5.2 主机扫描：主机探测

一、预备知识：主机扫描方法

二、实验环境

三、实验步骤

一、预备知识：主机扫描方法

主机扫描（Host Scan）是指通过对目标网络（一般为一个或多个IP网段）中主机IP地址的扫描，以确定目标网络中有哪些主机处于运行状态。主机扫描的实现，一般是借助于ICMP、TCP、UDP等协议的工作机制，来探测并确定某一主机当前的运行状态和可被利用的资源（如打开的进程、开放的端口等）。

1、基于ICMP协议的扫描方法

ICMP（Internet Control Message Protocol，Internent控制报文协议）是TCP/IP协议栈的网际层提供的一个为主机或者路由器报告差错或异常情况的协议。PING（Packet Internet Groper，分组网间探测）是ICMP的一个重要的应用功能，它是应用层直接调用网际层ICMP协议的一个特殊应用，通过使用ICMP回送请求与回送应答报文来探测两台主机之间网络的连通性。

2、基于TCP协议的主机扫描方法
TCP（Transmission Control Protocol，传输控制协议）是一种面向连接的、可靠的、基于字节流的传输层通信协议。任意两个节点间每一个TCP通信的建立，都需要有连接建立、数据传输和连接释放这3个过程（即TCP三次握手），其目的是让通信的双方都知道彼此的存在，并通过双方协商来确定具体的通信参数(如缓存大小、连接表中的项目、最大窗口值等)。

3．基于UDP协议的主机扫描方法
UDP（User Datagram Protocol，用户数据报协议）是一个无连接（没有提供三次握手过程）的，尽最大努力交付（不可靠）的、面向报文（保留了报文的边界）的传输层通信协议。与TCP相比，UDP最大的优点是占用资源少，效率高，最大的缺点是不可靠。

二、实验环境

攻击机：BT5

靶机：windows XP

三、实验步骤

1、登录到BT5，并打开终端；

2、ping工具的应用。此次实验，检查靶机IP192.168.92.128，且发送两个大小为1000字节的包，其命令为：

ping -c 2 -s 1000 192.168.92.128

ping是用来检查主机是否在线的工具，它的工作原理：发送ICMP ECHO Request包到目标主机，如果目标主机在线并且不对ping请求包进行组织，目标主机将会回复一个ICMP ECHO Reply数据包。此外，“ping”命令常见的选项如下：

-c count :ECHO_Request包发送数量

-i interface address：源地址网络接口，该参数可以是IP地址或网卡名称

-s packet size：指定要发送的数据字节数，默认是56，然后再与8字节的ICMP头数据组成64字节的ICMP数据包。

3、arping工具的应用。arping是一个在局域网中利用ARP（地址解析协议）来探测目标主机连通性的工具，该命令只能运行在本地局域网内，无法跨越路由器和网关。在BT5中，输入“arping”命令，按Enter键，即可获取到该命令的所有选项及其使用方法。

输入命令：

arping -c 5 192.168.92.128

4、fping工具的应用。fping工具可以同时向多个目标主机发送ping（ICMP ECHO）请求包。主机列表可以在命令行中指定，也可以通过包含目标主机的文件指定。默认情况下，fping通过监视目标主机的回复来判断主机是否可用。如果目标主机返回应答，其信息将从目标记录清单中删除；如果主机在一段时间内不响应（超时或者超过尝试次数），该主机会被标记为不可达。默认情况下。fping会向每个目标发送3个ICMP ECHO数据包。

“BackTrack”——“InformationGathering”——“Network Analysis”——“Identify Live Hosts”——“Fping”，打开后会出现如下界面：

fping可以识别多个主机，命令：

fping 192.168.92.128 192.168.92.129 192.168.92.130

5、genlist工具的应用。genlist工具用于生成一个对ping探测作出回应的主机列表。显示192.168.92.0/24网段的可用主机，命令如下：

genlist -s 192.168.92.\*