1o1.com-Linux,Windows,Networking,Diskusije,Sigurnost,Bezbednost,Wireless,Web forumi,Obrazovanje....

Nmap je bez razmisljanja jedan ports scaner napopularniji od svih ports scanera.Sada su dostupne i verzije za Windows i MacOS X ....Broj korisnika Nmap ne prestaje da raste i veoma vecsto je da korisnici i neznaju sve sposobnosti koje pruza ovaj alat.Za korisnike koje nisu upoznati radi se o lanisranju "nmap host_scane".Razlicite mogucnosti Nmap-a mogu biti klasirane u tri kategorije....Nmap u prvom vremenu vrsi verifikaciju da li je kompjuter povezan na mrezu,onda pruza mogucnost scana ports-a koji su otvoreni i na kraju vrsi determinaciju sistema explotacije.
Pokazacu vam nekoliko vrsta alata koje imaju povezanost sa NMap-om....
Moj cilj ovde je da vama ne pokazem jedan Howto Nmap-a,ni razlicite pubilkacije od Fyodor-a (autor Nmap-a)vec da vam pokazem na prakticnim stvarima.
Pa da pocnem ....
Koristite Nmap kao "super ping"
Pred pocetak "scan-a",Nmap vrsi verifikaciju da li je host,hote povezan na mrezu ,za ovo koristi jednom TCP ping na portu 80 i jedan ping ICMP normalan...Akumulacija ove dve metode pruza da se ostane sto slabiji prema Filtriranju Firewall-a.
Tako reci i ove dve methode pruzaju potpis Nmap-a za detekciju sceniranja.Utilizacija TCP ping se koristi sa opcijom -PT port,Broj porta je nezavisan ,i ako nije specificiran port 80 se uzima po defaut.Jedan paket koji sadrzi flag ACK je poslat Hostu koji je konektovan na mrezi i on salje paket RST...primer.

bern@1o1:~> nmap --randomize_hosts -oN netmap-tcpping -PT139 -sP 192.168.0.*

Starting nmap 3.30 ( http://www.insecure.org/nmap/ ) at 2003-11-10 12:59 CET
Host 192.168.0.1 appears to be up.
Host 1o1.local (192.168.0.3) appears to be up.
Nmap run completed -- 256 IP addresses (2 hosts up) scanned in 7.274 seconds

Pogledajmo ostale argumente koje sam zadao ovde .
--randomize_host sluzi da ne scaniram linijski adrese vec da koristi zvezdu ili izbor od 2048 adresa.
-oN Ime_FAJLA Sluzi da zapamtim rezultat sceniranja u jednom fajlu koji je lak za citanje.
-sP sluzi da izvrsi samo ping i ne sceniranje posle toga.
-I na kraju IP koji moze da sadrzi i * koji vrsi zamenu za sve moguce mogucnosti....broj1,broj2,broj3,itd,itd,itd.
TCP ping sluzi i da budete sto brzi kada smo sigurni da port izabran nije blokiran Firewallom.Jos jedna prednost je da korisnik nije potrebno biti root da bi izvrsio ovaj scan.
Ako imamo zahtev da posljemo jedan ICMP echo request (kao program ping) uzmite opciju -PI.Jos i ostali tipovi ICMP su omoguceni za koriscenje kao timestamp request(opcija -PP) ili netmask request (opcija -PM)

1o1:/ # nmap --randomize_hosts -oN netmap-icmpping -PI -sP 192.168.0.*

Starting nmap 3.30 ( http://www.insecure.org/nmap/ ) at 2003-11-10 13:09 CET
Host 192.168.0.255 seems to be a subnet broadcast address (returned 1 extra pings).
Host 192.168.0.0 seems to be a subnet broadcast address (returned 1 extra pings).
Host 1o1.local (192.168.0.3) appears to be up.
Host 192.168.0.1 appears to be up.
Nmap run completed -- 256 IP addresses (2 hosts up) scanned in 78.167 seconds

Naravno ovde mozete i primetiti sami da ovde moramo biti loogvani kao root.
-opcija -sP pokazuje Nmap-u da nemora vrsiti scan vec samo ping.
-i ako nezelimo da proverimo prisutnost kompjutera na mrezi ,opcija -P0 pokazuje nmapu da preskoci ovu etapu koja je direkto povezana sa scan portova.

9 razlicitih sceniranja NMAP-a
1.TCP connect():
Opcija -sT(opcija po dafaultu korisnika koji nisu root)
Princip:jedna konekcija TCP ,koja isprobava na svakom portu testiranom.
Prednost:Omogucena korisnicima koji nisu root
Neprednost:Vidi se u log fajl,spor
Primer:
bern@1o1:~> nmap -sT -I 192.168.0.1

Starting nmap 3.30 ( http://www.insecure.org/nmap/ ) at 2003-11-10 13:18 CET
Interesting ports on 192.168.0.1:
(The 1635 ports scanned but not shown below are in state: closed)
Port State Service Owner
110/tcp open pop-3
135/tcp open loc-srv
139/tcp open netbios-ssn
389/tcp open ldap
445/tcp open microsoft-ds
1002/tcp open unknown
1025/tcp open NFS-or-IIS
1720/tcp open H.323/Q.931
5000/tcp open UPnP

Nmap run completed -- 1 IP address (1 host up) scanned in 0.844 seconds
Ovde vidimo port koji su otvoreni,service koji su asocirani za odredjeni port
Opcija -I nam omogucava da vidimo korisnika na kome je lansiran deamon (kolona Owner)
I nije iskljuceno da administrator nije konfigurisao Ident da posalje lazne informacije.

2 SYN scan():
opcija -sS (opcija po dafault za root-a)
Pricip:Jedan paket SYN je poslat,ako je port otvoren ,jedan SYN|ACK je poslat ako nije jedan RST.
Prednost:Brz,manje detektovan.
Neprednost:Obavezno kreiranje paketa modifikovanih(znaci samo kao root)ne pruza mogucnost korisnika ident.
Primer:
1o1:~ # nmap -F -n -sS 192.168.0.34
Starting nmap 3.30 ( http://www.insecure.org/nmap/ ) at 2003-11-10 13:20 CET
Interesting ports on 192.168.0.34:
(The 1635 ports scanned but not shown below are in state: closed)
Port State Service
110/tcp open pop-3
135/tcp open loc-srv
139/tcp open netbios-ssn
389/tcp open ldap
445/tcp open microsoft-ds
1002/tcp filtered unknown
1025/tcp open NFS-or-IIS
1720/tcp open H.323/Q.931
5000/tcp open UPnP

Nmap run completed -- 1 IP address (1 host up) scanned in 0.844 seconds
Sistem se nalazi iza jednog Firewalla.
Ovde vidmo da su neki portovi otvoreni i da je jedan filtriran.
opcija -F(fist scan)sluzi da se samo scenira portovi koji su definisani u fajlu nmap-services.
opcija -n sluzi da se ne vrsi upit rezolucije okrenute DNS-a

3 Idle scan:
opcija -sI
Pricip:jedan zombi sluzi da se maskira izvor scana
Prednost:Skoro nemoguce da se otkrije,sluzi za otkrivanje pravila FW
Neprednost:nemoguce otkriti OS

4 FIN,XMAS i NULL scans
Opcija -sF,-sX i-sN
Princip:Salje repektivno pakete FIN,pakete FIN|URG|PSH i pakete bez flaga TCP aktivnog.Port zatvoreni salju paket RST.
Prednost:Izbegava neke firewalle
Neprednost:Nije funkcionalan na nekim OS-ovima (Windows,IRIX)
Primer:
nmap -P0 -sF -f -F 192.168.0.2

opcija -P0 ping nije ispred scana
opcija -f sluzi za fragmantaciju paketa
opcija -sF je interesantno da se asocira jer opcije -sF,-sX i -sN zato sto neki FW nemju isti nacin rada.

5 scan UDP:
opcija -sU
Pricip:Salje jedan paket UDP prazan na svakom portu,zatvoreni portovi odgovaraju sa jednim paketom ICMP port unreachhable.
Prednot:Omogucava da se vide inormacije o NFS,TFTP,neki backdoors,itd,itd.
Neprednost:Neverovatno spor
1o1:~ # nmap -sT -sU 192.168.0.1
Starting nmap 3.30 ( http://www.insecure.org/nmap/ ) at 2003-11-10 14:01(vreme posle rucka) CET
Interesting ports on 192.168.0.1:
(The 1635 ports scanned but not shown below are in state: closed)
Port State Service
110/tcp open pop-3
135/tcp open loc-srv
139/tcp open netbios-ssn
389/tcp open ldap
445/tcp open microsoft-ds
1002/tcp open unknown
1025/tcp open NFS-or-IIS
1720/tcp open H.323/Q.931
5000/tcp open UPnP

Nmap run completed -- 1 IP address (1 host up) scanned in 0.844 seconds

6 Scan RPC:
opcija -sR
Princip:salje komandu SunRPC
Prednost:pokazuje da li je stvarno rec o portu RPC,kojiprogram i koja verzija.
Neprednost:Dosta vidljiv
Primer:
1o1:~ # nmap -sTUR 192.168.0.1
opcija -sTUr je ista kao i -sT -sU -sR

7 ACK i Window scan:
opcija -sA i -sW
Princip:salje resektivno paket ACKsa jednim broem sekvence.
Prednost:omogucava verifikaciju dali je jedan port filtriran i dali je iza jednog stateful.
Neprednost:windows scan neradi na svim sistemima explotacije.

8 osobni scan
opcija --scanflags
Princip:Korisnik specificira flags TCP koje zeli aktivirati.
Primer:
1o1:~ # nmap --scanflags SYNFYNPSH 192.168.0.1

Radi se o funkciji koja nije dokumentovana.

9 scan protokola
opcija -s0
Prednost: korisan za skeniranje routera
Neprednost:Neverovatno spor ,blokiran na FW ,i neki OS-ovi ne odgovarju (AIX,HP-UX)
Primer:
1o1:~ # nmap -sO 192.168.0.1

To je to sto se tice objasnjavanja,sad cu vam pokazati nekoliko primera kako ostati kamuflirani.

1o1:~ # nmap -D 192.168.0.3,192.168.0.4,ME,192.168.0.5,192,168.0.23 -sS -F 192.168.0.1
Ovde cilj vrsi detekciju 4 scana razlicita i tesko je pronaci sa kojeg pravog scan je lansiran.

1o1:~ # nmap -PO -sI 192.168.0.4:139 192.168.0.1
Zombi ovde cilj 192.168.0.1 misli da scan dolazi sa adrese 192.168.0.4 ,mada mi ovu adresu koristimo da prodjemo pored nje na portu 139...

Nadam se da sa ovim tekstom sam vas barem necemu naucio.
Koristio sma lokalni segment adresa ......vi mozete pokusati i sa pravim adresama sa pravim imenima itd.itd npr
nmap www.serbiancafe.com i zacudice te se koliko porta je otvoreno....na vama je da se zastite......Mada kod www.1o1.com ili naseg FTP servera ako pokusate scan server ce vas blokirati ,ubaciti vasu IP adresu u bazu i zabraniti bilo kakvu konekciju ,samim tim sto se zabranjuje konekcija nemozete dobti nikakav rezultat.
pozdrav problematican

[ Nazad ]

: Glavna :: Forum :: Linux/Unix :: Windows :: Mreze :: Sigurnost :: Hardware :: Knjige :: Mobilni/PDA :: Preuzimanje :