## 介绍 在本次实验中，你将学习如何使用 Nmap 在网络安全测试中检测并尝试绕过防火墙限制。防火墙是网络安全体系中的关键组件，它会依据预定义规则过滤和控制网络流量。对于安全从业者来说，理解防火墙绕过技术，有助于开展更全面的安全评估、发现潜在暴露面，并识别可能存在的安全漏洞。 我们将借助功能强大的网络扫描工具 Nmap，实践多种与防火墙绕过相关的扫描技术。这些方法可以帮助安全专家通过模拟攻击者尝试突破安全控制的方式，验证目标网络的防御能力。在本次实验结束后，你将亲自体验 Nmap 的防火墙绕过功能，并了解这些 Nmap 扫描技术在网络安全评估中的实际应用。 ## 设置用于扫描的本地服务 在开始练习 Nmap 扫描技术之前，先准备一个可供扫描的目标服务非常重要。这就像练习射击前需要先设定靶标一样。在这一步中，我们将在本地机器上搭建一个简单的 HTTP 服务器，作为后续所有端口扫描与防火墙绕过测试的目标。 首先，我们需要打开一个终端。终端可以理解为系统的命令操作界面，我们可以在其中输入命令并控制计算机。打开终端后，先为 HTTP 服务创建一个目录结构。目录就像计算机中的文件夹，便于我们有序管理实验文件。 ```bash mkdir -p /home/labex/project/http_service ``` `mkdir` 命令表示“创建目录”。`-p` 选项的作用是：如果路径中的中间目录不存在，就一并创建。因此，这条命令会在 `/home/labex/project` 路径下创建一个名为 `http_service` 的目录。 接下来，我们需要切换到刚刚创建的目录中。就像在图形界面中打开一个文件夹查看内容一样，这里使用 `cd` 命令进入该目录。 ```bash cd /home/labex/project/http_service ``` 现在，我们将创建一个简单的 HTML 文件。HTML 是构建网页的基础语言，而我们的 HTTP 服务器会把这个 HTML 文件内容返回给访问者。 ```bash echo "

Welcome to the StarPath Exploration Server

`echo` 命令的作用是把引号中的文本输出到终端；而 `>` 符号则会将输出内容重定向到名为 `index.html` 的文件中。也就是说，这条命令会创建一个 `index.html` 文件，并将指定的基础 HTML 页面内容写入其中。 文件创建完成后，建议立即检查内容是否写入成功。这时可以使用 `cat` 命令查看文件内容。 ```bash cat index.html ``` `cat` 会读取文件并直接在终端中显示内容。正常情况下，你会看到刚才写入的 HTML 代码： ```

Welcome to the StarPath Exploration Server

```nn现在，是时候启动一个简单的 HTTP 服务器了。我们将使用 Python 内置的 `http.server` 模块。Python 是一种常用编程语言，而这个模块可以帮助我们快速搭建一个基础 Web 服务器，非常适合本地测试和学习使用。 ```bash python3 -m http.server 8000 ``` 在 Python 中，`-m` 选项表示将一个模块当作脚本来运行。这里我们运行的是 `http.server` 模块，并让它监听 8000 端口。端口可以理解为计算机进行网络通信时用于接收和发送数据的入口。 运行这条命令后，你应该会看到类似下面的输出： ```n Serving HTTP on 0.0.0.0 port 8000 (https://0.0.0.0:8000/) ... ``` 这表明 HTTP 服务器已经成功启动，并正在 8000 端口等待连接请求。请保持这个终端窗口处于打开状态，因为一旦关闭，HTTP 服务也会随之停止。 至此，你已经成功搭建了一个本地测试服务。在接下来的步骤中，我们将使用这个本地 HTTP 服务器作为 Nmap 扫描和防火墙绕过练习的目标。 ## 使用主机发现绕过的基本 Nmap 扫描 在这一步中，我们将执行第一次 Nmap 扫描。在开始之前，先理解一个关键概念：很多防火墙会配置为阻止 ICMP 回显请求，也就是通常所说的“ping”。默认情况下，Nmap 在扫描端口前通常会先进行主机发现，用 ping 探测目标是否在线。然而，如果通过跳过这一阶段，即使防火墙拦截了 ICMP 流量，我们仍然可以继续对目标进行端口扫描。 首先，请确认前一个终端中的 HTTP 服务器仍在运行。然后，打开一个 **新的终端窗口**。在这个新终端中，我们需要切换到项目目录，也就是存放本次实验相关文件和结果的位置。这里使用 `cd` 命令完成目录切换，命令如下： ```bash cd /home/labex/project ``` 进入正确目录后，就可以对本地 HTTP 服务器执行一次基础 Nmap 扫描了。这里我们会使用 Nmap 的 `-Pn` 选项。该选项会告诉 Nmap 跳过主机发现步骤，直接假设目标主机处于在线状态并开始扫描。命令如下： ```bash nmap -Pn --reason -p 8000 localhost ``` 下面对命令中的参数进行说明，帮助你更好地理解 Nmap 扫描原理： - `-Pn`：跳过主机发现过程。Nmap 不再通过 ping 检测目标是否在线，而是直接对目标端口发起扫描。 - `--reason`：显示端口被判定为某种状态的具体原因。例如端口为什么会被识别为开放、关闭或过滤。 - `-p 8000`：指定只扫描 8000 端口。之所以扫描这个端口，是因为我们的本地 HTTP 服务器正运行在该端口上。 - `localhost`：表示扫描目标为本机。在本实验中，`localhost` 指向当前本地系统。 运行命令后，你应该会看到类似下面的输出： ```n Starting Nmap 7.80 ( https://nmap.org ) at 2023-09-05 15:30 UTC Nmap scan report for localhost (127.0.0.1) Host is up, received localhost-response (0.000097s latency). PORT STATE SERVICE REASON 8000/tcp open http-alt syn-ack Nmap done: 1 IP address (1 host up) scanned in 0.03 seconds ``` 从结果可以看出，8000 端口处于开放状态，并且对应的是一个 HTTP 相关服务。“REASON” 列中的 `syn-ack` 表明，当 Nmap 向该端口发起 TCP 连接探测时，目标返回了 SYN-ACK 响应。这是 TCP 服务端口开放时非常典型的响应方式。 接下来，我们将扫描结果保存到文件中。保存 Nmap 扫描结果的好处在于，便于后续分析、共享结果，或与将来的扫描数据进行对比。这里使用 `>` 重定向符号把输出写入文件，命令如下： ```bash nmap -Pn --reason -p 8000 localhost > /home/labex/project/nmap_scan.txt ``` 最后，使用 `cat` 命令查看刚才保存的扫描结果： ```bash cat /home/labex/project/nmap_scan.txt ``` 你看到的内容应当与刚才终端中直接显示的 Nmap 扫描结果基本一致。 这个基础扫描演示了如何通过 `-Pn` 选项绕过依赖 ping 探测的主机发现阶段。在真实网络环境中，当目标主机受到防火墙保护并且 ICMP 流量被阻止时，这种 Nmap 扫描方式尤其常见，也非常实用。 ## 利用数据包分段进行高级防火墙绕接下来这一环节，我们将学习一种更高级的防火墙绕过技巧：数据包分段（packet fragmentation）。先理解一下它的基本原理。网络数据在传输过程中，并不总是一次性完整发送，而是会被拆分成更小的单元，也就是数据包。一些防火墙以及入侵检测系统（Intrusion Detection Systems，IDS）会对这些数据包进行检查，以识别其中是否存在可疑或恶意行为。但当数据包被进一步拆分为更小片段时，某些安全设备在分析和重组这些片段时可能处理不够完善。正因如此，在 Nmap 扫描过程中，利用分段技术有时可以绕过部分防火墙或检测机制。 本步骤依然以本地 HTTP 服务器作为扫描目标。第一步，先在终端中进入之前执行扫描所使用的项目目录。确保路径正确非常重要，否则后续命令可能无法按预期执行。请运行以下命令： ```bash cd /home/labex/project ``` 切换到正确目录后，就可以使用 Nmap 的分段参数发起扫描。该参数会把 IP 数据包拆分成更小的片段，从而增加某些数据包过滤器识别扫描行为的难度。命令如下： ```bash sudo nmap -f -Pn --reason -p 8000 localhost ``` 现在来看命令中新加入的 `-f` 选项。它的作用是告诉 Nmap 对 IP 数据包进行分段发送。这样做后，一些数据包过滤设备在分析流量时会更加困难，因此更不容易准确识别当前是否正在发生端口扫描或主机探测行为。 命令执行后，通常会看到类似如下的输出： ```n Starting Nmap 7.80 ( https://nmap.org ) at 2025-03-18 16:46 CST Nmap scan report for localhost (127.0.0.1) Host is up, received user-set (0.000062s latency). Other addresses for localhost (not scanned): ::1nnPORT STATE SERVICE REASONn8000/tcp open http-alt syn-ack ttl 64nnNmap done: 1 IP address (1 host up) scanned in 0.08 seconds ``` 该输出说明目标主机（localhost）是在线的，并且 8000 端口处于开放状态。 接下来，我们将这次分段扫描的结果保存到单独的文件中，以便后续参考，并与其他 Nmap 扫描结果进行比较。执行以下命令： ```bash sudo nmap -f -Pn --reason -p 8000 localhost > /home/labex/project/nmap_frag_scan.txt ``` 在这条命令中，`>` 符号用于将 Nmap 的扫描输出重定向保存到指定文件。 接着，使用 `cat` 命令查看文件内容，确认结果是否已经正确写入： ```bash cat /home/labex/project/nmap_frag_scan.txt ``` 从表面结果来看，这次扫描输出可能与前面的普通扫描非常相似，但两者底层采用的技术并不相同。在这里，Nmap 将 IP 数据包拆分成了更小的片段，这使得无状态数据包过滤器更难准确识别完整的扫描行为。 接下来，我们把目前使用的两种扫描方法进行对比：常规扫描和分段扫描。为此，我们将创建一个新的文件来保存比较结果。执行以下命令： ```bash echo "Comparing regular scan vs. fragmented scan:" > /home/labex/project/scan_comparison.txt echo "---------------------------------------------" >> /home/labex/project/scan_comparison.txt echo "" >> /home/labex/project/scan_comparison.txt echo "1. Regular scan with -Pn:" >> /home/labex/project/scan_comparison.txt cat /home/labex/project/nmap_scan.txt >> /home/labex/project/scan_comparison.txt echo "" >> /home/labex/project/scan_comparison.txt echo "2. Fragmented scan with -f -Pn:" >> /home/labex/project/scan_comparison.txt cat /home/labex/project/nmap_frag_scan.txt >> /home/labex/project/scan_comparison.txt ``` 这些命令会先在比较文件中写入标题和分隔线，然后依次追加常规扫描与分段扫描的结果内容。 现在，使用下面的命令查看比较文件： ```bash cat /home/labex/project/scan_comparison.txt ``` 在这个受控实验环境中，两种 Nmap 扫描方式得到的结果可能看起来差异不大。但在真实网络环境中，面对不同类型的防火墙配置时，它们的效果和成功率可能会明显不同。尤其是数据包分段（`-f`）技术，对无状态数据包过滤器往往更有效。因为这类过滤器通常是逐个检查数据包，而不一定能够完整重组分段后的流量，因此分段扫描更有机会绕过其检测逻辑。 如果希望进一步增强分段效果，Nmap 还支持通过使用多个 `-f` 参数（例如 `-ff`）或使用 `--mtu` 选项来自定义最大传输单元（Maximum Transmission Unit，MTU）大小。MTU 表示网络中单个数据包允许传输的最大尺寸。通过调整 MTU 值，你可以更精细地控制 Nmap 数据包分段的方式和粒度。 这项技术展示了在进行安全评估与渗透测试时，如何将数据包分段作为一种额外的防火墙绕过方法来辅助检测目标网络的安全防护能力。 ## 总结 在本次实验中，你学习了如何使用 Nmap 的防火墙绕过技术来识别并测试防火墙限制。首先，你搭建了一个本地 HTTP 服务器作为扫描目标，从而创建了一个安全、可控的实验环境，用于练习不同的 Nmap 扫描方法，而不会对外部系统造成影响。随后，你使用 `-Pn` 选项执行了基础 Nmap 扫描，以跳过主机发现阶段。当防火墙阻止 ICMP 回显请求时，这种方法尤其有用，因为它仍然允许你对可能隐藏在防火墙规则之后的端口进行检测。 接下来，你进一步学习了更高级的防火墙绕过技巧，即使用 `-f` 选项进行数据包分段扫描。该方法会将 IP 数据包拆分成更小的片段，从而提高绕过无状态数据包过滤器检测的可能性。通过对比这两种 Nmap 扫描技术的结果，你了解了它们各自的特点、适用场景以及在网络安全评估中的价值。这些技术对于安全专业人员开展全面的安全测试非常重要。不过请始终牢记，所有相关技术都应仅在获得明确授权的前提下使用，以避免违反法律法规或组织安全政策。