说明：通过DSL和Cable modem的防火墙常会看见大量发送到广播地址 255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址。黑客经常进 入它们，分配一个地址把自己作为局部路由器而发起大量中间人（man-in-middle） 攻击。客户端向68端口广播请求配置，服务器向67端口广播回应请求。
（3）端口：7
服务：Echo 说明：能查看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。
（4）端口：19
服务：Character Generator 说明：这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符 的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。黑客利用IP欺骗可以发动 DoS攻击。伪造两个chargen服务器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个 端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而使网络过载。 （5）端口：21 服务：FTP
（2）UDP端口 UDP端口，即用户数据包协议端口，无需在客户端和服务器之 间建立连接，其安全性得不到保障。常见的有DNS服务的53端口， SNMP服务的161端口，QQ使用的8000和4000端口等等。
3.常见端口服务功能
（1）端口：0 服务：Reserved 说明：通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端 口，当你试图使用通常的闭合端口连接它时将产生不同的结果。一种典型的扫描是使用IP 地址为0.0.0.0，设置ACK位并在以太网层广播。 （2）端口：1 服务：tcpmux
端口是一组号码，占16个二进制位，其范围为0-65535，服务器在预设置端口等待客户端的连接。 例如，WWW服务使用TCP的80号端口，FTP使用21号端口，Telnet的端口号为23等。 端口定义了TCP/UDP和上层应用程序之间的接口点。客户程序可任意选择端口号，服务程序则使 用固定的标准端口号，IP地址和端口号的组合成为套接字Socket，在一个主机上是唯一的。一条连接 由客户端和服务器的套接字组成。
服务：Metagram Relay
说明：后门程序ncx99开放此端口。 （17）端口：102 服务：Message transfer agent(MTA)-X.400 over TCP/IP
说明：消息传输代理。
10.1.2
端口扫描原理
端口有两种，UDP端口和TCP端口。由于UDP端口是面向无连接的， 从原理的角度来看，没有被扫描的可能，或者说不存在一种迅速而又通用 的扫描算法；而TCP端口具有连接定向（connection oriented）的特性（即 是有面向连接的协议），为端口的扫描提供了基础，所以，本章介绍的端 口扫描技术，是基于TCP端口的。TCP建立连接时有三次握手：首先， Client端往Server某一端口发送请求连接的SYN包，如果Server的这一端口 允许连接，就会给Client端发一个ACK回包，Client端收到Server的ACK包 后再给Server端发一个ACK包，TCP连接正式建立，这就是连接成功的过 程，如图10-2所示。当Client端往Server某一端口发送请求连接的SYN包， 此时若Server的这一端口不允许连接，就会给Client端发一个RST回包， Client端收到Server的RST包后再给Server端发一个RST包，这就是连接失 败的过程，如图10-3所示。基于连接的建立过程，可以想到，假如要扫描 某一个TCP端口，可以往该端口发一个SYN包，如果该端口处于打开状态， 我们就可以收到一个ACK，也就是说，如果收到ACK，就可以判断目标 端口处于打开状态，否则，目标端口处于关闭状态。这就是TCP端口扫描 的基本原理。
第10章 端口扫描技术
10.1 端口扫描原理
10.2 常用端口扫描命令及扫描工具 10.3 应用实例
10.1 端口扫描原理
本节内容
10.1.1
10.1.2 10.1.3
端口的概念
端口扫描原理 常用端口和漏洞扫描技术
10.1.1
端口的概念
1.什么是端口
在计算机系统中，端口（Port）泛指I/O端口，即“硬件端口”，也就是计算机的物理端口，如 计算机的串口、并口、输入/输出设备端口、USB接口以及适配器接口、网络连接设备集线器、交换机、 路由器的连接端口等等，这些端口都是可见的。
（2）动态端口（Dynamic Ports） 动态端口的范围是从1024到65535。之所以称为动态端口， 是因为它一般不固定分配某种服务，而是动态分配。动态分 配是指当一个系统进程或应用程序进程需要网络通信时，它 向主机申请一个端口，主机从可用的端口号中分配一个供其 使用。当这个进程关闭时，同时也就释放了所占用的端口号。 动态端口也常常被病毒木马程序所利用，而且有一定的 对应关系，如冰河木马默认连接端口是7626、WAY 2.4病毒连 接的端口是8011、Netspy 3.0连接的端口是7306、YAI病毒连 接的端口是1024等等。
（10）端口：42
服务：WINS Replication 说明：WINS复制。 （11）端口：53 服务：Domain Name Server（DNS） 说明：DNS服务器所开放的端口，入侵者可能是试图进行区域传递（TCP）， 欺骗DNS（UDP）或隐藏其他的通信，因此防火墙常常过滤或记录此端口。 （12）端口：67 服务：Bootstrap Pr有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，默认情况 下tcpmux在这种系统中被打开。Irix机器在发布时含有几个默认的无密码的账户，如：IP、 GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。许多管理员在安装后忘记删除 这些账户，因此黑客可在Internet上搜索tcpmux并利用这些账户。
（6）端口：22
服务：Ssh
说明：PcAnywhere建立的TCP和这一端口的连接可能是为了寻找ssh。这一服务有许 多弱点，如果配置成特定的模式，许多使用RSAREF库的版本就会有不少的漏洞存在。
（7）端口：23
服务：Telnet 说明：远程登录，入侵者在搜索远程登录Unix的服务。大多数情况下 扫描这一端口是为了找到机器运行的操作系统。木马Tiny Telnet Server 开放端口就是23。 （8）端口：25 服务：SMTP
按协议类型划分，可以分为TCP、UDP、IP和ICMP等端口。在本 章中介绍的端口是TCP和UDP端口：
（1）TCP端口
TCP 端口，即传输控制协议端口，需要在客户端和服务器之间 建立连接，这样可以提供可靠的数据传输。常见的包括 FTP 服务的 21端口，Telnet服务的23端口，SMTP服务的25端口，以及HTTP服务 的80端口等等。
“ 端口扫描”通常指对目标计算机的所有所需扫描的端口发送 同一信息，然后根据返回端口状态来分析目标计算机的端口是否打 开、是否可用。“端口扫描”行为的一个重要特征是：在短时期内 有很多来自相同的信源地址传向不同的目的地端口的包。
对于用端口扫描进行攻击的人来说，攻击者总是可以做到在获 得扫描结果的同时，使自己很难被发现或者说很难被逆向跟踪。为 了隐藏攻击，攻击者可以慢慢地进行扫描。通常来说，用大时间间 隔的端口扫描是很难被识别的。隐藏源地址的方法是发送大量的 （数千个或上万个）欺骗性的端口扫描包，其中只有一个包的源地 址是真实的。这样，即使全部包都被拦截并被记录下来，要想辨别 哪一个是真正的信源地址也是很困难的，因为只有一个包的源地址 是真实的。
21
23 25 37 43 53 69 79 80 110 139
FTP控制连接
TELNET协议 SMTP协议 时间协议 Whois（信息查询协议） Domin（域） 平凡文件传输协议FFTP Finger协议 WWW协议 POP协议 NetBIOS协议
14
3389
Win2000 超级终端协议
2.端口的分类
（13）端口：69
服务：Trival File Transfer 说明：许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。常常由于错误配置而 使入侵者能从系统中窃取任何文件。 （14）端口：79 服务：Finger Server 说明：入侵者用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器 到其他机器Finger扫描。 （15）端口：80 服务：HTTP 说明：用于网页浏览。木马Executor开放此端口。 （16）端口：99
说明：SMTP服务器所开放的端口，用于发送邮件。入侵者寻找SMTP服 务器是为了传递SPAM(垃圾邮件)。木马Antigen、Email Password Sender、 Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy开放的都是这个端口。 （9）端口：31 服务：MSG Authentication 说明：木马Master Paradise、黑客Paradise开放此端口。
A IP=202.112.97.82 端口500 端口501 B IP=202.112.97.84 端口500 端口23 IP=202.112.97.94 C
表10-1
序号 1 2 端口号 13 20 协议
常用TCP端口分配表
Daytime（日期时间协议） FTP数据连接
3
4 5 6 7 8 9 10 11 12 13
在计算机网络通信技术中，端口不是物理意义上的端口，而是特指TCP/IP协议中的端口，是逻辑 意义上的端口，TCP/IP协议中端口分为两大类：面向连接服务的“TCP端口”和无连接服务的“UDP端 口”。在本章中，主要介绍TCP端口。
TCP/UDP端口指的是什么呢？如果把计算机网络比作一间大屋子的话，端口就是出入这个屋子的 “通道”，或说成是出入这个屋子的“大门”。换句话说，端口是用户与计算机网络的接口，人们是 通过端口与网络打交道的。这里指的端口是看不见的“软件端口”。在本书中，所涉及的端口泛指的 是这种“软件端口”。 在日常生活中，“门”上都有“门牌号”作为标记，而TCP端口是通过端口号来标记的。