nmap不扫描主机

Question

每当我执行扫描时，nmap总是显示不同和错误的结果，以查看子网上有多少主机在运行。请参阅以下扫描报告。

我做的第一次扫描没有超级用户权限。第二次扫描是为了看看如果我拥有超级用户特权，它是否会产生任何不同。我所做的第三次扫描是针对特定IP地址的(在前2次扫描期间也是如此，但没有报告)。知道吗？

papagolf@Sierra ~ % nmap -sn 192.168.1.1-255

Starting Nmap 7.25BETA2 ( https://nmap.org ) at 2016-10-31 18:50 IST
Nmap scan report for www.netis.cc (192.168.1.1)
Host is up (0.0048s latency).
Nmap scan report for 192.168.1.4
Host is up (0.00014s latency).
Nmap done: 255 IP addresses (2 hosts up) scanned in 19.31 seconds
papagolf@Sierra ~ % sudo nmap -sn 192.168.1.1-255
[sudo] password for papagolf: 

Starting Nmap 7.25BETA2 ( https://nmap.org ) at 2016-10-31 18:51 IST
Nmap scan report for 192.168.1.4
Host is up.
Nmap done: 255 IP addresses (1 host up) scanned in 26.98 seconds
papagolf@Sierra ~ % sudo nmap -sn 192.168.1.3    

Starting Nmap 7.25BETA2 ( https://nmap.org ) at 2016-10-31 18:52 IST
Nmap scan report for 192.168.1.3
Host is up (0.0030s latency).
MAC Address: B0:47:BF:AC:A6:C4 (Samsung Electronics)
Nmap done: 1 IP address (1 host up) scanned in 16.78 seconds

Answer 1

首先，我不认为Nmap给你显示了“错误”的结果。您得到的结果与预期不同，因为您正在进行不同的扫描，即使您不知道。使用Nmap不像使用神奇的选项组合，这将立即给您一个明确的结果。由于网络中不同的设备行为不同(路由器、防火墙、不同的OS.)，所以存在不同的技术，而且您可能希望或多或少地“不可见”。在这里，Nmap的美妙之处在于它的灵活性，它允许您进行许多不同的扫描以找到您需要的东西。假设它是一个映射工具，它将为您提供一些选项的X结果，以及一些其他选项的Z结果。然后，你的大脑应该解释它们并得出结论。您只运行带有所有默认选项的基本命令，还有更多需要研究的地方。

1您只执行ping扫描，默认情况下将执行以下操作：

• 发送ICMP回波请求
• 将TCP ACK数据包发送到端口80

注意:更新的Nmap版本(我相信包括您的版本)也会发送一个TCP SYN数据包到端口443和一个ICMP时间戳请求。

2 --如果您在同一个网络中(而且您是超级用户)，这意味着运行Nmap的计算机具有类似于192.168.1.X的IP，则将使用ARP请求。如果使用Wireshark，您可以看到ARP数据包交换。

3.最后，1的默认行为是为ICMP回送和TCP ACK使用原始数据包，所以当您使用非特权用户时，Nmap就不能使用此技术。相反，Nmap将发送一个TCP SYN数据包到端口80，方法是像普通用户应用程序那样使用connect。

如果您了解Nmap是如何工作的(1、2和3.)，那么您就可以看到为什么会得到不同的结果。

在第一次扫描中，两台计算机(192.168.1.1和192.168.1.4)都接受TCP连接。这曾经是一个非常嘈杂的扫描，因为应用程序会记录您已经访问过它们的事实。但你得到了你想要的:看到他们还活着。注意，当将Nmap作为超级用户运行时，您可以配置这种类型的扫描(因此，即使您是超级用户，也可以使用3.而不是1或2)，并且您将获得完全相同的结果。

您的第二次扫描发送了一个ACK到端口80和一个ICMP回送，而192.168.1.1忽略了它。这可能意味着它已经安装了防火墙。另一方面，192.168.1.4要么响应ACK，要么响应ICMP回声。如果您在同一个网络(192.168.1.0)中，那么应该使用ARP (参见2).但如果是这样的话，出于某种原因，192.168.1.1将不会响应您的ARP请求，我发现这是不寻常的。因此，我猜你不是在同一个网络里。

在你的第三次扫描中，我认为192.168.1.3应该给出和第二次扫描相同的结果。192.168.1.3在第二次扫描中没有出现这一事实可能会对不同的事实做出反应--也许它是通过wifi连接起来的，而它却被关闭了？有时，当我的手机自动断开以节省电力时，它就会发生。你得到了一致的结果吗？您应该运行更详细的扫描，以了解Nmap为什么解释网络提示的方式。

最后，如果您是认真学习该工具，我强烈建议您获得费奥多的Nmap书。不仅了解Nmap的工作原理，而且了解一些计算机网络行为和其他技巧，这是很棒的。例如，您可以使用-n跳过反向DNS查找并加快测试速度。您还可以尝试不同的ping端口(来自默认的80)和不同类型的ping。

Answer 2

正如您在第二次扫描中所看到的那样，192.168.1.1没有显示，扫描的模式是

-sn - ping只有端口扫描

icmp连接应该会出现一些问题，有时会使这个主机( 192.168.1.3 )看起来不正常。

Answer 3

特权扫描和非特权扫描有区别，但仅用于端口扫描(SYN、ACK等)。不同的是，特权者将针对目标IP创建一个原始的TCP数据包，而非特权扫描则依赖于connect syscall。它不应影响已发现的主机，只应影响速度(有关原因的详细信息，请参阅nmap文档)。

第三次扫描发现主机而其他两次扫描没有发现的原因可能有所不同。有些主机根本不响应ping数据包(除非您100%确信主机会响应，否则不应该是可靠的扫描)，一些主机在响应之间的延迟最小，网络超载时丢弃数据包，防火墙等等

如果您想要一个所有可用主机的可实现列表，您应该使用多个类型的扫描，但您可能需要的扫描取决于您所需要的精度级别、您所拥有的网络知识以及您可以花费的时间。

一个简单的扫描应该给你更好的结果

sudo nmap -PS --disable-arp-ping 192.168.1.0/24

它将列出对大多数常见端口使用TCP扫描发现的所有主机。如果这不符合您的需要(可能有些主机阻塞了扫描的所有公共端口)，您应该尝试使用更高级的扫描，如：

sudo nmap -PA 192.168.1.0/24
sudo nmap -sA -p1-65535 192.168.1.0/24
sudo nmap -sN -p1-65535 192.168.1.0/24
sudo nmap -PO 192.168.1.0/24

并不是所有的扫描都会发现每个主机，这取决于太多的事情。

PS:如果您想了解扫描过程中发生的事情，可以使用标志--reason、--packet-trace和/或-vv。这些标志将启用一个更详细的输出，指示端口被标记为open/closed/filtered/unfiltered，的原因、发送到每个主机的数据包以及一般需要详细的数据包。