环境介绍

NAT模式：

kali攻击方
win7受害者
Metasploitable受害者

工具简介

masscan号称是目前是最快的互联网端口扫描器，最快可以在六分钟内扫遍互联网。 masscan的扫描结果类似于nmap，在内部，它更像scanrand, unicornscan, and ZMap，采用了异步传输的方式。它和这些扫描器最主要的区别是，它比这些扫描器更快。而且，masscan更加灵活，它允许自定义任意的地址范和端口范围。

参数很多，跟扫描相关的就是-p，用来指定扫描的端口范围

masscan 192.168.239.130 -p1-600

数据包

前面介绍过nmap的SYN扫描，nc的TCP扫描，这里对比观察一下，避免引起误报
对比下面的数据包发现：

三者的首部长度是不一样的，可以以此为突破口
masscan的特征体现在首部长度是20字节，没有tcp.option关键字，存在高并发行为（还是有可能触发别的误报，触发的话，再对比优化了）

nmap的SYN扫描

nc的TCP扫描

masscan的扫描

masscan 192.168.239.130 -p1-600

观察第2340、2344、2345三个数据包，发现masscan默认使用SYN扫描，当对方的80端口回应了之后，masscan就发送RST断开连接

对比masscan、nc、nmap的SYN扫描

1：masscan默认使用SYN扫描，一旦建立第二次握手之后，masscan就发送RST断开连接
见序号2340、2344、2345的数据包

2：nmap使用-sS扫描时，与masscan一样，一旦建立第二次握手之后，nmap就发送RST断开连接
见序号是91、93、99的数据包

3：nc使用-nvz扫描时，建立完整的三次握手之后，就发送Fin+Ack开始断开连接
见序号是5732~5737的数据包

规则

alert tcp any any -> any any (msg:"masscan 端口扫描"; flags:S; window:1024; dsize:0; detection_filter:track by_src,count 100,seconds 5; tcp.header_len:=20; metadata:service check-ports; sid:7; rev:1;)

由于snort不支持tcp.header_len关键字，这里剔除这个关键字之后，snort可以正常告警

入侵检测——masscan(扫描篇)相关推荐

入侵检测——nbtscan(扫描篇)
目录环境介绍工具简介数据包规则环境介绍 NAT模式: kali攻击方 win7受害者 Metasploitable受害者工具简介一个在本地或远程TCP/IP网络上扫描开放的NETBIOS ...
入侵检测——fping(扫描篇)
目录环境介绍参数数据包参照组数据包(使用ping命令) windows下使用cmd发出的ping包 kali在终端中发出的ping包 fping发出的数据包单个主机扫描(无回应) 单个主机扫 ...
文件加解密，AIDE入侵检测，扫描与抓包
加/解密概述发送方:明文->密文接收方:密文->明文加密目的及方式确保数据的机密性对称加密:加密/解密用同一个密钥非对称加密:加密/解密用不同的密钥(公钥.私钥) 保护信息的完 ...
入侵检测——dmitry
目录环境介绍工具简介数据包 1:(-p参数)端口扫描 2:(-i参数)whois查询ip 3:(-w参数)whois查询域名规则汇总环境介绍 NAT模式: kali攻击方 win7受害者工 ...
新书推荐 |《Linux系统安全：纵深防御、安全扫描与入侵检测》
新书推荐 <Linux系统安全:纵深防御.安全扫描与入侵检测> 点击上图了解及购买资深Linux系统安全/运维专家撰写,腾讯.阿里技术专家高度评价,从纵深防御.安全扫描.入侵检测3个维度 ...
[网络安全自学篇] 二十四.基于机器学习的入侵检测和攻击识别——以KDD CUP99数据集为例
这是作者的系列网络安全自学教程,主要是关于网安工具和实践操作的在线笔记,特分享出来与博友共勉,希望您们喜欢,一起进步.前文分享了Web渗透的第一步工作,涉及网站信息.域名信息.端口信息.敏感信息及指纹 ...
加密与解密入侵检测扫描与抓包
Top NSD SECURITY DAY02 案例1:加密与解密应用案例2:使用AIDE做入侵检测案例3:扫描与抓包分析 1 案例1:加密与解密应用 1.1 问题本案例要求采用gpg工具实现加/ ...
\加密与解密应用\使用AIDE做入侵检测\扫描与抓包分析\加密与解密应用
例1:加密与解密应用案例2:使用AIDE做入侵检测案例3:扫描与抓包分析 1 案例1:加密与解密应用 1.1 问题本案例要求采用gpg工具实现加/解密及软件签名等功能,分别完成以下任务: 检查文 ...
安全防御之入侵检测篇
目录 1.什么是IDS? 2.IDS和防火墙有什么不同?3.IDS的工作原理? 4.IDS的主要检测方法有哪些?请详细说明 5.IDS的部署方式有哪些? 6.IDS的签名是什么意思?签名过滤器有什么用 ...
[当人工智能遇上安全] 6.基于机器学习的入侵检测和攻击识别——以KDD CUP99数据集为例
您或许知道,作者后续分享网络安全的文章会越来越少.但如果您想学习人工智能和安全结合的应用,您就有福利了,作者将重新打造一个<当人工智能遇上安全>系列博客,详细介绍人工智能与安全相关的论文. ...

入侵检测——masscan(扫描篇)

目录