【齐鲁TV】Nmap配置使用实验-2

一、实验目的
理解Nmap常用扫描方式的原理，掌握Nmap发包的简单分析方法。
二、实验环境
靶机系统及组件：WINDOWS7；PhpStudy2018；DVWA网站资源包（具体自行百度下载）
测试主机系统：kali-2023.4
三、实验原理
本实验中涉及的Nmap扫描参数：
-p：指定扫描的目标端口
-sT：TCP connect扫描
-sS：TCP SYN扫描
-sA：TCP ACK扫描
四、实验步骤
1．启动靶机Web环境
在靶机上，启动phpstudy，启动数据库和Web环境。

2．使用Nmap对靶机进行不同类型的扫描，并使用WireShark进行抓包观察
（1）在KALI上，启动Wireshark：

在Wirshark主界面点击“Start capturing packets”按钮启动抓包：同时，设置如下网络封包过滤条件：ip.addr == [靶机IP]

（2）在操作机Kali上点击左侧菜单中的终端图标，启动终端：使用如下命令，利用Nmap对靶机的80端口进行TCP SYN扫描，并观察Wireshark抓到的网络封包：
nmap -p 80 -sS [靶机IP]
扫描结果：

Wireshark抓包结果：

TCP SYN原理分析：
Nmap向目标端口发送TCP SYN报文，如果目标机返回TCP SYN+ACK报文，则说明目标端口处于开放状态，同时Nmap会紧接着向目标机发送TCP RST报文以重置此连接；如果目标机返回TCP RST+ACK报文，则说明目标端口处于关闭状态。

（4）使用如下命令，利用Nmap对靶机的80端口进行TCP connect扫描，并观察Wireshark抓到的网络封包：
nmap -p 80 -sT [靶机IP]
扫描结果：

Wireshark抓包结果：

TCP connect原理分析：
Nmap向目标端口发送TCP SYN报文，如果目标机返回TCP SYN+ACK报文，则说明目标端口处于开放状态，同时Nmap会紧接着向目标机依次发送TCP ACK、TCP RST+ACK完成三次握手和重置此连接；如果目标机返回TCP RST+ACK报文，则说明目标端口处于关闭状态。

（5）使用如下命令，利用Nmap对靶机的80端口进行TCP ACK扫描，并观察Wireshark抓到的网络封包：
nmap -p 80 -sA [靶机IP]
扫描结果：

Wireshark抓包结果：

TCP ACK原理分析：
Nmap向目标端口发送TCP ACK报文，无论目标端口是否处于开放状态，目标机都会返回TCP RST报文。如果Nmap主机能收到此TCP RST报文，则说明目标端口未被防火墙屏蔽。
TCP ACK扫描只能用于确定防火墙是否屏蔽某个端口，可以辅助TCP SYN的方式来判断目标主机防火墙的状况。

五、实验总结
本次实验，利用Wireshark辅助分析了Nmap的TCP SYN、TCP connect和TCP ACK等扫描方式的发包过程，验证了这些扫描方式的原理。