端口扫描技术

目前主要的端口扫描技术有以下几种：
1．TCP connect Scan（TCP连接扫描）
这 种方法也称之为“TCP全连接扫描”。它是最简单的一种扫描技术，所利用的是TCP协议的3次握手过程。它直接连到目标端口并完成一个完整的3次握手过 程（SYN、SYN/ACK和ACK）。操作系统提供的“connect()”函数完成系统调用，用来与目标计算机的端口进行连接。如果端口处于侦听状 态，那么“connect()”函数就能成功。否则，这个端口是不能用的，即没有提供服务。
TCP连接扫描技术的一个 最大的优点是不需要任何权限，系统中的任何用户都有权利使用这个调用。另一个好处是速度快。如果对每个目标端口以线性的方式，使 用单独的“connect()”函数调用，那么将会花费相当长的时间，用户可以同时打开多个套接字，从而加速扫描。使用非阻塞I/O允许用户设置一个低的 时间以用尽周期，并同时观察多个套接字。但这种方法的缺点是很容易被发觉，并且很容易被过滤掉。目标计算机的日志文件会显示一连串的连接和连接出错的服务 消息，目标计算机用户发现后就能很快使它关闭。 

2．TCP SYN Scan（TCP同步序列号扫描）
若端口扫描没有完成一个完整的 TCP连接，即在扫描主机和目标主机的一指定端口建立连接的时候，只完成前两次握手，在第三步时，扫描主机中断了本次连接， 使连接没有完全建立起来，所以这种端口扫描又称为“半连接扫描”，也称为“间接扫描”或“半开式扫描”（Half Open Scan）。
SYN 扫描，通过本机的一个端口向对方指定的端口，发送一个TCP的SYN连接建立请求数据报，然后开始等待对方的应答。如果应答数据报中设置了SYN位 和ACK位，那么这个端口是开放的；如果应答数据报是一个RST连接复位数据报，则对方的端口是关闭的。使用这种方法不需要完成Connect系统调用所 封装的建立连接的整个过程，而只是完成了其中有效的部分就可以达到端口扫描的目的。
此种扫描方式的优点是不容易被发 现，扫描速度也比较快。同时通过对MAC地址的判断，可以对一些路由器进行端口扫描，缺点是需要系统管理员的权限，不适合 使用多线程技术。因为在实现过程中需要自己完成对应答数据报的查找、分析，使用多线程容易发生数据报的串位现象，也就是原来应该这个线程接收的数据报被另 一个线程接收，接收后，这个数据报就会被丢弃，而等待线程只好在超时之后再发送一个SYN数据报，等待应答。这样，所用的时间反而会增加。

3．TCP FIN Scan（TCP结束标志扫描）
这种扫描方式不依赖于TCP的3次握 手过程，而是TCP连接的“FIN”（结束）位标志。原理在于TCP连接结束时，会向TCP端口发送一个设置了FIN 位的连接终止数据报，关闭的端口会回应一个设置了RST的连接复位数据报；而开放的端口则会对这种可疑的数据报不加理睬，将它丢弃。可以根据是否收到 RST数据报来判断对方的端口是否开放。
此扫描方式的优点比前两种都要隐秘，不容易被发现。该方案有两个缺点：首先， 要判断对方端口是否开放必须等待超时，增加了探测时间，而且容易得出错误的结 论；其次，一些系统并没有遵循规定，最典型的就是Microsoft公司所开发的操作系统。这些系统一旦收到这样的数据报，无论端口是否开放都会回应一个 RST连接复位数据报，这样一来，这种扫描方案对于这类操作系统是无效的。

4．IP Scan（IP协议扫描） 
这种方法并不是直接发送TCP协议探测数据包，而是将数据包分成两个较小的IP协议段。这样就将一个TCP协议头分成好几个数据包，从而过滤器就很难探测到。但必须小心，一些程序在处理这些小数据包时会有些麻烦。

5．TCP Xmas Tree Scan
这种方法向目标端口发送一个含有FIN（结束）、URG（紧急）和PUSH（弹出）标志的分组。根据RFC793，对于所有关闭的端口，目标系统应该返回RST标志。根据这一原理就可以判断哪些端口是开放的。

6．TCP Null Scan
这种方法与上一方法原理是一样，只是发送的数据包不一样而已。本扫描方案中，是向目标端口发送一个不包含任何标志的分组。根据RFC793，对于所有关闭的端口，目标系统也应该返回RST标志。

7．UDP Scan（UDP协议扫描）
在UDP扫描中，是往目标端口发送一个UDP分 组。如果目标端口是以一个“ICMP port Unreachable”（ICMP端口不可到达）消息来作为响应的，那么该端口是关闭的。相反，如果没有收到这个消息那就可以推断该端口打开着。还有就 是一些特殊的UDP回馈，比如SQL Server服务器，对其1434号端口发送“x02”或者“x03”就能够探测得到其连接端口。由于UDP是无连接的不可靠协议，因此这种技巧的准确性 很大程度上取决于与网络及系统资源的使用率相关的多个因素。另外，当试图扫描一个大量应用分组过滤功能的设备时，UDP扫描将是一个非常缓慢的过程。如果 要在互联网上执行UDP扫描，那么结果就是不可靠的。

8．ICMP echo扫描 
其实这并不能算是真正意义上的扫描。但有时的确可以通过支持 Ping命令，判断在一个网络上主机是否开机。Ping是最常用的，也是最简单的探测手段，用 来判断目标是否活动。实际上Ping是向目标发送一个回显（Type＝8）的ICMP数据包，当主机得到请求后，再返回一个回显（Type＝0）的数据 包。而且Ping程序一般是直接实现在系统内核中的，而不是一个用户进程，更加不易被发现。

9．高级ICMP扫描技术
Ping是利用ICMP协议实现的，高级的ICMP扫描技术主要 利用ICMP协议最基本的用途——报错。根据网络协议，如果接收到的数据包协议项出现了错 误，那么接收端将产生一个“Destination Unreachable”（目标主机不可达）ICMP的错误报文。这些错误报文不是主动发送的，而是由于错误，根据协议自动产生的。
当IP数据包出现Checksum（校验和）和版本的错误的时候，目标主机将抛弃这个数据包；如果是Checksum出现错误，那么路由器就直接丢弃这个数据包。有些主机比如AIX、HP/UX等，是不会发送ICMP的Unreachable数据包的。
例 如，可以向目标主机发送一个只有IP头的IP数据包，此时目标主机将返回“Destination Unreachable”的ICMP错误报文。如果向目标主机发送一个坏IP数据包，比如不正确的IP头长度，目标主机将返回“Parameter Problem”（参数有问题）的ICMP错误报文。
注意:如果是在目标主机前有一个防火墙或者一个其他的过滤装置， 可能过滤掉提出的要求，从而接收不到任何的回应。这时可以使用一个非常大的协议数字作为 IP头部的协议内容，而且这个协议数字至少在今天还没有被使用，主机一定会返回Unreachable；如果没有Unreachable的ICMP数据包 返回错误提示，那么，就说明被防火墙或者其他设备过滤了，也可以用这个方法探测是否有防火墙或者其他过滤设备存在。