认 P i n g 命 令 使 用 的 I C M P   e c h o 请 求 ， 现 在 P i n g 不 通 ， 那 第 一 种 请 求 是 没 有 主 机 存 活 特 征 的 ， 问 题 可 能 在 后 面 的 三 种 请 求 。 抓 个 包 分 析 吧 。 扫 描 源 I P 为 1 0 . 1 0 . 1 0 . 1 2 8 ， 筛 选 了 其 中 一 个 不 存 在 的 I P   1 9 2 . 1 6 8 . 0 . 1 0 。 I C M P   e c h o 请 求 I C M P   t i m e s t a m p 请 求 没 有 响 应 ， 但 奇 怪 的 是 ， 到 8 0 端 口 的 A C K 请 求 ， 有 一 个 R S T 标 志 的 响 应 ， 窗 口 大 小 是 3 2 7 6 7 。 正 常 情 况 下 ， 数 据 包 发 送 到 一 个 不 存 在 的 I P ， 不 会 收 到 任 何 响 应 。 - s n - s P - s n - s P I C M P   e c h o   r e q u e s t T C P   S Y N   t o   p o r t   4 4 3 T C P   A C K   t o   p o r t   8 0 I C M P   t i m e s t a m p   r e q u e s t
T C P 连 接 端 口 未 监 听 、 请 求 超 时 、 异 常 关 闭 等 几 种 情 况 会 发 送 R S T 标 志 的 响 应 。 I P 存 在 ， 但 端 口 关 闭 ， 收 到 A C K 标 志 的 包 时 ， 会 返 回 一 个 R S T 标 志 的 包 ， 内 容 为 S e q = 1 ， W i n = 0 ， L e n = 0 。 这 里 返 回 了 一 个 R S T 标 志 的 包 ， 而 且 窗 口 大 小 不 为 0 ， N m a p 认 为 该 端 口 开 放 （ 参 考 N m a p 的 T C P   W i n d o w s   S c a n ） ， 也 就 是 这 个 包 导 致 了 N m a p 对 主 机 存 活 的 误 判 断 。 这 个 包 是 哪 来 的 呢 ？ 网 络 结 构 很 简 单 ， 除 了 V M w a r e 的 N A T 外 ， 没 有 其 它 网 络 设 备 ， 说 明 这 个 包 是 N A T 返 回 的 。 解 决 解 决 现 在 已 经 知 道 了 引 起 N m a p 误 判 断 的 原 因 是 V M w a r e 的 N A T ， 那 用 什 么 方 法 来 避 免 呢 ？ 方 法 一 ： 方 法 一 ： 只 使 用 I C M P   e c h o 请 求 探 测 （ - P E ） 探 测 主 机 时 ， 添 加 - P E 参 数 ， n m a p 只 发 送 一 个 I C M P   e c h o 请 求 。 现 在 可 以 扫 描 出 准 确 的 主 机 存 活 信 息 了 。 参 数 禁 用 域 名 解 析 ， 避 免 浪 费 大 量 实 在 在 域 名 解 析 等 待 上 。 过 滤 其 中 一 个 存 活 的 I P 1 9 2 . 1 6 8 . 0 . 1 0 2 ， N m a p 发 送 一 次 I M C P   e c h o 请 求 ， 收 到 1 0 2 的 I C M P 响 应 后 ， 判 断 主 机 存 活 ， 不 在 发 送 其 它 数 据 包 。 n m a p   - s n   - P E   - n   1 9 2 . 1 6 8 . 0 . 0 / 2 4 - n
不 存 活 的 I P 1 9 2 . 1 6 8 . 0 . 1 0 6 ， 发 现 两 次 I C M P   e c h o 请 求 ， 仍 未 收 到 1 0 6 的 I C M P 响 应 ， 则 判 断 为 主 机 不 存 活 。 不 过 这 种 方 式 存 在 一 个 问 题 ， N m a p 最 多 发 送 两 次 I C M P   e c h o 请 求 ， 主 机 禁 P i n g 或 者 丢 包 时 造 成 漏 报 。 方 法 二 ： 方 法 二 ： V M w a r e 虚 拟 机 网 络 连 接 方 式 改 为 桥 接 既 然 问 题 是 V M w a r e 的 N A T 引 起 的 ， 那 就 索 性 不 用 N A T 了 ， 改 成 桥 接 ， 这 也 是 V M w a r e 官 方 的 建 议 。
其 实 ， V M w a r e 网 络 连 接 使 用 桥 接 模 式 ， 好 处 不 只 是 解 决 了 N m a p 对 主 机 存 活 的 误 判 断 ， 也 避 免 了 无 法 t r a c e r o u t e 和 操 作 系 统 判 断 不 准 确 的 问 题 ， 可 以 直 接 创 建 反 弹 s h e l l 监 听 端 口 ， 网 络 性 能 上 也 优 于 N A T 。 影 响 操 作 系 统 判 断 的 原 因 ， 这 里 提 一 下 ， 经 过 V M w a r e   N A T 返 回 的 数 据 包 ， T T L 永 远 是 1 2 8 ， 即 使 对 方 操 作 系 统 是 L i n u x 。 下 图 是 两 种 网 络 连 接 模 式 ， 使 用 参 数 探 测 操 作 系 统 是 的 结 果 对 比 。 - O
所 以 ， 作 为 渗 透 测 试 的 虚 拟 机 ， 还 是 直 接 用 桥 接 网 卡 吧 。 参 考 参 考 N m a p   主 机 发 现 扫 描 ： h t t p s : / / n m a p . o r g / b o o k / m a n - h o s t - d i s c o v e r y . h t m l N m a p   T C P   W i n d o w   S c a n   ( - s W ) ： h t t p s : / / n m a p . o r g / b o o k / s c a n - m e t h o d s - w i n d o w - s c a n . h t m l 不 同 操 作 系 统 的 默 认 T T L ： h t t p s : / / s u b i n s b . c o m / d e f a u l t - d e v i c e - t t l - v a l u e s / 后 记 后 记 至 于 V M w a r e   N A T 为 什 么 会 存 在 这 些 问 题 ， 由 于 个 人 的 时 间 精 力 有 限 、 对 T C P / I P / N A T 等 各 种 协 议 的 理 解 有 限 ， 未 做 深 入 研 究 。 感 谢 @ 伍 默 提 供 的 测 试 截 图 及 数 据 抓 包 。 * 本 文 作 者 ： 本 文 作 者 ： S h a d 0 w p f _ ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理