nmap

nmap：    
    
    HOST DISCOVERY:
    
    -PE/PP/PM: ICMP echo, timestamp, and netmask request discovery probes
    -PO[protocol list]: IP Protocol Ping
    -n/-R: Never do DNS resolution/Always resolve [default: sometimes]  返回结果速度更快

    
    
    SCAN TECHNIQUES:
    
    
    
下面的命令都可以对一个网段扫描：
-sP :  通常用于检测主机是否存活，存活检测；ping扫描类型，发送icmp echo给服务端，但不同于icmp的ping命令发送多个icmp包；
这样效率很高，工作中会有很多机器，在一瞬间对整个网段进行扫描;

-PE:  结合了tcp的探测方式，不只监控主机的存活，还会判断主机服务的端口运行状态和服务类型；发送tcp的SYN包来判断服务器端口是否有存活，
nmap包里面集成了很多服务端口对应信息


一句话：sP探测主机存活状态，PE探测服务、端口存活状态

在 192.168.1.119执行命令：
nmap -n -sP 192.168.1.111：
Starting Nmap 6.40 ( http://nmap.org ) at 2019-01-28 17:39 EST
Nmap scan report for 192.168.1.111
Host is up (0.00065s latency).
MAC Address: 00:0C:29:15:8F:2F (VMware)
Nmap done: 1 IP address (1 host up) scanned in 0.07 seconds

在192.168.1.111抓包：
12:28:26.090632 ARP, Request who-has 192.168.1.111 (Broadcast) tell 192.168.1.119, length 46

在 192.168.1.119执行命令，
ping -c 1 192.168.1.111
在192.168.1.111抓包：
12:29:13.918526 IP 192.168.1.119 > 192.168.1.111: ICMP echo request, id 51970, seq 1, length 64
12:29:18.920029 ARP, Reply 192.168.1.119 is-at 00:0c:29:8c:2c:45, length 46
12:38:20.601392 ARP, Request who-has 192.168.1.111 (Broadcast) tell 192.168.1.119, length 46





-sn：
-sn:  Ping Scan - disable port scan  #ping探测扫描主机， 不进行端口扫描 （测试过对方主机把icmp包都丢弃掉，依然能检测到对方开机状态，抓包发现探测发送的是arp请求）


-sA
nmap 10.0.1.161 -sA （发送tcp的ack包进行探测，可以探测主机是否存活）

-sS ：半开放扫描（非3次握手的tcp扫描）使用频率最高的扫描选项：SYN扫描,又称为半开放扫描，它不打开一个完全的TCP连接，执行得很快，效率高



-sT：3次握手方式tcp的扫描，Tcp connect() scan (sT)和上面的Tcp SYN 对应，TCP connect()扫描就是默认的扫描模式；
不同于Tcp SYN扫描,Tcp connect()扫描需要完成三次握手,并且要求调用系统的connect().
这种扫描很容易被检测到，在目标主机的日志中会记录大批的连接请求以及错误信息，由于它要完成3次握手，效率低，速度慢，建议使用-sS 


其他：https://www.cnblogs.com/nmap/p/6232969.html
















tcpdump：

 -p    Don’t  put  the  interface  into promiscuous mode  采用非混杂模式（详见网卡的工作模式）
 -n     Don’t convert host addresses to names.  This can be used to avoid DNS lookups.
 -nn    Don’t convert protocol and port numbers etc. to names either.
 
 
-vv    Even more verbose output.

-vvv   Even more verbose output.