Hoe werkt Nmap-Scanner?
Nmap is een zeer effectieve poortscanner, bekend als de de-facto tool voor het vinden van open poorten en services.
Nmap voert verschillende fasen uit om zijn doel te bereiken:
Nmap host discovery
de eerste fase van een poortscan is host discovery. Hier probeert de scanner te controleren of de doelhost live is voordat hij daadwerkelijk zoekt naar open poorten., Deze fase is vooral nodig bij het scannen van een groot aantal IP-adressen om de tijd voor de hele scan te optimaliseren. Het heeft geen zin om tijd te verspillen door te zoeken naar open poorten op een ‘dode’ host (bijv. er is geen server op een bepaald IP).
echter, deze fase kan er soms toe leiden dat sommige open poorten niet gevonden worden omdat de host ‘liveness’ niet altijd correct gedetecteerd kan worden (bijv. vanwege firewalls die alleen toegang tot een bepaalde poort toestaan en al het andere laten vallen)., In dit geval heb je de optie “Don’ t ping host” (of Nmap-Pn) die de host discovery fase overslaat en gewoon de poort scant.
open ports detection
om te bepalen of een TCP-poort open is, maakt Nmap gebruik van het Drieweg handshake-mechanisme dat door TCP wordt gebruikt om een verbinding tot stand te brengen tussen een client en een server.
er zijn twee manieren om open TCP-poorten te detecteren:
Connect-Scan (Nmap-sT)
in dit geval doet Nmap een volledige Drieweg handshake met de doelserver, waarbij een volledige TCP-verbinding tot stand wordt gebracht., De reeks pakketten voor dit type scan is: SYN, SYN-ACK, ACK, RST.
Het voordeel van deze methode is dat het geen root/administrator toegang vereist op de client machine, terwijl het nadeel is dat het nogal lawaaierig is en de server de verbindingen kan loggen die geprobeerd zijn vanaf andere hosts.
SYN-Scan (Nmap-sS)
dit is de standaard scanmethode, ook ingeschakeld in onze scanner., In deze methode doet Nmap een half-open TCP verbinding, wetende dat de poort open is onmiddellijk nadat de server reageert met SYN-ACK. De reeks pakketten in dit geval is: SYN, SYN-ACK, RST.
Het voordeel van deze methode is dat het stealthier is dan een Connect-Scan, maar het vereist Nmap om te draaien met root/administrator privileges (omdat het low-level raw sockets moet maken om de individuele pakketten te verzenden, in plaats van de kernel stack te verlaten om de verbinding te doen).,
Nmap-servicedetectie
nadat Nmap een lijst met poorten heeft gevonden, kan het een meer diepgaande controle uitvoeren om het exacte type service te bepalen dat op die poort wordt uitgevoerd, inclusief de versie ervan. Dit is nodig omdat het mogelijk is voor gemeenschappelijke diensten om te draaien op niet-standaard poorten (ex. een webserver die draait op poort 32566). Service detectie is ingeschakeld met het commando Nmap -sV.
Nmap doet dienstdetectie door een aantal vooraf gedefinieerde probes voor verschillende protocollen naar de doelpoort te sturen om te zien of het hierop reageert., Bijvoorbeeld:
- SSL CLIENT Hallo-om te controleren op SSL services
- HTTP GET request – om te controleren op HTTP service
- SIP opties-om te controleren op SIP/rtsp protocol
- en vele anderen
u kunt meer details over Nmap en zijn interne functionaliteit vinden in onze blogpost in Nmap, ‘ s werelds meest beroemde poortscanner. een korte geschiedenis van Nmap Port Scanner
Nmap werd voor het eerst geïntroduceerd in September 1997 in het artikel The Art of Scanning, in het bekende Phrack Magazine, door de auteur – Fyodor (Gordon Lyon).,
omdat het veel bekendheid kreeg, is Nmap verwezen in meerdere boeken en het werd ook gebruikt in verschillende artistieke films als een hacking tool (ex. matrix).
Het is sterk geëvolueerd in de tijd (de huidige versie is 7.70) van een eenvoudige poort scanner naar een robuuste tool met geavanceerde fingerprinting mogelijkheden en een complexe scripting engine. Nmap heeft momenteel meer dan 500 scripts die kunnen worden uitgevoerd nadat service detectie is uitgeschakeld, met betrekking tot aspecten als geavanceerde service discovery, brute-forcing en een aantal kwetsbaarheid identificatie.
