Port-Scanning-Techniken

Offene Ports zeigen, welche Dienste ein Host ausführt, und liefern damit eine Übersicht über die Angriffsfläche. Ein Port-Scan ermittelt, welche TCP- und UDP-Ports offen, geschlossen oder gefiltert sind.

Nmap bietet mehrere Scan-Techniken mit unterschiedlichen Kompromissen zwischen Geschwindigkeit, Unauffälligkeit und erforderlichen Berechtigungen.

Nmap meldet jeden Port in einem der folgenden Zustände:

• open: Ein Dienst nimmt aktiv Verbindungen an.
• closed: Der Port ist erreichbar, aber kein Dienst lauscht darauf.
• filtered: Eine Firewall blockiert Probes, sodass Nmap keine Aussage treffen kann.
• open|filtered und closed|filtered: mehrdeutige Ergebnisse.

Für das Verständnis von Scans müssen Sie den TCP-Handshake kennen:

• Der Client sendet SYN.
• Der Server antwortet mit SYN-ACK, wenn der Port offen ist.
• Der Client sendet ACK, um die Verbindung abzuschließen.

Ein geschlossener Port antwortet mit RST. Die Scan-Typen unterscheiden sich darin, wie weit sie diesen Handshake durchführen.

Der SYN-Scan (-sS) ist die Standardeinstellung, wenn Nmap als Root ausgeführt wird. Er sendet ein SYN, erkennt SYN-ACK (offen) oder RST (geschlossen) und sendet anschließend ein RST, um den Handshake nie abzuschließen.

Dieser „Half-Open“-Scan ist schnell und relativ unauffällig, da die vollständige Verbindung nie hergestellt wird. Er erfordert Berechtigungen für Raw-Sockets.

Der Connect-Scan (-sT) führt den vollständigen Drei-Wege-Handshake über die Netzwerk-API des Betriebssystems aus. Er benötigt keine besonderen Berechtigungen und ist daher die Ausweichoption für Benutzer ohne entsprechende Privilegien.

Da die Verbindung vollständig hergestellt wird, ist dieser Scan auffälliger und wird mit höherer Wahrscheinlichkeit von den Diensten des Ziels protokolliert.

Der UDP-Scan (-sU) findet Dienste wie DNS, SNMP und DHCP, die UDP verwenden. UDP ist verbindungslos, daher ist das Scannen langsam und anspruchsvoll:

• Keine Antwort bedeutet häufig open|filtered.
• Eine ICMP-Meldung „Port unreachable“ bedeutet closed.

UDP-Dienste werden häufig übersehen und können daher wertvolle Erkenntnisse verbergen.

Mehrere Scans senden ungewöhnliche Flag-Kombinationen, um einfache Firewalls zu umgehen und die Protokollierung von SYNs zu vermeiden:

• FIN (-sF): nur das FIN-Flag.
• NULL (-sN): keine gesetzten Flags.
• Xmas (-sX): FIN, PSH und URG gesetzt, „wie ein Weihnachtsbaum erleuchtet“.

Diese Scans stützen sich auf das Verhalten gemäß RFC und funktionieren oft nur bei bestimmten Stacks.

Legen Sie fest, welche Ports gescannt werden, um Geschwindigkeit und Abdeckung auszubalancieren:

• -p 80,443 bestimmte Ports.
• -p 1-1000 einen Bereich.
• -p- alle 65535 Ports.
• --top-ports 100 die 100 häufigsten Ports.
• -F schneller Scan der 100 häufigsten Ports.

Das Flag -T legt das Timing zwischen 0 (paranoid) und 5 (insane) fest:

• -T0/-T1: sehr langsam, um IDS zu umgehen.
• -T3: die ausgewogene Standardeinstellung.
• -T4: schneller, üblich in zuverlässigen Netzwerken.
• -T5: aggressiv, kann Ergebnisse übersehen.

Schnellere Scans sind auffälliger und bergen ein höheres Risiko ungenauer Ergebnisse.

Nmap bietet Optionen, um die Widerstandsfähigkeit von Firewalls und IDS zu testen:

• -f fragmentiert Pakete.
• -D verwendet gefälschte Quelladressen.
• --source-port fälscht einen vertrauenswürdigen Quellport wie 53.

Verwenden Sie diese Optionen ausschließlich in autorisierten Tests, um die Erkennungsfähigkeiten zu bewerten.

In der Praxis werden diese Optionen kombiniert. Ein üblicher gründlicher TCP-Scan wählt den Scan-Typ, alle Ports, ein schnelleres Timing und das Speichern der Ausgabe.

Beginnen Sie mit einem breiten Scan, um offene Ports zu finden. Führen Sie anschließend gezielte Folgescans (Versionserkennung, Skripte) nur für die tatsächlich offenen Ports aus. Dieser zweistufige Ansatz ist schneller und unauffälliger, als alles auf einmal zu erledigen.

Ordnen Sie den Scan seinem Verhalten zu.

Sie haben Techniken für Port-Scans kennengelernt:

• Portzustände: open, closed, filtered und mehrdeutige Varianten.
• Der SYN-Scan (-sS) ist die unauffällige Standardeinstellung; Connect (-sT) benötigt keine Berechtigungen, ist aber auffälliger.
• UDP (-sU) ist langsam, findet aber häufig übersehene Dienste.
• FIN/NULL/Xmas-Scans umgehen einfache Firewalls.
• Steuern Sie Ports mit -p, die Geschwindigkeit mit -T und testen Sie Umgehungstechniken mit -f/-D.

Als Nächstes: Dienst- und Betriebssystemerkennung.