Tecniche di port scanning

Le porte aperte rivelano i servizi in esecuzione su un host e rappresentano la mappa della superficie di attacco. La scansione delle porte determina quali porte TCP e UDP sono aperte, chiuse o filtrate.

Nmap offre diverse tecniche di scansione, ciascuna con compromessi in termini di velocità, discrezione e privilegi richiesti.

Nmap segnala ogni porta con uno dei seguenti stati:

• open: un servizio accetta attivamente le connessioni.
• closed: la porta è raggiungibile, ma non vi è alcun servizio in ascolto.
• filtered: un firewall blocca i probe, quindi Nmap non può determinarne lo stato.
• open|filtered e closed|filtered: risultati ambigui.

Per comprendere le scansioni è necessario conoscere l'handshake TCP:

• Il client invia SYN.
• Il server risponde con SYN-ACK se la porta è aperta.
• Il client invia ACK per completare la connessione.

Una porta chiusa risponde con RST. I tipi di scansione differiscono per il punto dell'handshake fino al quale procedono.

La scansione SYN (-sS) è quella predefinita quando Nmap viene eseguito come root. Invia un SYN, rileva SYN-ACK (porta aperta) o RST (porta chiusa), quindi invia RST per non completare mai l'handshake.

Questa scansione «half-open» è rapida e relativamente discreta, perché la connessione completa non viene mai stabilita. Richiede privilegi per i raw socket.

La scansione connect (-sT) completa l'handshake a tre vie utilizzando l'API di rete del sistema operativo. Non richiede privilegi speciali, quindi è l'alternativa usata dagli utenti senza privilegi.

Poiché stabilisce una connessione completa, è più visibile e ha maggiori probabilità di essere registrata dai servizi dell'obiettivo.

La scansione UDP (-sU) individua servizi come DNS, SNMP e DHCP che utilizzano UDP. UDP è senza connessione, quindi la scansione è lenta e complessa:

• L'assenza di risposta spesso indica open|filtered.
• Un messaggio ICMP di porta irraggiungibile indica closed.

I servizi UDP vengono spesso trascurati, quindi possono nascondere risultati importanti.

Diverse scansioni inviano combinazioni insolite di flag per eludere i firewall più semplici ed evitare la registrazione dei SYN:

• FIN (-sF): solo il flag FIN.
• NULL (-sN): nessun flag impostato.
• Xmas (-sX): FIN, PSH e URG impostati, «illuminata come un albero di Natale».

Queste tecniche si basano sul comportamento definito dalle RFC e spesso funzionano solo con determinati stack.

Controlli quali porte sottoporre a scansione per bilanciare velocità e copertura:

• -p 80,443 porte specifiche.
• -p 1-1000 un intervallo.
• -p- tutte le 65535 porte.
• --top-ports 100 le porte più comuni.
• -F scansione rapida delle 100 porte principali.

Il flag -T imposta la temporizzazione da 0 (paranoid) a 5 (insane):

• -T0/-T1: molto lenta, per eludere gli IDS.
• -T3: impostazione predefinita bilanciata.
• -T4: più rapida, comune nelle reti affidabili.
• -T5: aggressiva, potrebbe perdere alcuni risultati.

Le scansioni più rapide sono più visibili e rischiano di essere meno accurate.

Nmap offre opzioni per verificare la resilienza di firewall e IDS:

• -f frammenta i pacchetti.
• -D usa indirizzi di origine esca.
• --source-port falsifica una porta di origine considerata attendibile, come la 53.

Utilizzi queste opzioni solo in test autorizzati per valutare le capacità di rilevamento.

Le scansioni reali combinano queste opzioni. Una scansione TCP approfondita comune sceglie il tipo di scansione, tutte le porte, una temporizzazione più rapida e il salvataggio dell'output.

Inizi con un'analisi ampia per trovare le porte aperte, quindi esegua scansioni successive mirate (rilevamento delle versioni, script) solo sulle porte effettivamente aperte. Questo approccio in due fasi è più rapido e discreto rispetto a eseguire tutto in una volta.

Abbini la scansione al relativo comportamento.

Ha imparato le tecniche di scansione delle porte:

• Stati delle porte: open, closed, filtered e varianti ambigue.
• La scansione SYN (-sS) è l'impostazione predefinita discreta; connect (-sT) non richiede privilegi, ma è più visibile.
• UDP (-sU) è lenta, ma individua servizi spesso trascurati.
• Le scansioni FIN/NULL/Xmas eludono i firewall più semplici.
• Controlli le porte con -p, la velocità con -T e verifichi l'elusione con -f/-D.

Prossimo argomento: rilevamento dei servizi e del sistema operativo.