Dienst- und Betriebssystemerkennung

Zu wissen, dass ein Port offen ist, reicht nicht aus. Sie müssen wissen, welche Software dort lauscht und welche Version verwendet wird, da Exploits auf bestimmte Versionen abzielen.

Die Diensterkennung und das OS-Fingerprinting von Nmap machen aus einer Liste offener Ports verwertbare Informationen.

Das Flag -sV untersucht offene Ports und vergleicht die Antworten mit der Nmap-Datenbank, um Dienst und Version zu identifizieren, zum Beispiel „OpenSSH 8.2p1“ oder „Apache httpd 2.4.41“.

Nmap sendet eine Reihe von Probes und vergleicht die Antworten (Banner, Verhaltensweisen, Fehlermeldungen) mit Tausenden von Signaturen in nmap-service-probes.

Dieses Auslesen von Bannern und der Abgleich des Verhaltens identifizieren Dienste auch an nicht standardmäßigen Ports, etwa einen HTTP-Server an Port 8000.

Mit --version-intensity (0 bis 9) können Sie festlegen, wie intensiv Nmap vorgeht:

• Niedriger: weniger Probes, schneller, Versionen können übersehen werden.
• Höher: mehr Probes, langsamer, genauere Ergebnisse.

Abkürzungen: --version-light (Intensität 2) und --version-all (Intensität 9).

Das Flag -O aktiviert das OS-Fingerprinting. Nmap untersucht feine Unterschiede in den Antworten eines TCP/IP-Stacks und vergleicht sie mit seiner Datenbank von OS-Signaturen.

Wenn möglich, meldet Nmap eine wahrscheinlichste Einschätzung und einen Genauigkeitsprozentsatz sowie den Gerätetyp und geschätzte Betriebszeit.

Jedes Betriebssystem implementiert TCP/IP geringfügig anders. Nmap untersucht unter anderem:

• anfängliche TTL-Werte,
• die TCP-Fenstergröße,
• den Umgang des Stacks mit ungewöhnlichen Flag-Kombinationen,
• die Reihenfolge der TCP-Optionen.

Diese winzigen Unterschiede bilden einen ausreichend eindeutigen Fingerabdruck, um die Betriebssystemfamilie und -version zu schätzen.

Die Betriebssystemerkennung ist eine bestmögliche Einschätzung, keine Gewissheit. Die Genauigkeit nimmt ab, wenn:

• eine Firewall die von Nmap verwendeten Probes filtert,
• der Host einen ungewöhnlichen oder virtualisierten Stack verwendet,
• nur wenige Ports für das Fingerprinting offen sind.

Die Option --osscan-guess lässt Nmap bei Unsicherheit aggressiver raten.

In der Praxis kombinieren Sie Erkennungsoptionen. Das Flag -A ist eine Abkürzung, die Betriebssystemerkennung, Versionserkennung, Standardskripte und Traceroute gemeinsam aktiviert.

Die genaue Version bestimmt den nächsten Schritt. Bei „vsftpd 2.3.4“ denken Sie sofort an eine bekannte Backdoor; bei „Apache 2.4.49“ an eine CVE für Path Traversal.

Genaue Versionsdaten ermöglichen Ihnen, nach passenden Exploits zu suchen, statt blind Angriffe auszuprobieren. Außerdem fließen sie direkt in den Schwachstellenabschnitt Ihres Berichts ein.

Speichern Sie die Scan-Ausgabe immer zur Analyse und Berichterstellung. Nmap unterstützt mehrere Formate:

• -oN normaler Text.
• -oX XML (für Tools).
• -oG greppable.
• -oA alle Formate gleichzeitig.

Manchmal bestätigen Sie einen Dienst manuell. Wenn Sie sich mit einem einfachen Client verbinden und die Begrüßung (das Banner) lesen, werden Software und Version direkt sichtbar.

Tools wie netcat ermöglichen dies bei Klartextdiensten. Das ist eine schnelle Plausibilitätsprüfung, wenn Nmaps Einschätzung unzutreffend wirkt. Viele Dienste unterdrücken oder fälschen ihre Banner inzwischen jedoch, um Angreifer zu täuschen.

Identifizieren Sie das Flag, das die meisten Funktionen gleichzeitig aktiviert.

Sie haben Fingerprinting kennengelernt:

• -sV erkennt Dienstversionen durch den Abgleich von Probes und Bannern; mit --version-intensity können Sie die Intensität anpassen.
• -O führt mithilfe des Fingerprintings des TCP/IP-Stacks eine Betriebssystemerkennung durch; die Ergebnisse sind bestmögliche Einschätzungen.
• -A bündelt Betriebssystem- und Versionserkennung, Skripte sowie Traceroute.
• Genaue Versionen unterstützen die Auswahl von Exploits; speichern Sie die Ausgabe mit -oA.

Als Nächstes: die Nmap Scripting Engine für weiterführende Automatisierung.