网络端口探测是网络安全领域中的一项基础技术，它用于识别目标主机上开放的端口以及运行在这些端口上的服务。这项技术对于网络管理和安全评估至关重要。在网络端口探测中，最常用的两种协议是TCP（传输控制协议）和UDP（用户数据报协议）。尽管它们都是传输层协议，但它们在端口探测中的行为和特性有着显著的区别。
TCP端口探测
TCP是一种面向连接的、可靠的、基于字节流的传输层通信协议。在TCP端口探测中，可以通过建立一个TCP连接来检测端口的状态。TCP端口探测通常涉及以下步骤：
-
SYN扫描：发送一个SYN包到目标端口，如果收到SYN-ACK响应，表示端口开放；如果收到RST（重置）响应，表示端口关闭；如果没有响应，可能端口被过滤。
-
半开放扫描：在某些受限环境下，可以通过发送SYN包但不完成整个三次握手过程来探测端口状态，这种方式称为半开放扫描。
-
全连接扫描：建立完整的TCP连接，通过与服务的交互来确定端口状态。
TCP端口探测的优点在于其准确性较高，因为TCP协议的三次握手机制为端口状态提供了明确的反馈。然而，这种方法可能会被目标主机的防火墙或入侵检测系统（IDS）识别为攻击行为。
UDP端口探测
与TCP不同，UDP是一种无连接的、不可靠的协议。它不保证数据包的顺序、完整性或可靠性。在UDP端口探测中，探测行为和解释结果比TCP更为复杂：
-
无响应的开放端口：UDP端口即使开放，也可能不会对探测数据包做出响应，因为UDP服务可能正在等待特定的数据格式。
-
ICMP不可达消息：如果端口关闭，发送到该端口的数据包可能会触发ICMP不可达错误消息，这些消息可以被扫描工具捕获并用于判断端口状态。
-
应用层探测：对于某些UDP服务，可能需要发送特定的应用层数据并等待响应，以确定端口是否开放。
对于一些知名端口，默认优化为应用层探测：
模拟UDP监听端口
~]# firewall-cmd --list-port
4022/tcp 53/udp 123/udp 161/udp 323/udp 12345/udp
~]# ncat -ulkv 12345
~]# nmap -n -Pn -T4 -sU -p53,123,161,162,323,12345,12346 --reason 192.168.XX.202
Starting Nmap 7.95 ( https://nmap.org ) at 2025-02-26 10:43 CST
Nmap scan report for 192.168.XX.202
Host is up, received arp-response (0.00025s latency).
PORT STATE SERVICE REASON
53/udp open domain udp-response ttl 64
123/udp open ntp udp-response ttl 64
161/udp open snmp udp-response ttl 64
162/udp filtered snmptrap admin-prohibited ttl 64
323/udp open|filtered unknown no-response
12345/udp open|filtered italk no-response
12346/udp filtered unknown admin-prohibited ttl 64
UDP端口探测的挑战在于其结果可能不如TCP端口探测那样明确。开放的UDP端口可能不响应空包请求，而被防火墙丢弃的数据包也不会产生任何响应。因此，UDP端口探测可能需要更多的技巧和经验来准确解释结果。
结论
TCP和UDP端口探测在方法和结果解释上有着本质的区别。TCP端口探测依赖于建立连接和明确的响应，而UDP端口探测则依赖于无连接的特性和可能的ICMP不可达消息。在实际应用中，选择哪种探测方法取决于目标服务的协议类型、网络环境以及所需的探测精度。了解这些区别对于网络安全专家来说至关重要，它们有助于更有效地进行网络扫描和安全评估。
