Teknik Pemindaian Port

Port yang terbuka mengungkap layanan yang dijalankan host, sehingga memberi Anda peta permukaan serangan. Pemindaian port menentukan port TCP dan UDP mana yang terbuka, tertutup, atau disaring.

Nmap menyediakan beberapa teknik pemindaian, masing-masing dengan kompromi dalam hal kecepatan, penyamaran, dan hak akses yang diperlukan.

Nmap melaporkan setiap port dalam salah satu status berikut:

• terbuka: sebuah layanan sedang menerima koneksi secara aktif.
• tertutup: dapat dijangkau, tetapi tidak ada layanan yang mendengarkan.
• disaring: tembok api memblokir probe sehingga Nmap tidak dapat memastikannya.
• terbuka|tersaring dan tertutup|tersaring: hasilnya ambigu.

Untuk memahami pemindaian, Anda perlu memahami jabat tangan TCP:

• Klien mengirim SYN.
• Server membalas SYN-ACK jika port terbuka.
• Klien mengirim ACK untuk menyelesaikan koneksi.

Port tertutup membalas dengan RST. Jenis pemindaian berbeda dalam seberapa jauh proses jabat tangan ini dilakukan.

Pemindaian SYN (-sS) adalah bawaan ketika dijalankan sebagai root. Pemindaian ini mengirim SYN, melihat SYN-ACK (terbuka) atau RST (tertutup), lalu mengirim RST agar jabat tangan tidak pernah diselesaikan.

Pemindaian "setengah terbuka" ini cepat dan relatif tersamar karena koneksi penuh tidak pernah dibuat. Pemindaian ini memerlukan hak akses soket mentah.

Pemindaian koneksi (-sT) menyelesaikan jabat tangan tiga arah secara penuh menggunakan API jaringan OS. Pemindaian ini tidak memerlukan hak akses khusus, sehingga menjadi pilihan pengganti bagi pengguna tanpa hak akses.

Karena membuat koneksi penuh, pemindaian ini lebih mudah terdeteksi dan lebih mungkin dicatat oleh layanan target.

Pemindaian UDP (-sU) menemukan layanan seperti DNS, SNMP, dan DHCP yang menggunakan UDP. UDP tidak berorientasi koneksi, sehingga pemindaian menjadi lambat dan rumit:

• Tidak adanya respons sering berarti terbuka|tersaring.
• Pesan ICMP port tidak terjangkau berarti tertutup.

Layanan UDP sering terlewatkan, sehingga dapat menyembunyikan temuan berharga.

Beberapa pemindaian mengirim kombinasi bendera yang tidak biasa untuk melewati tembok api sederhana dan menghindari pencatatan SYN:

• FIN (-sF): hanya bendera FIN.
• NULL (-sN): tidak ada bendera yang diatur.
• Xmas (-sX): FIN, PSH, dan URG diatur, "menyala seperti pohon Natal".

Pemindaian ini mengandalkan perilaku RFC dan sering hanya berfungsi pada tumpukan tertentu.

Atur port yang dipindai untuk menyeimbangkan kecepatan dan cakupan:

• -p 80,443 port tertentu.
• -p 1-1000 suatu rentang.
• -p- semua 65535 port.
• --top-ports 100 port yang paling umum.
• -F pemindaian cepat untuk 100 port teratas.

Bendera -T menetapkan waktu dari 0 (paranoid) hingga 5 (gila):

• -T0/-T1: sangat lambat, untuk menghindari IDS.
• -T3: bawaan yang seimbang.
• -T4: lebih cepat, umum digunakan pada jaringan yang andal.
• -T5: agresif, dapat melewatkan hasil.

Pemindaian yang lebih cepat lebih mudah terdeteksi dan berisiko tidak akurat.

Nmap menyediakan opsi untuk menguji ketahanan tembok api dan IDS:

• -f memecah-mecah paket.
• -D menggunakan alamat sumber pengalih perhatian.
• --source-port memalsukan port sumber tepercaya seperti 53.

Gunakan ini hanya dalam pengujian yang diizinkan untuk mengevaluasi kemampuan deteksi.

Pemindaian nyata memadukan opsi-opsi ini. Pemindaian TCP menyeluruh yang umum memilih jenis pemindaian, semua port, waktu yang lebih cepat, dan penyimpanan keluaran.

Mulailah secara luas untuk menemukan port terbuka, lalu jalankan pemindaian lanjutan yang terarah (deteksi versi dan skrip) hanya pada port yang benar-benar terbuka. Pendekatan dua tahap ini lebih cepat dan lebih senyap daripada melakukan semuanya sekaligus.

Padankan pemindaian dengan perilakunya.

Anda telah mempelajari teknik pemindaian port:

• Status port: terbuka, tertutup, tersaring dan varian ambigu.
• Pemindaian SYN (-sS) adalah bawaan yang tersamar; koneksi (-sT) tidak memerlukan hak akses tetapi lebih mudah terdeteksi.
• UDP (-sU) lambat tetapi menemukan layanan yang sering terlewatkan.
• Pemindaian FIN/NULL/Xmas mengelabui tembok api sederhana.
• Atur port dengan -p, kecepatan dengan -T, dan uji pengelakan dengan -f/-D.

Berikutnya: deteksi layanan dan OS.