Metasploit-Framework主动信息收集技术详解

1. Nmap扫描技术

1.1 基本扫描模式

TCP连接扫描(-sT)

• 默认扫描模式，通过完整TCP三次握手建立连接
• 优点：结果准确可靠
• 缺点：容易被防火墙/IDS检测到
• 命令：nmap -sT 目标IP

SYN半开放扫描(-sS)

• 不完成三次握手，发送SYN包后收到SYN/ACK即判断端口开放
• 优点：速度快，隐蔽性较好
• 缺点：需要root权限
• 命令：nmap -sS 目标IP

UDP扫描(-sU)

• 发送UDP包探测UDP端口状态
• 优点：速度快
• 缺点：结果可能不准确，UDP无连接特性导致
• 命令：nmap -sU 目标IP

1.2 操作系统识别

-O参数

• 单独使用进行操作系统识别
• 命令：nmap -O 目标IP

-sV参数

• 结合端口扫描同时进行版本检测
• 命令：nmap -sSV 目标IP

1.3 隐蔽扫描技术

诱骗扫描(-D)

• 在日志中插入虚假IP地址混淆真实来源
• 格式：nmap -sS 目标IP -D 诱骗IP1,诱骗IP2
• 示例：nmap -sS 127.0.0.1 -D 10.10.20.100,10.10.20.101

2. Metasploit中的扫描模块

2.1 端口扫描模块

TCP端口扫描

use auxiliary/scanner/portscan/tcp
set RHOSTS 目标IP
set THREADS 线程数
run

SYN端口扫描

use auxiliary/scanner/portscan/syn
set RHOSTS 目标IP
set THREADS 线程数
run

2.2 高级Nmap扫描

db_nmap命令

• 在Metasploit中集成Nmap功能
• 完整Banner扫描示例：

db_nmap -Pn -sTV -T4 --open --min-parallelism 64 --version-all 目标IP -p -

参数说明：

• -Pn：跳过主机发现，假定目标在线
• -sTV：TCP扫描+版本检测
• -T4：设置扫描速度为4级(0-5)
• --open：只显示开放端口
• --min-parallelism 64：最小并行数64
• --version-all：使用所有探针检测服务版本
• -p -：扫描所有端口

3. 主机发现技术

3.1 ARP存活扫描

use auxiliary/scanner/discovery/arp_sweep
set RHOSTS 目标网段(如192.168.1.0/24)
set THREADS 10
run

3.2 UDP存活探测

use auxiliary/scanner/discovery/udp_sweep
set RHOSTS 目标网段
set THREADS 10
run

3.3 SMB存活探测

use auxiliary/scanner/smb/smb_enumshares
set RHOSTS 目标网段
set THREADS 10
run

4. 服务扫描与枚举

4.1 SMB相关扫描

SMB版本扫描

use auxiliary/scanner/smb/smb_version
set RHOSTS 目标IP/网段
run

SMB暴力破解(需字典)

use auxiliary/scanner/smb/smb_login
set RHOSTS 目标IP
set USER_FILE 用户名字典路径
set PASS_FILE 密码字典路径
run

4.2 SSH扫描

use auxiliary/scanner/ssh/ssh_version
set RHOSTS 目标IP/网段
run

4.3 FTP扫描

use auxiliary/scanner/ftp/ftp_version
set RHOSTS 目标IP/网段
run

4.4 SMTP枚举

use auxiliary/scanner/smtp/smtp_enum
set RHOSTS 目标IP
run

4.5 SNMP相关扫描

SNMP枚举

use auxiliary/scanner/snmp/snmp_enum
set RHOSTS 目标IP
run

SNMP登录

use auxiliary/scanner/snmp/snmp_login
set RHOSTS 目标IP
run

4.6 WinRM相关扫描

WinRM认证方法扫描

use auxiliary/scanner/winrm/winrm_auth_methods
set RHOSTS 目标IP
run

WinRM暴力破解

use auxiliary/scanner/winrm/winrm_cmd
set RHOSTS 目标IP
set USER_FILE 用户名字典路径
set PASS_FILE 密码字典路径
run

5. 最佳实践建议

1. 隐蔽性优先时使用SYN扫描(-sS)而非TCP扫描(-sT)
2. 结合诱骗扫描(-D)增加隐蔽性
3. 内网环境中ARP扫描效率最高
4. 扫描时合理设置线程数(THREADS)平衡速度与隐蔽性
5. 完整信息收集建议组合使用多种扫描方式
6. 敏感环境扫描前评估法律风险

以上技术仅限授权测试使用，未经授权扫描他人系统可能违反法律。