TCP端口扫描类型-隐蔽扫描和僵尸扫描

TCP扫描有三种类型：全连接扫描，隐蔽扫描，僵尸扫描。全连接扫描无须赘述。

隐蔽扫描：发送完SYN数据包以及收到SYN/ACK数据包后不再发送SCK数据包，由于没有建立完整的TCP连接，所以在目标主机的应用日志中不会有扫描的记录，只会在ip层有记录，因而较为隐蔽。

僵尸扫描：条件较为苛刻。首先要能够进行地址欺骗，其次僵尸机没有什么网络流量产生，最后僵尸机的ipid必须是递增的(win xp及以前windows机型)。

僵尸扫描的过程：

1 向僵尸机发送SYN/ACK数据包，僵尸机会返回一个RST数据包，记录下ipip为n。

2 向目标主机发送SYN数据包(原地址伪造成僵尸机)。

3.1 若目标主机端口开放，则向僵尸机发送SYN/ACK数据包。

　　3.2 僵尸机收到SYN/ACK数据包，则向目标主机发送RST数据包，此时僵尸机ipid为n+1.

　　3.3 攻击方向僵尸机发送SYN/ACK数据包，僵尸机返回一个RST数据包，此时ipid为n+2.

4.1 若目标主机端口关闭，则向僵尸机发送RST数据包，此时僵尸机不会产生任何数据包。

　　4.2 攻击方向僵尸机发送SYN/ACK数据包，僵尸机返回一个RST数据包，此时ipdi为n+1.

5. 通过攻击方从僵尸机接收到的两个RST数据包的ipid可以判断目标主机的目标端口是否开放。

原文地址：https://www.cnblogs.com/angiebare/p/9385059.html