1、NMap工具

主要功能：探測(cè)主機(jī)是否在線、掃描主機(jī)開(kāi)放端口和嗅探網(wǎng)絡(luò)服務(wù)，用于網(wǎng)絡(luò)探測(cè)和安全掃描。

NMap支持很多掃描技術(shù)，例如：UDP、TCPconnect()、TCPSYN(半開(kāi)掃描)、ftp代理(bounce攻擊)、反向標(biāo)志、ICMP、FIN、ACK掃描、SYN掃描和null掃描。

命令格式：Nmap [ 掃描類型 ] [ 通用選項(xiàng) ] { 掃描目標(biāo)說(shuō)明 }

掃描類型:

通用選項(xiàng):

掃描目標(biāo):

端口的三種狀態(tài)：

Open：意味著目標(biāo)主機(jī)能夠在這個(gè)端口使用accept()系統(tǒng)調(diào)用接受連接。

filtered：表示防火墻、包過(guò)濾和其它的網(wǎng)絡(luò)安全軟件掩蓋了這個(gè)端口，禁止nmap探測(cè)其是否打開(kāi)。

unfiltered：表示這個(gè)端口關(guān)閉，并且沒(méi)有防火墻/包過(guò)濾軟件來(lái)隔離nmap的探測(cè)企圖。

舉例說(shuō)明：

1、探測(cè)指定網(wǎng)段是否有FTP服務(wù)的主機(jī)，不做DNS反向解析

nmap -sS –n –p 21192.168.0.0/24

2、探測(cè)指定服務(wù)器是否啟有特定端口的服務(wù)

nmap –n –p T:21-25,80,110,3389–sS 192.168.0.1

3、使用TCP連接掃描探測(cè)指定服務(wù)器，即使無(wú)法ping通也仍然繼續(xù)探測(cè)

4、nmap -sT –PO 192.168.0.1

5、探測(cè)指定服務(wù)器的操作系統(tǒng)類型

nmap –O –n 192.168.0.1

6、探測(cè)局域網(wǎng)段中各主機(jī)開(kāi)啟了哪些服務(wù)

nmap –sS 192.168.0.0/24

7、探測(cè)192.168.0.0和172.16.0.0/16網(wǎng)段中有哪些主機(jī)在運(yùn)行

nmap –sP –n 192.168.0.0/24 172.16.0.0/16

8、快速掃描主機(jī)開(kāi)放端口

nmap -F 192.168.0.1

2、TCPDump工具

主要功能：捕獲和分析數(shù)據(jù)包。

TcpDump可以將網(wǎng)絡(luò)中傳送的數(shù)據(jù)包的“頭”完全截獲下來(lái)提供分析。它支持針對(duì)網(wǎng)絡(luò)層、協(xié)議、主機(jī)、網(wǎng)絡(luò)或端口的過(guò)濾，并提供 and、or、not等邏輯語(yǔ)句來(lái)幫助你去掉無(wú)用的信息。

命令格式：tcpdump [ 選項(xiàng) ] [ -c 數(shù)量 ] [ -i 網(wǎng)絡(luò)接口 ] [ -w 文件名 ] [ 表達(dá)式 ]

常用選項(xiàng)：

-l：使標(biāo)準(zhǔn)輸出變?yōu)榫彌_行形式；

-c：抓包次數(shù)；

-nn：直接以 IP 及 Port Number 顯示，而非主機(jī)名與服務(wù)名稱；

-s ：<數(shù)據(jù)包大小> 設(shè)置每個(gè)數(shù)據(jù)包的大??；

-i：指定監(jiān)聽(tīng)的網(wǎng)絡(luò)接口；

-r：從指定的文件中讀取包；

-w：輸出信息保存到指定文件；

-a：將網(wǎng)絡(luò)地址和廣播地址轉(zhuǎn)變成名字；

-d：將匹配信息包的代碼以人們能夠理解的匯編格式給出；

-e：在輸出行打印出數(shù)據(jù)鏈路層的頭部信息；

-f：將外部的Internet地址以數(shù)字的形式打印出來(lái)；

-t：在輸出的每一行不打印時(shí)間戳；

-v ：輸出稍微詳細(xì)的報(bào)文信息；加一個(gè)v更詳細(xì)。

四種表達(dá)式：過(guò)濾報(bào)文條件

1、 關(guān)于類型的關(guān)鍵字，主要包括host，net，port, 例如 host210.27.48.2，指明 210.27.48.2是一臺(tái)主機(jī)，net 202.0.0.0 指明202.0.0.0是一個(gè)網(wǎng)絡(luò)地址，port 23 指明端口號(hào)是23。如果沒(méi)有指定類型，缺省的類型是host。

2、 確定傳輸方向的關(guān)鍵字，主要包括src, dst ,dst or src, dst and src ,這些關(guān)鍵字指明了傳輸?shù)姆较?。例?src210.27.48.2 ,指明ip包中源地址是210.27.48.2, dst net 202.0.0.0 指明目的網(wǎng)絡(luò)地址是202.0.0.0 。如果沒(méi)有指明方向關(guān)鍵字，則缺省是src or dst關(guān)鍵字。

3、協(xié)議的關(guān)鍵字，主要包括ip,arp,tcp,udp等類型。

4、三種邏輯運(yùn)算，與運(yùn)算是'and','&&'; 或運(yùn)算是'or' ,'||'； 非運(yùn)算是 'not ' '! '。

其他重要的關(guān)鍵字如下： broadcast,less（小于）,greater（大于）

舉例說(shuō)明：

1、截獲eth0網(wǎng)卡10次收發(fā)所有數(shù)據(jù)包并將抓包結(jié)果保存到test文件,再讀取test抓包結(jié)果文件

tcpdump –i eth0 –c 10 –w test

tcpdump –r test

2、截獲來(lái)訪問(wèn)80端口的所有數(shù)據(jù)包（指定端口范圍portrange 1-1024）

tcpdump port 80

3、截獲所有來(lái)自主機(jī)114.254.151.51的進(jìn)出所有數(shù)據(jù)包

tcpdump host 114.254.151.51

4、截獲ip包中源地址是114.254.151.51的（目的是dst）

tcpdump src 114.254.151.51

5、截獲主機(jī)114.254.151.51和主機(jī)114.254.151.52的通信

tcpdum host 114.254.151.51 and 114.254.151.52

6、截獲tcp協(xié)議并且源地址114.254.151.51來(lái)訪問(wèn)80的端口

tcpdump tcp and src 114.254.151.51 and port 80

7、截獲主機(jī)114.254.151.51除了和114.254.151.52之外的所有ip包

tcpdump ip host 114.254.151.51 and ! 114.254.151.52

8、截獲長(zhǎng)度大于1000數(shù)據(jù)包,對(duì)于DDOS攻擊時(shí)，可以使用

tcpdump greater 1000

• 上一篇：以太網(wǎng)非核心功能的標(biāo)準(zhǔn)
• 下一篇：H3C ER3100G領(lǐng)跑中小型企業(yè)千兆網(wǎng)絡(luò)