Scannes furtives avec NMAP

Ce tutoriel décrit différentes techniques pour exécuter des analyses furtives avec NMAP.

Les techniques de balayage furtif sont implémentées pour contourner les pare-feu ou découvrir des hôtes vivants tout en restant non détecté.

NMAP propose une variété de drapeaux et d'options pour exécuter différents types de numérisation de furtivité, dont la plupart sont expliqués dans cet article. Ils sont faciles à mettre en œuvre et à constituer un bel processus d'apprentissage sur les paquets IP.

Après avoir lu ce contenu, le lecteur bénéficiera d'une meilleure compréhension des paquets de réseau et des communications tout en acquérant des connaissances pratiques profondes sur les analyses furtives avec NMAP.

Toutes les instructions de ce tutoriel contiennent des captures d'écran, ce qui permet à tous les lecteurs de comprendre comment ils sont exécutés et leurs sorties ou résultats.

Brève introduction aux analyses furtives

Habituellement, les pare-feu détectent des connexions établies ou établies.

TCP Envoie des paquets essayant d'établir une connexion avec la cible (recueillir des informations dans le processus). Cette activité peut être bloquée et enregistrée par le pare-feu à signaler à l'administrateur.

Supposons que l'utilisateur ait des privilèges racine par défaut. Dans ce cas, NMAP exécute des techniques de balayage furtif composées de Syn (Synchronisation) paquets et Premier paquets interrompant la connexion après la première réponse de la destination.

Les utilisateurs peuvent empêcher les pare-feu de détecter le scan en interrompant la brève interaction à la fois et en annulant le processus de connexion avant d'envoyer un Ack répondre.

Comme vous pouvez le voir dans la figure ci-dessous, un régulier TCP Le scan se compose d'une initiale Syn (Synchronisation) Paquet de NMAP (PC1) demandant la cible (PC2) pour synchroniser une connexion. Si le port ciblé est ouvert, la cible répond Syn + ack (Remerciements et synchronisation) Paquets confirmant le Syn réception et synchronisation avec NMAP, et NMAP envoie Ack (Remerciements) Paquets en réponse à la cible Syn.

La figure suivante montre un scan furtif avec Syn paquets. Comme vous pouvez le voir, le paquet final de l'accusé de réception (ACK) envoyé par PC1 (Nmap) est remplacé par un Premier paquet, interrompre la connexion à des pare-feu de contournement (les systèmes de détection d'intrusion et les pare-feu personnalisés détecteront les analyses furtives).

NMAP TCP SYN (furtivité) Techniques de balayage

Pour exécuter un scan SYN ou furtif comme celui décrit dans la deuxième figure précédente, l'utilisateur doit implémenter -SS (Syn) drapeau. Cette option réinitialisera la connexion avant son établissement.

Note: Le scan SYN nécessite des privilèges racine; Utilisez le Sudo commande.

Dans l'exemple suivant, une analyse furtive est exécutée contre le réseau 192.168.0.0/24:

Sudo Nmap -SS 192.168.0.0/24

Scan Syn Ping TCP

Le -Ps Le drapeau vous permet de lancer Syn Ping pour découvrir des hôtes vivants d'une manière furtive.

NMAP -SN -PS80 192.168.0.1/24

Le -sp L'indicateur exécutera également une analyse sans ping sans balayage de port.

NMAP -SP 192.168.0.0/24

NMAP NULL SCAN

Malgré l'envoi d'un Premier paquet empêchant la connexion d'être enregistrée, une analyse SYN peut être détectée par des pare-feu et des systèmes de détection d'intrusion (IDS). Il existe des techniques supplémentaires pour effectuer des analyses plus furtives avec NMAP.

NMAP fonctionne en analysant les réponses du paquet de la cible, en les contrastant avec les règles du protocole et en les interprétant. NMAP permet de forger des paquets pour générer les réponses appropriées révélant leur nature, par exemple, pour savoir si un port est fermé ou filtré par un pare-feu.

L'exemple suivant montre un NUL numérisation qui n'inclut pas Syn, Ack, ou Premier paquets.

Lors de l'exécution d'un NUL Scan, NMAP peut interpréter trois résultats: Ouvert | filtré, fermé ou filtré, où:

• Ouver | filtré: NMAP ne peut pas déterminer si le port est ouvert ou filtré par un pare-feu.
• Fermé: Le port est fermé
• Filtré: Le port est filtré.

Dans l'exemple pratique suivant, l'utilisateur utilise le -sn drapeau pour exécuter un NUL analyse:

sudo nmap -v -sn -p 80 Linuxhint.com

Comme indiqué dans l'exemple suivant, vous pouvez ajouter l'option -SV pour découvrir si le port représenté comme Ouvert | filtré est en fait ouvert, mais l'ajout de ce drapeau peut entraîner une détection de numérisation plus facile par la cible, comme expliqué dans le livre de NMAP.

sudo nmap -sn -sv -p 80 Linuxhint.com

• nmap = Appelle le programme
• -V = Demande à NMAP de scanner avec la verbosité
• -sn = Demande à NMAP d'exécuter un scan nul
• -SV = Détection de version
• -p = Préfixe pour déterminer le port à scanner.

Dans certains cas, les pare-feu bloquent Syn paquets. Dans un tel cas, l'utilisateur peut envoyer un paquet avec des drapeaux Syn / ack pour contourner les pare-feu qui ne bloquent pas Syn / ack paquets.

Certains paquets ne sont pas bloqués Syn avec Ack paquets et permettent également la combinaison de Syn avec d'autres en-têtes, le Syn / fin L'en-tête est l'un d'eux.

Le type d'analyse suivant enverra Syn et les en-têtes de nageoires. Ce type de scan a de faibles chances de rester non détecté.

sudo nmap -ss - scanflags synfin Linuxhint.com -v

NMAP SCAN

Le scan de Noël a été considéré comme une technique de scan furtif analysant les réponses à Noël paquets pour apprendre le type de système distant.

Chaque système d'exploitation ou périphérique réseau répond aux paquets de Noël d'une manière différente révélant des informations, telles que le système d'exploitation et les états de port.

Le Noël est une ancienne technique de scan; Aujourd'hui, de nombreux pare-feu et systèmes de détection d'intrusion peuvent détecter Noël. Il n'est pas recommandé de compter sur eux comme technique furtive.

sudo nmap -sx -t2 linuxhint.com -v

Comparaison entre TCP Syn Stealth Scan et TCP "Connexion»:

Communication TCP normale

• -«Hé, tu m'entends? Pouvons-nous nous rencontrer?" (Syn paquet demandant la synchronisation)
• -"Salut!, je te vois!, nous pouvons nous rencontrer" (Où «Je te vois» est un Ack paquet, et «nous pouvons nous rencontrer» est un Syn paquet)
• -"Super!" (Pack rst)

Syn Communication furtive

• -«Hé, tu m'entends? Pouvons-nous nous rencontrer?" (Syn paquet demandant la synchronisation)
• -"Salut!, je te vois!, nous pouvons nous rencontrer" (Où «Je te vois» est un Ack paquet, «nous pouvons rencontrer» est un paquet syn)
• -"Désolé, je vous ai envoyé une demande par erreur, oublie" " (Pack rst)

Le deuxième exemple ci-dessus montre un Syn connexion, qui n'établit pas de connexion contrairement à un TCP connexion ou Connexion. Donc Il n'y a pas de connexion sur le deuxième appareil sur une connexion, et votre adresse IP n'est pas enregistrée.

Autres drapeaux NMAP (pas de furtivité)

En plus des techniques de balayage furtif, nous avons décidé de décrire certains drapeaux différents.

Il est important de préciser que les drapeaux suivants ci-dessous ne sont pas furtifs.

Le -O Le drapeau peut détecter le système d'exploitation cible, comme indiqué dans la capture d'écran suivante:

sudo nmap -o Donweb.co

Comme vous pouvez le voir dans la capture d'écran précédente, la cible a probablement Linux avec le noyau 2.6.X; Selon le rapport, les conditions de détection étaient difficiles.

L'exemple suivant essaie d'apprendre la version logicielle (-sv) écoute derrière les ports. Comme vous pouvez le voir, le vernis a été détecté.

NMAP -SV Wikipedia.org

Le -sur L'indicateur crée un fichier avec les résultats du scan.

Dans l'exemple suivant, l'utilisateur implémente le -sur Indicateur pour créer le fichier «Résultats.txt ”avec la sortie de scan.

C'est tout sur les méthodes de scan furtif. Vous pouvez les tester avec un système de détection d'intrusion comme Snort pour voir leur efficacité avant différentes règles de détection.

Conclusion

Comme vous pouvez le voir, NMAP propose différentes techniques de balayage furtif. Ils sont tous faciles à mettre en œuvre, et la technique est facile à comprendre si l'utilisateur connaît les bases de réseautage. Les lecteurs ayant une expérience minimale peuvent reproduire les exemples pratiques donnés sans difficulté majeure. Il est fortement recommandé d'appliquer l'exemple en plus de la lecture.

Toutes les instructions données sont valables pour toutes les distributions Linux.

Merci d'avoir lu ce tutoriel expliquant comment exécuter des analyses furtives avec NMAP. Continuez à suivre un indice Linux pour plus de réseautage et de contenu professionnel de la sécurité.