Hvordan Nmap Skanneren fungerer?
Nmap er en svært effektiv port scanner, kjent som de-facto-verktøyet for å finne åpne porter og tjenester.
Nmap utfører flere faser for å oppnå sin hensikt:
Nmap vert discovery
Den første fasen av en port scan er vert for oppdagelsen. Her skanneren forsøk på å kontrollere om målet vert er live før faktisk sondering for å åpne porter., Denne fasen er nødvendig for i hovedsak når du skanner et stort spekter av IP-adresser for å optimalisere tid for hele scan. Det gjør ikke noe fornuftig å kaste bort tid sondering for å åpne porter på en ‘døde’ vert (ex. det er ingen server på en gitt IP).
Men, denne fasen kan noen ganger føre til ikke å finne noen åpne porter fordi vert ‘liveness’ kan ikke alltid være riktig registrert (ex. på grunn av brannmurer som tillater bare tilgang til en bestemt port og slipp alt annet)., I dette tilfellet har du alternativet «ikke pinge en host» (eller Nmap -Pn) som hopper vert discovery fase og bare gjør port skanner.
Åpne porter deteksjon
for å avgjøre om en TCP-porten er åpen, Nmap tar fordel av Tre-veis håndtrykk mekanisme som brukes av TCP for å opprette en tilkobling mellom en klient og en server.
Det er hovedsakelig to metoder for å påvise åpne TCP-porter:
Koble-Scan (Nmap -sT)
I dette tilfellet Nmap gjør en full tre-veis håndtrykk med mål-server, å etablere en full TCP-tilkobling., Sekvensen av pakker for denne typen søk er: SYN, SYN-ACK, ACK, RST.
fordel med denne metoden er at den ikke krever root/administrator-tilgang på klient maskinen, mens ulempen er at det er ganske bråkete og serveren kan logge tilkoblinger forsøkt fra andre verter.
SYN-Scan (Nmap -sS)
Dette er standard skanning metoden, også aktivert i vår skanner., I denne metoden, Nmap gjør en halv-åpne TCP-tilkobling, vel vitende om at porten er åpen umiddelbart etter at serveren svarer med SYN-ACK. Sekvensen av pakker i dette tilfellet er: SYN, SYN-ACK, RST.
fordel med denne metoden er at den er usynlige enn en Connect-Scan, men det krever Nmap å kjøre med root/administrator-rettigheter (fordi det er behov for å opprette lavt nivå raw sockets for å sende individuelle pakker, i stedet for å forlate kjernen stabelen for å gjøre tilkoblingen).,
Nmap service deteksjon
Etter Nmap har funnet en liste over porter, kan det gjøre en mer grundig sjekk for å fastslå den eksakte type tjeneste som kjører på port, inkludert sin versjon. Dette er nødvendig fordi det er mulig for vanlige tjenester for å kjøre på ikke-standard porter (ex. en web-server som kjører på port 32566). Service-gjenkjenning er aktivert med kommandoen Nmap -sV.
Nmap gjør tjeneste deteksjon ved å sende en rekke forhåndsdefinerte prober for ulike protokoller til målet port for å se om det reagerer deretter., For eksempel, sender:
- SSL-KLIENT-HEI – å se etter SSL på tjenester
- HTTP GET-forespørsel for å sjekke for HTTP-tjenesten
- SIP-INNSTILLINGER – for å kontrollere for SIP/RTSP-protokollen
- og mange andre
Du kan finne mer informasjon om Nmap og den interne funksjonaliteten i våre blogginnlegg Inne Nmap, verdens mest berømte port skanner.
En kort historie av Nmap Port Scanner
Nmap ble først introdusert i September 1997 i artikkelen Kunsten å Skanne, i den kjente Phrack Magazine, av dets forfatter – Fjodor (Gordon Lyon).,
Siden det fikk en masse notoritet, Nmap har vært omtalt i flere bøker, og det ble også brukt i flere kunstneriske filmer som et hacker-verktøy (ex. matrise).
Det har utviklet seg mye over tid (gjeldende versjon 7.70) fra en enkel port scanner til et robust verktøy som inneholder avanserte fingeravtrykk evner og en kompleks skriptmotoren. Nmap for øyeblikket har mer enn 500 skript som kan kjøre etter service deteksjon har blitt deaktivert, og dekker aspekter som avansert service discovery, brute-tvang og noen sårbarhet identifikasjon.
