Phenquestions
Deze tutorial zal zich richten op een belangrijk Nmap-gebruik, i.e., hostdetectie en hostdetectiemethodologie. Het is goed om op te merken dat dit geen beginnershandleiding is voor het werken met Nmap of de methodologie voor het verzamelen van informatie bij penetratietesten.
Wat is Host Discovery
Het Nmap-hostdetectieproces verwijst naar de opsomming van netwerkhosts om informatie over hen te verzamelen om een aanvalsplan op te bouwen bij pentesten.
Tijdens hostdetectie gebruikt Nmap elementen zoals Ping en een ingebouwd script om besturingssystemen, poorten en actieve services op te zoeken met behulp van TCP- en UDP-protocollen. Indien opgegeven, kunt u de Nmap-scriptengine inschakelen die verschillende scripts gebruikt om kwetsbaarheden tegen de host op te zoeken.
Het host-ontdekkingsproces dat door Nmap wordt gebruikt, maakt gebruik van onbewerkte ICMP-pakketten. Deze pakketten kunnen worden uitgeschakeld of gefilterd door firewalls (zelden) en zeer voorzichtige systeembeheerders. Nmap biedt ons echter een stealth-scan, zoals we in deze tutorial zullen zien.
Laten we beginnen.
Netwerk ontdekking
Laten we, zonder al te veel tijd te verspillen, verschillende methoden onderzoeken om hostdetectie uit te voeren en verschillende beperkingen te overwinnen die worden veroorzaakt door netwerkbeveiligingsapparaten zoals firewalls.
1: Klassieke ICMP-ping
U kunt hostdetectie uitvoeren met een eenvoudige ICMP-echoverzoek waar de host antwoordt met een ICMP echo antwoord.
Om een ICMP-echoverzoek met Nmap te verzenden, voert u de volgende opdracht in:
$ nmap -PE -sn 192.168.0.16De uitvoer ziet eruit zoals hieronder weergegeven:
Nmap 7 . starten.91 (https://nmap.organisatie)scan rapport voor 192.168.0.16
Host is up (0.11s latentie).
MAC-adres: EC:08:6B:18:11:D4 (Tp-link Technologies)
Nmap klaar: 1 IP-adres (1 host omhoog) gescand in 0.62 seconden
In het bovenstaande commando vertellen we Nmap om een ping echo (-PE) verzoek naar het doel te sturen. Als het een ICMP-antwoord ontvangt, is de host actief.
Hieronder ziet u een Wireshark-screenshot van de opdracht nmap -sn -PE:
Overweeg de onderstaande bron voor meer informatie over het ICMP-protocol.
https://linkfy.naar/ICMP
OPMERKING: ICMP-echoverzoeken zijn onbetrouwbaar en trekken geen conclusie op basis van het antwoord. Overweeg bijvoorbeeld hetzelfde verzoek aan Microsoft.com
$ nmap -sn -PE microsoft.comDe uitvoer zal zijn zoals hieronder weergegeven:
Nmap 7 . starten.91 Opmerking: Host lijkt niet beschikbaar.Als het echt is, maar onze ping-sondes blokkeert, probeer dan -Pn
Nmap gedaan:
1 IP-adres (0 hosts up) gescand in 2.51 seconden
Hier is een screenshot voor Wireshark-analyse:
2: TCP SYN Ping
Een andere methode voor hostdetectie is het gebruik van een Nmap TCP SYN ping-scan. Als u bekend bent met de drie handshakes TCP SYN/ACK, leent Nmap de technologie en stuurt het een verzoek naar verschillende poorten om te bepalen of de host actief is of permissieve filters gebruikt.
Als we Nmap vertellen om SYN ping te gebruiken, stuurt het het pakket naar de doelpoort en als de host actief is, reageert het met een ACK-pakket. Als de host niet beschikbaar is, reageert deze met een RST-pakket.
Gebruik de onderstaande opdracht om een SYN-pingverzoek uit te voeren.
sudo nmap -sn -PS scanme.nmap.orgHet antwoord van deze opdracht moet aangeven of de host omhoog of omlaag is. Het volgende is een Wireshark-filter van het verzoek:.
tcp.vlaggen.syn && tcp.vlaggen.ack
OPMERKING: We gebruiken de -PS om aan te geven dat we het TCP SYN-pingverzoek willen gebruiken, wat een efficiëntere methode kan zijn dan onbewerkte ICMP-pakketten. Het volgende is een Nmap-verzoek van Microsoft.com met behulp van TCP SYN.
$ nmap -sn -PS microsoft.comDe uitvoer is hieronder weergegeven:
Nmap 7 . starten.91 (https://nmap.org)Nmap-scanrapport voor microsoft.com (104.215.148.63)
Host is up (0.29s latentie).
Andere adressen voor microsoft.com (niet gescand): 40.112.72.205 13.77.161.179 40.113.200.201 40.76.4.15
Nmap gedaan:
1 IP-adres (1 host omhoog) gescand in 1.08 seconden
3: TCP ACK-ping:
De ping-methode TCP ACK is een onderliggend item van het SYN-pingverzoek. Het werkt op dezelfde manier, maar gebruikt in plaats daarvan het ACK-pakket. Bij deze methode probeert NMAP iets slims.
Het begint met het verzenden van een leeg TCP ACK-pakket naar de host. Als de host offline is, zou het pakket geen reactie moeten krijgen. Indien online, zal de host reageren met een RST-pakket om aan te geven dat de host actief is.
Als u niet bekend bent met het RST (reset-pakket), is dit het pakket dat wordt verzonden na ontvangst van een onverwacht TCP-pakket. Aangezien het ACK-pakket dat Nmap verzendt geen antwoord is op SYN, moet de host een RST-pakket retourneren.
Om een Nmap ACK-ping te initialiseren, gebruikt u de opdracht als:
$ nmap -sn -PA 192.168.0.16Gegeven output hieronder:
Nmap 7 . starten.91 (https://nmap.org)Nmap-scanrapport voor 192.168.0.16
Host is up (0.15s latentie).
MAC-adres: EC:08:6B:18:11:D4 (Tp-link Technologies)
Nmap gedaan:
1 IP-adres (1 host omhoog) gescand in 0.49 seconden
4: UDP-ping
Laten we het hebben over een andere optie voor hostdetectie in Nmap, i.e., UDP-ping.
UDP-ping werkt door UDP-pakketten naar de opgegeven poorten van de doelhost te sturen. Als de host online is, kan het UDP-pakket een gesloten poort tegenkomen en reageren met een ICMP-poort onbereikbaar bericht. Als de host niet beschikbaar is, zal de prompt verschillende ICMP-foutberichten zijn, zoals TTL overschreden of geen reactie.
De standaardpoort voor UDP-ping is 40, 125. De UDP-ping is een goede techniek om te gebruiken bij het uitvoeren van hostdetectie voor hosts achter een firewall en filters. Dat komt omdat de meeste firewalls TCP zoeken en blokkeren, maar UDP-protocolverkeer toestaan.
Gebruik de onderstaande opdracht om Nmap-hostdetectie met UDP-ping uit te voeren:
sudo nmap -sn -PU scanme.nmap.orgDe uitvoer van de bovenstaande opdracht kan worden bekeken met Wireshark, zoals weergegeven in de onderstaande schermafbeelding:. Wireshark-filter gebruikt - udp.poort == 40125
Zoals je kunt zien in de bovenstaande schermafbeelding, stuurt Nmap een UDP-ping naar de IP 45.33.32.156 (scanme.nmap.organisatie). De server reageert met ICMP onbereikbaar, wat aangeeft dat de host actief is.
5: ARP-ping:
We mogen de ARP-pingmethode niet vergeten die heel goed werkt voor hostdetectie binnen lokale netwerken. De ARP-pingmethode werkt door een reeks ARP-sondes naar het opgegeven IP-adresbereik te sturen en live hosts te ontdekken. ARP-ping is snel en zeer betrouwbaar.
Gebruik de opdracht om een ARP-ping uit te voeren met Nmap:
sudo nmap -sn -PR 192.168.0.1/24Als u de opdracht onderzoekt met Wireshark en ARP filtert van bron 192.168.0.30, krijgt u een screenshot van ARP Broadcast probe-verzoeken zoals hieronder weergegeven:. Het gebruikte Wireshark-filter is: arp.src.proto_ipv4 == 192.168.0.30
TCP SYN Stealth
U zult ontdekken dat SYN-scan een goede optie is voor hostdetectie omdat het snel is en een reeks poorten in seconden kan scannen, op voorwaarde dat beveiligingssystemen zoals firewalls niet interfereren. SYN is ook erg krachtig en onopvallend omdat het werkt met onvolledige TCP-verzoeken.
Ik zal niet ingaan op de details van hoe TCP SYN/ACK werkt, maar u kunt er meer over leren via de verschillende bronnen hieronder:
- https://linkfy.naar/tcpWiki
- https://linkfy.to/3-way-handshake-uitgelegd
- https://linkfy.naar/3-weg-anantomie
Gebruik de opdracht om Nmap TCP SYN stealth-scan uit te voeren:
sudo nmap -sS 192.168.0.1/24Ik heb een Wireshark-opname van het Nmap -sS-commando en de Nmap-vondsten van de scan verstrekt, onderzoek ze en kijk hoe het werkt. Zoek naar onvolledige TCP-verzoeken met het RST-pakket.
- https://linkfy.naar/wireshark-capture
- https://linkfy.to/nmap-output-txt
Conclusie
Om samen te vatten, hebben we ons geconcentreerd op het bespreken van het gebruik van de Nmap-hostdetectiefunctie en het verkrijgen van informatie over de opgegeven host. We hebben ook besproken welke methode u moet gebruiken wanneer u hostdetectie moet uitvoeren voor hosts achter firewalls, ICMP-pingverzoeken moet blokkeren en nog veel meer.
Verken Nmap om diepere kennis op te doen.
