Kako pokrenuti jednostavno Nmap skeniranje. Mrežni skener - povezivanje, konfiguracija, korištenje skeniranja svih priključaka

Kako pokrenuti jednostavno Nmap skeniranje. Mrežni skener - povezivanje, konfiguracija, korištenje skeniranja svih priključaka
Kako pokrenuti jednostavno Nmap skeniranje. Mrežni skener - povezivanje, konfiguracija, korištenje skeniranja svih priključaka
31.10.2023

Administrator sustava umislio je da je bog mreže,
ali je električar grubo razbio ovaj mit.

IT humor

Uvod

Skeniranje mreže jedan je od prvih koraka u procesu hakiranja ili sprječavanja hakiranja jer vam omogućuje određivanje najranjivijih i potencijalno opasnih otvorenih portova na računalu. Budući da svako računalo ima skup specifičnih značajki, pomoću skenera priključaka možete odrediti koji servisi (FTP, web, poslužitelj e-pošte itd.) rade na računalu, kao i koji ga operativni sustav kontrolira. Što je više servisa pokrenuto na računalu, to je veća vjerojatnost da će biti hakirano - na kraju krajeva, svaki softver ima ranjivosti.

Mrežni skeneri dizajnirani su da skeniraju određenu mrežnu adresu (IP adresu) ili adrese i identificiraju otvorene i moguće nesigurne priključke na računalu koje se istražuje. Međutim, takve programe hakeri u pravilu koriste za prepoznavanje mogućih ranjivosti i naknadno hakiranje računala, a nikako u svrhu osiguranja njegove sigurnosti. Ispostavilo se da sigurnost i hakiranje, iako antipodi u svojoj biti, dopuštaju korištenje istih sredstava.

Osnove TCP protokola

Da biste razumjeli kako se odvija skeniranje, morate razumjeti koji se algoritam koristi za uspostavljanje TCP veze između računala. Za uspostavljanje TCP veze između klijenta i poslužitelja, klijent šalje zahtjev (TCP paket) sa postavljenom SYN zastavom za pokretanje veze. Ako poslužitelj sluša ovaj port, šalje paket klijentu s postavljenim zastavicama SYN i ACK, čime istovremeno potvrđuje zahtjev klijenta i traži od njega da uspostavi obrnutu vezu. Klijent zatim šalje paket s postavljenom ACK zastavom, potvrđujući zahtjev SYN poslužitelja. Zatim se prenose podaci za potvrdu čijeg prijema se svaki put šalje paket s ACK zastavom. Kada poslužitelj ili klijent u potpunosti završi slanje podataka, šalje paket s postavljenom FIN zastavom, čime obavještava drugu stranu da prekine vezu. Druga strana, primivši paket s FIN zastavom, šalje povratni paket s postavljenom FIN zastavom, potvrđujući kraj veze. Kako bi prekinuli vezu, bilo koja strana može poslati paket s RST zastavom. Proces razmjene paketa jasnije je prikazan u tablici. 1.

Tablica 1. Uspostavljanje veze i proces razmjene paketa

Većina skenera prima informacije o dostupnim otvorenim portovima i prisutnosti računala na mreži na temelju ovog niza.

Nmap mrežni skener i njegove mogućnosti

Budući da su sustavi temeljeni na Linuxu i BSD OS-u u posljednje vrijeme sve popularniji, u ovoj publikaciji osvrnut ćemo se na najnapredniji mrežni skener za Linux operativne sustave - Nmap. Ovaj program je jedan od najčešćih među korisnicima Linuxa i odlikuje se moćnim alatima i velikom brzinom.

Nmap mrežni skener pojavio se 1997. za operativne sustave temeljene na UNIX-u i nastavlja se poboljšavati do danas. Razlikuje se od sličnih programa za OS temeljen na sustavu Windows po snažnim ugrađenim alatima, velikoj brzini, raznim srodnim uslužnim programima, raznim metodama skeniranja i popularnosti, budući da je gotovo svaka distribucija Linuxa opremljena ovim skenerom mrežne sigurnosti. Međutim, kao i većina visoko specijaliziranih programa za Linux, on nema ljusku dostupnu krajnjem korisniku i pokreće se iz naredbenog retka. Naravno, postoje dodatna sučelja za upravljanje ovim uslužnim programom, na primjer, kao što su Umit, Nmapfe, koja koriste Nmap mehanizam i prikazuju informacije u prozorskom načinu rada, a ne u naredbenom retku. No ipak, ovaj je uslužni program izvorno razvijen za rad na naredbenom retku, a "priloženi" uslužni programi povećavaju vrijeme rada i imaju puno nedostataka u usporedbi s izvornikom, uključujući stil dizajna. Osim toga, postoji verzija ovog programa za Windows operativne sustave. Budući da su metode rada i mnoge naredbe za obje platforme identične, ovaj članak govori o verziji Nmap 4.1 za Linux sustave. Budući da je Nmap uključen u gotovo svaku distribuciju Linuxa, možete koristiti takozvane LiveCD-ove za skeniranje mreže bez ponovnog instaliranja operativnog sustava. Diskovi za pokretanje ovog tipa ne zahtijevaju instalaciju i učitavaju se sa CD/DVD pogona, te nema potrebe za particioniranjem tvrdog diska i izradom dodatnih particija – u ovom slučaju kao tvrdi disk služi dio RAM-a računala.

Trenutno vam mrežni skeneri omogućuju određivanje mnogih dodatnih parametara računala koje se skenira. Nmap može odrediti većinu osnovnih parametara mrežnog adaptera: MAC adresu, naziv računala u domeni, otvorene portove, portove zatvorene vatrozidom, proizvođača čipseta mrežnog adaptera računala koje se proučava, verziju OS-a i usluge . Imajte na umu da se podaci o MAC adresama i proizvođaču čipseta mogu dobiti samo za računala koja su na istoj podmreži kao i računalo koje skenira. Da bismo ocijenili sve prednosti ovog programa, pogledajmo tipke koje se najčešće koriste u njegovom radu.

Kao što je već spomenuto, Nmap se pokreće iz naredbenog retka. Kada pokrenete program bez ikakvih prekidača ili sa ili bez Nmap -h (--help) prekidača, na ekranu će se prikazati popis dostupnih ključeva i postavljenih parametara (slika 1).

Riža. 1. Popis prekidača prilikom unosa Nmap naredbe

Sintaksa za pokretanje programa je sljedeća: Nmap (specifikacija cilja), gdje je umjesto vrste skeniranja navedena vrsta skeniranja (prema zadanim postavkama, ako je ovo polje prazno, Nmap će otvoreno skenirati dostupne portove). Kao opcije se unose sve vrste ključeva i parametara skeniranja, a umjesto ciljne specifikacije - ili IP adresa računala, ili niz IP adresa (što je određeno subnet maskom), ili naziv hosta.

Subnet maske

Najvjerojatnije su se korisnici koji su se bavili postavkama mrežnih adaptera morali suočiti s takvim parametrom kao maska ​​podmreže (Netmask). Međutim, ne razumiju svi što je to.

Kao što znate, IP adresa se sastoji od četiri cjelobrojne vrijednosti (oktet) i predstavljena je u obliku xxx.xxx.xxx.xxx, gdje xxx može imati vrijednosti od 0 do 254. Ali IP adresa sama po sebi je nije dovoljno, i Da bi mrežni uređaj odredio kojoj podmreži računalo pripada, također mu je potrebna podmrežna maska ​​koja označava koji je dio IP adrese ID mreže, a koji dio ID domaćina. Mrežni ID je u biti adresa same mreže, a Host ID je adresa samog čvora na mreži. Uzmite u obzir host s IP adresom 10.242.10.242 i podmrežnom maskom 255.0.0.0 - u ovom slučaju računalo pripada mreži 10.0.0.0. Ovdje je ID mreže 10.0.0.0, a ID hosta je 242.10.242. Da biste dobili mrežnu adresu, znajući IP adresu i masku podmreže, morate na njih primijeniti operaciju bitovne konjunkcije. Rezultat je bitovno AND između IP adrese i maske podmreže:

Na primjer, u slučaju složenije maske:

IP adresa: 00001100 00100010 00111000 1001110 (12.34.56.78)

Maska podmreže: 11111111 11111111 11100000 0000000 (255.255.224.0)

Mrežna adresa: 00001100 00100010 00100000 0000000 (12.34.32.0)

Međutim, kako biste skenirali mrežu dok pišete manje teksta, možete koristiti alternativni unos maske podmreže koristeći prefikse. U većini slučajeva, za jednostavne mreže možete se izvući s jednostavnim podmrežnim maskama kao što su 255.0.0.0, 255.255.0.0 i 255.255.255.0. Maska podmreže često se piše zajedno s IP adresom u formatu "IP adresa/broj jedan bitova u maski." Na primjer, IP adresa 12.34.56.78 s maskom 255.255.224.0 (koja se sastoji od 19 jedinica i 13 nula) može se napisati kao 12.34.56.78/19. Za tri razmatrane vrste, postoji alternativni unos u obliku ip/8, ip/16 i ip/24, koji vam omogućuje smanjenje broja znamenki koje se upisuju prilikom unosa u naredbeni redak. Za gornji primjer, maska ​​podmreže mogla bi se napisati ovako: 10.242.10.242/8, što je znatno kraće od maske 10.242.10.242 255.0.0.0. Stoga se raspon IP adresa za mrežu 10.0.0.0 može napisati kao 10.0.0.0/8.

Prvi pokušaji skeniranja

Vratimo se Nmap mrežnom skeneru. Kao što je već spomenuto, kao ciljanu specifikaciju možete navesti IP adresu, niz adresa i naziv glavnog računala. Ako trebate skenirati mnogo različitih IP adresa i hostova, ručno unošenje svega u naredbeni redak nije baš zgodno (pogotovo ako je broj adresa veći od 20) - za to Nmap podržava učitavanje datoteke s adresama. U tablici 2 navodi moguće ključeve povezane s unosom skeniranih adresa.

Tablica 2. Tipke odgovorne za unos adresa

Važno je napomenuti da datoteka koja sadrži popis adresa mora biti formatirana u tekstualnom obliku. Nova adresa ili raspon adresa mora započeti u novom retku. Primjeri unosa skeniranih adresa prikazani su na sl. 2 i 3.

Riža. 2. Unos adresa pomoću naredbenog retka

Znajući kako možete postaviti adrese računala koja se proučavaju, pogledajmo što se na kraju prikazuje na ekranu. Zapošljavanje tima Nmap 10.0.0.62 10.0.0.53 za skeniranje otvorenih portova na računalima s ovim adresama.

Riža. 3. Navođenje skeniranih adresa iz datoteke

Rezultati skeniranja i njihova analiza

Na sl. Slika 4 prikazuje izlaz rezultata skeniranja. Prvo, koristeći DNS poslužitelj, Nmap pokušava utvrditi odgovara li ime IP adresi koja se skenira. Ako je operacija bila uspješna, Nmap na samom početku označava pravi naziv računala. Kao što se može vidjeti na slici, IP adresa 10.0.0.62 odgovara imenu pakhomov.computerpresspublishing.ru. Ali za sljedeću pregledanu adresu - 10.0.0.53 - nema takve korespondencije. Zatim Nmap prikazuje informacije o zatvorenim ili blokiranim portovima (nije prikazano 1674 zatvorena porta), a zatim prikazuje (u tri stupca) portove koji imaju različit status. Prvi stupac označava trenutni broj porta, drugi može poprimiti različite vrijednosti koje će označavati status porta koji određuje Nmap:

  • otvoren (otvoreni port) - port je otvoren i usluga prihvaća TCP ili UDP veze na ovom portu (ovaj port je najosjetljiviji na hakiranje);
  • filtrirano - port je zatvoren vatrozidom, drugim blokirajućim programom ili uslugom (pravila usmjerivača, hardverski vatrozid itd.);
  • zatvoreno - port je zatvoren jer nema usluge ili drugog programa koji sluša ovaj port na računalu.

Riža. 4. Rezultat skeniranja

Ako je port postavljen na nefiltriran, to sugerira da Nmap nije mogao točno odrediti je li port otvoren ili zatvoren, što se obično dodjeljuje ACK skeniranjem (o čemu ćemo kasnije govoriti). Također postoje dvije važeće vrijednosti: otvoreno|filtrirano i zatvoreno|filtrirano - u oba slučaja Nmap nije mogao odrediti status porta. Da biste točnije odredili vrijednost za prvi slučaj, morate koristiti FIN, Null, Xmas ili UDP metodu skeniranja. Najvjerojatnije će ove metode skeniranja pružiti detaljnije informacije. Što se tiče zatvoreno|filtrirane vrijednosti, ona se pojavljuje samo ako se koristi metoda skeniranja Idlescan.

Posljednji stupac daje malo informacija o namjeravanoj usluzi koja koristi ovaj priključak. Recimo, ako je port broj 80 otvoren, Nmap vas obavještava da ovaj port obično koriste web poslužitelji (http). Treba napomenuti da se radi veće sigurnosti neke usluge ne pokreću na svom standardnom portu, već na drugom, tako da je nemoguće reći da web poslužitelj radi na portu 80 (za točnije određivanje pokrenute usluge, namijenjena je metoda skeniranja verzije). Nakon prikaza popisa otvorenih portova, Nmap prikazuje fizičku (MAC) adresu mrežnog uređaja, a također, ako je moguće, utvrđuje proizvođača čipseta mrežnog adaptera računala koje se ispituje te, u nekim slučajevima, čak i njegov naziv.

Metode skeniranja prisutnosti računala na mreži

Gore razmotreni primjeri prilično su jednostavni i ne zahtijevaju unos dodatnih ključeva, ali su obično prikladni za većinu računala na mreži. Međutim, za agresivno skeniranje kako bi se dobila maksimalna moguća informacija o računalu koje se ispituje, potrebno je ispravno postaviti parametre skeniranja. Kako biste odredili koja računala rade na mreži, Nmap vam dopušta korištenje nekoliko metoda mrežnog skeniranja - sve one spadaju u odjeljak Otkrivanje hosta.

Detekcija računala metodom Ping

Najjednostavnija metoda je otkrivanje pokrenutih računala pomoću Ping-a. Da biste to učinili, morate koristiti -sP prekidač na naredbenom retku. Nmapov mrežni skener šalje ICMP echo zahtjeve na zadanu IP adresu ili adrese i čeka odgovor. Ako se dobije odgovor, to znači da računalo koje se skenira radi, što se prikazuje kao rezultat skeniranja. Na sl. Slika 5 prikazuje rezultat korištenja ove metode.

Riža. 5. Rezultat skeniranja pomoću -sP

Međutim, danas mnoga računala koja imaju barem neku vrstu vatrozida nastoje blokirati ICMP zahtjeve, pa čak i ako je računalo uključeno, Nmap će javiti da računalo ne postoji na mreži. U ovom slučaju, Nmap koristi drugačiju metodu da utvrdi je li računalo na mreži. Razmatrani primjer skeniranja pinga temelji se na navedenoj tablici redoslijeda uspostavljanja veze.

Otkrivanje pomoću SYN/ACK i UDP paketa

Ako servis sluša port i Nmap pokuša uspostaviti vezu s njim (šalje paket sa SYN zastavom), servis može odgovoriti paketom sa SYN/ACK zastavicama, što će pokazati da računalo postoji na mreža. Ali ako nema usluge na ovom priključku, poslužitelj odgovara paketom s RST zastavom, što također ukazuje da postoji računalo na danoj IP adresi. Ako ništa nije primljeno od poslužitelja kao odgovor na poslani SYN paket, to znači da je ili računalo isključeno ili je promet blokiran vatrozidom. Kako bi se zaobišlo blokiranje vatrozida, razvijena je druga metoda skeniranja. Nmap skener obično šalje pakete sa SYN/ACK zastavicama i UDP paket na standardni port 80, koji se najčešće koristi za web promet i stoga ga vatrozid vrlo rijetko blokira. Pomoću sklopki -PS, -PA i -PU možete odrediti koji će paket biti poslan na poslužitelj i na koji port. Primjer ovih naredbi prikazan je na sl. 6. Usput, naziv porta je napisan zajedno s vrstom paketa: -PS80,81.

Riža. 6. Rezultat skeniranja pomoću -PA, -PS i -PU

Detekcija računala pomoću različitih ICMP paketa

Gornja metoda ne dopušta vam točno određivanje prisutnosti računala na mreži. Nmap mrežni skener ima još jednu mogućnost utvrđivanja prisutnosti računala na mreži. Da biste koristili ovu značajku, morate navesti dodatne prekidače -PE, -PP ili -PM. Prva metoda koristi ICMP echo zahtjeve, međutim, kao što je spomenuto, ICMP promet je često blokiran, tako da ova metoda nije uvijek primjenjiva, ali slijedeći ICMP specifikaciju, postoje i zahtjevi za vremensku oznaku i zahtjevi za masku adrese). Pomoću ovih metoda možete dobiti i odgovor s udaljenog računala, ali često ne daju željeni rezultat. Da biste koristili ICMP echo metodu, morate navesti ključ -PE; za druge dvije opisane metode morate navesti ključeve -PP i -PM. Na sl. Slika 7 prikazuje pokušaje skeniranja pomoću tri metode.

Riža. 7. Rezultat skeniranja pomoću tipki -PE, -PP i -PM

Onemogući otkrivanje računala prilikom skeniranja

U pravilu je nemoguće točno utvrditi je li računalo na mreži ili, ako postoji, skeniranje može biti blokirano vatrozidom. S tim u vezi, uvedena je opcija -P0, u kojoj se računalo koje se ispituje ne skenira radi prisutnosti na mreži (odnosno, uopće se ne pinga), već se skeniraju samo portovi računala. Prilikom korištenja ove opcije Nmap automatski pretpostavlja da su IP adrese koje se skeniraju na mreži i ne šalje zahtjeve za utvrđivanje prisutnosti računala na mreži, što značajno povećava brzinu skeniranja. Ova se opcija obično koristi za tajno skeniranje pomoću metoda koje će biti opisane u nastavku, budući da u ovom slučaju na računalu koje se ispituje ne ostaju informacije o ICMP zahtjevima za eho.

Prema zadanim postavkama, prilikom skeniranja IP adrese, Nmap dobiva informacije o nazivu računala iz DNS-a sustava. Da biste povećali brzinu skeniranja, možete onemogućiti ovu opciju dodavanjem prekidača -n. Usput, u gotovo svim programima i servisima koji su na ovaj ili onaj način povezani s mrežnim okruženjem, prekidač -n koristi se upravo u ovom značenju (netstat -n, route -n itd.). Također postoji nekoliko opcija koje vam omogućuju da dobijete naziv računala koristeći ne samo sistemski DNS, već i vanjske DNS poslužitelje. Za aktiviranje ove opcije morate pokrenuti Nmap s ključem --dns-poslužitelji , gdje su serv1 i serv2 adrese DNS poslužitelja. Osim toga, možete koristiti prekidač -R. Kao što je spomenuto, prema zadanim postavkama Nmap koristi DNS sustava za dobivanje naziva računala. Da biste ručno odredili ovu opciju, morate unijeti ključ --sustav-dns. Na sl. Slika 8 prikazuje primjere korištenja prekidača -n i -R --dns-servers.

Riža. 8. Korištenje sklopki -n i -R --dns-servers

Metode za skeniranje portova na udaljenom računalu

Nmap mrežni skener uključuje korištenje različitih metoda skeniranja za dobivanje potrebnih informacija. Međutim, napravimo rezervaciju da mnoge metode uključuju različite manipulacije s TCP paketnim zastavicama na niskoj razini, te stoga zahtijevaju root (superuser) ovlasti u sustavu za rad. Korištene metode mogu funkcionirati samo odvojeno jedna od druge; samo skeniranje UDP porta može se provesti istovremeno s drugim metodama skeniranja. Skeniranje portova temelji se na istoj metodi slanja paketa s promijenjenim zastavicama prilikom pokretanja TCP i UDP veza.

Skeniranje metodom SYN

Najčešća metoda, i zadana, je TCP SYN skeniranje. Za većinu računala koja se proučavaju ova je metoda dovoljna za određivanje otvorenih portova. TCP SYN skeniranje je najbrže u usporedbi s drugim metodama - može skenirati nekoliko stotina portova u sekundi, dok skeniranje računala drži u sjeni jer nikada ne prekida TCP vezu (većina pomoćnih programa za praćenje ne bilježi podatke o vezi). Za korištenje ove metode morate imati prava superkorisnika (root). Nmap skener šalje paket s oznakom SYN na računalo pod istragom, kao da želi otvoriti regularnu TCP vezu, slijedeći pravila navedena na početku članka. Ako je primljen odgovor (paket sa zastavicama SYN/ACK) od traženog hosta, port će biti označen kao otvoren, a ako je primljen paket sa zastavicom RST, bit će označen kao zatvoren. Ako skenirano računalo ne reagira, pretpostavlja se da je ovaj priključak filtriran vatrozidom. Za korištenje ove metode skeniranja morate pokrenuti Nmap s prekidačem -sS (Slika 9).

Riža. 9. Skeniranje pomoću sklopke -sS (TCP SYN skeniranje)

Kao što možete vidjeti na slici, većina portova je otvorena, ali neke blokira vatrozid.

Skeniranje korištenjem funkcije sustava connect().

Postoje situacije kada nemate dopuštenja superkorisnika, ali je potrebno skenirati udaljeno računalo. U ovom slučaju Nmap koristi metodu koja se temelji na uspostavljanju veze pomoću funkcije sustava connect() koju koristi većina aplikacija - p2p klijenti, preglednici i mrežne aplikacije. U tom slučaju Nmap šalje zahtjev samom operativnom sustavu koji uspostavlja TCP vezu. Ako je veza uspostavljena, port je označen kao otvoren, a ako nije, kao zatvoren. Nakon utvrđivanja statusa porta, Nmap prekida vezu, odnosno pomoću funkcije connect() šalje se paket s RST zastavom. Međutim, ova metoda ima jedan nedostatak: budući da je veza u potpunosti uspostavljena, ona ostaje u zapisnicima i zapisima skeniranog sustava, pa će stoga sustavi za nadzor gotovo uvijek odrediti koje je računalo izvršilo skeniranje. U tom smislu, ova metoda se rijetko koristi. Za pokretanje gornjeg skeniranja morate pokrenuti Nmap s prekidačem -sT. Primjer korištenja metode skeniranja pomoću funkcije sustava connect() prikazan je na sl. 10.

Riža. 10. Skenirajte pomoću -sT prekidača (TCP povezivanje() skeniranje)

Skeniranje portova UDP protokola

Ne zaboravite na UDP usluge, koje su gotovo jednako raširene kao i usluge koje koriste TCP protokol. Najčešći servisi koji koriste UDP protokol su DNS, SNMP i DHCP. Budući da je UDP skeniranje složenije i sporije od TCP skeniranja, mnogi ga sigurnosni sustavi zanemaruju i ignoriraju slušanje (filtriranje) na tim priključcima. Ali u ovom slučaju, servisi koji slušaju te portove također mogu biti osjetljivi na hakiranje, jer Nmap omogućuje da odredite koji portovi su otvoreni i koji servisi ih slušaju. Budući da je UDP drugačiji protokol od TCP-a, metoda skeniranja razlikuje se od prethodno spomenutih. Nmap šalje UDP paket s praznim zaglavljem na sve portove koje ispituje i čeka odgovor. Ako kao odgovor primi ICMP paket s greškom nedostupan, port se smatra zatvorenim. Kada prima pakete s drugim pogreškama, Nmap pretpostavlja da port filtrira vatrozid. Primljeni UDP paket odgovora označava prisutnost usluge, a port je označen kao otvoren. Ako se nakon nekoliko pokušaja ne dobije odgovor, Nmap označava port kao otvoren|filtriran jer ne može sa sigurnošću utvrditi je li port otvoren ili blokira li vatrozid promet na tom portu. Osim toga, mnoga računala mogu slati samo ograničen broj ICMP poruka o pogrešci u sekundi. To je učinjeno radi zaštite od preopterećenja mreže. Za razjašnjenje statusa porta, možete koristiti -sV prekidač (u ovom slučaju, Nmap pokušava odrediti servis koji radi na skeniranom portu i njegovu verziju), ali tada se brzina skeniranja smanjuje za red veličine. UDP skeniranje može se izvoditi istovremeno s bilo kojom metodom TCP skeniranja, jer koriste različite protokole. UDP skeniranje se pokreće kada je naveden prekidač -sU. Razlike u brzini prikazane su na sl. 11, koji pruža sekvencijalne primjere skeniranja bez -sV opcije i njezine upotrebe.

Riža. 11. UDP skeniranje sa i bez prekidača -sV

Slika pokazuje da je skeniranje pomoću opcije otkrivanja verzije usluge trajalo gotovo 10 puta dulje (54 sekunde naspram 4) nego bez nje. Ali ova je opcija pomogla utvrditi da su UDP priključci 53 i 137 otvoreni, iako prethodno skeniranje nije moglo točno odrediti njihov status. Istodobno, ni ova opcija ne pomaže uvijek u dobivanju pouzdanih informacija - od devet luka s neizvjesnim statusom samo su dvije točno identificirane (53. i 137.). Nmap također omogućuje postavljanje vremena odgovora za računalo koje se ispituje, čime se uklanjaju spori hostovi i značajno povećava brzina UDP skeniranja. Opcija odgovorna za odgovor skeniranog računala može se koristiti ne samo s UDP skeniranjem, već i sa svim drugim metodama. Za korištenje ove opcije morate unijeti ključ --hosts-timeout , gdje je s vrijeme odgovora u milisekundama.

Skeniranje metodama FIN, Xmas i Null

Budući da se TCP veza temelji na trosmjernom rukovanju o kojemu je bilo riječi na početku članka, prekidom slijeda povezivanja također je moguće dobiti informacije o zatvorenim i otvorenim portovima hosta koji se ispituje. Postoji FIN metoda skeniranja u kojoj se paketi s FIN zastavom šalju udaljenom hostu, što se obično koristi pri zatvaranju veze. U tom slučaju zatvoreni priključak računala, u skladu sa specifikacijom TCP protokola, mora poslati paket odgovora s RST zastavom. Ako je port otvoren ili blokiran vatrozidom, neće biti odgovora. Kao iu slučaju SYN skeniranja, veza nije u potpunosti uspostavljena, tako da možda neće ostati nikakve informacije u zapisima sustava hosta koji se istražuje, dok u isto vrijeme većina sustava za nadzor može zabilježiti ovu vrstu skeniranja. Ova metoda je tajnovitija od skeniranja TCP veze i omogućuje vam da odredite je li port zatvoren ili otvoren (blokiran), tako da postoji nekoliko modifikacija ove metode. Kada koristite metodu nultog skeniranja, umjesto paketa s FIN zastavom, šalje se paket s praznim zaglavljem (0 bitova, sve zastavice onemogućene). Ova metoda radi prema gore opisanom principu. Druga metoda koja ima sličan algoritam rada zove se Božićno skeniranje. U ovom slučaju domaćinu se šalje paketić obojen s nekoliko zastavica (FIN, PSH i URG) u stilu božićnog drvca. Svaka od razmatranih metoda ima svoje ključeve: -sN, -sF i -sX (Null-, FIN- i Božićno skeniranje). Na sl. 12 prikazani su primjeri skeniranja sva tri tipa, a za usporedbu na Sl. 13 - SYN metoda skeniranja.

Riža. 12. Skeniranje pomoću sklopki -sN, -sF i -sX

Kada se uspoređuju rezultati skeniranja pomoću SYN i Null, FIN i Xmas, jasno je da uz njihovu pomoć mnogi portovi nisu identificirani kao potpuno otvoreni, već samo kao otvoreni|filtrirani. To je zato što većina Windows operativnih sustava, Cisco mrežni uređaji i drugi ne slijede uvijek specifikacije, pa će rezultat takvog skeniranja za ove vrste sustava najvjerojatnije biti negativan. U isto vrijeme, skeniranje s ove tri metode prikladno je za prepoznavanje otvorenih portova na sustavima baziranim na UNIX-u koji slijede specifikaciju TCP protokola, a također vam omogućuje zaobilaženje mnogih vatrozida i filtriranja paketa.

Riža. 13. SYN skeniranje

Skeniranje pomoću raznih zastavica

Nmap omogućuje postavljanje oznaka koje će se koristiti za ovu vrstu skeniranja, za što je potrebno pokrenuti program s preklopkom --scanflags. U ovom slučaju vrste zastavica mogu biti različite - URG, ACK, PSH, RST, SYN i FIN. Sintaksa naredbe je sljedeća: Nmap --scanflags URGACKPSHRSTSYNFIN. Osim ove naredbe, možete odrediti dvije metode skeniranja: -sA i -sF (ako nisu navedene, SYN metoda skeniranja se koristi prema zadanim postavkama).

Skeniranje pomoću ACK i Window metoda

Za određivanje koji su portovi na računalu u filtriranom statusu, a koji u nefiltriranom statusu, postoji posebna vrsta skeniranja - ACK. Također se može omogućiti korištenjem --scanflags ACK sklopke. Budući da mnogi vatrozidi gledaju samo SYN pakete na određenom portu, vršeći filtriranje, slanjem paketa s ACK zastavom, postoji velika vjerojatnost utvrđivanja postoji li vatrozid na računalu koje se ispituje ili ne. U ovom slučaju, paket s ACK zastavicom ne šalje se kao dio veze, već zasebno. Ako primatelj pošalje povratni paket s RST zastavom (prema tome, port nije blokiran vatrozidom), port je označen kao nefiltriran, ali ako host ne odgovori na paket, tada je na njemu instaliran vatrozid a port je u statusu filtriranja. Da biste aktivirali ovu metodu, morate pokrenuti Nmap s prekidačem -sA. Na sl. Slika 14 prikazuje primjer ove metode skeniranja.

Riža. 14. Skenirajte koristeći ACK metodu

Budući da je računalo već ispitano pomoću SYN skeniranja (vidi sliku 13), možemo reći da ACK skeniranje može odrediti status samo nekih host portova. Ova metoda ima analog koji radi na istom principu, ali malo drugačije tumači rezultate primljene od domaćina. Skeniranje TCP prozora pretpostavlja da na nekim hostovima usluge koriste pozitivno polje prozora u paketu odgovora (ne nulu). Stoga, koristeći ovu metodu, Nmap analizira zaglavlja dolaznih paketa s RST zastavom, i ako dolazni paket sadrži pozitivnu vrijednost polja, tada Nmap označava ovaj port kao otvoren. Primanje paketa s vrijednošću polja nula znači da je port zatvoren. Za aktiviranje ove metode skeniranja morate unijeti sklopku -sW.

Maimon skeniranje

Druga metoda skeniranja koja se temelji na trosmjernoj vezi je metoda koju je opisao stručnjak po imenu Uriel Maimon. Njegova metoda je gotovo identična metodama FIN, Xmas i Null, osim što se paketi šalju s FIN/ACK zastavicama. Ovdje, ako je port zatvoren, host bi trebao odgovoriti RST paketom. Za aktiviranje ove metode skeniranja morate unijeti sklopku -sM.

Sve gore navedene metode temelje se na istoj trosmjernoj metodi povezivanja za TCP vezu.

Prikriveno skeniranje pomoću algoritma idlescan

Nijedna od spomenutih metoda ne dopušta vam potpuno skrivanje IP adrese glavnog računala za skeniranje. Budući da krivotvorenje IP adrese odlaznog paketa nije tako teško, pronađena je metoda skeniranja u kojoj host koji se istražuje ne može odrediti točnu IP adresu računala s kojeg se vrši skeniranje. Idlescan metoda je gotovo identična SYN skeniranju u svom algoritmu rada. Da biste razumjeli kako je IP adresa računala za skeniranje skrivena, morate znati da svaki IP paket ima svoj vlastiti identifikacijski broj fragmenta (IPID). Mnogi operativni sustavi povećavaju ovaj broj za svaki sljedeći poslani paket, tako da možete lako odrediti koliko je paketa host poslao. Vrijedno je uzeti u obzir da ako računalo primi paket sa zastavicama SYN/ACK s adrese s koje nije zatražilo vezu, tada će kao odgovor poslati paket s zastavicom RST. Ova metoda uključuje korištenje drugog "zombi" računala, u ime kojeg će se paketi slati na skenirano računalo. Zatim ćemo razmotriti algoritam metode idlescan.

Neka računalo koje skenira bude napadač, zombi računalo zombi, a računalo koje se skenira meta.

Prvi slučaj - luka koja se ispituje je otvorena:

  • napadač šalje paket sa zastavicama SYN/ACK zombiju, a kao odgovor zombi šalje paket sa zastavicom RST. Ovaj paket, na primjer, ima identifikacijski broj (IPID) 123;
  • napadač šalje paket s oznakom SYN na željeni port u ime zombi računala;
  • target šalje zahtjev za odgovor sa SYN/ACK zastavicama zombi računalu. Kao odgovor, zombi šalje paket s RST zastavom ciljnom računalu, budući da zombi nije namjeravao uspostaviti vezu s njim. Ovaj paket ima broj uvećan za jedan - IPID 124;
  • napadač šalje paket s oznakom SYN/ACK zombiju računala, kao odgovor zombi šalje paket s oznakom RST. Ovaj paket ima IPID povećan za dva - 125.

Drugi slučaj - port je zatvoren:

  • napadač šalje paket sa zastavicama SYN/ACK zombiju, kao odgovor zombi šalje paket sa zastavicom RST. Ovaj paket, na primjer, ima identifikacijski broj (IPID) 123;
  • napadač šalje paket s oznakom SYN na željeni port u ime zombi računala;
  • meta šalje paket s RST zastavom zombi računalu. zombi ne šalje ništa kao odgovor;
  • napadač šalje paket s oznakom SYN/ACK zombiju računala, kao odgovor zombi šalje paket s oznakom RST. Ovaj paket ima IPID povećan za jedan, 124.

Dakle, jednostavnom aritmetikom možete izračunati je li port otvoren ili zatvoren na računalu koje se proučava. Prednost ove metode je u tome što je vrlo teško identificirati IP adresu računala koje skenira, budući da ciljno računalo vjeruje da je skeniranje izvršilo zombi računalo, a zahtjevi računala koje skenira ostaju samo u zapisima zombija. Za aktiviranje ove metode skeniranja morate unijeti sklopku -sI , gdje je zombie naziv ili IP adresa računala u čije ime će se vršiti skeniranje, a port je port za komunikaciju između računala koje skenira i zombija (80 prema zadanim postavkama, jer je na većini računala ovaj port otvoren za web promet ). Primjer skeniranja ovom metodom prikazan je na sl. 15, primjer SYN skeniranja je također prikazan za usporedbu.

Riža. 15. Skeniranje metodom idlescan

Kao što se može vidjeti sa slike, “zombie” računalo bilo je osobno računalo s IP adresom 10.0.0.79, a skenirano računalo imalo je IP adresu 10.0.0.62. Nakon analize rezultata, može se tvrditi da metoda idlescan ne određuje uvijek točno status porta (je li otvoren ili blokiran vatrozidom). Osim toga, ako usporedimo vrijeme skeniranja, brzina SYN metode je mnogo veća, budući da kada idlescan skenira Nmap ponekad mora slati pakete nekoliko puta, budući da i zombi računalo može intenzivno raditi i aktivno razmjenjivati ​​pakete, srušiti na taj način IPID brojač, koji Nmap izračunava. Ova metoda je najpoželjnija ako trebate sakriti skeniranje, međutim, još uvijek ne daje točnu sliku otvorenih portova na računalu koje se ispituje. Preporuča se pokrenuti ovu vrstu skeniranja s prekidačem -P0, budući da u tom slučaju Nmap ne ispituje host prije skeniranja. U nekim slučajevima, ako se zombi računalo ponaša agresivno i ometa primanje rezultata skeniranja (ne može prikazati rezultate skeniranja), a potrebno je dobiti informacije o otvorenim portovima, možete koristiti opciju -v -v (verbose mode). U ovom načinu rada Nmap prikazuje sve usluge i primljene informacije na zaslonu online.

Skeniraj otvorene protokole

U nekim slučajevima potrebno je definirati otvorene protokole na udaljenom računalu. Budući da je svakom IP protokolu prijenosnog sloja dodijeljen vlastiti redni broj, a svaki IP paket ima polje protokola koje označava vrstu zaglavlja paketa i broj protokola, možete saznati koji su protokoli otvoreni na računalu koje testirate. Kako bi utvrdio je li protokol dostupan na hostu, Nmap šalje nekoliko paketa s praznim zaglavljem koji sadrži samo broj protokola u polju za protokol. Ako je protokol nedostupan, računalo će vratiti ICMP poruku "protocol unavailable". Ako host ne odgovori niti jednim paketom, to može značiti da je ili protokol dostupan ili vatrozid blokira ICMP promet. Ova je situacija vrlo slična UDP skeniranju, gdje je također nemoguće točno odrediti je li port otvoren ili filtriran vatrozidom. Da biste omogućili skeniranje protokola, morate koristiti prekidač -sO. Na sl. 16 prikazuje primjer korištenja ove metode.

Riža. 16. Potražite dostupne protokole

Nmap kao rezultat daje otvorene i filtrirane protokole jer može točno odrediti ovaj status. Preostali skenirani protokoli označeni su kao otvoreni|filtrirani.

Nevidljivo skeniranje metodom odbijanja ftp-a

Nmap mrežni skener podržava metodu ftp bounce scanninga, čija je suština sposobnost ftp poslužitelja da šalje datoteke trećoj strani. Budući da se ova funkcija vrlo često koristi u druge svrhe (skeniranje, pokušaji hakiranja), mnogi ftp poslužitelji je više ne podržavaju ili blokiraju. Metoda odbijanja ftp-a omogućuje skeniranje portova udaljenog računala u ime ftp poslužitelja. Računalo za skeniranje šalje zahtjev FTP poslužitelju za uspostavljanje TCP veze na određenom priključku s računalom koje se skenira radi prijenosa datoteke. Analizom primljenih pogrešaka s ftp poslužitelja Nmap može odrediti je li port otvoren ili zatvoren. U tom slučaju je osigurana tajnost skeniranja, budući da je za računalo koje se ispituje inicijator veze FTP poslužitelj, a ne računalo koje skenira. Ova metoda je prvenstveno prikladna jer, u pravilu, vatrozid dopušta promet s poznatog ftp poslužitelja, budući da potonji obično ima više prava pristupa i vanjskim i unutarnjim mrežnim resursima. Tako postaje moguće zaobići filtere portova i vatrozide koji ne dopuštaju promet prilikom skeniranja drugim metodama. Da biste skenirali računalo ovom metodom, morate pronaći odgovarajući ftp poslužitelj koji podržava opisanu funkciju i login/lozinku za prijavu na ovaj ftp poslužitelj. Za pokretanje Nmapa prilikom skeniranja ovom metodom morate navesti ključ -b , gdje su korisničko ime i lozinka prijava i lozinka za prijavu na ftp poslužitelj, a poslužitelj naziv ili IP adresa poslužitelja. Prema zadanim postavkama, ako ne koristite ključ:port, Nmap će se pokušati spojiti na ftp poslužitelj na standardnom portu 21. Na sl. Slika 17 prikazuje primjer ove metode.

Riža. 17. Skenirajte metodom odbijanja ftp-a

Kao što se može vidjeti sa slike, skeniranje ovom metodom dalo je pozitivne rezultate. Međutim, skeniranje ovom metodom nije uvijek moguće jer vrlo često ftp poslužitelj ne može uspostaviti vezu s udaljenim računalom koristeći privilegirane priključke (ispod 1024). Za takve pogreške Nmap prikazuje liniju vaš ftp bounce server ne dopušta privilegirane priključke ili recv problem s ftp bounce poslužitelja. Kao i kod idlescan skeniranja, za skrivanje prisutnosti, preporučuje se navesti -P0 prekidač kako Nmap ne bi pokušavao poslati ICMP echo zahtjeve računalu koje se skenira. Vrijedno je obratiti pozornost na često zamrzavanje Nmapa kada se koristi ftp bounce do određenih hostova. Kako biste ipak dobili potrebne informacije, trebate pokrenuti Nmap s -v -v opcijama, uz pomoć kojih će mrežni skener prikazati primljene informacije online.

Skenirane postavke priključka

Nmap skener ima mnogo dodatnih postavki. U tablici 3 opisuje postavke vezane za skeniranje portova.

Tablica 3. Postavke ulaza skeniranja

Prema zadanim postavkama, Nmap skenira sve portove, uključujući privilegirane portove (0 do 1024) i portove definirane u datoteci Nmap-services. Programeri stalno ažuriraju ovu datoteku i uključuje priključke koje koriste uobičajene aplikacije i usluge. Datoteka sadrži naziv usluge, njen opis i protokol koji koristi. Budući da Nmap omogućuje skeniranje ne samo TCP već i UDP portova, korištenjem -p prekidača možete jasno odrediti protokol i njegov port. Skeniranje 25. UDP i 80. TCP porta izgledat će ovako: Nmap -p U:25,T:80.

Određivanje verzija pokrenutih usluga

Kao što je navedeno na početku članka, Nmap s visokim stupnjem vjerojatnosti omogućuje određivanje verzije operativnog sustava koji se izvodi na udaljenom računalu. U isto vrijeme, Nmap također može identificirati verzije servisa koji se izvode na udaljenom računalu, pod uvjetom da su portovi određenog servisa otvoreni. Određivanje verzije OS-a i usluga pomoći će vam da dobijete jasniju sliku o tome koliko je računalo koje se istražuje ranjivo i koje rupe u uslugama mogu ostati otvorene za hakiranje. Za dobivanje informacija o verziji pokrenute usluge ili operativnog sustava, Nmap koristi svoju bazu podataka, koja uključuje specifične oznake specifične za ovu verziju softvera. Informacije se prikupljaju nakon bilo kojeg skeniranja bilo kojom metodom analiziranja otvorenih portova. Utvrđivanje verzija programa ne daje uvijek pozitivan rezultat, ali u većini slučajeva informacije dobivene na ovaj način pomažu da se dobije predodžbu o sustavu koji se koristi na udaljenom računalu. U slučaju da Nmap primi informacije o hostu, ali ih ne može usporediti s određenim opisom u svojoj bazi podataka, program prikazuje rezultat na ekranu. Ako želite, ako je verzija OS-a ili usluge poznata, ali ju Nmap nije mogao odrediti, možete kopirati izlaz i poslati ga programeru - ovaj deskriptor će biti uključen u sljedeću verziju programa. U tablici Slika 4 prikazuje ključeve za određivanje verzija servisa koji se izvode na udaljenom hostu.

Tablica 4. Postavke skeniranja za određivanje verzija usluge

Prekidač -allports, prikazan u tablici. 4 se općenito ne koristi, jer ako je ova opcija uključena, Nmap će također slati pakete na TCP priključak 9100. To je zato što mnogi pisači imaju sljedeći nedostatak: kada primaju pakete na priključku 9100, automatski ispisuju primljene informacije i, Za izbjegavajte brda oštećenog papira, TCP port 9100 se preskače prilikom određivanja verzije.

Određivanje verzije OS-a na udaljenom računalu

Naravno, jedna od najzanimljivijih opcija je određivanje operativnog sustava udaljenog računala. U ovom slučaju koristi se modernizirana metoda za određivanje verzija pokrenutih usluga. Nmap izvodi različite testove slanjem paketa preko različitih protokola pod različitim uvjetima na računalo koje se testira. Uspoređujući dobivene rezultate s referentnim vrijednostima navedenim u datoteci Nmap-os-fingerprints, program proizvodi zbirni rezultat za računalo. Ovisno o količini i kvaliteti primljenih informacija, Nmap može odrediti proizvođača OS-a, njegovu približnu verziju i vrstu opreme, budući da krajnji rezultat skeniranja nije uvijek računalo - to može biti i router, upravljani switch itd. Kako biste aktivirali ovu metodu skeniranja, morate navesti prekidač -O, kao i prekidač -A koji aktivira detekciju verzije operativnog sustava i verzija pokrenutih servisa. Na sl. 18 prikazuje primjer definiranja OS-a.

Riža. 18. Definicija operacijskog sustava

Postavke vremenske odgode

Privremeno je određena visoka radna brzina s parametri za odgovore i slanje paketa. Prema zadanim postavkama, Nmap koristi najučinkovitije postavke vremena kako bi proizveo vjerodostojne rezultate skeniranja. Međutim, sigurnosni stručnjaci koji koriste ovaj skener možda će trebati posebne privremene postavke za određene metode skeniranja. s x konstante S tim u vezi, programeri Nmapa su predvidjeli ručno postavljanje nekih konstanti, kao i mogućnost postavljanja “rasporeda” skeniranja. Neke opcije koriste postavku vremena, koja je prema zadanim postavkama milisekundi, ali moguće je napisati vrijeme kao s, m i h - ti se doslovni argumenti dodaju na kraj numeričke vrijednosti, uvelike skraćujući zapis i pojednostavljujući ga. Na primjer, 600000, 600s, 10m označavaju isto vrijeme. Privremeno navođenje mogućih ključeva s x parametri i performanse dani su u tablici. 5.

Tablica 5. Postavke vremena i izvedbe

Raspored skeniranja

Kao što je gore navedeno, Nmap vam omogućuje postavljanje rasporeda skeniranja kako biste pokušali sakriti svoju prisutnost od vatrozida i sigurnosnih sustava. Postoji šest rasporeda skeniranja: Paranoidni, Podmukli, Pristojni, Normalni, Agresivni i Ludi, s tim da je Normalni raspored zadani. Privremeni s Kašnjenja i drugi pridruženi čimbenici dati su u tablici. 6.

Tablica 6. Karakteristike različitih rasporeda skeniranja

Dodatne opcije naredbenog retka

Gore su opisane gotovo sve najvažnije opcije naredbenog retka. U nastavku su navedeni neki najčešće korišteni parametri:

  • -S - korištenje tuđe IP adrese u paketima koji se šalju na računalo. U tom slučaju, poslužitelj će vratiti odgovor na navedenu adresu;
  • -e - koristiti samo specifično mrežno sučelje, na primjer Nmap –e eth0;
  • -v; -d- prikaz trenutnog statusa skeniranja na mreži. Direktiva -d omogućuje debug mod, koji prikazuje sve moguće informacije o trenutnom stanju rada, kao i greške i njihove kodove;
  • -g (alternativa --izvorni-port ) - omogućuje odabir izvorišnog porta s kojeg će se paketi slati tijekom skeniranja;
  • -duljina podataka - omogućuje postavljanje veličine paketa u bajtovima. Zadane vrijednosti su 40 i 28 za TCP i ICMP zahtjeve;
  • -ttl - omogućuje postavljanje vremena za IP paket u polju time-to-live;
  • -spoof-mac - omogućuje vam postavljanje različite MAC adrese (fizičke) za okvire. Primjer primjene: Dlink, 0, 01:02:03:04:05:06;
  • -badsum- šalje TCP i ICMP pakete s oštećenim kontrolnim zbrojem. Vatrozidi ili sigurnosni sustavi obično će odgovoriti na takav paket;
  • -6 - koristite skeniranje za IPv6 mreže. U tom slučaju morate navesti IPv6 adresu ili naziv glavnog računala;
  • -log-pogreške- sve greške se bilježe u log datoteku;
  • -na; -oM; -oS; -oA; -oG - snimanje skeniranja u dnevnik. Vrste zapisa razlikuju se po načinu pohranjivanja informacija. Opcija -oN bilježi nakon što se informacija pojavi na ekranu, a opcija -oA bilježi sve moguće formate odjednom u datoteke s nazivom file i raznim ekstenzijama (*.xml, *.gNmap, *.Nmap).

Zaključak

Naravno, nisu sve mogućnosti skenera dovoljno razmotrene. Većina korisnika ograničena je na standardne metode skeniranja. Nmap skener nije namijenjen samo običnim korisnicima mreže, već i sistemskim administratorima i programerima sigurnosnih sustava, a mnogi alati bit će im korisni u radu. Nmap se stalno ažurira i poboljšava. Budući da je, kao i mnogi drugi programi za Linux sustave, besplatan, svatko može doprinijeti njegovom pisanju.

Zaključno, želio bih napomenuti da su mrežni skeneri i drugi slični programi stvoreni prvenstveno za sprječavanje hakiranja ili aktivnih napada. Skeniranjem vašeg računala sasvim je moguće otkriti ne samo brojne otvorene portove, već čak i trojanca kojeg antivirus nije primijetio. Stoga će sposobnost rada s takvim softverom uvijek pomoći u teškom zadatku borbe protiv hakiranja. Razmatrani mrežni skener pruža korisniku najširi mogući raspon različitih vrsta skeniranja i dodatnih mogućnosti nadzora. Odabirom i kombiniranjem različitih tehnika skeniranja možete saznati podatke o računalu ili mrežnom uređaju koji pokreće bilo koji operativni sustav.

Nekoliko primjera rada s prekrasnim mrežnim skenerom - NMAP

Skenirajte mrežu tražeći aktivne hostove:

$ nmap -sn 192.168.1.0/ 24

Skeniranje popisa hostova/mreža iz datoteke:

$ nmap -iL input.txt

Format datoteke:

Unosi mogu biti u bilo kojem formatu s kojim Nmap radi iz naredbenog retka (IP adrese, imena hostova, CIDR, IPv6 ili rasponi okteta). Unosi moraju biti odvojeni jednim ili više razmaka, tabulatorima ili novim redovima.

$ cat input.txt server.test.com 192.168.1.0/ 24 192.168.2.1,2 ,3 192.168.3.0-200

Skeniraj više IP adresa:

$nmap 192.168.1.1 192.168.1.2 192.168.1.3 $nmap 192.168.1.1,2,3


5. Isključivanje IP/hostova/mreža iz skeniranja

Isključi ciljeve iz Nmap skeniranja:

$nmap 192.168.1.0/ 24 --isključi 192.168.1.1 $nmap 192.168.1.0/ 24 --isključi 192.168.1.1 192.168.1.5 $nmap 192.168.1.0/ 24 --isključi 192.168.1.1,2 ,3

Isključi popis hostova preuzetih iz datoteke:

$ nmap 192.168.1.0/ 24 --excludefile exclude.txt

6. Skenirajte određene priključke

Skeniraj jedan priključak:

$ nmap -p 80 192.168.1.1

Skeniraj više portova:

$ nmap -p 80,443 192.168.1.1

Raspon priključaka skeniranja:

$ nmap -p 80 -1000 192.168.1.1

Skeniraj sve priključke:

$ nmap -p "*" 192.168.1.1

Skenirajte otvorene portove

$ nmap -Pn 192.168.1.1

7. Određivanje podržanih IP protokola

Odredite koje IP protokole (TCP, UDP, ICMP, itd.) podržava skenirani host:

$ nmap -sO 192.168.1.1

8. Skeniranje TCP/UDP portova

Skeniraj sve TCP portove:

$ nmap -sT 192.168.1.1

Skeniraj određene TCP portove:

$ nmap -p T:80 192.168.1.1

Skeniraj sve UDP portove:

$ nmap -sU 192.168.1.1

Skeniraj određene UDP portove:

$ nmap -p U:53 192.168.1.1

Kombiniranje skeniranja različitih portova:

$ nmap -p U:53,79,113,T:21 -25,80,443,8080 192.168.1.1

9. Brzo skeniranje

Aktivirajte način brzog skeniranja:

$ nmap -F 192.168.1.1

Prikaži uzrok statusa priključka

Prikaži razlog zašto Nmap misli da je priključak u određenom stanju:

$ nmap --razlog 192.168.1.1

11. Prikaži samo otvorene priključke

Prikaži samo otvorene portove (ili eventualno otvorene):

$ nmap --otvori 192.168.1.1

Prikaži samo otvorene 22. priključke:

Nmap -p22 --otvori 192.168.1.1

12. Definicija OS-a

Omogući otkrivanje OS-a:

$ nmap -O 192.168.1.1

* Identificira udaljeni operativni sustav pomoću TCP/IP otiska prsta.
13. Određivanje verzije usluga

Omogući otkrivanje verzije usluge:

$ nmap -sV 192.168.1.1

* Određuje verzije programa koji se izvode na udaljenom poslužitelju.
14. Detekcija vatrozida

Saznajte je li vaše računalo zaštićeno bilo kojim filtrom paketa ili vatrozidom:

nmap -oX output.xml 192.168.1.1

Nmap -A 192.168.1.2

Ova naredba će vam omogućiti pokretanje svih skripti i mnoge druge opcije, ovdje je opis iz izbornika pomoći: Omogući otkrivanje OS-a, otkrivanje verzije, skeniranje skripte i traceroute.
Na primjer, za uslugu Samba (port 445), pokazat će sljedeće:

Rezultati host skripte:
| smb-security-mode:
| account_used: gost
| razina_autentikacije: korisnik
| challenge_response: podržano
|_ message_signing: onemogućeno (opasno, ali zadano)

Danas gotovo svaki korisnik može odgovoriti na pitanje što je IP mrežni skener. Ovo je poseban sniffer program koji identificira određeni računalni terminal na lokalnoj mreži ili prilikom uspostavljanja internetske veze. Kako ovaj sustav funkcionira ostaje samo nagađati. Što je mrežni skener? Konvencionalno, sve naredbe ili programi ove vrste mogu se podijeliti u nekoliko klasa ovisno o parametrima koji se definiraju. Trebalo bi biti jasno da softverski mrežni skener mora raditi u nekoliko načina, uključujući određivanje vanjskih i internih IP adresa povezanih uređaja, prepoznavanje bežičnih mreža, pokretanje dijagnostičkog sustava i pristup resursima na temelju HTTP i FTP protokola.

Alati operativnog sustava Windows za skeniranje

U operacijskim sustavima iz obitelji Windows postoji poseban alat za određivanje IP adresa koji se u pravilu automatski postavljaju od strane davatelja usluga u mrežnim postavkama trebate postaviti ovu postavku - Automatski nabavite haljinu za iPad. U istom načinu rada postavljeni su pristupnik i maska ​​podmreže. Primarni i alternativni DNS poslužitelji se u ovom slučaju ne koriste. U nekim slučajevima njihove se adrese moraju unijeti ručno, osobito ako se postavljanje provodi putem Googleovih usluga. Međutim, možete prepoznati bilo koju internu adresu pomoću najjednostavnije naredbe ping, koju je potrebno unijeti iz odgovarajuće konzole koja označava internu adresu lokalnog računala ili terminala koji se spaja na korporativnu mrežu. Za pregled svih adresa uređaja koji su trenutno spojeni na jedan od mrežnih protokola, morate koristiti naredbu ipconfig. Mnogi korisnici podcjenjuju naredbeni redak. Ali upravo ovdje, kada navedete dodatak glavnoj naredbi u obliku renew ili release6, možete primijeniti automatske postavke IPv6 protokola ili čak ažurirati konfiguraciju s postavkama DHCP poslužitelja.

Eksterni zahtjev temeljen na naredbi ping

Što se tiče eksternih zahtjeva primljenih putem naredbe ping, njih većinom postavlja samo mrežni administrator ili provider. Nedostatak ove metode je određivanje vanjske adrese IP uređaja spojenog na Internet. U tom slučaju interna adresa može biti skrivena ili dodijeljena automatski. Prilikom provjere virtualnih WLAN mreža izvodi se samo pinganje ADSL modema ili usmjerivača. Njegova adresa ni na koji način ne odgovara adresi terminala lokalnog računala.

Skener Wi-Fi mreže

Prijeđimo izravno na razmatranje softverskih proizvoda. Vjerojatno nije vrijedno spominjanja da u istom Google Playu možete preuzeti besplatni uslužni program koji može prepoznati virtualne mreže koje se nalaze u blizini korisnika. Ako dobro pretražite internet, možete pronaći ne samo mrežni skener, već i čitav softverski paket koji vam omogućuje probijanje lozinke, pa čak i djelovanje kao anonimizator. Ovo je pomalo poput korištenja virtualnih proxy poslužitelja i pristupnih protokola. Suština pitanja svodi se na identifikaciju neiskorištene adrese ili povezivanje s njom. Dakle, bilo koji skener IP adresa na mreži određuje ih na temelju onih koje je dodijelio davatelj. Sama usluga, pod uvjetom da koristi virtualni proxy poslužitelj, o tome može samo nagađati.

Najjednostavniji programi

Među svom raznolikošću koja se danas može naći na Internetu, najpopularniji su sljedeći softverski proizvodi:

— skener javnih bežičnih mreža Free WiFi Detector;

— lokalni skener portova i IP adresa Net Scan;

— alat za bežične mreže InSSiDer;

— sustav za provjeru slobodnih adresa koje nisu uključene u lokalne veze - Angry IP Scanner.

Svi mrežni skeneri gore spomenutog tipa rade na istom principu. Ovo je određivanje vanjske IP adrese povezanog uređaja, bez obzira koristite li mobilni uređaj, prijenosno ili stolno računalo. Sve aplikacije koje spadaju u kategoriju programa “Windows 7 Network Scanner” koriste skrivenu naredbu ping, koje korisnik možda nije ni svjestan. U ovom slučaju, vanjski zahtjev se provodi ne u obliku operacije koju izvodi Windows, već na temelju vlastitog razvoja, uzimajući u obzir korišteni protokol i DHCP poslužitelj. U tom slučaju može doći do kvarova u opciji povezivanja proxy poslužitelja. Za promjenu ovih postavki morate koristiti postavke mreže ili mrežnog adaptera. Moraju biti postavljeni tako da zabranjuju korištenje proxyja za lokalne adrese. Ovo su barem postavke IPv4 protokola. U isto vrijeme, mobilne aplikacije su prilično popularne. U najjednostavnijoj verziji može se dati sljedeći primjer. Recimo da korisnik dođe u kafić i hitno mora poslati e-mail ili napisati poruku. Ne zna lozinku za pristup virtualnoj mreži. Ako imate odgovarajuću aplikaciju instaliranu na tabletu ili pametnom telefonu, mrežni skener će raditi automatski. Otkrit će najbliži bežični krug. Ovisno o softverskom proizvodu, može postojati i mogućnost pristupa mreži bez lozinke. Međutim, ova opcija je nezakonita. Vjerojatno nema potrebe još jednom podsjećati da danas postoji ogroman broj hakera, među kojima se ponekad nalaze i aplikacije ove vrste. Pritom nitko ne shvaća da skener mrežne IP adrese samo utvrđuje izvor preko kojeg se ostvaruje internetska veza i pristup mreži.

Zaključak

Najgore je što niti jedan program ove vrste, prilikom skeniranja vanjskih i unutarnjih adresa, ne može zaobići konfiguracijsku datoteku hostova koja pohranjuje podatke o pozivima na standardne adrese. Njegov sadržaj ponekad može imati unose koji blokiraju određene resurse. Pristup ovim postavkama u operativnim sustavima Windows obitelji ima vrlo visok prioritet, čak iu odnosu na proxy i DNS poslužitelje. Stoga, kada instalirate mrežni skener, morate razmisliti o uputnosti korištenja ovog softverskog proizvoda. Nažalost, aplikacije skenera koje ne kontrolira operativni sustav Windows mogu uzrokovati sukobe na razini sustava. Na primjer, može biti blokiran rad nekih dinamičkih biblioteka koje su potrebne za ispravno funkcioniranje sustava Windows i upravljačkih programa uređaja. Također biste trebali obratiti pozornost na zakonitost prodiranja u određene virtualne mreže, a da ne spominjemo instaliranje softvera preuzetog iz neslužbenih izvora.

TCP skeniranje.

Koristeći TCP metodu povezivanja, nmap će skenirati raspon portova (1-65535) računala s IP adresom, -sV opcija se koristi za dobivanje verzija pokrenutih usluga:

$ nmap -sV xxx.xxx.xxx.xxx -p 1-65535

Također vrijedi napomenuti da imamo SERVIS i DRŽAVU na terenu.

Polje SERVICE uvijek prikazuje vrijednost iz datoteke /etc/services koja odgovara broju priključka. To ne znači da će usluga navedena u polju SERVICE biti dostupna na ovom priključku. pokrenite web poslužitelj na portu 22, a SSH na portu 80, ali će nmap i dalje pisati da je port 22 ssh, a 80 HTTP.

U polju STANJE - U jednom slučaju, ssh port je otvoren, u drugom - filtriran. Filtrirana vrijednost znači da port odbija ili ispušta promet. Ovo ne označava postoji li usluga na ovom priključku ili ne.

T "Paranoidno|Podmuklo|Pristojno|Normalno|Agresivno|Ludo" - privremeni modovi. Uz "Paranoid" skeniranje će trajati jako dugo, ali tada imate veće šanse da detektori skeniranja ostanu neotkriveni. I obrnuto, koristite "Insane" kada skenirate brze ili slabo zaštićene mreže.

ON/-oM "logfile" - izlaz rezultata u logfile u normalnom (-oN) ili strojnom (-oM) obliku.

OS "logfile" - ova vam opcija omogućuje nastavak skeniranja ako je iz nekog razloga prekinuto i rezultat je zapisan (opcija -oN "logfile" ili -oM "logfile" je bila omogućena). Za nastavak rada morate pokrenuti Nmap navodeći samo ovu funkciju i datoteku u kojoj je snimljeno prethodno skeniranje ("logfile").

Jeste li zabrinuti za sigurnost svoje ili bilo koje druge mreže? Zaštita vašeg usmjerivača od neželjenih veza ključna je za očuvanje sigurnosti vaše mreže. Jedna jednostavna metoda je Nmap ili Network Mapper. Ovo je program za skeniranje koji provjerava koji su portovi otvoreni, a koji zatvoreni, kao i druge detalje. Sigurnosni stručnjaci koriste ovaj program za testiranje mrežne sigurnosti. Da biste saznali kako koristiti ovaj program, pogledajte 1. korak.

Koraci

Korištenje Zenmapa

    Preuzmite Nmap instalacijski program. Instalacijski program možete pronaći na web stranici programera i besplatno ga preuzeti. Preporuča se preuzimanje s web stranice programera kako bi se izbjegao rizik od preuzimanja virusa ili lažnih datoteka. Preuzimanjem Nmapa dobivate i Zenmap, grafičko sučelje za Nmap koje čini program lakim za korištenje početnicima pri izvođenju skeniranja bez poznavanja naredbi.

    • Zenmap je dostupan za operativne sustave Windows, Linux i Mac OS X Programe za instalaciju možete pronaći na službenoj web stranici Nmapa.

  1. Pokrenite GUI program “Nmap – Zenmap”. Ako ste tijekom instalacije sve stavke ostavili netaknute, tada bi se ikona programa trebala pojaviti na radnoj površini. Ako ne, pogledajte početni izbornik i pokrenite Zenmap.

    Unesite svrhu vašeg skeniranja. Zenmap čini mrežno skeniranje vrlo jednostavnim procesom. Prije svega odaberite cilj skeniranja. Možete unijeti domenu (example.com), IP adresu (127.0.0.1), mrežu (192.168.1.0/24) ili njihovu kombinaciju.

    • Ovisno o vašem preuzimanju i svrsi vašeg skeniranja, korištenje Nmapa može kršiti korisnička pravila vašeg ISP-a. Uvijek provjerite lokalna korisnička pravila kada koristite Nmap kada skenirate izvan vlastite mreže.

  2. Odaberite svoj profil. Profili su skupina izmjena koje mijenjaju strukturu skeniranja. Profili vam omogućuju da brzo odaberete različite vrste skeniranja bez potrebe za izmjenama u naredbenom retku. Odaberite najbolji profil za svoje potrebe:

    • Intenzivno skeniranje- opsežno skeniranje. Uključuje operativni sustav, verziju, prepoznavanje skripti, praćenje i ima agresivno vrijeme skeniranja.
    • Ping skeniranje- Ovo skeniranje utvrđuje online status cilja vašeg skeniranja, a ne skenira portove.
    • Brzo skeniranje- skenira brže od običnog skeniranja s agresivnim vremenom skeniranja i uzorkovanjem priključaka.
    • Redovito skeniranje- ovo je standardno Nmap skeniranje bez ikakvih izmjena. Rezultat uključuje ping i otvorene portove.

  3. Pritisnite Skeniraj za početak skeniranja. Rezultati aktivnog skeniranja bit će prikazani na kartici Nmap Output. Vrijeme skeniranja ovisit će o odabranom profilu, fizičkoj udaljenosti do cilja i konfiguraciji mreže.

    Pogledajte svoje rezultate. Nakon što skeniranje završi, vidjet ćete poruku "Nmap je gotov" na dnu kartice Nmap Output. Sada možete provjeriti svoje rezultate, ovisno o odabranoj vrsti skeniranja. Svi rezultati su prikupljeni u kartici Izlaz, ali odabirom drugih kartica možete detaljnije proučiti dobiveni rezultat.

    • Portovi/Hostovi- Ova kartica će prikazati skeniranje portova, uključujući usluge koje se izvode na tim portovima.
    • Topologija- Prikazuje trag za izvršeno skeniranje. Možete vidjeti koliko je "skokova" potrebno da vaši podaci dostignu željeni cilj.
    • Detalji domaćina- Prikazuje potpune informacije o cilju, broju portova, IP adresama, nazivima hostova, operativnim sustavima i više.
    • Skenira- ova kartica bilježi povijest vaših prethodnih skeniranja. Na ovaj način možete brzo ponovno pokrenuti skeniranje obavljeno u prošlosti s određenim skupom parametara.

Korištenje naredbenog retka

  1. Instalirajte Nmap. Nmap je mali i besplatan program. Program možete preuzeti s web stranice razvojnog programera. Slijedite upute na temelju vašeg operativnog sustava:

    Otvorite naredbeni redak. Nmap naredbe rade iz naredbenog retka i prikazuju rezultate odmah ispod naredbe. Možete koristiti opcije za promjenu strukture skeniranja. Možete pokrenuti skeniranje s bilo kojeg mjesta navedenog u naredbenom retku.

  2. Skenirajte portove koji su vam potrebni. Za početak jednostavnog skeniranja napišite nmap . Ovo će započeti pingati odabranu metu i skenirati portove. Ovaj sken je vrlo lako prepoznati. Rezultati će biti vidljivi na vašem ekranu. Možda ćete se morati pomaknuti do vrha da vidite sve rezultate.

    • Ovisno o preuzimanju i svrsi vašeg skeniranja, korištenje Nmapa može biti protiv pravila vašeg ISP-a. Uvijek provjerite lokalna korisnička pravila kada koristite Nmap kada skenirate izvan vlastite mreže.

  3. Izvršite modificirano skeniranje. Možete koristiti varijable naredbi za promjenu parametara skeniranja, što rezultira manje ili više opsežnim skeniranjem. Možete dodati više varijabli ostavljajući razmak između svake. Varijable se postavljaju ispred cilja: nmap

    • -sS- Ovo je tajno SYN skeniranje. Ovo skeniranje je teže otkriti nego obično skeniranje, ali može potrajati dulje. Većina novijih vatrozida može otkriti –sS skeniranje.
    • -s n- Ovo je ping skeniranje. Ovo skeniranje ne koristi otkrivanje priključka i samo provjerava online status cilja.
    • -O- Ovo skeniranje određuje vrstu operativnog sustava cilja.
    • -A- Ova varijabla uključuje otkrivanje opsežnijih informacija: operativni sustav, verzija, skripte i praćenje.
    • -F- omogućuje brzo skeniranje i smanjuje broj skeniranih portova.
    • -v- ova varijabla prikazuje više vaših rezultata skeniranja, čineći ih čitljivijima.

  4. Ispis rezultata vašeg skeniranja u XML datoteku. Možete konfigurirati izlaz vaših rezultata skeniranja u XML datoteku i zatim ih jednostavno otvoriti u bilo kojem web pregledniku. Da biste to učinili, koristite varijablu -vol s nazivom datoteke za izlaz podataka. Kompletna naredba izgleda ovako: nmap –oX ScanResults.xml .

    • Vaša XML datoteka bit će spremljena u trenutnom direktoriju vaše naredbene linije.
  • Pitate se kako ide skeniranje? Pritisnite razmaknicu ili bilo koju tipku dok je skeniranje u tijeku da vidite napredovanje Nmapa.
  • Cilj ne reagira? Pokušajte dodati varijablu "-P0" vašem skeniranju. Kao rezultat toga, Nmapovo skeniranje će započeti s radom čak i ako program "misli" da cilj ne postoji. Ovo može biti korisno kada je računalo zaštićeno vatrozidom.
  • Ako vaše skeniranje traje dugo (više od 20 minuta), pokušajte dodati varijablu “-F” tako da Nmap skeniranje utječe samo na nedavno korištene portove.