。采用这个技术不需要任何权限,即系统中的任何用户或实体都可以使用这个调用,它的不足之处在于容易被发现和过滤掉。2.半连接扫描若端口扫描没有完成一个完整的TCP连接,在扫描主机和目标主机的指定端口建立连接时候只完成了前两次握手,使连接没有完全建立起来,这样的端口扫描称为半连接扫描,因为它没有完成一个完整的TCP连接。常见的半连接扫描有TCPSYN。TCPSYN扫描:这种方法向目标端口发送一个SYN分组,如果目标端口返回SYN/ACK,那么可以肯定该端口处于监听状态;否则,返回的是RST/ACK。这种方法比第一种更具隐蔽性,不容易在目标主机中留下扫描痕迹。缺点是在大部分操作系统下,发送主机需要构造适用于这种扫描的IP包,通常情况下,构造SYN数据包需要超级用户或者授权用户访问专门的系统调用。3.隐秘扫描隐秘扫描是一种不被日志审计工具所检测的扫描技术,它利用了TCP/IP协议栈的一些特性,在这种方法中,攻击者发送的探测数据包中设置了一些不常用的协议标记和特性,而目标主机的TCP/IP协议栈对这些数据包的处理和响应方式保证了扫描的隐蔽性。现有的隐秘扫描有TCPFIN扫描、TCPACK扫描、NULL扫描、XMAS扫描、TCP分段扫描和SYN/ACK扫描等。(1)TCPFIN扫描向目标端口发送FIN分组[11],(或者任何其它不带SYN或ACK标记的分组),从而可以探测该端口的状态。如果发送方没有收到任何分组,则说明目标端口可能是开放的;如果发送方收到RST分组,则说明目标端口是关闭的。但是在多数实现中,例如在Windows系统中,其开放的端口返回RST/ACK分组。(2)TCPACK扫描发送一个只有ACK标志的TCP数据包给主机,如果主机反馈一个TCPRST数据包来,那么这个主机是存在的。也可以通过这种技术来确定对方防火墙是简单的分组过滤,还是一个基于状态的防火墙。(3)NULL扫描
全文预览
