Introduction à Nmap et à la numérisation de ports
Cet article évalue utilisation de Nmap et démontre divers cas d'utilisation en utilisant Options de ligne de commande Nmap. Cet article utilise des scénarios pratiques couverts en deux Salles TryHackMe.
In another update, we also covered the answers for the below rooms:
- TryHackMe Nmap Live Host Discovery
- TryHackMe Nmap Basic Port Scans
- TryHackMe Nmap Advanced Port Scans
Obtenir les notes du certificat OSCP
Intro to Port Scanning with Nmap
En matière de piratage informatique, la connaissance est un pouvoir. Plus vous avez de connaissances sur un système ou un réseau cible, plus vous disposez d'options. Il est donc impératif qu’un dénombrement approprié soit effectué avant toute tentative d’exploitation.
Supposons que nous ayons reçu une adresse IP (ou plusieurs adresses IP) sur laquelle effectuer un audit de sécurité. Avant de faire quoi que ce soit d’autre, nous devons avoir une idée du « paysage » que nous attaquons. Cela signifie que nous devons établir quels services fonctionnent sur les cibles. Par exemple, l’un d’eux exécute peut-être un serveur Web et un autre agit en tant que contrôleur de domaine Windows Active Directory. La première étape dans l’établissement de cette « carte » du paysage s’appelle analyse des ports. When a computer runs a network service, it opens a networking construct called a “port” to receive the connection. Ports are necessary for making multiple network requests or having multiple services available. For example, when you load several webpages at once in a web browser, the program must have some way of determining which tab is loading which web page. This is done by establishing connections to the remote webservers using different ports on your local machine. Equally, if you want a server to be able to run more than one service (for example, perhaps you want your webserver to run both HTTP and HTTPS versions of the site), then you need some way to direct the traffic to the appropriate service. Once again, ports are the solution to this. Network connections are made between two ports – an open port listening on the server and a randomly selected port on your own computer. For example, when you connect to a web page, your computer may open port 49534 to connect to the server’s port 443.
Chaque ordinateur dispose d'un total de 65 535 ports disponibles ; cependant, bon nombre d'entre eux sont enregistrés comme ports standard. Par exemple, un Webservice HTTP se trouve presque toujours sur le port 80 du serveur. Un service Web HTTPS peut être trouvé sur le port 443. Windows NETBIOS peut être trouvé sur le port 139 et SMB peut être trouvé sur le port 445. Il est important de le noter : cependant, en particulier dans un contexte CTF, il n'est pas rare que même ces ports standard soient modifiés, ce qui rend encore plus impératif que nous effectuions une énumération appropriée sur la cible.
Quand analyse des ports avec Nmap, il existe trois types d'analyse de base. Ceux-ci sont:
- TCP Connecter les analyses (
-St) - SYN Scans « à moitié ouverts » (
-sS) - UDP Numérisations (
-sU) - TCP ACK Scan: As the name implies, an ACK scan will send a TCP packet with the ACK flag set. Use the
-sAoption to choose this scan. - Window Scan: Another similar scan is the TCP window scan. The TCP window scan is almost the same as the ACK scan; however, it examines the TCP Window field of the RST packets returned. On specific systems, this can reveal that the port is open. You can select this scan type with the option
-sW - Custom Scan: If you want to experiment with a new TCP flag combination beyond the built-in TCP scan types, you can do so using
--scanflags. For instance, if you want to set SYN, RST, and FIN simultaneously, you can do so using--scanflags RSTSYNFIN.
De plus, il existe plusieurs types d'analyse de ports moins courants, dont certains seront également abordés (bien que moins en détail). Ceux-ci sont:
- TCP Analyses nulles (
-sN) : The null scan does not set any flag; all six flag bits are set to zero. You can choose this scan using the-sNoption. A TCP packet with no flags set will not trigger any response when it reaches an open port, as shown in the figure below. Therefore, from Nmap’s perspective, a lack of reply in a null scan indicates that either the port is open or a firewall is blocking the packet. - TCP Analyses FIN (
-sF): The FIN scan sends a TCP packet with the FIN flag set. You can choose this scan type using the-sFoption. Similarly, no response will be sent if the TCP port is open. Again, Nmap cannot be sure if the port is open or if a firewall is blocking the traffic related to this TCP port. - TCP Scans de Noël (
-sX): - The Xmas scan gets its name after Christmas tree lights. An Xmas scan sets the FIN, PSH, and URG flags simultaneously. You can select Xmas scan with the option
-sX. Like the Null scan and FIN scan, if an RST packet is received, it means that the port is closed. Otherwise, it will be reported as open|filtered.
La plupart d'entre eux (à l'exception de UDP analyses) sont utilisés à des fins très similaires, cependant, leur fonctionnement diffère d’une analyse à l’autre. Cela signifie que, même si l'une des trois premières analyses sera probablement votre choix dans la plupart des situations, il convient de garder à l'esprit qu'il existe d'autres types d'analyse.
Nmap Scripting Engine
Le Nmap Scripting Engine (NSE) est un ajout incroyablement puissant à Nmap, étendant considérablement ses fonctionnalités. Les scripts NSE sont écrits dans le Lua langage de programmation, et peut être utilisé pour faire une variété de choses : de la recherche de vulnérabilités à l'automatisation de leurs exploits. Le NSE est particulièrement utile pour la reconnaissance, mais il convient de garder à l'esprit l'étendue de la bibliothèque de scripts.
De nombreuses catégories sont disponibles. Certaines catégories utiles incluent :
sûr:- N'affectera pas la cibleintrusif:- Pas sûr : susceptible d'affecter la ciblevulnérabilité:- Rechercher les vulnérabilitésexploiter:- Tentative d'exploiter une vulnérabilitéauthentification:- Tentative de contourner l'authentification pour les services en cours d'exécution (par exemple, connectez-vous à un FTP serveur de manière anonyme)brute:- Tentative de force brute des informations d'identification pour l'exécution des servicesDécouverte:- Tentative d'interroger les services en cours d'exécution pour obtenir des informations supplémentaires sur le réseau (par exemple, interroger un serveur SNMP).
Une liste plus exhaustive peut être trouvée ici.
Host Discovery with Nmap
We can ping every IP address on a target network and see who would respond to our ping (ICMP Type 8/Echo) requests with a ping reply (ICMP Type 0). Simple, isn’t it? Although this would be the most straightforward approach, it is not always reliable. Many firewalls block ICMP echo; new versions of MS Windows are configured with a host firewall that blocks ICMP echo requests by default. Remember that an ARP query will precede the ICMP request if your target is on the same subnet.
To use ICMP echo request to discover live hosts, add the option -PE. (Remember to add -sn if you don’t want to follow that with a port scan.)
TCP SYN Ping
We can send a packet with the SYN (Synchronize) flag set to a TCP port, 80 by default, and wait for a response. An open port should reply with a SYN/ACK (Acknowledge); a closed port would result in an RST (Reset). In this case, we only check whether we will get any response to infer whether the host is up. The specific state of the port is not significant here.
If you want Nmap to use TCP SYN ping, you can do so via the option -PS followed by the port number, range, list, or a combination of them. For example, -PS21 will target port 21, while -PS21-25 will target ports 21, 22, 23, 24, and 25. Finally -PS80,443,8080 will target the three ports 80, 443, and 8080.
Privileged users (root and sudoers) can send TCP SYN packets and don’t need to complete the TCP 3-way handshake even if the port is open, as shown in the figure below. Unprivileged users have no choice but to complete the 3-way handshake if the port is open.
TCP ACK Ping
As you have guessed, this sends a packet with an ACK flag set. You must be running Nmap as a privileged user to be able to accomplish this. If you try it as an unprivileged user, Nmap will attempt a 3-way handshake.
By default, port 80 is used. The syntax is similar to TCP SYN ping. -PA should be followed by a port number, range, list, or a combination of them. For example, consider -PA21, -PA21-25 et -PA80,443,8080. If no port is specified, port 80 will be used.
UDP Ping
Finally, we can use UDP to discover if the host is online. Contrary to TCP SYN ping, sending a UDP packet to an open port is not expected to lead to any reply. However, if we send a UDP packet to a closed UDP port, we expect to get an ICMP port unreachable packet; this indicates that the target system is up and available.
Enumeration with Nmap
e mentioned the different techniques we can use for scanning in Task 1. Before we explain each in detail and put it into use against a live target, we need to specify the targets we want to scan. Generally speaking, you can provide a list, a range, or a subnet. Examples of target specification are:
- list:
MACHINE_IP scanme.nmap.org example.comwill scan 3 IP addresses. - range:
10.11.12.15-20will scan 6 IP addresses:10.11.12.15,10.11.12.16,… and10.11.12.20. - subnet:
MACHINE_IP/30will scan 4 IP addresses.
You can also provide a file as input for your list of targets, nmap -iL list_of_hosts.txt
Évasion du pare-feu avec Nmap
Il existe une variété d'autres commutateurs que Nmap considère utiles pour contourner le pare-feu. Nous ne les détaillerons pas, mais on peut les trouver ici.
You can also check out Pare-feu et évasion IDS avec NMAP | Practical Scenario post.
Les commutateurs suivants méritent une attention particulière :
-F:- Utilisé pour fragmenter les paquets (c'est-à-dire les diviser en morceaux plus petits), ce qui rend moins probable que les paquets soient détectés par un pare-feu ou ID.- Une alternative à
-F, mais offrant plus de contrôle sur la taille des paquets :--mtu <number>, accepte une taille maximale d'unité de transmission à utiliser pour les paquets envoyés. Ce doit être un multiple de 8. --scan-delay <time>ms:- utilisé pour ajouter un délai entre les paquets envoyés. Ceci est très utile si le réseau est instable, mais également pour éviter les déclencheurs de pare-feu/IDS temporels qui pourraient être en place.--badsum:- ceci est utilisé pour générer une somme de contrôle invalide pour les paquets. Toute véritable pile TCP/IP supprimerait ce paquet, cependant, les pare-feu peuvent potentiellement répondre automatiquement, sans prendre la peine de vérifier la somme de contrôle du paquet. A ce titre, ce commutateur peut être utilisé pour déterminer la présence d'un pare-feu/IDS.
Spoofed Scan with Nmap
In brief, scanning with a spoofed IP address is three steps:
- Attacker sends a packet with a spoofed source IP address to the target machine.
- Target machine replies to the spoofed IP address as the destination.
- Attacker captures the replies to figure out open ports.
In general, you expect to specify the network interface using -e and to explicitly disable ping scan -Pn. Therefore, instead of nmap -S SPOOFED_IP MACHINE_IP, you will need to issue nmap -e NET_INTERFACE -Pn -S SPOOFED_IP MACHINE_IP to tell Nmap explicitly which network interface to use and not to expect to receive a ping reply. It is worth repeating that this scan will be useless if the attacker system cannot monitor the network for responses.
When you are on the same subnet as the target machine, you would be able to spoof your MAC address as well. You can specify the source MAC address using --spoof-mac SPOOFED_MAC. This address spoofing is only possible if the attacker and the target machine are on the same Ethernet (802.3) network or same WiFi (802.11).
Spoofing only works in a minimal number of cases where certain conditions are met. Therefore, the attacker might resort to using decoys to make it more challenging to be pinpointed. The concept is simple, make the scan appear to be coming from many IP addresses so that the attacker’s IP address would be lost among them. As we see in the figure below, the scan of the target machine will appear to be coming from 3 different sources, and consequently, the replies will go the decoys as well.
Fragemented Scan with Nmap
Nmap provides the option -F to fragment packets. Once chosen, the IP data will be divided into 8 bytes or less. Adding another -F (-f -f ou -ff) will split the data into 16 byte-fragments instead of 8. You can change the default value by using the --mtu; however, you should always choose a multiple of 8.
To properly understand fragmentation, we need to look at the IP header in the figure below. It might look complicated at first, but we notice that we know most of its fields. In particular, notice the source address taking 32 bits (4 bytes) on the fourth row, while the destination address is taking another 4 bytes on the fifth row. The data that we will fragment across multiple packets is highlighted in red.
Description of port scanning output with Nmap
- Open: indicates that a service is listening on the specified port.
- Closed: indicates that no service is listening on the specified port, although the port is accessible. By accessible, we mean that it is reachable and is not blocked by a firewall or other security appliances/programs.
- Filtered: means that Nmap cannot determine if the port is open or closed because the port is not accessible. This state is usually due to a firewall preventing Nmap from reaching that port. Nmap’s packets may be blocked from reaching the port; alternatively, the responses are blocked from reaching Nmap’s host.
- Unfiltered: means that Nmap cannot determine if the port is open or closed, although the port is accessible. This state is encountered when using an ACK scan
-sA. - Open|Filtered: This means that Nmap cannot determine whether the port is open or filtered.
- Closed|Filtered: This means that Nmap cannot decide whether a port is closed or filtered.
Réponses aux questions de la première salle
Combien d’entre eux sont disponibles sur un ordinateur connecté au réseau ?
[Recherche] Combien d’entre eux sont considérés comme « bien connus » ? (Ce sont les numéros « standards » mentionnés dans la tâche)
Tout d’abord, comment accéder au menu d’aide ?
Souvent appelé analyse furtive, quel est le premier commutateur répertorié pour un « Syn Scan » ?
Pas aussi utile, mais que diriez-vous d'un « analyse UDP » ?
Qu’en est-il de la détection du système d’exploitation ?
Qu’en est-il de la détection de version du service ?
La plupart des gens aiment voir des résultats pour savoir que leur analyse fait réellement des choses. Qu'est-ce que l'indicateur de verbosité ?
Qu'en est-il de « très verbeux » ? (Un favori personnel)
Parfois, enregistrer la sortie dans un format de document commun peut s'avérer très pratique pour la création de rapports. Comment enregistrer la sortie dans XML format?
Comment puis-je régler le timing au niveau maximum, parfois appelé « Insensé » ?
Que se passe-t-il si je souhaite analyser un port spécifique ?
Et si je veux analyser chaque port ?
Que faire si je souhaite activer l'utilisation d'un script du moteur de script nmap ? Pour cela, incluez simplement la première partie du commutateur sans spécifier le script à exécuter.
Que se passe-t-il si je souhaite exécuter tous les scripts hors de la catégorie de vulnérabilité ?
Quel commutateur dois-je inclure si je ne souhaite pas envoyer de requête ping à l'hôte ?
Commençons par les bases et effectuons une analyse synchronisée sur la boîte fournie. Quelle sera cette commande sans the host IP address?
Après avoir analysé ceci, combien de ports trouvons-nous ouverts en dessous de 1000 ?
Quel protocole de communication est donné pour ces ports après le numéro de port ?
Effectuez une analyse de détection de version de service, quelle est la version du logiciel exécuté sur le port 22 ?
Effectuez une analyse de script des vulnérabilités associées à cette boîte. À quelle attaque par déni de service (DOS) cette boîte est-elle sensible ? Répondez en indiquant le nom de la vulnérabilité indiqué comme titre de section dans le résultat de l'analyse. Une analyse de vulnérabilité peut prendre un certain temps. Au cas où vous seriez bloqué, la réponse à cette question a été fournie dans l'indice, cependant, il est bon de continuer à exécuter cette analyse et de s'habituer à l'utiliser car elle peut être inestimable.
Réponses à la salle deux
Quelle RFC définit le comportement approprié pour le TCP protocole?
Si un port est fermé, quel indicateur le serveur doit-il renvoyer pour l'indiquer ?
Nmap peut-il utiliser une analyse SYN sans autorisations Sudo (O/N) ?
Lorsqu'un UDP le port est fermé, par convention la cible doit renvoyer un message « port inaccessible ». Quel protocole utiliserait-il pour ce faire ?
Pourquoi les analyses NULL, FIN et Xmas sont-elles généralement utilisées ?
Quel commun Système d'exploitation peut-il répondre à une analyse NULL, FIN ou Xmas avec un RST pour chaque port ?
Quelle catégorie de scripts serait un très mauvaise idée de fonctionner dans un environnement de production ?
Quel argument facultatif le ftp-anon.nse le scénario prend-il ?
/usr/share/nmap/scripts/ répertoire en utilisant l’une des méthodes démontrées.Quel est le nom de fichier du script qui détermine le sous-jacent Système d'exploitation du serveur SMB ?
Lisez ce script. De quoi ça dépend ?
-Pn changer?[Recherche] Quel commutateur Nmap vous permet d'ajouter une longueur arbitraire de données aléatoires à la fin des paquets ?
La cible (IP_MACHINE)répondre aux requêtes ICMP (ping) (O/N) ?
Effectuez une analyse de Noël sur les 999 premiers ports de la cible : combien de ports sont affichés comme étant ouverts ou filtrés ?
Il y a une raison à cela : quelle est-elle ?
Note: La réponse sera dans les résultats de votre analyse. Réfléchissez bien aux commutateurs à utiliser et lisez l'astuce avant de demander de l'aide !
Effectuer un TCP Analyse SYN sur les 5 000 premiers ports de la cible : combien de ports sont affichés comme étant ouverts ?
Ouvrez Wireshark (voir Cryillique Salle Wireshark pour obtenir des instructions) et effectuez une TCP Connectez l'analyse au port 80 de la cible, en surveillant les résultats. Assurez-vous de comprendre ce qui se passe.
Déployer le ftp-anon script contre la boîte. Nmap peut-il se connecter avec succès au FTP serveur sur le port 21 ? (O/N)
Room Answers | TryHackMe Nmap Live Host Discovery
How many devices can see the ARP Request?
4
Did computer6 receive the ARP Request? (Y/N)
N
How many devices can see the ARP Request?
4
Did computer6 reply to the ARP Request? (Y/N)
N
Quelle est la première adresse IP que Nmap analyserait si vous la fournissiez 10.10.12.13/29 comme cible ?
10.10.12.8
Combien d'adresses IP Nmap analysera-t-il si vous fournissez la plage suivante 10.10.0-255.101-125?
6400
Quel est le type de paquet envoyé par l’ordinateur 1 avant le ping ?
ARP Request
Quel est le type de paquet que l’ordinateur 1 a reçu avant de pouvoir envoyer le ping ?
ARP Response
Combien d’ordinateurs ont répondu à la requête ping ?
1
What is the name of the first device that responded to the first ARP Request?
Router
What is the name of the first device that responded to the second ARP Request?
computer5
Send another Ping Request. Did it require new ARP Requests? (Y/N)
N
How many devices are you able to discover using ARP requests?
3
Quelle est l'option requise pour indiquer à Nmap d'utiliser l'horodatage ICMP pour découvrir les hôtes en direct ?
-PP
Quelle est l'option requise pour indiquer à Nmap d'utiliser le masque d'adresse ICMP pour découvrir les hôtes en direct ?
-PM
What is the option required to tell Nmap to use ICMP Echo to discover live hosts?
-PE
Quelle analyse ping TCP ne nécessite pas de compte privilégié ?
TCP SYN PING
Which TCP ping scan requires a privileged account?
TCP ACK PING
What option do you need to add to Nmap to run a TCP SYN ping scan on the telnet port?
-PS23
Nous souhaitons que Nmap effectue une recherche DNS inversée pour tous les hôtes possibles sur un sous-réseau, dans l'espoir d'obtenir des informations à partir des noms. Quelle option devrions-nous ajouter ?
-R
Room Answers | TryHackMe Nmap Basic Port Scans
Quel service utilise le port UDP 53 par défaut ?
DNS
Which service uses TCP port 22 by default?
SSH
Combien d’états du port Nmap prend-il en compte ?
6
Quel état du port est le plus intéressant à découvrir en tant que pentester ?
OPEN
Quelles 3 lettres représentent le drapeau de réinitialisation ?
RST
Which flag needs to be set when you initiate a TCP connection (first packet of TCP 3-way handshake)?
syn
Lancez la VM. Ouvrez l'AttackBox et exécutez nmap -sT MACHINE_IP via the terminal. A new service has been installed on this VM since our last scan. Which port number was closed in the scan above but is now open on this target VM?
110
Que pense Nmap du service nouvellement installé ?
pop3
Lancez la VM. Un nouveau logiciel serveur a été installé depuis la dernière fois que nous l'avons analysé. Sur l'AttackBox, utilisez le terminal pour exécuter nmap -sS MACHINE_IP. Quel est le nouveau port ouvert ?
6667
Quelle est l'estimation de Nmap concernant le nom du service ?
irc
Lancez la VM. Sur l'AttackBox, utilisez le terminal pour exécuter nmap -sU -F -v MACHINE_IP. A new service has been installed since the last scan. What is the UDP port that is now open?
53
Quel est le nom du service selon Nmap ?
domain
Quelle est l’option pour analyser tous les ports TCP entre 5 000 et 5 500 ?
-p5000-5500
Comment pouvez-vous garantir que Nmap exécutera au moins 64 sondes en parallèle ?
–min-parallelism=64
Quelle option ajouteriez-vous pour rendre Nmap très lent et paranoïaque ?
-T0
Room Answers | Nmap Advanced Port Scans
Dans une analyse nulle, combien d’indicateurs sont définis sur 1 ?
0
Dans une analyse FIN, combien d’indicateurs sont définis sur 1 ?
1
Dans une analyse de Noël, combien d’indicateurs sont définis sur 1 ?
3
Start the VM and load the AttackBox. Once both are ready, open the terminal on the AttackBox and use nmap to launch a FIN scan against the target VM. How many ports appear as open|filtered?
7
Repeat your scan launching a null scan against the target VM. How many ports appear as open|filtered?
7
Dans le scan Maimon, combien d'indicateurs sont définis ?
2
Dans l’analyse TCP Window, combien d’indicateurs sont définis ?
1
You decided to experiment with a custom TCP scan that has the reset flag set. What would you add after --scanflags?
RST
The VM received an update to its firewall ruleset. A new port is now allowed by the firewall. After you make sure that you have terminated the VM from Task 2, start the VM for this task. Launch the AttackBox if you haven’t done that already. Once both are ready, open the terminal on the AttackBox and use Nmap to launch an ACK scan against the target VM. How many ports appear unfiltered?
4
Quel est le nouveau numéro de port apparu ?
443
Existe-t-il un service derrière le numéro de port nouvellement découvert ? (O/N)
n
Que devez-vous ajouter à la commande sudo nmap MACHINE_IP pour que l'analyse apparaisse comme si elle provenait de l'adresse IP source 10.10.10.11 au lieu de votre adresse IP ?
-S 10.10.10.11
Que devez-vous ajouter à la commande sudo nmap MACHINE_IP pour que l'analyse apparaisse comme si elle provenait des adresses IP sources 10.10.20.21 et 10.10.20.28 en plus de votre adresse IP ?
-D 10.10.20.21,10.10.20.28
Si le segment TCP a une taille de 64 et -ff est utilisée, combien de fragments IP obtiendrez-vous ?
4
Vous avez découvert une imprimante réseau rarement utilisée avec l'adresse IP 10.10.5.5, et vous décidez de l'utiliser comme zombie dans votre analyse inactive. Quel argument devez-vous ajouter à votre commande Nmap ?
-sI 10.10.5.5
Lancez l'AttackBox si vous ne l'avez pas déjà fait. Après vous être assuré d'avoir arrêté la VM à partir de la tâche 4, démarrez la VM pour cette tâche. Attendez qu'il se charge complètement, puis ouvrez le terminal sur l'AttackBox et utilisez Nmap avec nmap -sS -F --raison MACHINE_IP to scan the VM. What is the reason provided for the stated port(s) being open?
syn-ack
