eps扫描器工作原理

有好几种扫描模式，不同模式的扫描原理也不一样的



2. 扫描过程
扫描器用于扫描指定IP网段或者IP网关下的端点。

· 基于IP网关扫描：扫描器从网关获取端点的IP列表，并基于IP列表进行端点扫描和识别。

· 基于IP地址段扫描：如果扫描场景中没有网关设备，管理员可以指定扫描器扫描的端点IP地址段。一个扫描器可以扫描多个IP地址段。

扫描器发现和识别端点，并将扫描结果上报，如图2-1所示。鹰视系统根据上报结果更新端点的在线状态；并与已有基线作对比，更新端点的合规状态，端点状态参见表2-1。

图2-1 扫描过程与区域分配

核心原理 4 步：

1. 发送探测（Probe）
   向目标主机/端口/服务发送特定数据包

   • TCP SYN / ACK / FIN

   • UDP 探测包

   • HTTP 请求、特征 Payload

2. 接收响应（Response）
   分析返回内容或行为

   • 是否有响应

   • 返回码、TTL、窗口大小

   • 延迟、RST、ICMP 报文

3. 特征匹配（Fingerprint）
   用响应特征与规则库比对

   • 端口开放/关闭

   • 操作系统类型

   • 服务版本（Apache / Nginx / MySQL 等）

   • 漏洞指纹（CVE 特征）

4. 结果判定（Inference）
   推断目标信息

   • 主机存活

   • 开放端口

   • 服务 & 版本

   • 潜在漏洞