忽略端口扫描器通常针对的常见服务的前 5-10% 端口号（即端口 22-ssh、23-telnet、80-http、139-smb/cifs、443-https、3389-rdp、等），是否以统计随机方式扫描端口号的余额？
换句话说，对于随机 IP（即不是定向攻击目标的某人的 IP），是否存在或多或少可能被扫描的端口或端口范围？
是否有任何蜜罐可以跟踪随机 IP 端口扫描的统计信息？
一些不常见的 TCP 端口是否比其他端口扫描得少？
信息安全
网络
渗透测试
网络扫描仪
2021-08-30 17:23:45
4个回答
确实。请参阅http://nmap.org/svn/nmap-services以获取端口列表以及它们打开的预期机会。
Nmap 提供了两个与此相关的选项：
--top-ports <number>: Scan <number> most common ports
--port-ratio <ratio>: Scan ports more common than <ratio>
其他方法包括端口 < 1024，列在 /etc/services 文件中等。 “默认情况下，Nmap 会为每个协议扫描最常见的 1000 个端口。” 我认为 nmap 是默认工具，但当然还有其他足够常见的工具。
我猜想高数端口（49152–65535...未注册列表）最不可能被扫描。另见http://en.wikipedia.org/wiki/List_of_TCP_and_UDP_port_numbers
在任何情况下，我都无法想象除了生成统计数据之外，统计上的随机扫描与确定性比率扫描相比会有所帮助，而且我从未听说过这样做的任何东西。
对于蜜罐方面的一些统计数据，那里有论文。http://cseweb.ucsd.edu/~clbailey/PortScans.pdf就是一个例子。
攻击者进行端口扫描的方式是首先针对那些具有已知漏洞或保护通常较弱的人。
http://www.iss.net/security_center/advice/Exploits/Ports/default.htm上的列表是一个典型的列表。
当然，您会得到一些扫描仪，它们适用于整个端口范围，但效果要差得多，这个列表将是扫描次数最多的端口的一个很好的指示。
除了@RoryAlsop 的回答，NMAP 项目还维护了一个端口列表以及它在这里被打开的可能性，
DShield 的端口报告可能包含您正在寻找的信息。DShield 从志愿者那里收集防火墙日志，然后将日志中的汇总数据提供给社区。