Escaneos de sigilo con NMAP
Este tutorial describe diferentes técnicas para ejecutar escaneos sigilosos con NMAP.
Las técnicas de escaneo de sigilo se implementan para evitar los firewalls o descubrir hosts vivos mientras permanecen sin ser detectados.
NMAP ofrece una variedad de banderas y opciones para ejecutar diferentes tipos de escaneo de sigilo, la mayoría de los cuales se explican en este artículo. Son fáciles de implementar y constituyen un buen proceso de aprendizaje en los paquetes de IP.
Después de leer este contenido, el lector disfrutará de una mejor comprensión de los paquetes de redes y las comunicaciones mientras adquiere un conocimiento práctico profundo sobre escaneos sigilosos con NMAP.
Todas las instrucciones en este tutorial contienen capturas de pantalla, lo que facilita a todos los lectores comprender cómo se ejecutan y sus resultados o resultados.
Breve introducción a los escaneos sigilosos
Por lo general, los firewalls detectan conexiones establecidas o establecidas.
TCP Envía paquetes tratando de establecer una conexión con el objetivo (recopilar información en el proceso). Esta actividad puede ser bloqueada y registrada por el firewall para ser reportada al administrador.
Supongamos que el usuario tiene privilegios raíz de forma predeterminada. En ese caso, NMAP ejecuta técnicas de escaneo de sigilo que consisten en Síntoma (Sincronización) paquetes y Primero paquetes que interrumpen la conexión después de la primera respuesta del destino.
Los usuarios pueden evitar que los firewalls detecten el escaneo interrumpiendo la breve interacción a la vez y cancelando el proceso de conexión antes de enviar un Ack responder.
Como puede ver en la figura a continuación, una regular TCP escaneo consiste en una inicial Síntoma Paquete (Sincronización) de NMAP (PC1) solicitando al destino (PC2) para sincronizar una conexión. Si el puerto dirigido está abierto, el objetivo responde SYN+ACK (Reconocimiento y sincronización) paquetes que confirman el Síntoma recepción y sincronización a nmap, y nmap envía Ack (Reconocimiento) paquetes como respuesta al objetivo Síntoma.
La siguiente figura muestra un escaneo sigiloso con Síntoma paquetes. Como puede ver, el paquete de reconocimiento final (ACK) enviado por PC1 (Nmap) se reemplaza con un Primero Paquete, interrumpir la conexión a los firewalls de omisión (los sistemas de detección de intrusos y los firewalls personalizados detectarán escaneos sigilosos).
Técnicas de escaneo NMAP TCP SYN (sigiloso)
Para ejecutar un syn o un escaneo de sigilo como el que se muestra en la segunda cifra anterior, el usuario debe implementar el -ss (Syn) bandera. Esta opción restablecerá la conexión antes de establecer.
Nota: El Syn Scan requiere privilegios de raíz; utilizar el sudo dominio.
En el siguiente ejemplo, se ejecuta un escaneo de sigilo contra la red 192.168.0.24/04:
sudo nmap -ss 192.168.0.24/04
TCP Syn Ping Scan
El -PD Flag le permite lanzar syn ping para descubrir anfitriones vivos de una manera sigilosa.
nmap -sn -ps80 192.168.0.1/24
El -sp La bandera también ejecutará un escaneo sin ping sin un escaneo de puertos.
nmap -sp 192.168.0.24/04
Escaneo nulo nmap
A pesar de enviar un Primero Packet evitando que se registre la conexión, se puede detectar un escaneo SYN mediante firewalls y sistemas de detección de intrusos (IDS). Hay técnicas adicionales para llevar a cabo escaneos más sigilosos con NMAP.
NMAP funciona analizando las respuestas del paquete desde el objetivo, contrastándolos con reglas de protocolo e interpretándolas. NMAP permite forjar paquetes para generar las respuestas adecuadas que revelan su naturaleza, por ejemplo, para saber si un puerto está cerrado o filtrado por un firewall.
El siguiente ejemplo muestra un NULO escanear que no incluye Síntoma, Ack, o Primero paquetes.
Al ejecutar un NULO Escanear, NMAP puede interpretar tres resultados: Abrir | filtrado, cerrado o filtrado, dónde:
- Abierto | Filtrado: NMAP no puede determinar si el puerto está abierto o filtrado por un firewall.
- Cerrado: El puerto está cerrado
- Filtrado: El puerto se filtra.
En el siguiente ejemplo práctico, el usuario usa el -sn bandera para ejecutar un NULO escanear:
sudo nmap -v -sn -p 80 Linuxhint.comunicarse
Como se muestra en el siguiente ejemplo, puede agregar la opción -SV descubrir si el puerto retratado como Abierto | Filtrado está realmente abierto, pero agregar esta bandera puede dar lugar a una detección de escaneo más fácil por parte del objetivo, como se explica en el libro de NMAP.
sudo nmap -sn -sv -p 80 Linuxhint.comunicarse
- nmap = Llama al programa
- -V = Instruye a NMAP a escanear con verbosidad
- -sn = Instruye a NMAP que ejecute un escaneo nulo
- -SV = Detección de versión
- -pag = Prefijo para determinar el puerto para escanear.
En algunos casos, los firewalls bloquean Síntoma paquetes. En tal caso, el usuario puede enviar un paquete con banderas SYN/ACK para evitar los firewalls que no bloquean SYN/ACK paquetes.
Algunos paquetes no están bloqueados en Síntoma con Ack paquetes y también permitir la combinación de Síntoma con otros encabezados, el Syn/aleta el encabezado es uno de ellos.
El siguiente tipo de escaneo se enviará Síntoma y encabezados de aleta. Este tipo de escaneo tiene una baja probabilidad de permanecer sin detectar.
sudo nmap -ss --scanflags synfin linuxhint.com -v
Escaneo de Navidad NMAP
La exploración de Navidad se consideró una técnica de exploración sigilosa que analizó las respuestas a Navidad paquetes para aprender el tipo de sistema remoto.
Cada sistema operativo o dispositivo de red responde a los paquetes de Navidad de una manera diferente revelando información, como el sistema operativo y los estados de puerto.
Xmas es una vieja técnica de escaneo; Hoy, muchos firewalls y sistemas de detección de intrusos pueden detectar Navidad. No se recomienda confiar en ellos como una técnica de sigilo.
sudo nmap -sx -t2 linuxhint.com -v
Comparación entre TCP Syn Stealth Scan y TCP "ESCANILLA CONECTA":
Comunicación TCP normal
- -"Oye, ¿puedes oírme?? Podemos encontrarnos?" (Síntoma paquetes solicitando sincronización)
- -"Hola!, Te veo!, Podemos encontrarnos" (Donde "te veo" es un Ack paquete, y "podemos conocer" es un Síntoma paquete)
- -"Excelente!" (Pack Rstet)
Syn Comunicación sigilosa
- -"Oye, ¿puedes oírme?? Podemos encontrarnos?" (Síntoma paquetes solicitando sincronización)
- -"Hola!, Te veo!, Podemos encontrarnos" (Donde "te veo" es un Ack paquete, "podemos conocer" es un paquete de syn)
- -"Lo siento, le envié una solicitud por error, olvídalo" (Pack Rstet)
El segundo ejemplo anterior muestra un Síntoma conexión, que no establece una conexión en contraste con un TCP conexión o ESCANILLA CONECTA. Por lo tanto No hay registro en el segundo dispositivo sobre una conexión, ni se registra su dirección IP.
Otras banderas de NMAP (sin sigilo)
Además de las técnicas de escaneo sigiloso, decidimos describir algunas banderas diferentes.
Es importante aclarar que las siguientes banderas no son sigilosas.
El -O El indicador puede detectar el sistema operativo objetivo, como se muestra en la siguiente captura de pantalla:
sudo nmap -o donweb.co
Como puede ver en la captura de pantalla anterior, el objetivo probablemente tiene Linux con el kernel 2.6.X; Según el informe, las condiciones de detección fueron difíciles.
El siguiente ejemplo intenta aprender la versión del software (-SV) escuchando detrás de los puertos. Como puede ver, se detectó barniz.
nmap -sv wikipedia.organizar
El -en Flag crea un archivo con los resultados del escaneo.
En el siguiente ejemplo, el usuario implementa el -en marcar para crear el archivo "resultados.txt ”con la salida de escaneo.
Eso se trata de métodos de escaneo de sigilo. Puede probarlos con un sistema de detección de intrusos como Snort para ver su efectividad antes de las diferentes reglas de detección.
Conclusión
Como puede ver, NMAP ofrece diferentes técnicas de escaneo de sigilo. Todos son fáciles de implementar, y la técnica es fácil de entender si el usuario conoce los conceptos básicos de redes. Los lectores con experiencia mínima pueden reproducir los ejemplos prácticos dados sin dificultades importantes. Se recomienda altamente aplicar el ejemplo adicionalmente a la lectura.
Todas las instrucciones dadas son válidas para todas las distribuciones de Linux.
Gracias por leer este tutorial explicando cómo ejecutar escaneos sigilosos con nmap. Siga siguiendo la pista de Linux para obtener más contenido profesional de redes y seguridad.