Techniki skanowania portów

Otwarte porty ujawniają usługi uruchomione na hoście, stanowiąc mapę powierzchni ataku. Skanowanie portów określa, które porty TCP i UDP są otwarte, zamknięte lub filtrowane.

Nmap oferuje kilka technik skanowania, z których każda wiąże się z kompromisami dotyczącymi szybkości, dyskrecji i wymaganych uprawnień.

Nmap zgłasza każdy port w jednym z następujących stanów:

• open: usługa aktywnie akceptuje połączenia.
• closed: port jest osiągalny, ale żadna usługa na nim nie nasłuchuje.
• filtered: zapora blokuje sondy, więc Nmap nie może tego rozstrzygnąć.
• open|filtered i closed|filtered: niejednoznaczne wyniki.

Zrozumienie skanowania wymaga znajomości uzgadniania TCP:

• Klient wysyła SYN.
• Serwer odpowiada SYN-ACK, jeśli port jest otwarty.
• Klient wysyła ACK, aby zakończyć ustanawianie połączenia.

Zamknięty port odpowiada pakietem RST. Typy skanowania różnią się tym, jak daleko przechodzą przez ten proces.

Skanowanie SYN (-sS) jest domyślne podczas uruchamiania z uprawnieniami root. Nmap wysyła SYN, sprawdza SYN-ACK (port otwarty) lub RST (port zamknięty), a następnie wysyła RST, aby nigdy nie ukończyć uzgadniania.

To „półotwarte” skanowanie jest szybkie i stosunkowo dyskretne, ponieważ pełne połączenie nigdy nie zostaje ustanowione. Wymaga uprawnień do używania surowych gniazd.

Skanowanie connect (-sT) kończy pełne trójetapowe uzgadnianie za pomocą interfejsu sieciowego systemu operacyjnego. Nie wymaga specjalnych uprawnień, dlatego stanowi rozwiązanie awaryjne dla użytkowników bez uprawnień.

Ponieważ ustanawia pełne połączenie, generuje więcej widocznego ruchu i z większym prawdopodobieństwem zostanie zarejestrowane przez usługi celu.

Skanowanie UDP (-sU) wykrywa usługi takie jak DNS, SNMP i DHCP, które korzystają z UDP. UDP jest bezpołączeniowy, dlatego skanowanie jest wolne i trudne:

• Brak odpowiedzi często oznacza stan open|filtered.
• Komunikat ICMP port-unreachable oznacza port zamknięty.

Usługi UDP są często pomijane, więc mogą skrywać cenne informacje.

Niektóre skany wysyłają nietypowe kombinacje flag, aby omijać proste zapory i unikać rejestrowania SYN:

• FIN (-sF): tylko flaga FIN.
• NULL (-sN): nie ustawiono żadnych flag.
• Xmas (-sX): ustawione FIN, PSH i URG, „rozświetlone jak choinka”.

Techniki te opierają się na zachowaniu opisanym w RFC i często działają tylko w przypadku określonych stosów sieciowych.

Określ, które porty mają zostać przeskanowane, aby zachować równowagę między szybkością a zakresem:

• -p 80,443 konkretne porty.
• -p 1-1000 zakres portów.
• -p- wszystkie 65535 portów.
• --top-ports 100 100 najczęściej używanych portów.
• -F szybkie skanowanie 100 najpopularniejszych portów.

Flaga -T ustawia tempo od 0 (paranoiczne) do 5 (szalone):

• -T0/-T1: bardzo wolne, do omijania IDS.
• -T3: zrównoważone ustawienie domyślne.
• -T4: szybsze, często używane w niezawodnych sieciach.
• -T5: agresywne, może pomijać wyniki.

Szybsze skanowanie generuje więcej widocznego ruchu i zwiększa ryzyko niedokładności.

Nmap oferuje opcje do testowania odporności zapór i IDS:

• -f fragmentuje pakiety.
• -D używa zwodniczych adresów źródłowych.
• --source-port podszywa się pod zaufany port źródłowy, taki jak 53.

Używaj tych opcji wyłącznie w autoryzowanych testach oceniających możliwości wykrywania.

W rzeczywistych skanach łączy się te opcje. Typowe dokładne skanowanie TCP wybiera typ skanowania, wszystkie porty, szybsze tempo i zapis wyników.

Najpierw wykonaj szerokie skanowanie, aby znaleźć otwarte porty, a następnie przeprowadź ukierunkowane skany uzupełniające (wykrywanie wersji, skrypty) tylko dla portów, które faktycznie są otwarte. Takie podejście dwuetapowe jest szybsze i bardziej dyskretne niż wykonanie wszystkiego naraz.

Dopasuj skanowanie do jego działania.

W tej lekcji poznano techniki skanowania portów:

• Stany portów: open, closed, filtered oraz warianty niejednoznaczne.
• Skanowanie SYN (-sS) jest dyskretnym ustawieniem domyślnym; connect (-sT) nie wymaga uprawnień, ale generuje więcej widocznego ruchu.
• UDP (-sU) jest wolne, ale wykrywa często pomijane usługi.
• Skany FIN/NULL/Xmas omijają proste zapory.
• Porty kontroluje się za pomocą -p, szybkość za pomocą -T, a mechanizmy omijania testuje za pomocą -f/-D.

Następnie: wykrywanie usług i systemu operacyjnego.