端口扫描抓包学习TCP之syn

端口扫描的种类很多，具体见百度链接：http://baike.baidu.com/link?url=eXz1gOvQVicbV0E6TrJZGAe8R9wQFCVPe84jmN-Eg0U1ZMfguO_9SKO4n96GAPEz

有些朋友要问了什么是TCP的SYN 扫描呢？这个就要说到TCP的连接了，TCP是一个可靠连接，在进行连接前要进行三次握手！如下图我直接百度上找的

TCP端口扫描是通过SYN数据包进行的，用于扫描目标机器的端口上是否存在程序监听，通常意义上，普通个人机器上的某个端口如果有程序监听的话，那么它一般是系统漏洞。由于TCP是一个有连接的可靠协议，所以要使用三次握手来建立连接，三次握手的报文分别是(SYN)、(ACK SYN)和(ACK)。进行端口扫描时，首先向对方主机的某一端口发送(SYN)报文，如果对方这一端口上有程序在监听（或者说存在漏洞），则回复(SYN ACK)报文，否则回复(RST)报文。据此就可以判断对方端口上是否有程序在监听了，或者是否存在漏洞了。

下面我们就使用端口扫描工具进行扫描目标计算机：

使用软件SSprot，51cto上有下载。如下图我使用该软件扫描目标计算机的3350-3390端口，主要目的是看目标计算机是否开放了3389端口，在实验的时候我已经在目标计算机上开放了3389，保证实验的成功。

首先开启抓包软件，然后启动端口扫描工具SSport，进行快速扫描。扫描完成结束后需要耐心等待一会，如下图产生了大量的TCP数据包，如果你立即停止抓包可能会有些数据包还在传送。

耐心等待后，我们查看下都抓到了些什么数据包，如下图扫描工具发送了大量的syn数据包，由于目标计算机没有开放这些端口，所以反馈给了扫描计算机[ RST,ACK ]说这些端口我没有开放，也就是说目标计算机这些端口没有在监听（注意这个必须在防火墙关闭的情况下，如果防火墙开启的情况下，被扫描的目标计算机并不会对没有开启的端口进行回应[RST,ACT]，而是直接不回应）那3389呢，你不是开放了吗？

我把视图往下拉了一点，如下图因为目标计算机的3389是开放的，所以目标计算机回应了安装扫描软件的计算机一个【syn，ack】的数据包，说明目标计算机的3389端口正在监听中。

我们通过telnet目标计算机看下3389是否成功

如下图telnet的成功

总结：以上就是TCP的syn扫描，总之被扫描的PC，回复[RST，ACK] 表示端口没开，回复【SYN，ACK】说明目标计算机的端口已经开放。