• Introduction à NMAP SCAL
• Trouver un appareil zombie
• Exécution de la numérisation du ralenti NMAP
• Conclusion
• Articles Liés

Introduction à NMAP SCAL

Les deux derniers tutoriels publiés sur LinuxHint à propos de NMAP ont été axés sur des méthodes de numérisation furtives, notamment Syn Scan, Null et Null Scan. Bien que ces méthodes soient facilement détectées par des pare-feu et des systèmes de détection d'intrusion, ils sont un moyen formidable pour en apprendre un peu sur le Modèle Internet ou Suite de protocole Internet, Ces lectures sont également indispensables avant d'apprendre la théorie derrière le scan inactif, mais pas un must pour apprendre à l'appliquer pratiquement.

La numérisation inactive expliquée dans ce tutoriel est une technique plus sophistiquée utilisant un bouclier (appelé zombie) entre l'attaquant et la cible, si le scan est détecté par un système de défense (pare-feu ou IDS), il blâmera un appareil intermédiaire (zombie) plutôt que l'ordinateur de l'attaquant.

L'attaque consiste essentiellement à forger le bouclier ou le dispositif intermédiaire. Il est important de mettre en évidence l'étape la plus importante de ce type d'attaque, ce n'est pas le réaliser contre la cible mais trouver le dispositif zombie. Cet article ne se concentre pas sur la méthode défensive, pour les techniques défensives contre cette attaque à laquelle vous pouvez accéder gratuitement à la section pertinente de la prévention des intrusions du livre et de la réponse active: déploiement du réseau et hôte IPS.

De plus, aux aspects de la suite de protocole Internet décrits sur NMAP Basics, NMAP Stealth Scan et Noël pour comprendre comment fonctionne le scan inactif, vous devez savoir ce qu'est un IP IP. Chaque datagramme TCP envoyé a un ID temporaire unique qui permet la fragmentation et le réassemblage postérieur de paquets fragmentés en fonction de cet identifiant, appelé IP IP. L'ID IP se développera progressivement conformément au nombre de paquets envoyés, donc en fonction du numéro d'identification IP, vous pouvez apprendre la quantité de paquets envoyés par un appareil.

Lorsque vous envoyez un paquet SYN / ACK non sollicité, la réponse sera un premier paquet pour réinitialiser la connexion, ce premier paquet contiendra le numéro d'identification IP. Si vous envoyez d'abord un paquet SYN / ACK non sollicité à un appareil zombie, il répondra avec un premier paquet montrant son identifiant IP, la deuxième étape consiste à forger cet IP pour envoyer un paquet SYN forgé à la cible, ce qui vous fait croire vous sont le zombie, la cible répondra (ou non) au zombie, dans la troisième étape, vous envoyez un nouveau syn / ack au zombie pour obtenir à nouveau un paquet pour analyser l'augmentation de l'ID.

Ports ouverts:

Si le port de la cible est ouvert, il répondra à l'appareil zombie avec un paquet Syn / ACK encourageant le zombie à répondre avec un premier paquet augmentant son IP IP. Ensuite, lorsque l'attaquant envoie à nouveau un syn / ack au zombie, l'ID IP sera augmenté de +2 comme indiqué dans le tableau ci-dessus.

Si le port est fermé, la cible n'enverra pas de paquet SYN / ACK au zombie mais un premier et son IP IP restera le même, lorsque l'attaquant envoie un nouvel ACK / Syn au zombie pour vérifier son IP IP, il sera être augmenté seulement +1 (en raison de l'ACK / Syn envoyé par le zombie, sans augmentation par la cible provoquée). Voir le tableau ci-dessous.

Ports fermés:

Lorsque le port est filtré, la cible ne répondra pas du tout, l'ID IP restera également le même car aucune réponse ne sera faite et lorsque l'attaquant envoie un nouveau syn / ack au zombie pour analyser l'ID IP, le résultat sera être le même avec les ports fermés. Contrairement aux analyses SYN, ACK et Noël qui ne peuvent pas distinguer certains ports ouverts et filtrés, cette attaque ne peut pas distinguer les ports fermés et filtrés. Voir le tableau ci-dessous.

Ports filtrés:

Trouver un appareil zombie

NMAP NSE (NMAP Scripting Engine) fournit le script ipidseq pour détecter les appareils zombies vulnérables. Dans l'exemple suivant, le script est utilisé pour scanner le port 80 de 1000 cibles aléatoires pour rechercher des hôtes vulnérables, les hôtes vulnérables sont classés comme Incrémentale ou incrémentiel petit. Des exemples supplémentaires d'utilisation de la NSE, malgré un examen inactif sont décrits et indiqués sur la façon de rechercher des services et des vulnérabilités avec NMAP et à l'aide de scripts NMAP: NMAP Banner Grab.

Exemple ipidseq pour trouver au hasard des candidats zombies:

NMAP -P80 - Script Ipidseq -ir 1000

Comme vous pouvez le voir, plusieurs hôtes de candidats de zombies vulnérables ont été trouvés MAIS Ils sont tous faux positifs. L'étape la plus difficile lors de la réalisation d'un scan inactif est de trouver un dispositif de zombie vulnérable, il est difficile pour de nombreuses raisons:

• De nombreux ISP bloquent ce type de scan.
• La plupart des systèmes d'exploitation attribuent un identifiant IP au hasard
• Les pare-feu bien configurés et les pots de miel peuvent retourner faux positifs.

Dans de tels cas, lorsque vous essayez d'exécuter la numérisation du ralenti, vous obtiendrez l'erreur suivante:
"… Ne peut pas être utilisé car il n'a renvoyé aucune de nos sondes - peut-être que c'est en panne ou à Firewald.
EN QUITTANT!"

Si vous avez de la chance dans cette étape, vous trouverez un ancien système Windows, un ancien système de caméra IP ou une ancienne imprimante réseau, ce dernier exemple est recommandé par le livre NMAP.

Lorsque vous recherchez des zombies vulnérables, vous voudrez peut-être dépasser le NMAP et implémenter des outils supplémentaires comme Shodan et des scanners plus rapides. Vous pouvez également exécuter des analyses aléatoires détectant des versions pour trouver un système vulnérable possible.

Exécution de la numérisation du ralenti NMAP

Notez que les exemples suivants ne sont pas développés dans un scénario réel. Pour ce tutoriel, un zombie Windows 98 a été configuré via VirtualBox étant la cible un métasploitable également sous VirtualBox.

Les exemples suivants ignorent la découverte de l'hôte et instruit une analyse inactive à l'aide de l'IP 192.168.56.102 AS Dispositif zombie pour scanner les ports 80.21.22 et 443 de la cible 192.168.56.101.

nmap -pn -si 192.168.56.102 -P80,21,22,443 192.168.56.101

Où:
nmap: appelle le programme
-Pn: sauter la découverte de l'hôte.
-si: Scanne inactif
192.168.56.102: Zombie Windows 98.
-P80,21,22,443: demande de scanner les ports mentionnés.
192.68.56.101: est la cible métasploitable.

Dans l'exemple suivant, seule l'option définissant les ports est modifiée pour -P- Instruire NMAP pour scanner les 1000 ports les plus courants.

NMAP -SI 192.168.56.102 -pn -p- 192.168.56.101

Conclusion

Dans le passé, le plus grand avantage d'une analyse inactive était à la fois de rester anonyme et de forger l'identité d'un appareil qui n'était pas non filtré ou était fiable par les systèmes défensifs, les deux utilisations semblent obsolètes en raison de la difficulté de trouver des zombies vulnérables (pourtant , c'est possible, bien sûr). Rester anonyme à l'aide d'un bouclier serait plus pratique en utilisant un réseau public, alors qu'il est peu probable que des pare-feu ou des identifiants sophistiqués seront combinés avec des systèmes anciens et vulnérables comme digne de confiance.

J'espère que vous avez trouvé ce tutoriel sur NMAP Iond. Continuez à suivre Linuxhint pour plus de conseils et de mises à jour sur Linux et le réseautage.

Articles Liés:

• Comment rechercher des services et des vulnérabilités avec NMAP
• NMAP Furalth Scan
• Traceroute avec NMAP
• Utilisation de scripts NMAP: NMAP Banner Grab
• Analyse du réseau NMAP
• balayage de ping nmap
• Flags Nmap et ce qu'ils font
• Iptables pour les débutants