【网络攻防课实验】五：Nmap脚本引擎 (NSE) 的使用及脚本编写

朴灿烈づ我的快乐病毒、 2023-05-28 09:58 102阅读 0赞

### 文章目录 ###

*   *  实验简述
     *  实验环境
     *  实验内容
     *   *   *  1、初识NSE
             *  2、NSE参数
             *  3、输出细节
             *  4、脚本格式
             *  5、编写脚本
     *  实验总结

--------------------

## 实验简述 ##

Nmap具有强大的脚本引擎NSE（Nmap Scripting Engine），它允许用户编写（和共享）简单的脚本（使用lua编程语言）自动化各种网络任务。

本次实验目的在于掌握Nmap脚本的基本使用方法。

## 实验环境 ##

kali，IP地址：192.168.11.11

Linux，IP地址：192.168.11.21

## 实验内容 ##

#### 1、初识NSE ####

Nmap提供的脚本相关命令行参数如下：

*  \-sC: 等价于–script=default，使用默认类别的脚本进行扫描 可更换其他类别
 *  –script=: 使用某个或某类脚本进行扫描，支持通配符描述
 *  –script-args=<n1=v1,\[n2=v2,…\]>: 为脚本提供默认参数
 *  –script-args-file=filename: 使用文件来为脚本提供参数
 *  –script-trace: 显示脚本执行过程中发送与接收的数据
 *  –script-updatedb: 更新脚本数据库
 *  –script-help=: 显示脚本的帮助信息，其中部分可以逗号分隔的文件或脚本类别

该步骤简单介绍脚本的相关使用。

在使用Nmap时，通过`--script=脚本名`语句来调用脚本，而且Nmap自带众多脚本，路径如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70]  
这些脚本大致分为以下几种：

*  auth 处理身份验证
 *  broadcast 网络广播
 *  brute 暴力猜解
 *  default 默认
 *  discovery 服务发现
 *  dos 拒绝服务
 *  exploit 漏洞利用
 *  external 外部扩展
 *  fuzzer 模糊测试
 *  intrusive 扫描可能造成不良后果
 *  malware 检测后门
 *  safe 扫描危害较小
 *  version 版本识别
 *  vuln 漏洞检测

在调用脚本时，可以使用种类名来调用该分类下的全部脚本，如`--scritp vuln`，但是比较费时间，在此就不演示，本次以 http-methods 脚本为例，來演示脚本的大致使用。

使用`--script-help`脚本名来查看脚本的说明和用法，比如查看 http-methods.nse 脚本信息：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 1]  
使用http-methods.nse脚本来对目标主机进行探测，用于得到目标支持的http请求方式

nmap --script-help=http-methods 192.168.11.21

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 2]  
可以看到探测出来目标主机支持的http请求有 GET、POST、HEAD、OPTIONS 四种。

因为所有的脚本都是以服务名来命名，比如 http 相关的脚本就是 http 开头，ssl 相关脚本是以 ssl开头：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 3]  
因此在调用脚本时，可以使用通配符 `*` 来调用相关服务下的所有脚本，以mysql服务为例，所有mysql脚本如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 4]  
使用语句 `--script "mysql*"` 来选择mysql相关的所有脚本，探测结果如下：

nmap --script "mysql*" 192.168.11.21

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 5]

#### 2、NSE参数 ####

Nmap在使用脚本时，如果脚本支持，我们还可以通过 `--script-args` 传入参数。

已知一些网站会通过判断 `user-agent` 来判断请求是否合法，那Nmap在请求时有没有带上自己的特征呢？同样使用刚才的 http-methos.nse 脚本，打开wireshark抓包，启动以下命令：

nmap --script=http-methods.nse 192.168.11.21

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 6]  
可以看到在请求包的 `User-Agent` 字段信息包含 `Nmap Scripting Engine`，也就是代表该请求来自 Nmap的脚本，如果目标主机对该请求进行了过滤，那么就无法成功探测。

因此需要加入一定的参数，来改变 `User-Agent` 字段信息，绕过过滤，使用 `--script-args` 修改 User-Agent 的值

命令如下：

nmap --script=http-methods --script-args http.useragent="Mozilla 42" 192.168.11.21

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 7]  
重新抓包，发现 User-Agent 字段内容已经更改  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 8]  
还有其他脚本参数，后续继续学习。

#### 3、输出细节 ####

在使用脚本时，可以添加 `--script-trace` 参数来打印出所有交互数据包的细节

nmap --script=http-methods --script-trace 192.168.11.21

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 9]  
使用 `-d1-9` 来进入调试模式，查看扫描信息，数字越大，输出越详细，以 d2 为例：

nmap --script=http-methods -d2 192.168.11.21

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 10]

#### 4、脚本格式 ####

Nmap脚本使用 lua 语言编写，采用严格的格式规范，一个完整的NSE包括以下几个部分：

*  **引用API**（local aaa require(“aaa”)）
 *  **description字段**：脚本的介绍及描述
 *  **author字段**：作者信息
 *  **categories字段**：脚本分类信息
 *  **rule字段**：脚本触发执行的条件
 *  **action字段**：脚本执行内容

依然以 http-methods.nse 脚本为例，来展示nse的组成：

1.引用API部分：使用 require 函数调用模块  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 11]  
2.description字段：脚本的介绍及描述  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 12]  
3.author字段：作者信息  
![在这里插入图片描述][20200326225903327.png]  
4.categories字段：脚本分类信息  
![在这里插入图片描述][20200326225946195.png]  
5.rule字段：描述脚本执行的规则,也就是确定脚本触发执行的条件，这个规则是一个lua函数，返回值只有true和false两种，只有返回true时，action中的函数才会执行  
![在这里插入图片描述][20200326225302518.png]  
6.action字段：脚本具体的执行内容，当脚本通过rule字段的检查被触发执行时，就会调用action字段定义的函数  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 13]  
Nmap的扩展脚本语言都基于lua来开发的，执行也是调用了内部封装的lua解释器。正常情况下，调用任何一个扩展脚本会首先执行nse\_main.lua，该脚本主要做了以下几件事：

*  加载一些Nmap的核心库（nselib文件夹中）
    
    定义多线程函数
    
    定义输出结果处理函数
    
    读取、加载扩展脚本
    
    定义扩展脚本函数接口
    
    执行扩展脚本

扩展脚本执行的规则在nse\_main.lua中有定义：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 14]  
具体的执行规则如下：

*  prerule：在扫描任何主机之前，prerule函数运行一次
 *  hostrule：在扫描一个主机后运行一次
 *  portrule：在扫描一个主机的端口后运行一次
 *  postrule：在全部扫描完毕以后运行一次

可以编写一个nse文件进行简单的验证：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 15]  
其中action函数是在 hostrule 或 portsule 返回 true 时，才会，因为 prerule 和 postrule 没有判断条件。

执行结果如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 16]  
也就是说，

*  **prerule 和 postrule 是在开始和结束运行**，并且只运行一次
 *  **hostrule 是扫描一个主机就运行一次**，有N个主机就会运行N次
 *  **portrule 是扫描到一个端口就运行一次**，有N个端口就运行N次

了解了这些后，我们试着编写一个简单的脚本，来体验一下NSE的功能。

#### 5、编写脚本 ####

在开始编写脚本之前，还应该对NSE中数据的传递做简单了解

在脚本引擎中，用户可以轻松访问Nmap已经了解的有关目标主机的信息。该数据作为参数传递给NSE脚本的 action 方法，参数 host 和 port 是 lua 表，其中包含脚本执行的目标的信息。

每个表里面所含有的变量：

**host 表：**

> **host：**  
> 该表作为参数传递给规则和操作功能。  
> **host.os：**  
> 操作系统匹配表数组。  
> **host.ip：**  
> 包含目标主机IP地址的字符串表示形式。  
> **host.nam：**  
> 包含表示为字符串的扫描目标主机的反向DNS条目。  
> **host.targetname：**  
> 包含在命令行上指定的主机名。  
> **host.reason：**  
> 包含目标主机为何处于其当前状态的原因的字符串表示形式。  
> **host.reason\_ttl：**  
> 包含响应数据包的TTL值，用于确定目标主机到达时的状态。  
> **host.directly\_connected：**  
> 一个布尔值，指示目标主机是否直接连接到运行Nmap的主机（即与该主机处于同一网段）。  
> **host.mac\_addr：**  
> MAC地址 目标主机的名称（六字节长的二进制字符串）（如果有），否则nil。  
> **host.mac\_addr\_next\_hop：**  
> 到主机的路由中第一跳的MAC地址，或者 nil如果不可用。  
> **host.mac\_addr\_src：**  
> 我们自己的MAC地址，用于连接到主机（我们的网卡或（带有 --spoof-mac） 欺骗性地址）。  
> **host.interface：**  
> 包含接口名称的字符串（dnet样式） 通过它向主机发送数据包。  
> **host.interface\_mtu：**  
> MTU（最大传输单位）host.interface，如果未知，则为0。  
> **host.bin\_ip：**  
> 目标主机的IP地址为4字节（IPv4）或16字节（IPv6）字符串。  
> **host.bin\_ip\_src：**  
> 我们主机的（正在运行的Nmap）源IP地址为4字节（IPv4）或16字节（IPv6）字符串。  
> **host.times：**  
> 该表包含主机的Nmap时序数据。  
> **host.traceroute：**  
> 这是使用该–traceroute选项时出现的traceroute跃点数组。  
> **host.os\_fp：**  
> 如果执行了OS检测，则这是一个字符串，其中包含主机的OS指纹。

**port 表：**

> **port.number：**  
> 目标端口的端口号。  
> **port.protocol：**  
> 目标端口的协议，有效值为 “tcp"和"udp”。  
> **port.service：**  
> 包含 port.numberNmap 服务检测所检测到的正在运行的服务的字符串表示形式 。  
> **port.reason：**  
> 包含目标端口为何处于其当前状态的原因的字符串表示形式（由提供port.state）。  
> **port.reason\_ttl：**  
> 包含响应数据包的TTL值，用于确定目标端口到达时的状态。此响应数据包是也用于设置的数据包port.reason。  
> **port.state：**  
> 包含有关端口状态的信息。服务脚本只能再次运行。  
> **port.version相关：**  
> 此项是一个表，其中包含Nmap版本扫描引擎检索到的信息。

参考 Nmap官方文档：[https://nmap.org/book/nse-api.html][https_nmap.org_book_nse-api.html]

了解了NSE中数据的传递，尝试写一个简单的脚本。

实现的功能是当发现目标开放端口后，便输出`"IP *** open *** port"`的语句，严格按照格式来编写一个完整的脚本：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 17]

description = [[
    this is my fisrt nmap script.
    ]]
    
    author = { "wx"}
    
    categories = { "default"}
    
    portrule = function(host, port)
    	return true
    end
    
    action = function(host, port)
    	return string.format("IP <%s> open <%d> port", host.ip, port.number)
    	       -- "IP".. host .."open".. port.number .."port"
    end

运行结果：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 18]  
那如果想在指定端口下输出结果呢？以 80 端口为例，此时代码如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 19]  
只需要返回指定的端口，即当判断是 80 端口时，就会返回True，然后执行 action 函数。

运行结果：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 20]  
至此，实验基本结束。

## 实验总结 ##

本次实验了解了Nmap的脚本引擎NSE，学习了在Nmap中如何使用脚本以及脚本的编写，通过学习编写了简单的测试脚本。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70]: /images/20230528/edf3aa557a23495eaf316a15a40e13a0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 1]: /images/20230528/20a2397ea0574360b3400fa902961163.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 2]: /images/20230528/91e3d12fe9594977976de192155426f2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 3]: /images/20230528/19e640688f694dfbbc81d4cf72238bee.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 4]: /images/20230528/b0cdda9181a042d1898333d75ed415e7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 5]: /images/20230528/e4241feba840439984b0cad7a97c0e21.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 6]: /images/20230528/45dbbc8603614d2b9bc2282dfd15c329.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 7]: /images/20230528/21e18721fef64ded9d79ba85a161f0f8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 8]: /images/20230528/c764074b98274c1a83bf533e171d9a27.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 9]: /images/20230528/7ac7ff4d85a347d1b9554cb498ed1121.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 10]: /images/20230528/10d772c0484e4db681aa95ce4deb7148.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 11]: /images/20230528/192d917775a94667bd4750bcd003a6c3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 12]: /images/20230528/af65d65018ac4ff0a4d2b100fe07ce78.png
[20200326225903327.png]: /images/20230528/3c507db174ba4f079b8087bd6d256fcc.png
[20200326225946195.png]: /images/20230528/39c0a85f84a34c119384d3377b0b5152.png
[20200326225302518.png]: /images/20230528/23953db1230141e89ff6eb7dec4a9388.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 13]: /images/20230528/73474fc6bd4547b481c6989264b92b78.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 14]: /images/20230528/2f5bfb76a096401381591869734d82ee.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 15]: /images/20230528/7c38290f10b84b369f20b456b9938846.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 16]: /images/20230528/b5911ff3cbba47c3bd23aa24723aba5c.png
[https_nmap.org_book_nse-api.html]: https://nmap.org/book/nse-api.html
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 17]: /images/20230528/29f9243d54654e0d8d68d90c29abeb24.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 18]: /images/20230528/5e29141d20324f92bb9520a37342c12b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 19]: /images/20230528/752cad6294e740da8adc4f47bfac5dd2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzOTY4MDgw_size_16_color_FFFFFF_t_70 20]: /images/20230528/ed9fd1464d7248d690d289645e963768.png