INtroducción a TCP y Conexiones SYN

Mientras lee este artículo, recuerde las siguientes definiciones:
Paquete de syn: es un paquete que solicita o confirma la sincronización de una conexión.
Paquete ACK: es un paquete que confirma la recepción de un paquete de syn.
Packet RST: ¿Es un paquete que informa que el intento de conexión debe ser descartado?.

Por lo general, cuando dos dispositivos se conectan, las conexiones se establecen a través de un proceso llamado apretón de manos de tres vías que consta de 3 interacciones iniciales: primero una solicitud de conexión por parte del cliente o dispositivo solicitando la conexión, segundo por una confirmación del dispositivo al que se solicita la conexión y, en tercer lugar, una confirmación final del dispositivo que solicitó la conexión, algo como:

-"Oye, ¿puedes oírme??, podemos encontrarnos?" (Syn Packet que solicita sincronización)
-"Hola!, Te veo!, Podemos encontrarnos" (Donde "te veo" es un paquete ACK, "podemos conocer" un paquete de syn)
-"Excelente!" (Paquete ACK)

En la comparación anterior muestra cómo un Conexión TCP se establece, el primer dispositivo pregunta el segundo dispositivo si detecta la solicitud y, si pueden establecer una conexión, el segundo dispositivo confirma que puede detectarlo y que está disponible para una conexión, entonces el primer dispositivo confirma el reconocimiento de la aceptación.

Luego se establece la conexión, como se explica con los gráficos en Tipos de escaneo básico de NMAP, Este proceso tiene el problema del tercer apretón de manos, la confirmación final, generalmente deja un registro de conexión en el dispositivo al que solicitó la conexión, si está escaneando un objetivo sin permiso o desea probar un firewall o un sistema de detección de intrusos (IDS) usted. Es posible que desee evitar la confirmación para evitar un registro que incluya su dirección IP o para probar la capacidad de su sistema para detectar la interacción entre los sistemas a pesar de la falta de una conexión establecida, llamada Conexión TCP o ESCANILLA CONECTA. Este es un escaneo sigiloso.

Esto se puede lograr reemplazando el Escaneo de conexión/conexión de TCP para Conexión de sincronización. Una conexión SYN omite la confirmación final que lo reemplaza para un Primero paquete. Si reemplazamos la conexión TCP, las tres conexión de apretón de manos, para una conexión SYN, el ejemplo sería:

-"Oye, ¿puedes oírme??, podemos encontrarnos?" (Syn Packet que solicita sincronización)
-"Hola!, Te veo!, Podemos encontrarnos" (Donde "te veo" es un paquete ACK, "podemos conocer" un paquete de syn)
-"Lo siento, le envié una solicitud por error, olvídalo" (Packet RST)

El ejemplo anterior muestra una conexión SYN, que no establece una conexión en contraste con una conexión TCP o ESCANILLA CONECTA, Por lo tanto, no hay sesión en el segundo dispositivo sobre una conexión, ni su dirección IP registrada.

Ejemplos prácticos de TCP y Syn Connection

NMAP no es compatible Síntoma Conexiones (-ss) sin privilegios, para enviar solicitudes de SYN, debe ser root y si sus solicitudes raíz son syn de forma predeterminada. En el siguiente ejemplo, puede ver una exploración verbosa regular contra Linux.Lat como usuario normal:

nmap -v linux.Lat

Como puede ver, dice "Iniciar un escaneo de conexión".

En el siguiente ejemplo, el escaneo se lleva a cabo como raíz, por lo tanto, es un escaneo SYN de forma predeterminada:

nmap -v linux.Lat

Y como puede ver, esta vez dice "Iniciando el escaneo de syn sigiloso", Las conexiones se dejan caer después de Linux.Lat envió su respuesta ACK+SYN a la solicitud de SYN inicial de NMAP.

NULL Scan NULL (-SN)

A pesar de enviar un Primero Packet evitando la conexión, el grom registrando un escaneo SYN puede detectarse mediante firewalls y sistemas de detección de intrusos (IDS). Hay técnicas adicionales para llevar a cabo escaneos más sigilosos con NMAP.

NMAP funciona analizando las respuestas de los paquetes del objetivo que los contrasta con las reglas de los protocolos e interpretándolos. NMAP permite forjar paquetes para generar las respuestas adecuadas que revelan su naturaleza, por ejemplo, para saber si un puerto está realmente cerrado o filtrado por un firewall.
El siguiente ejemplo muestra un NULO escanear que no incluye Síntoma, Ack o Primero paquetes.
Al hacer un NULO Scan NMAP puede interpretar 3 resultados: Abierto | Filtrado, Cerrado o Filtrado.

Abierto | Filtrado: NMAP no puede determinar si el puerto está abierto o filtrado por un firewall.
Cerrado: El puerto está cerrado.
Filtrado: El puerto se filtra.

Esto significa al realizar un NULO Scan nmap no sabe cómo distinguir de los puertos abiertos y filtrados dependiendo de la respuesta del firewall o la falta de respuesta, por lo tanto, si el puerto está abierto, lo obtendrá como Abierto | Filtrado.

En el siguiente ejemplo, el puerto 80 de Linux.Lat se escanea con un escaneo nulo, con verbosidad.

nmap -v -sn -p 80 Linux.Lat

Dónde:
nmap = llama al programa
-V = instruye a NMAP a escanear con verbosidad
-sn = instruye a NMAP que ejecute un escaneo nulo.
-pag = prefijo para determinar el puerto para escanear.
Linux.Lat = es el objetivo.

Como se muestra en el siguiente ejemplo, puede agregar las opciones -SV Para descubrir si el puerto retratado como abierto | Filtrado está realmente abierto, pero agregar esta bandera puede resultar en una detección de escaneo más fácil por parte del objetivo como se explica en el libro de NMAP.

Dónde:
nmap = llama al programa
-V = instruye a NMAP a escanear con verbosidad
-sn = instruye a NMAP que ejecute un escaneo nulo.
-SV =
-pag = prefijo para determinar el puerto para escanear.
Linux.Lat = es el objetivo.

Como puede ver, en la última captura de pantalla, NMAP revela el estado real del puerto, pero sacrificando la falta de detección del escaneo.

Espero que hayas encontrado este artículo útil para ser presentado a NMAP Stealth Scan, sigue siguiendo a Linuxhint.com para más consejos y actualizaciones sobre Linux y redes.

Artículos relacionados:

• banderas nmap y lo que hacen
• barrido de ping nmap
• escaneo de red NMAP
• Uso de scripts nmap: nmap banner grab
• Cómo buscar servicios y vulnerabilidades con NMAP