サービスとOSの検出

ポートが開いていると分かるだけでは不十分です。どのソフトウェアが待ち受けているのか、そしてそのバージョンを知る必要があります。エクスプロイトは特定のバージョンを標的にするためです。

Nmapのサービス検出とOSフィンガープリントによって、開いているポートの一覧を実行可能な情報へ変換できます。

-sVフラグは開いているポートをプローブし、応答をNmapのデータベースと照合して、サービスとバージョンを特定します。たとえば「OpenSSH 8.2p1」や「Apache httpd 2.4.41」のように表示されます。

Nmapは一連のプローブを送信し、応答（バナー、動作、エラーメッセージ）をnmap-service-probesにある数千のシグネチャと比較します。

このバナー取得と動作照合により、HTTPサーバーがポート8000で動作している場合のように、標準ではないポート上のサービスも特定できます。

--version-intensity（0～9）で、Nmapがどの程度入念に検出するかを調整できます。

• 低い値：プローブが少なく高速ですが、バージョンを見落とす可能性があります。
• 高い値：プローブが多く低速ですが、精度が高くなります。

ショートカットとして、--version-light（強度2）と--version-all（強度9）があります。

-OフラグはOSフィンガープリントを有効にします。NmapはTCP/IPスタックの応答方法に見られる微妙な違いを調べ、OSシグネチャのデータベースと照合します。

推定結果とその確度（パーセント）に加えて、利用可能な場合はデバイスタイプと稼働時間の推定値も報告します。

OSごとにTCP/IPの実装には少しずつ違いがあります。Nmapは次のような特徴をプローブします。

• 初期TTL値。
• TCPウィンドウサイズ。
• 通常とは異なるフラグの組み合わせをスタックが処理する方法。
• TCPオプションの順序。

こうしたわずかな違いが、OSの系統やバージョンを推測できるほど固有のフィンガープリントを形成します。

OS検出は確実な判定ではなく、最有力の推測です。次の場合は精度が低下します。

• ファイアウォールが、Nmapの判定に必要なプローブをフィルタリングしている。
• ホストが通常とは異なるスタックや仮想化されたスタックを実行している。
• フィンガープリントの取得元となる開いたポートが少ない。

--osscan-guessオプションを使用すると、確信が持てない場合にNmapがより積極的に推測します。

実際には、検出オプションを組み合わせて使用します。-Aフラグは、OS検出、バージョン検出、デフォルトスクリプト、tracerouteをまとめて有効にするショートカットです。

正確なバージョンによって、次の手順が決まります。「vsftpd 2.3.4」なら有名なバックドアをすぐに思い出し、「Apache 2.4.49」ならパストラバーサルのCVEを連想できます。

正確なバージョン情報があれば、手当たり次第に攻撃を試すのではなく、適合するエクスプロイトを検索できます。また、脆弱性レポートのセクションにも直接利用できます。

分析やレポート作成のため、スキャンの出力は必ず保存してください。Nmapは複数の形式に対応しています。

• -oN：通常のテキスト。
• -oX：XML（ツール用）。
• -oG：grep可能な形式。
• -oA：すべての形式を同時に保存。

サービスを手動で確認することもあります。raw clientで接続し、挨拶メッセージ（バナー）を読み取ると、ソフトウェアとバージョンを直接確認できます。

netcatなどのツールを使えば、平文サービスに対してこれを実行できます。Nmapの推測が不正確に思える場合の簡単な確認方法ですが、現在では多くのサービスが攻撃者を惑わせるためにバナーを隠したり偽装したりします。

一度に最も多くの処理を行うフラグを特定してください。

フィンガープリントについて学びました。

• -sVはプローブとバナーの照合によってサービスのバージョンを検出し、--version-intensityで調整できます。
• -OはTCP/IPスタックのフィンガープリントを使用してOS検出を行います。結果は最有力の推測です。
• -AはOS、バージョン、スクリプト、tracerouteをまとめて実行します。
• 正確なバージョンがエクスプロイトの選択に役立ちます。出力は-oAで保存してください。

次は、より高度な自動化を可能にするNmap Scripting Engineです。