发布时间 : 星期三 文章共享网络嗅探工具(如Sniffer Pro)的功能使用和结构分析和IP地址欺骗扫描工具Hping2的使用 - 图文更新完毕开始阅读09eee4f1aef8941ea76e05f5
在这种IP欺骗方式的端口扫描的过程中，设计到3个主机，假定 1主机A扫描者自己的主机
2主机B扫描者需要借助的第三方主机，假定该主机在扫描过程中不向外发送任何数据包
3主机C被扫描的目标主机 其过程为：
1主机A向主机C的某个TCP端口发送一个SYN包，并将源地址写为主机B。如果端口是打开的，则主机C就会返回给主机B一个SYN+ACK包，否则，主机C将返回一个RST+ACK包
2主机A通过主机B通信中IP头中的ID域，应该知道主机B正在发送的数据包的编号。
3根据TCP/IP的相关规定，主机B对于主机C发送到某端口的SYN+ACK包，应该返回一个RST，而对于发来的RST包，则应该没有反应 4在一般情况下IP数据包头部ID域的值，每次增量为1
本质上，这还是一种SYN扫描的方式。试验中，分为主机B无网络通信和主机B有网络通信两种情况来测试
通过任务二的测试表明，实验所局域网中IP地址为192.168.0.50的主机的0号端口是关闭的，22号端口是开放的，因此在任务三中，将其作为被扫描的目标主机，即主机C同时对局域网地址为192.168.0.11的主机进行不带参数的NULL扫描
测试结果如下
192.168.0.11可以看做是主机B 1被利用主机无网络通信 1）切断192.168.0.11的网络通信
在本机对192.168.0.11的扫描数据可以看出ID域的值比较零乱，难以找到规律，
此时，以人工方式中断192.168.0.11的网络通信，即关闭其所有的网络活动，然后再对其进行不带参数的NULL扫描
可以看出id序列号是以增量为1增加的 2）扫描关闭状态的端口情况
对C主机的0号端口进行扫描，操作者发送的数据包中源IP地址填上B机的IP地址，这样，C主机返回的数据包应该到B主机
因为C主机上被扫描的0号端口没有监听，C主机会向B主机发送RST+ACK包，而B主机对这样的数据包是不反应的，所以，操作者看到B主机发到A主机上的IP包头中的ID域增量还是1
3）扫描listenning状态的端口情况
接下来对主机C的20号端口进行扫描，因为被扫描的端口是正在监听的，C主机就会向B主机发送SYN+ACK包，这时候，B主机还需要向一直给它发送NULL包得A主机返回RST+ACK，由于C的介入，A主机可以断定，正在扫描的C主机的端口是打开的
4）以上是理想的讨论，但是在测试中，还出现了B主机的ID增量与A发给C的测试数据包不匹配的情况。
如3中显示的测试结果，其实A主机只向C发送了一个SYN请求包，但出现了两次增量为2的情况。通过Ethereeal，发现交换机需要定时向交换局域网内德所有主机发送广播数据包，以维护和更新内部表现，故仅凭借B的ID值的单个增量是不够准确的
上图中加框的两个数据包就是交换机发出的广播数据包，对于单个的测试包可能会有影响。
由此我们可以看出，一方面三台主机需要位于同一个交换局域网内，即交换机需要维护自身的地址表，另一方面要保证没有网络通信，这样的理想状态是不可能完全达到的。比较好的拆裹方式为，每次测试通过发送数据包的数量选项 -c来制定数据包的个数，每次发送的数据量大到足以使操作者看到B机上通信流量是否发生了变化，也就由此可以判断目标端口是否正在监听了 现在向192.168.0.50的22号端口发送如下数据包
则主机B的应答为
即使有若干个包序列号不正确，但整体的趋势是与A发送C的测试包是一致的，那么久可以认定主机B的22号端口是开放的 2.被利用主机的网络通信
对于第三方主机C有网络通信的情况，步骤上与1完全一致，现实结果上很不理想，基本处于乱序状态。从Ethereal抓包分布来看，TCP的数据包的数量骤然上升。下图所示为主机A对主机B的0号端口进行扫描的情况。由于主机B的
0号端口是关闭的，理论上ID序列号应该以1的步骤增加，但结果很明显ID是无序的
六、 调试过程中遇到的问题：
实践型课题，此环节省略。 七、 专业课程设计总结：
经过了两个周的课程设计，我们通过对上述实例的操作，已经学会了hping2的使用。Hping2如同一个路由跟踪，最大的妙处在于，它能够支持多种协议，这就给我们在网络数据的提取和分析上提供了很大的方便。