Nmap - scannování, IP spoofing, fingerprinting

30.11.2007 17:37 | Přečteno: 2100× | Linux - readonly debian pro routery

Chystám si povídání do školy na téma nmap a uití v praxi. Lehce zapojil také xprobe2 a p0f.
Povídání je zaměřené na základní použití nmapu, ukázku tcp connect, tcp syn a udp scannu. Dále jen naťukávám IP spooing a v závěru je ukázka aktivního fingeprintingu.

Myslím že o tomto tématu něco vím, nicméně vím jen věci které aktivně používám na mojí síti. Předpokládám že nmap, xprobe a p0 umí plno jiných zajímavostí. Proto bych rád pod tímto blogem rozběhl diskuzi na téma"jaké" super věci s nmapem ještě umíte.

Moje prezentace je zaměřena částečně jako propagace opensource nástrojů a potažmo linuxu. Cílem je tedy na posluchače udělat co největší dojem, ukázat jim co všechno nmap umí a vše předvést v reálu. Posluchači jsou lidé ze základní znalostí sítí (IP adresa, maska, port, ping a pod.) K dispozici mám učebnu na které je 18 desktopů s Debianem 4.0, všichni mají vše dostupné a dle potřeby mohu doinstalovat cokoliv dalšího.

nmap.pdf nebo nmap.odp

Zkuste se nad tím zamyslet a napsat mi co dalšího co možná nejvíc zajímavého s nemapem lze udělat :))

Johny

       

Komentáře

[frEon]

nmap na spoustu roznych skenu potrebuje rotovske prava. tak bacha at se nenachytas.

[Martin Baleja]

Doufám že neurazím upozorněním na pravopisné chyby a překlepy:
#6: "tento typ scanu je rychlý", "je port považován jako filtered" (když už nemůžeš používat české ekvivalenty)
#7: "kde navazování spojení probíhá odlišně",
#8: "ICMP paket s kódem", (a zase filtered o kousek dál)
#11: "RFC speciikace"
#14: "chová se k síti šetrně a tak lze odhalení není snadné", "..a proto je nezjistitelný"
#15: "který informuje"

Jinak je to docela zajímavé, bohužel nemůžu přispět žádným svým postřehem k tématu.

[Johny z Podoli]

z gramatikou mám poměrně problém, než to předvedu veřejně poprosím někoho o korekturu. Nicméně děkuji za upozornění, prezentaci si opravím :) Škoda že zatím nikdo nepřipsal nějaký tip nebo trik :) který mohu ukázat.

[azurIt]

no tak aby ti nebolo luto ;) skus nmap -sV, netreba na to ani roota. dalsia aplikacia, ktora toto dokaze, je SAT.

[Ketling]

Tak to vám pekne ďakujem. Skúsil som to na domácu mašinu s XP a dostal som BSOD. Bohužial druhý krát sa mi to už nepodarilo zopakovať

[Johny z Podoli]

kdyby se bsod opakovalo, bylo by to jistě pro můj účel perfektní :)

[azurIt]

tak sorry no, nechcel som :D

[miso]

slide 2 - daemonů

[pht]

K obsahu:

Spoofing - zmínil bych rozdíl mezi spoofing a decoy a hlavně fakt, že pokud spoofuju tak mi nemusí žádné packety dorazit zpět

Detekce OS - tady bych trochu rozvedl resp. nastínil ty techniky, které vedou k detekci toho či onoho OS (odlišné chování stacků), pojem fuzzy logika je trochu fádní a nic neříká

Typy scanu - trochu bych to zkrátil, myslím že je tomu věnováno příliš mnoho slajdů, spíš bych si nechal něco na ty "show off" triky (viz níže)

K formě:

Zastávám názor že prezentace by měla obsahovat co nejméně textu a už vůbec ne celé věty. Pokud posluchači budou číst prezentaci, nebudou věnovat pozornost výkladu a navíc to svádí školitele k tomu aby slidy četl jako pohádku místo aby volně mluvil. Takže bych brutálně (ale opravdu!) zkrátil všechny texty a místo toho se vymazlil s obrázky které kolikrát řeknou více než deset vět.

Triky:

Nmap umí celkem zevrubně zadat co a jak má scannovat (rozsahy portů, adres, ...), to bych jednoznačně vyzdvihl! Lze v něm také dost podrobně ladit agresivitu scannu (nejprv ping, různé časování, paralelní scanny atd). Výstup z nmapu lze obdržet v pěkně přechroustatelném (strojově) formátu takže lze celkem jednoduše dělat různé frontendy. A "last but not least", nmap je open-source, takže kdykoliv není problém do něj nahlédnout nebo něco poupravit.

A to je asi vše.

[depka]

mas dobry nick džony ;)

[Murry]

"pouití" -> použití (poslední nadpis)
Jinak je to velmi zajímavé. Kdybych se mohl na takovou přednášku dostat, hned bych šel......

[Tom.š Ze.le.in]

Jen rychle, možná jsem něco z toho na slidech přehlédl.

- pokud vím, SYN scan je výchozí nastavení jen pokud je uživatel root (z textu není vidět)

- možná by chtělo odlišit co jsou v podstatě různé způsoby scanování téhož (syn, connect, ale i nul, xmas a ruční flagy skanují všechny tcp) a co jsou skany něčeho jiného - je to na přeskáčku

- možná zmínit principiální problémy s UDP scanem (nelze rychle...)

- sV aspoň zmínit, možná i --version-light a jak přidávat vlastní pravidla pro detekci služeb,

- v praxi užitečnější než spoofing etc mi přijdou možnosti měnit nastavení doby mezi scany atd.

- možná zmínit různé typy výstupu a kdy který použít

- verze je dnes už AFAIK trochu jiná