hawk 深度讲解 计算机网络探测工具

hawk 本质是一款网络探测与主机扫描类工具，核心作用是对目标网段或者单台主机做存活探测端口识别基础服务信息采集，它和 nmap 思路相近，主打轻量化快速探测，适合内网排查资产发现，快速确认哪些主机在线开放了哪些端口，获取基础的网络暴露情况，很多安全运维人员会把它当成资产摸底的辅助工具，它的核心原理是向目标发送不同类型的网络探测数据包，根据目标返回的响应报文，判断主机是否存活端口是否开放以及对应的服务特征，相比重型扫描器，hawk 占用资源更低执行速度更快，但是高级漏洞识别复杂协议解析能力会弱一些，适合前期快速侦察，不适合完整深度漏洞审计。

hawk 主要依靠多种探测报文组合判断目标状态，常用探测方式包含 ICMP ping 探测 TCP SYN 探测 TCP connect 探测 UDP 探测，不同探测方式适用场景不一样

ICMP 探测就是传统 ping，发送 ICMP echo 请求包，目标回复应答就判定主机存活，缺点是很多防火墙会拦截 ICMP，这种情况下会误判主机离线

TCP SYN 探测也就是半开扫描，只发送 SYN 包，收到 SYN+ACK 代表端口开放，收到 RST 代表端口关闭，不会完成完整三次握手，速度快，隐蔽性相对更好

TCP connect 探测会完整走完 TCP 三次握手，不需要原始套接字权限，普通用户权限就可以运行，但是会在目标主机留下完整连接日志，容易被检测

UDP 探测针对 UDP 端口发送探测报文，收到 ICMP 端口不可达说明端口关闭，没有响应有可能开放也有可能被防火墙过滤，UDP 扫描本身不确定性比较高

第一步 准备运行环境

hawk 一般需要对应的编译版本或者预编译程序，部分系统运行原始套接字扫描需要管理员或者 root 权限，普通用户权限只能使用 connect 扫描模式，提前确认操作系统版本，关闭冲突防火墙软件，保证本机到目标网络路由通畅，本机可以正常访问目标网段。

第二步 基础存活探测

执行基础命令，指定目标 IP 或者 CIDR 网段，让 hawk 优先做主机存活识别，输出在线主机列表，这个阶段只判断主机是否开机联网，不做全端口扫描，速度最快。

第三步 端口与服务扫描

选定已经确认存活的主机，指定端口范围，比如常用 1 到 1024 端口或者全端口 1 到 65535，切换对应的扫描模式，hawk 会对每个端口发送探测包，收集返回信息，识别端口开放关闭过滤三种状态，同时尝试匹配服务指纹，识别是 http ssh ftp 这类服务。

第四步 结果整理分析

扫描完成之后，hawk 会输出扫描结果，运维人员需要区分开放端口是业务必需端口还是多余暴露端口，过滤端口代表防火墙拦截，不等于端口关闭，后续结合业务台账核对资产，标记风险暴露点。

第五步 后续复测

调整扫描参数，更换探测方式复测，排除因为网络抖动防火墙策略造成的误报，确认扫描结果稳定之后，再输出正式资产清单。

优势

第一 轻量，程序体积小，启动快，批量网段扫描效率高

第二 参数逻辑简单，上手门槛低于复杂专业扫描器

第三 支持多种探测方式，可以根据网络环境切换探测手段降低误判

局限

第一 高级服务指纹识别能力有限，很难精准识别版本漏洞

第二 面对现代防火墙入侵检测系统，很容易被识别拦截

第三 没有内置完整漏洞库，不能直接输出漏洞风险评级，只能做侦察

第四 高并发扫描会产生大量流量，可能造成目标网络拥塞

hawk 属于网络探测工具，工具本身是中性的，只可以在获得书面授权的自有资产或者允许测试的网络环境使用，未经授权扫描他人主机公网 IP 属于违规行为，会触犯相关法律法规，扫描过程会产生网络流量，高并发扫描可能影响业务系统正常运行，正式扫描前一定要和业务方沟通，避开业务高峰。

【常见问题】

问题 1 hawk 和 nmap 有什么核心区别

回答 1 hawk 定位是轻量化快速探测，核心偏向快速资产存活和基础端口发现，功能精简，nmap 功能更加全面，服务指纹脚本引擎漏洞扩展能力更强，hawk 适合快速摸底，nmap 适合完整专业网络侦察。

问题 2 hawk 扫描显示端口 filtered 是什么意思

回答 2 hawk 识别出 filtered 代表探测数据包被防火墙安全设备拦截，hawk 收不到明确的开放或者关闭响应，不能判定端口真实状态，需要更换 hawk 探测模式复测确认。

问题 3 hawk 普通用户权限为什么不能运行 SYN 扫描

回答 3 hawk 的 SYN 半开扫描需要构造原始网络数据包，原始套接字操作需要系统管理员或者 root 权限，普通用户没有这个权限，所以 hawk 此时只能使用 connect 扫描模式。

问题 4 hawk 扫描出来主机不在线是不是一定主机关机

回答 4 不是，hawk 默认 ICMP 探测如果目标防火墙屏蔽 ICMP 请求，就算主机正常运行，hawk 也会判定离线，这种情况需要切换 hawk 的 TCP 探测方式重新扫描。

【免责申明】

本文仅针对 hawk 工具做技术原理科普讲解，不鼓励也不支持任何未经授权的网络扫描探测行为，使用者必须遵守国家网络相关法律法规，仅在拥有合法授权的自有网络环境开展测试，因违规使用 hawk 工具产生的一切法律责任由使用者自行承担，本文内容不构成任何渗透攻击指导建议。