在浏览器中快速探测IP端口是否开放

0×00 前言

前两天 freebuf上的的XSS到内网的公开课很受启发，从一个页面到局域网，威力着实增强不少

公开课上检测内网 IP 实现方式用的是 img 标签，加载网站的 favicon.ico 图标，然后监听 onload 事件，看图片能不能加载成功简单易用，就是太慢了 --

0×02 分析

浏览器有几秒的尝试容错时间，对于媒体资源，浏览器限制同一域名并发请求为个位数（一般为 6 个），也就是说，把图片全放到页面上，也不能同时开始检测，只能一点一点来，扫端口的时候会非常慢。

管理员在内网搭建的东西也可能没有图标。。。

探测 IP 端口开放原理就是向目标发送请求，看是否有回应。在上面的 img 中是在加载成功和失败体现出来的。img 嫌慢也可以试试别的嘛，经过一番搜索找到了这个，这个和这个。

第一个页面:

document.getElementById("testdiv").innerHTML = '';

是通过加载单个 img，使用的 onerror 事件，10 秒以内触发判断为 open。html 页面不能解析为图片格式，所以也会触发 onerror。

第二个页面:

switch(port){     case 21:  src = 'ftp://' + this.id() + '@' + host + '/'; break;//ftp     case 25:  src = 'mailto://' + this.getid() + '@' + host ; break;//smtp       case 70:  src = 'gopher://' + host + '/'; break;//gopher     case 119: src = 'news://' + host + '/'; break;//nntp       case 443: src = 'https://' + host + '/' + this.getid() + '.jpg';     default:  src = 'http://' + host + ':' + port + '/' + this.getid() + '.jpg';// getid is here to prevent cache seekings;  }  // ports 19,70,110,143 always return up in IE  //   if outlook is the default mail client and default newsreader in  IE the request does not return anything  img.src = src;  setTimeout(function () {     if (!img) return;     img = undefined;     callback( host, port, 'down',id);  }, timeout);

功能比第一个多不少，尝试多种协议，80 端口可以探测出来

77，79 被浏览器屏蔽，马上触发事件，所以误报了。

第三个页面：

用 websocket 准确率很好，特殊端口做过处理没有误报，作者还有一篇笔记，就是 js 和 html 耦合严重，不好提取出来用，趁着放假干脆造了个新轮子。

0×03 构架

最终选用的 WebSocket，听着就高大上，非 http 的端口也能探测，文档看的 ruanyifeng 和 MDN 查到 websocket 并发连接 挺高的 (255 in Chrome and 200 in Firefox)，加入了一个队列模块

js 如下：
js.later.js 简单的包装了 setInterval，超时检测全靠它
js.queue.js 队列和并发控制
js.portscan.js端口扫描的逻辑都在这
前端界面用的是 semantic-ui 和 Vue

介绍
js.later.js 作用比较简单，在这里就是一个 setTimeout 的用法，就不多写了。

js.queue.js 结合 websocket 的高并发，很给力，可以动态调整并发数量，鼠标键盘没反应人离开后多跑点任务加快效率

使用示例（可以在演示页面测试）

var q = new Queue(function(task, next, timer) {    // 跳过部分任务，不执行next，模拟超时    if (task % 5 === 0) return;    //模拟延迟异步任务    $.get('https://httpbin.org/delay/1', function() {        console.log(task);        //此任务完成，继续下一个        next();    });}, 3); //3个并发请求for (var i = 0; i js.portscan.js 有三种扫描方式：scan_single 扫描单个目标scan_batch 扫描一个数组scan_range 生成列表并扫描以上三个接口都可以直接使用 scan，根据传入参数不同自动选择对应的方法去执行。

var ps = new PortScan();
ps.onscan = function(flag, task){
alert(task + '扫描完成，状态为：' + flag)
}
ps.onopen = function(task){
prompt('开放端口', task)
}
ps.onfinsh = function(){
alert('scan完成')
}

// 分别执行以下三个方法
// 探测单个目标
ps.scan('baidu.com');

// 批量探测
ps.scan(['baidu.com:22', 'baidu.com:443', 'baidu.com:1024'])

// 生成一段地址并探测
ps.scan('baidu.com:*', 75, 85)

使用 WebSocket 发送请求的核心方法：

// 使用websocket探测端口
PortScan.prototype.wscan = function (target, callback) {
var _this = this;
var ws = new WebSocket(this.wsprotocol + target);
ws.onerror = ws.onopen = function (e) {
stopTimer();
_this.portstate('open', target, callback);
}
var workerkiller = function (flag) {
stopTimer(flag);
ws.onerror = null;
ws.close();
// 如果是队列控制超时此处就不再执行next
callback = flag === 'worker_timeout' ? null : callback;
_this.portstate(flag, target, callback);
}
var stopTimer = this.timeoutexit(workerkiller);
return workerkiller;
}

wscan接收两个参数，target 是目标地址，callback 是回调方法，请求结束后会把扫描结果传入此方法。新建 WebSocket 请求后，在 ws 对象上设置了 ws.onerror 和 ws.onopen 事件。想要成功建立连接需要服务器端先回应HTTP/1.1 101 Switching Protocols，如果被扫描的端口开放并且返回了数据，数据格式和 WebSocket 不一致会触发 onerror 事件，成功建立连接后则触发 onopen。workerkiller 方法用来在超时后停止当前这个请求继续等待端口响应，首先清空 onerror 事件，然后执行 ws.close() 关闭连接。var stopTimer = this.timeoutexit(workerkiller);timeoutexit 调用的是 js.later.js 里的方法。根据设置的超时时间（默认设置的 5 秒），启动 workerkiller 停止此请求。端口判定为不通。_this.portstate('open', target, callback);portstate 是 PortScan 对象提供的一个方法，请求结束传入open或是timeout，在 portstate 内部会触发扫描事件。在 ws 的 onerror 触发能触发，说明服务端有回应数据，状态是open，ps.onopen 就会被调用，上面例子中 ps.onopen 弹出的 prompt 窗口显示扫到的开放端口就是由 portstate 去执行的。

// 扫描批量目标
PortScan.prototype.scan_batch = function (tasks, onfinish, onscan, isonopen_onopen) {
this.setEvents(onfinish, onscan, isonopen_onopen);
var _this = this;
var q = this.queue = new Queue(this.scan_single, this.portscan_concurrence);
q.tasks = tasks;
q.onfinish = function () {
_this.onfinish && _this.onfinish(_this.opentarget);
}
q.start();
return q;
}

扫描批量目标使用 js.queue.js 的并发队列功能，去执行的 scan_single 执行单个任务，scan_single 在扫描前做了一些额外的工作：把浏览器屏蔽的端口过滤掉了，ps.onscan 收到的状态就是blocked。scan_range 遍历指定的范围，host.replace('*', i)，生成目标地址，最后调用 scan_batch。## 0×04 测试上面搞那么复杂就是为了 PortScan 的代码用起来简单灵活。

var ps = new PortScan();
ps.onfinsh = function(opentarget){
alert(opentarget);
// opentarget是所有探测到端口开放的IP地址，花费时间大约10秒多
// 探测到目标后可接Black-Hole思路，自动化检测cms，根据相关漏洞getshell继而漫游内网
}
// webrtc获得内网网段参见 http://zone.wooyun.org/content/24219
ps.scan('192.168.0.', 1, 254); // 加端口号也可以 '192.168.0.:8080'

demo-（上个月写的，有些地方描述不够详细准确，有空了再更新，那三个js，在demo页面上）#JavaScript、安全#

版权声明

本文来自互联网用户投稿，文章观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处。如若内容有涉嫌抄袭侵权/违法违规/事实不符，请点击 举报 进行投诉反馈！