关于ACK标志位的TCP端口扫描的疑惑？
书上说ACK扫描，如果对方端口是开放的，返回的RST报文TTL应该小于等于64，而大于则表示不开放。
但是我在Kail上分别对同一个C段的两台机器进行扫描时发现：
对windows主机的一个开放端口(80)扫描，得到的RST报文的TTL=128，window=32767，对一关闭的端口(11987)扫描，得到的RST报文的TTL=128，window=32767
对Linux主机(Ubuntu 16.04)的一个开放端口(22)扫描，得到的RST报文的TTL=64，window=0，对一关闭端口(12339)扫描，得到的RST报文的TTL=64，window=0
请问何解？
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
不是小于等于64等于开放端口，是同时对一台机器的一堆端口发送ACK包，有某个端口返回的RST中TTL明显小于其他，则说明此端口可能开放。
至于128/64这个情况，是因为*nix和windows默认的TTL值不同。一般可认为*nix的默认TTL值为64，windows为128。（具体到不同系统/内核版本，会有区别）