網(wǎng)絡掃描軟件Nmap的應用在網(wǎng)絡攻擊時，攻擊者往往會使用網(wǎng)絡和端口掃描軟件對目標主機進行掃描，發(fā)現(xiàn)漏洞，為后續(xù)攻擊做準備。本實驗使用網(wǎng)絡掃描軟件Nmap對北郵官網(wǎng)（IP地址：１０.３.９.２５４）進行多類型的主機和端口掃描并進行分析。隱藏掃描(StealthScanning)－ｓＳ為TCP同步掃描，原理是源主機發(fā)送一個TCP同步包（SYN），然后等待目的主機的回應。如果對方返回SYN｜ACK包，就表示該目標端口打開。Wireshark抓包可以看出在掃描過程中，源主機（１０.８.７０.２２４）向目標主機（１０.３.９.２５４）最可能打開的１０００個端口發(fā)送了TCP同步包，其中只有８０端口和３３０６端口返回了SYN｜ACK包，說明目標主機開放了這兩個端口。從Nmap掃描結果可以看出８０端口提供的是http服務，３３０６提供的是mysql服務。端口掃描(portscanning)－ｓＴ掃描是調用系統(tǒng)函數(shù)connect()用來打開一個鏈接，所以耗時要比－ｓＳ要多。RTTVAR（往返延時變量）很大，應該網(wǎng)絡擁塞引起的。從wireshark抓包看出源主機與目的主機之間建立了完全的TCP鏈接，探測到端口開放后立即發(fā)送RST斷開鏈接。UDP掃描（UDPScanning）UDP掃描是向目標主機的每個端口發(fā)送一個0字節(jié)的UDP包，如果收到端口不可到達的ICMP消息，端口就是關閉的。如wireshark抓包所示源主機向目標機的1031端口發(fā)送了一個0字節(jié)的UDP包。端口1031收到了ICMP消息，說明端口是關閉的。端口123開啟的是ntp服務。值得注意的是，此時發(fā)送的并不是0字節(jié)的UDP包，而是內容為ntp的總長為224bit的UDP包。Ping掃描（PingSweeping）對源主機所在網(wǎng)段（/19）的主機進行Ping掃描。在局域網(wǎng)內，Nmap是通過發(fā)送ARP包來詢問IP地址上的主機是否活動的，如果收到ARP回復包，那么說明該主機在線。如wireshark抓包所示源主機廣播所掃描網(wǎng)段的ARP請求，沒有回復的主機均視為沒有在線?；貜土薃RP請求，說明在線。、TCPACK掃描TCPACK掃描是向目標機的端口發(fā)送ACK包，如果返回一個RST包，則這個端口就視為unfiltered狀態(tài)。如wireshark抓包所示如９０端口收到了RET包，說明這個端口處于unfiltered狀態(tài)。操作系統(tǒng)類型掃描從掃描結果可以得到目標主機的詳細信息。目標主機的操作系統(tǒng)為AVMFRITZ！BoxWLAN７２４０WAP。Traceroute路由跟蹤掃描使用－traceroute可以得到本機到目標主機之間的拓撲結構和路由信息。從Nmap結果可以看出，本地主機到１０.３.９.２５４一共要經(jīng)過４跳才