扫描与抓包分析

1.使用NMAP扫描来获取指定主机/网段的相关信息

#yum -y install nmap

#man nmap

1. #基本用法：
2. # nmap [扫描类型] [选项] <扫描目标 ...>
3. #常用的扫描类型
4. # -sS，TCP SYN扫描（半开）
5. # -sT，TCP 连接扫描（全开）
6. # -sU，UDP扫描
7. # -sP，ICMP扫描
8. # -A，目标系统全面分析
9. -n选项可以不执行DNS解析
10. .-p 端口

1.1检测192.168.4.0/24网段有几个是开机状态

#nmap -sP  -n 192.168.4.0/24

1.2检查目标主机所开启的TCP服务

#nmap -sT  -n 192.168.4.166

Starting Nmap 6.40 ( http://nmap.org ) at 2020-09-07 20:41 CST
Nmap scan report for mysql3 (192.168.4.166)
Host is up (0.00053s latency).
Not shown: 998 closed ports
PORT STATE SERVICE
22/tcp open ssh
3306/tcp open mysql
MAC Address: 00:0C:29:3C:33:27 (VMware)

Nmap done: 1 IP address (1 host up) scanned in 0.10 seconds

1.3检查192.168.4.0/24网段内哪些主机开启了FTP、SSH服务

# nmap -p 21-22 192.168.4.0/24

1.4检查目标主机所开启的UDP服务

# nmap -sU 192.168.4.166

1.5全面分析目标主机192.168.4.166和192.168.4.163的操作系统信息

# nmap -A -n 192.168.4.166，163

2.使用tcpdump分析FTP访问中的明文交换信息

tcpdump抓包   (命令行)

命令格式 ]# tcpdump  [选项] [抓包条件]

#选项如下：

1. # -i，指定监控的网络接口（默认监听第一个网卡）
2. # -A，转换为 ACSII 码，以方便阅读
3. # -w，将数据包信息保存到指定文件
4. # -r，从指定文件读取数据包信息

#tcpdump的抓包条件：

1. # 类型：host（主机）、net（网段）、port（端口）、portrange（端口范围）
2. # 方向：src（源地址）、dst（目标地址）
3. # 协议：tcp、udp、ip、wlan、arp、……
4. # 多个条件组合：and、or、not

2.1准备Vsftpd服务器

# yum -y install vsftpd

# systemctl restart vsftpd

# useradd tom

#echo 123 | passwd --stdin tom

# tcpdump -i 网卡名称 -A host 192.168.4.158 and tcp port 21 

只抓取访问主机192.168.4.158的21端口的数据通信 ，并转换为ASCII码格式的易读文本。

2.2执行FTP访问，并观察tcpdump抓包结果
从192.168.4.166访问主机192.168.4.158的vsftpd服务。

#yum -y install ftp

# ftp 192.168.4.158

ftp 192.168.4.158
Connected to 192.168.4.158 (192.168.4.158).
220 (vsFTPd 3.0.2)
Name (192.168.4.158:root):  tom       账号
331 Please specify the password.
Password:                                          密码
530 Login incorrect.
Login failed.

# tcpdump -i 网卡名称 -A host 192.168.4.158 and tcp port 21 

#再次使用tcpdump抓包，使用-w选项可以将抓取的数据包另存为文件，方便后期慢慢分析。

# tcpdump -i 网卡名称 -A -w ftp.cap  host 192.168.2.5 and tcp port 21 

tcpdump命令的-r选项，可以去读之前抓取的历史数据文件

# tcpdump -A -r ftp.cap | egrep ‘(USER|PASS)‘    #分析数据包

###扩展知识，使用tcpdump分析Nginx的明文账户认证信息信息

在proxy主机使用tcpdump命令抓包

# tcpdump -i 网卡名称 -A host 192.168.4.166 and tcp port 80
在真实机使用浏览器访问192.168.4.166

#客户端使用浏览器访问 firefox http://192.168.2.5 #根据提示输入用户名与密码

回到proxy查看抓包的数据结果(找关键词Authorization: Basic)

1. [root@proxy ~]# tcpdump -A host 192.168.2.5 and tcp port 80
2. tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
3. listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
4. … …
5. Authorization: Basic dG9tOjEyMzQ1Ng==

查看base64编码内容

扫描与抓包分析

原文：https://www.cnblogs.com/zhaichao93/p/13629398.html