Die Geschwindigkeit der Port-Scan mit nmap-sS und nmap -sT?

Question

Ich benutze nmap, um Port-Scan für ein Experiment zu tun. Die Ziel-IP lautet 192.168.199.201. Und ich versuche, die beiden folgenden Befehle:

Mit -sT:

stevennl@stevennl:~$ sudo nmap -sT 192.168.199.201 
Starting Nmap 7.01 (https://nmap.org) at 2016-10-31 19:43 CST 
Nmap scan report for 192.168.199.201 
Host is up (0.00058s latency). 
Not shown: 999 closed ports 
PORT STATE SERVICE 
80/tcp open http 
MAC Address: 08:00:27:9E:4C:49 (Oracle VirtualBox virtual NIC) 

Nmap done: 1 IP address (1 host up) scanned in 0.47 seconds 

Mit -sS:

stevennl@stevennl:~$ sudo nmap -sS 192.168.199.201 
Starting Nmap 7.01 (https://nmap.org) at 2016-10-31 19:43 CST 
Nmap scan report for 192.168.199.201 
Host is up (0.00040s latency). 
Not shown: 999 closed ports 
PORT STATE SERVICE 
80/tcp open http 
MAC Address: 08:00:27:9E:4C:49 (Oracle VirtualBox virtual NIC) 

Nmap done: 1 IP address (1 host up) scanned in 1.81 seconds 

Ich frage mich, warum es mehr Zeit in Anspruch nimmt zu scannen, wenn -sS Parameter verwendet wird. Weil die Verwendung von -sT den dreimaligen Handshake von TCP beenden muss, aber die Verwendung von -sS keine TCP-Verbindung herstellt. Also muss -sS schneller sein, aber das Ergebnis ist das Gegenteil, liege ich falsch?

Answer 1

Es gibt viele externe Faktoren, die ins Spiel kommen könnten. Hier sind ein paar Ideen:

• Oracle VirtualBox kann irgendeine Art von Paket Übersetzung oder anderer Abstraktion tun, die schneller mit normaler Steckdose funktioniert rufen anstelle von Raw Sockets, die Nmap für -sS verwendet.
• Das Reverse-DNS-Lookup ist in beiden Fällen fehlgeschlagen, daher ist es in einem Fall möglicherweise schneller ausgefallen als im anderen Fall. Verwenden Sie -n, um diesen Schritt zu überspringen.
• Möglicherweise hat etwas anderes während des -sS-Scans mehr Netzwerkbandbreite verwendet. Nmap verhält sich im Allgemeinen gut und schaltet sich aus und versucht erneut, wenn Pakete aufgrund der Verbindungssättigung fallengelassen werden.
• Möglicherweise haben Sie die unglückliche Kombination von libpcap 1.5 und später mit Linux 3.19 oder früher, was zu Paketverlust und langsamem Scannen führt, obwohl ich in diesem Fall noch mehr Verlangsamung erwarten würde.

Es gibt viele andere mögliche Erklärungen. Die Zeiten sind wirklich ziemlich nah beieinander.