Tìm hiểu scanning với công cụ nmap

Nội dung• Nguyên tắc truyền thông tin TCP/IP • Các Nguyên tắc và phương thức Scan Port • Sử dụng phần mềm Nmap để Scan port • Các trạng thái của cổng • Các lựa chọn • Nmap ping option •

Tìm hiểu scanning với công cụ Nmap

Nội dung

• Nguyên tắc truyền thông tin TCP/IP

• Các Nguyên tắc và phương thức Scan Port

• Sử dụng phần mềm Nmap để Scan port

• Các trạng thái của cổng

• Các lựa chọn

• Nmap ping option

• Host and port option

• Lựa chọn log

Nguyên tắc truyền thông tin TCP/IP

• Synchronize:viết tắt là "SYN",khởi tạo 1 kết nối giữa các host

• Acknowledgment:viết gọi tắt là "ACK",thiết lập kết nối giữa các host

• Push:viết tắt là "PSH",hệ thống đang chuyển tiếp dữ liệu từ bộ nhớ đệm

• Urgent:viếti tắt là "URG",đc dùng trong ngữ cảnh các dữ liệu trong gói packet cần đc xử lí trực tíêp,xử lí nhanh

• Finish:viết tắt là "FIN" ,dc sử dụng nhắm thông báo cho chúng ta biết k có bất cứ việc truyền dữ liệu nào xảy ra từ những hệ thống từ xa tới

• Reset:viết tắt là "RST",reset kết nối

Client muốn thực kết nối TCP với server

• Bước I: Client bắn đến Server một gói tin SYN

• Bước II: Server trả lời tới Client một gói tin SYN/ACK

• Bước III: Khi Client nhận được gói tin SYN/ACK sẽ gửi lại server một gói ACK – và quá trình trao đổi thông tin giữa hai máy bắt đầu

Khi Client muốn kết thúc một phiên làm việc với Server

• Bước I: Client gửi đến Server một gói tin FIN ACK

• Bước II: Server gửi lại cho Client một gói tin ACK

• Bước III: Server lại gửi cho Client một gói FIN ACK

• Bước IV: Client gửi lại cho Server gói ACK và quá trình ngắt kết nối giữa Server và Client được thực hiện

Giao dien

Các trạng thái của port

• Open:cổng mở, thường 20,21,80

• Closed: port ở trạng thái này có thể sử dụng được, nó nhận và trả lời các gói tin thăm dò của Nmap

• Filtered: cổng ở trạng thái lọc

• Unfiltered:Nmap k thể xác định dc nó đóng hay mở

• Open/Filtered: không xác định, xảy ra khi các port mở không trả lời lại, Các kiểu scan nhằm hỗ trợ bao

gồm UDP Scan, IP Protocol Scan, Null Scan và Xmas Scan

• Closed/Filtered: ko xác định, Nó được sử dụng cho quét IPID Idle

Các tùy chọn Nmap

Nguyên tắc Scan Port trên một hệ thống.

• 1 TCP Scan

– SYN Scan: (-sS)

– FIN Scan:(-sF) Nếu Server gửi về gói ACK thì Client biết Server mở port đó, nếu Server gửi về gói

RST thì Client biết Server đóng port đó

– NULL Scan

– XMAS Scan

– TCP Connect

– ACK Scan:Client cố gắng kết nối tới Server bằng gói ICMP nếu nhận được gói tin là Host

Unreachable thì client sẽ hiểu port đó trên server đã bị lọc

Nguyên tắc Scan Port trên một hệ thống.

• RPC Scan: Cố gắng kiểm tra hệ thống mở port cho dịch vụ RPC không

• Windows Scan: tương tự như ACK Scan, nhưng nó có thể chỉ thực hiện trên một số port nhất định

• IDLE: cho phép kiểm tra tình trạng máy chủ

Các lựa chọn

• -sP:Muốn biết có bao nhiêu Host hiện đang online trên một mạng nào đó

Các lựa chọn

• -sU UDP Scan: xác định xem port nào đang open trên host

open|filtered closed port

open port

Các lựa chọn

• sA ACK Scan: Thu thập các thông tin về hệ thống từ bên ngoài Firewall Đặc biệt nó có thể xác định xem firewall có phải là một Firewall theo đúng nghĩa hay chỉ là một bộ lọc Packet SYN từ bên ngoài

unfiltered

Các lựa chọn

-sR RPC Scan: Kỹ thuật này sẽ làm lay tất cả các Port UDP/TCP đang mở sau đó làm ngập chúng với chương trình Sun RPC, vô hiệu hóa những lệnh để xác định xem nó có phải là Port RPC không

- IdleScan:(-sI): dùng để giả mạo địa chỉ IP của máy nguồn

• attacker sẽ gửi đến zombie gói SYN/ACK và chờ gói RST, attacker ghi nhận lại IPID

Các lựa chọn

• attacker dùng IP zombie (giả IP) gửi packet SYN đến target cần quét port Nếu

target mở port sẽ gửi trả lại zombie SYN/ACK Zombie nhận packet SYN/ACK

lần 2 cũng sẽ trả lời với RST nhưng giá trị IPID tăng 1

Các lựa chọn

• attacker gửi lại SYN/ACK đến zombie Nếu IPID tăng nghĩa là port target mở, còn không nghĩa là trước đó zombie nhận RST từ target->port đóng

Nmap ping option

• -Ping Ack (-PA):

Close port

Open port

Nmap ping option

• Ping SYN (-PS): sử dụng giống với –sS nếu nhận được gói RST : cổng đóng, ACK : open Có thể xác định xem máy đích là up hay không

• UDP Ping (-PU [portlist]): dựa nhiều vào gói ICMP, vi thế nếu ICMP bị lọc có thể không trả lời

Nmap ping option

• -PP ICMP Timestamp Ping: Được sử dụng để cho phép hai hệ thống riêng biệt để điều phối thời gian Nó không hữu ích khi có tường lửa vì nó dựa chủ yếu vào ICMP

• -PM ICMP Address Mask Ping: Nó hoạt động bằng cách gửi một yêu cầu ICMP Address Mask đến một thiết bị đích Loại ping này không hoạt động trên hầu hết hệ thống hiện đại

• -P0 Don't Ping: trực tiếp quét các mục tiêu mà không ping máy

HOST AND PORT OPTIONS

• Exclude Targets ( exclude <host1 [,host2] [,host3] >): Cung cấp danh sách địa chỉ IP không quét đến

• Vi du:nmap –sS 192.168.0.1/24 –-exclude 192.168.0.2-4, 192.168.0.77

• -iL: Một tập tin có thể có chứa danh sách địa chỉ IP cách nhau bằng dấu cách

Vidu: nmap-vv-n-il input.txt

• -iR: Quét mục tiêu với số lượng ngẫu nhiên

Vidu:nmap-vv-n-iR 100-p 80 (Quét ngẫu nhiên 100 máy tại cổng 80 )

• - randomize_hosts : quét ngẫu nhiên

Vidu: nmap-vv -randomize_hosts -p 80 192,168 *.*

Lựa chọn log

• -oN: định dạng thông thường Nó lưu lại kết quả nhìn giống như hiển thị trên màn hình khi scan Không cần phải chỉ định đuôi mở rộng của tập tin đầu ra Nó sẽ có phần mở rộng Nmap

• -oX: định dạng XML, đầu ra là file xml

• -oG:Grepable Format, Các tập tin đầu ra sẽ có phần mở rộng Gnmap

• -oA: Tất cả các định dạng nmap,.xml,.gnmap

• -vv: Tiết chế độ

• -n tăng tốc quá trình quét và file log được tạo trên các máy chủ DNS

• -oA để có được các tập tin đầu ra để quét có thể resume

Các option cao cấp kết hợp với các dạng Scan trong Nmap

• - O: sử dụng để biết hệ điều hành chạy trên máy chủ ví như ta dùng Nmap sử dụng phương thức scan là XMAS Scan và đoán biết

hệ điều hành của: www.gocthuthuat.net ta dùng câu lệnh: nmap –sX –o www.gocthuthuat.net.

• - P: giải port sử dụng để scan

• - F: Chỉ những port trong danh sách scan của Nmap

• - V: Sử dụng Scan hai lần nhằm tăng độ tin cậy và hiệu quả của phương thức scan nào ta sử dụng.

• - P0: không sử dụng ping để Scan nhằm mục đích giảm thiểu các quá trình quét ngăn chặn scan trên các trang web hay máy chủ.

• Ví như tôi muốn Scan trang web www.vnexpress.net bằng phương thức UDP Scan số port tôi sử dụng là từ 1 tới 1024 và sử dụng hai lần để nâng cao hiệu quả, khi scan sẽ không ping tới trang này:

• Nmap –sU –P ‘1-1024’ –V –P0 www.vnexpress.net

• -6: Scan IPv6

Nmap Scan

• a Các dạng Scan nmap hỗ trợ.

• Nmap –sT: trong đó chữ s – là Scan, còn chữ T là dạng TCP scan

• Nmap –sU: đó là sử dụng UDP Scan

• Nmap –sP: sử dụng Ping để scan

• Nmap –sF: sử dụng FIN Scan

• Nmap –sX: sử dụng phương thức XMAS Scan

• Nmap –sN: sử dụng phương thức NULL Scan

• Nmap –sV: sử dụng để Scan tên các ứng dụng và version của nó

• Nmap –SR /I RPC sử dụng để scan RPC

HET