Методы сканирования портов

Открытые порты показывают, какие службы запущены на узле, то есть дают карту поверхности атаки. Сканирование портов определяет, какие порты TCP и UDP открыты, закрыты или фильтруются.

Nmap предлагает несколько методов сканирования, различающихся скоростью, скрытностью и требуемыми правами.

Nmap сообщает о каждом порте одно из следующих состояний:

• открыт: служба активно принимает соединения.
• закрыт: порт доступен, но служба его не прослушивает.
• фильтруется: брандмауэр блокирует зонды, поэтому Nmap не может определить состояние.
• открыт|фильтруется и закрыт|фильтруется: неоднозначные результаты.

Для понимания сканирования необходимо разобраться в рукопожатии TCP:

• Клиент отправляет SYN.
• Если порт открыт, сервер отвечает SYN-ACK.
• Клиент отправляет ACK, завершая соединение.

Закрытый порт отвечает RST. Методы сканирования различаются тем, насколько далеко они проходят в этом рукопожатии.

SYN-сканирование (-sS) используется по умолчанию при запуске от имени root. Nmap отправляет SYN, получает SYN-ACK (порт открыт) или RST (порт закрыт), а затем отправляет RST, чтобы не завершать рукопожатие.

Это «полуоткрытое» сканирование выполняется быстро и сравнительно незаметно, поскольку полное соединение не устанавливается. Для него нужны права на необработанные сокеты.

Сканирование подключением (-sT) завершает полное трёхэтапное рукопожатие с помощью сетевого API операционной системы. Специальные права не нужны, поэтому это запасной вариант для пользователей без соответствующих прав.

Поскольку соединение устанавливается полностью, такой способ заметнее и с большей вероятностью будет записан в журналах служб цели.

Сканирование UDP (-sU) обнаруживает службы, такие как DNS, SNMP и DHCP, использующие UDP. UDP не устанавливает соединение, поэтому сканирование медленное и сложное:

• Отсутствие ответа часто означает «открыт|фильтруется».
• Сообщение ICMP о недоступности порта означает, что порт закрыт.

О службах UDP часто забывают, поэтому они могут скрывать важные результаты.

Некоторые методы используют необычные сочетания флагов, чтобы обходить простые брандмауэры и избегать записи SYN в журналы:

• FIN (-sF): установлен только флаг FIN.
• NULL (-sN): флаги не установлены.
• Xmas (-sX): установлены FIN, PSH и URG — пакет «сияет, как рождественская ёлка».

Эти методы опираются на поведение, описанное в RFC, и часто работают только в некоторых реализациях сетевого стека.

Управляйте списком сканируемых портов, чтобы соблюсти баланс между скоростью и охватом:

• -p 80,443 — определённые порты.
• -p 1-1000 — диапазон.
• -p- — все 65535 портов.
• --top-ports 100 — 100 наиболее распространённых портов.
• -F — быстрое сканирование 100 наиболее распространённых портов.

Флаг -T задаёт темп от 0 (параноидальный) до 5 (безумный):

• -T0/-T1: очень медленно, чтобы уклоняться от IDS.
• -T3: сбалансированный вариант по умолчанию.
• -T4: быстрее, обычно используется в надёжных сетях.
• -T5: агрессивно, возможна потеря результатов.

Более быстрое сканирование заметнее и повышает риск неточностей.

Nmap предлагает параметры для проверки устойчивости брандмауэров и IDS:

• -f фрагментирует пакеты.
• -D использует ложные адреса источника.
• --source-port подменяет доверенный порт источника, например 53.

Используйте эти параметры только в разрешённых проверках, чтобы оценивать возможности обнаружения.

На практике эти параметры комбинируют. Распространённое тщательное сканирование TCP выбирает метод сканирования, все порты, повышенный темп и сохранение результатов.

Начните с широкого сканирования, чтобы найти открытые порты, а затем выполните целевые дополнительные проверки (определение версий, скрипты) только для действительно открытых портов. Такой двухэтапный подход быстрее и незаметнее, чем выполнение всех действий сразу.

Сопоставьте метод сканирования с его поведением.

Вы изучили методы сканирования портов:

• Состояния портов: открыт, закрыт, фильтруется и неоднозначные варианты.
• SYN-сканирование (-sS) — скрытный вариант по умолчанию; подключение (-sT) не требует прав, но заметнее.
• UDP (-sU) работает медленно, но обнаруживает службы, о которых часто забывают.
• Сканирование FIN/NULL/Xmas обходит простые брандмауэры.
• Управляйте портами с помощью -p, скоростью — с помощью -T, а обход проверяйте с помощью -f/-D.

Далее: определение служб и операционной системы.