Nmap – przykłady – zapora ogniowa cz.II

Skanowany cel programem NMAP może mieć nie tylko włączoną zaporę sieciową. Może również mieć zaistalowany program antywirusowy , który będzie blokował dojście poprzez porty do zabezpieczonego komputera.

Skanowanie NMAP-em jest jak szukanie min przez minera w polu. Szukamy odpowiedniej metody która pozwoli na trafienie w określony port. W poprzednim odcinku pokazałem skanowanie w wyniku którego otrzymaliśmy odpowiedzi nie jednoznaczne. Skanowałem komputer z IP 1092.168.1.103. Dziś dojdzie dodatkowy komputer 192.168.1.25. Na tą chwilę nie zdradzę jaki system jest na tej maszynie. Zaczniemy od skanowania poleceniem z poprzedniego odcinka:

sudo nmap 192.168.1.25 -p 21,22,23,80,443,8080,5000 -sS -Pn -n –disable-arp-ping –packet-trace

Wynik jaki otrzymałem wygląda następująco:

nmap firewall

Jak widzimy dostaliśmy konkretny wynik, w maszynce (25), porty 21,22, 23, 80,443,8080,5000 są zamknięte. Niestety nie mamy żadnej informacji o systemie, wiemy tylko że jest to system postawiony na VirtualBoxie. Co z tym zrobić? Należało by zrobić skanowanie z parametrem -A -V. Wynik skanowania wygląda tak:

nmap

Tym razem udało mi się dowiedzieć trochę więcej. Na maszynce napewno jest linux w wersji x86_64. Przejdźmy do maszynki 192.168.1.103, tutaj wiemy że zainstalowany system to Windows, nie wiemy a właściwie nie mamy pewności co do otwartych portów. Skanowanie przy włączonej zaporze wymaga eksperymentów. Nie spróbujesz nie będziesz znał wyniku. Pokaże Ci kilka poleceń które po części odkryją niektóre niewiadome.

Bądź jak miner a nie jak d….

Zacznijmy od prostego skanowania dwóch maszyn w jednym poleceniu. Wykorzystamy do tego takie polecenie:

sudo nmap -p0-65535 192.168.1.25 192.168.1.103

Wynik jaki otrzymamy będzie wyglądał następująco:

nmap -p

Zdziwiony? Jak widzisz czasami nie trzeba kombinować, maszynka (25) jak zwykle nic, natomiast (103) ma jednak otwarte jakieś porty. Czyli proste skanowanie z jednym parametrem „-p” dało lepszy wynik niż poprzednie polecenie. Tak bywa dlatego trzeba eksperymentować, trzeba łączyć parametry i instrukcje, nie można się wykuć jednej regułki na pamięć i już.

Zobaczymy teraz inne skanowanie, tym razem użyjemy parametru „-f”. Polecenie będzie wyglądało tak:

sudo nmap -f 192.168.1.25 192.168.1.103

Tym razem skanowanie odbyło się przy użyciu fragmentacji pakietów, umożliwił to parametr „-f”. Co pokazał nam nmap?

nmap

Jak zwykle maszynka (25) nic, a druga pokazała tym razem jeden otwart port. Czy to znaczy że dwa poprzednie są zamknięte. Nie, to znacze że na skanowanie fragmętacją pakietów odpowiedział jeden port 5357. Tajemnicza usługa na tym porcie „wsdapi” z trgo co mi wiadomo jest podatna na trojana „Trojan.win32.monder.gen”, znany również jako Trojan Vundo. O szczegółach tego portu możesz przeczytać tutaj. Możemy mieć 99% pewności że ten jeden port jest na pewno otwarty. Co do reszty możemy przyjąć w 50% że pozostałe dwa są też otwarte.

Teraz sam sprawdź skanowanie przy pomocy poleceń z parametrami i instrukcjami:

sudo nmap –mtu 8 <IP>
sudo nmap – D RND:12 <IP>
sudonmap -f -p0-65535 <IP>
sudo nmap -sT -PN –spoof-mac 0 <IP>
sudo nmap -sSV -T4 -O -p0-65535 <IP>

Jakie otrzymałeś wyniki? Czy potrafisz teraz określić jakie porty są otwarte w poszczególnych maszynkach? Ja w swoich jestem w stanie powiedzieć że w maszynce (25) nie są żadne otwarte porty i jest zabezpieczona w sposób prawie idealny. Maszynka (103) z Windowsem ma na 100% otwarty jeden port i na 50% dwa pozostałe i dlatego jest średnio zabezpieczona. Co za tym idzie? To znaczy że mogę podjąć próbę przejęcia maszynki lub po prostu spróbować wykraść dane. Jak to zrobić? o tym w koleknych odcinkach na które już teraz Cię zapraszam

kanał youtube

Zapraszam również na mój kanał youtube i na nowy pierwszy odcinek o programie NMAP.

Dodaj komentarz

Twój adres e-mail nie zostanie opublikowany. Wymagane pola są oznaczone *