服务与 OS 检测

知道某个端口开放还不够。您还需要知道正在监听的软件及其版本，因为漏洞利用会针对特定版本。

Nmap 的服务检测和OS 指纹识别可以将开放端口列表转化为可采取行动的情报。

-sV 标志会探测开放端口，并将响应与 Nmap 数据库进行匹配，以识别服务及其版本，例如“OpenSSH 8.2p1”或“Apache httpd 2.4.41”。

Nmap 会发送一系列探测，并将响应（横幅、行为、错误消息）与 nmap-service-probes 中的数千个特征进行比较。

这种横幅获取和行为匹配方式，即使服务运行在非标准端口上，也能识别出服务，例如运行在 8000 端口上的 HTTP 服务器。

您可以使用 --version-intensity（0 到 9）调整 Nmap 的尝试强度：

• 较低：探测较少、速度更快，但可能遗漏版本。
• 较高：探测更多、速度更慢，但准确性更高。

快捷选项：--version-light（强度 2）和 --version-all（强度 9）。

-O 标志会启用OS 指纹识别。Nmap 会检查 TCP/IP 协议栈响应方式中的细微差异，并将其与 OS 特征数据库进行匹配。

它会报告最可能的结果及准确率百分比，并在可用时提供设备类型和运行时间估计。

每种 OS 对 TCP/IP 的实现都略有不同。Nmap 会探测以下特征：

• 初始 TTL 值。
• TCP 窗口大小。
• 协议栈处理异常标志组合的方式。
• TCP 选项的顺序。

这些细微差异会形成足够独特的指纹，用于推测 OS 家族和版本。

OS 检测只是最佳猜测，并非确定结论。在以下情况下，准确性会下降：

• 防火墙过滤了 Nmap 所依赖的探测。
• 主机运行不常见或虚拟化的协议栈。
• 只有少数端口开放，可用于指纹识别。

主机不确定时，--osscan-guess 选项会让 Nmap 更积极地进行猜测。

实际使用时，您可以组合检测选项。-A 标志是一个快捷方式，会同时启用 OS 检测、版本检测、默认脚本和路由跟踪。

确切版本会决定您的下一步。看到“vsftpd 2.3.4”，您会立即想到著名的后门；看到“Apache 2.4.49”，您会想到路径遍历漏洞 CVE。

准确的版本数据可以让您搜索匹配的漏洞利用，而不是盲目尝试攻击。它还会直接用于报告中的漏洞部分。

始终保存扫描结果，以便分析和编写报告。Nmap 支持多种格式：

• -oN 普通文本。
• -oX XML（供工具使用）。
• -oG 便于搜索。
• -oA 一次保存所有格式。

有时您需要手动确认服务。使用原始客户端连接并读取问候语（横幅），可以直接获知软件及其版本。

对于明文服务，您可以使用 netcat 等工具完成此操作。当 Nmap 的猜测似乎不正确时，这是快速进行合理性检查的好方法，不过现在许多服务会隐藏或伪造横幅，以误导攻击者。

您学习了指纹识别：

• -sV 通过探测/横幅匹配来检测服务版本；使用 --version-intensity 进行调整。
• -O 使用 TCP/IP 协议栈指纹识别执行OS 检测；结果只是最佳猜测。
• -A 将 OS、版本、脚本和路由跟踪组合在一起。
• 确切版本有助于选择漏洞利用；使用 -oA 保存结果。

下一步：用于深度自动化的 Nmap 脚本引擎。