Wykrywanie usług i systemu operacyjnego

Sama wiedza o tym, że port jest otwarty, nie wystarcza. Trzeba wiedzieć, jakie oprogramowanie nasłuchuje oraz jaka jest jego wersja, ponieważ exploity są wymierzone w konkretne wersje.

Wykrywanie usług i rozpoznawanie systemu operacyjnego przez Nmap przekształcają listę otwartych portów w informacje przydatne w dalszych działaniach.

Flaga -sV sonduje otwarte porty i porównuje odpowiedzi z bazą danych Nmap, aby rozpoznać usługę i jej wersję, na przykład „OpenSSH 8.2p1” lub „Apache httpd 2.4.41”.

Nmap wysyła serię sond i porównuje odpowiedzi (banery, zachowanie, komunikaty o błędach) z tysiącami sygnatur w nmap-service-probes.

Pobieranie banerów i dopasowywanie zachowania pozwala rozpoznawać usługi nawet na niestandardowych portach, na przykład serwer HTTP działający na porcie 8000.

Można dostosować intensywność prób Nmap za pomocą --version-intensity (od 0 do 9):

• Niższa: mniej sond, większa szybkość, ale możliwość pominięcia wersji.
• Wyższa: więcej sond, mniejsza szybkość, większa dokładność.

Skróty: --version-light (intensywność 2) i --version-all (intensywność 9).

Flaga -O włącza rozpoznawanie systemu operacyjnego. Nmap analizuje subtelne różnice w sposobie, w jaki stos TCP/IP odpowiada, i porównuje je z bazą sygnatur systemów operacyjnych.

Zgłasza najbardziej prawdopodobne rozpoznanie i procent dokładności, a także typ urządzenia oraz szacowany czas działania, jeśli są dostępne.

Każdy system operacyjny implementuje TCP/IP nieco inaczej. Nmap bada takie cechy jak:

• Początkowe wartości TTL.
• Rozmiar okna TCP.
• Sposób obsługi nietypowych kombinacji flag przez stos.
• Kolejność opcji TCP.

Te niewielkie różnice tworzą sygnaturę wystarczająco unikatową, aby odgadnąć rodzinę i wersję systemu operacyjnego.

Wykrywanie systemu operacyjnego jest najlepszym przybliżeniem, a nie pewnikiem. Dokładność spada, gdy:

• Zapora filtruje sondy, na których polega Nmap.
• Host używa nietypowego lub zwirtualizowanego stosu.
• Do rozpoznania dostępnych jest tylko kilka otwartych portów.

Opcja --osscan-guess nakazuje Nmapowi odważniej zgadywać, gdy nie ma pewności.

W praktyce łączy się opcje wykrywania. Flaga -A jest skrótem włączającym jednocześnie wykrywanie systemu operacyjnego, wykrywanie wersji, domyślne skrypty i traceroute.

Dokładna wersja wyznacza kolejny krok. Po zobaczeniu „vsftpd 2.3.4” można od razu przypomnieć sobie słynny backdoor, a „Apache 2.4.49” nasuwa skojarzenie z podatnością CVE typu path traversal.

Dokładne dane o wersji pozwalają wyszukiwać dopasowane exploity zamiast bezkrytycznie próbować ataków. Trafiają też bezpośrednio do sekcji raportu poświęconej podatnościom.

Zawsze zapisuj wyniki skanowania do analizy i raportowania. Nmap obsługuje wiele formatów:

• -oN zwykły tekst.
• -oX XML (dla narzędzi).
• -oG format greppable.
• -oA wszystkie formaty jednocześnie.

Czasami usługę potwierdza się ręcznie. Połączenie za pomocą surowego klienta i odczytanie powitania (banera) ujawnia bezpośrednio oprogramowanie i jego wersję.

Narzędzia takie jak netcat pozwalają robić to w przypadku usług tekstowych. Jest to szybkie sprawdzenie, gdy przypuszczenie Nmap wydaje się błędne, choć wiele usług obecnie ukrywa lub fałszuje swoje banery, aby wprowadzać atakujących w błąd.

Wskaż flagę, która wykonuje najwięcej działań jednocześnie.

W tej lekcji poznano rozpoznawanie:

• -sV wykrywa wersje usług przez dopasowywanie sond i banerów; intensywność można dostosować za pomocą --version-intensity.
• -O wykonuje wykrywanie systemu operacyjnego na podstawie rozpoznawania stosu TCP/IP; wyniki są najlepszymi przybliżeniami.
• -A łączy wykrywanie systemu operacyjnego i wersji, skrypty oraz traceroute.
• Dokładne wersje pomagają dobrać exploity; wyniki zapisuje się za pomocą -oA.

Następnie: Nmap Scripting Engine do bardziej zaawansowanej automatyzacji.