【安全狐】僵尸扫描过程图解

一、僵尸扫描过程图解

1. 三次握手过程

所谓的“三次握手”：为了对每次发送的数据量进行跟踪与协商，确保数据段的发送和接收同步，根据所接收到的数据量而确认数据发送、接收完毕后何时撤消联系，并建立虚连接

2. 僵尸扫描（目标主机的端口开放）过程

扫描者主机对僵尸机发送SYN/ACK包，然后僵尸机（假设此时系统产生的IP ID为x）会回给主机一个RST，主机将会得到僵尸机的IP ID，然后扫描主机向目标机器发送一个SYN包，有所不同的是，此时扫描主机会伪造一个伪装成僵尸机的IP(即是x)向目标主机发送SYN包。如果目标的端口开放，便会向僵尸机返回一个SYN/ACK包，但是僵尸机并没有发送任何包，僵尸机会向目标主机发送RST，此时僵尸机的IPID将会增加1：x+1，最后，扫描者主机对僵尸机发送SYN/ACK包，然后僵尸机会回给主机一个RST，此时IP ID = X+2。

3. 僵尸扫描（目标主机的端口未开放）过程

若果目标主机的端口并未开放，那么目标主机也会向僵尸机发送一个RST，但是僵尸机收到RST包不会有任何反应，所以IPID不会改变(依旧是x)。最后扫描者主机再向僵尸机发送一个SYN/ACK，同样的僵尸机会向扫描者主机发送一个RST包，此时僵尸机的IPID将变成(x+1).通过IPID的数值来判断目标机器的端口是否开放。