Rilevamento dei servizi e del sistema operativo

Sapere che una porta è aperta non è sufficiente. È necessario sapere quale software è in ascolto e qual è la sua versione, perché gli exploit prendono di mira versioni specifiche.

Il rilevamento dei servizi e il fingerprinting del sistema operativo di Nmap trasformano un elenco di porte aperte in informazioni utili per agire.

Il flag -sV invia probe alle porte aperte e confronta le risposte con il database di Nmap per identificare il servizio e la versione, ad esempio «OpenSSH 8.2p1» o «Apache httpd 2.4.41».

Nmap invia una serie di probe e confronta le risposte (banner, comportamenti, messaggi di errore) con migliaia di firme contenute in nmap-service-probes.

Questa acquisizione dei banner e corrispondenza comportamentale identifica i servizi anche su porte non standard, come un server HTTP in esecuzione sulla porta 8000.

È possibile regolare l'intensità dei tentativi di Nmap con --version-intensity (da 0 a 9):

• Più bassa: meno probe, maggiore velocità, ma alcune versioni potrebbero non essere rilevate.
• Più alta: più probe, minore velocità, maggiore accuratezza.

Scorciatoie: --version-light (intensità 2) e --version-all (intensità 9).

Il flag -O abilita il fingerprinting del sistema operativo. Nmap esamina le differenze più sottili nel modo in cui risponde uno stack TCP/IP e le confronta con il database delle firme dei sistemi operativi.

Riporta un'ipotesi più probabile e una percentuale di accuratezza, oltre al tipo di dispositivo e a stime del tempo di attività, quando disponibili.

Ogni sistema operativo implementa TCP/IP in modo leggermente diverso. Nmap analizza caratteristiche come:

• Valori TTL iniziali.
• Dimensione della finestra TCP.
• Gestione da parte dello stack di combinazioni insolite di flag.
• Ordine delle opzioni TCP.

Queste piccole differenze formano un fingerprint sufficientemente unico da consentire di ipotizzare la famiglia e la versione del sistema operativo.

Il rilevamento del sistema operativo è un'ipotesi, non una certezza. L'accuratezza diminuisce quando:

• Un firewall filtra i probe su cui si basa Nmap.
• L'host usa uno stack insolito o virtualizzato.
• Sono aperte solo poche porte da usare per il fingerprinting.

L'opzione --osscan-guess consente a Nmap di formulare ipotesi più aggressive in caso di incertezza.

Nella pratica si combinano le opzioni di rilevamento. Il flag -A è una scorciatoia che abilita contemporaneamente il rilevamento del sistema operativo, il rilevamento delle versioni, gli script predefiniti e il traceroute.

La versione esatta determina il passo successivo. Con «vsftpd 2.3.4» si ricorda subito una famosa backdoor; con «Apache 2.4.49» si pensa a una CVE relativa al path traversal.

Dati accurati sulle versioni consentono di cercare exploit corrispondenti invece di tentare attacchi alla cieca. Inoltre, alimentano direttamente la sezione sulle vulnerabilità del report.

Salvi sempre l'output della scansione per poterlo analizzare e utilizzare nei report. Nmap supporta diversi formati:

• -oN testo normale.
• -oX XML (per gli strumenti).
• -oG formato greppabile.
• -oA tutti i formati contemporaneamente.

A volte è necessario confermare manualmente un servizio. Collegandosi con un client raw e leggendo il messaggio di benvenuto (banner), è possibile visualizzare direttamente il software e la versione.

Strumenti come netcat consentono di farlo con i servizi in testo non cifrato. È una rapida verifica quando l'ipotesi di Nmap sembra errata, anche se oggi molti servizi nascondono o falsificano i banner per sviare gli aggressori.

Individui il flag che esegue il maggior numero di operazioni contemporaneamente.

Ha imparato a eseguire il fingerprinting:

• -sV rileva le versioni dei servizi confrontando probe e banner; la scansione si regola con --version-intensity.
• -O esegue il rilevamento del sistema operativo usando il fingerprinting dello stack TCP/IP; i risultati sono ipotesi.
• -A combina sistema operativo, versione, script e traceroute.
• Le versioni esatte guidano la scelta degli exploit; salvi l'output con -oA.

Prossimo argomento: Nmap Scripting Engine per un'automazione più approfondita.