Сканеры портов

Сканирование UDP-портов

Естественно, nmap это тоже делает. Используя флаг -sU, можно посылать пустые UDP-пакеты и ожидать в ответ ICMP-сообщения "port unreachable". Если не получено никаких сообщений в ответ, порт считается открытым, как это показано в следующей таблице. Здесь вы можете видеть несколько возможных ошибок. Если возвращаемые ICMP-сообщения блокируются брандмауэром, это может означать, что все UDP-порты хоста открыты. Также, если UDP-трафик непосредственно блокируется брандмауэром, это по-прежнему означает, что все UDP-порты открыты. Эта та же ловушка, в которую мы попадали, используя Netcat в процессе сканирования UDP-портов. Вдобавок, многие хосты могут посылать наружу только ограниченное число ICMP-сообщений об ошибках в секунду для предотвращения перегрузки сети. Nmap может автоматически корректировать эту ситуацию, если она определяется, но это может очень сильно замедлить сканирование. Поскольку UDP-протокол работает без установления соединения и не ограничен необходимостью подтверждения получения входящих пакетов, нет полного решения этой проблемы.

Сканирование протоколов

Если вы предприняли неудачную попытку соединения с UDP-портом, хост вернет ICMP-сообщение "port unreachable". То же самое можно сказать и про IP-протоколы. Каждый IP-протокол транспортного уровня имеет соответствующий номер. Наиболее распространены ICMP (1), TCP (6) и UDP (17). У всех IP-пакетов есть поле "protocol", которое показывает тип заголовков пакетов и номер протокола транспортного уровня. Если мы посылаем серию пакетов без заголовка протокола транспортного уровня и с номером протокола 130, который означает протокол семейства IPSEC, называемый SPS (Secure Packet Shield), мы можем определить, какой из протоколов реализован на данном хосте. Если мы получаем ICMP-сообщение "protocol unreachable", то этот протокол недоступен. В противном случае - доступен. Этот метод сканирования, называемый сканированием протоколов ( -sO ), страдает теми же самыми проблемами, что и UDP-сканирование в том случае, если брандмауэр блокирует ICMP-сообщения или непосредственно сам протокол дает ложные ответы.

Маскировка сканирования

У nmap есть несколько опций сканирования. Некоторые из них могут помочь скрыть сканирование портов от определения по системным журналам с помощью брандмауэров и IDSs-систем. Вдобавок, nmap предоставляет вам некоторые возможности рандомизации и маскировки, которые предоставляются такими программами, как Netcat и hping.

FTP Bounce. У FTP есть ошибка, которая может дать преимущество при использовании nmap. Когда вы соединяетесь с FTP-сервером при помощи FTP-клиента, ваш клиент взаимодействует с FTP-сервером по 21 порту. Это TCP-соединение называется контрольным соединением ( control ). FTP-сервер требует установления отдельного соединения с клиентом, называемого соединением по данным ( data ), через которое будут передаваться данные. Клиент ожидает от сервера установления соединения по данным на отдельном TCP-порте. Он передает серверу команду PORT, чтобы сообщить ему о необходимости инициировать соединение с клиентским IP-адресом и вновь открытым портом. Этот метод взаимодействия называется активной передачей. Поскольку многие клиентские машины используют трансляцию адресов (NAT) или находятся за брандмауэром во внутренней сети, активное FTP-соединение обычно не работает, поскольку инициированное сервером соединение с клиентом не может проникнуть внутрь защищенной зоны.

Сосредоточимся на команде PORT. Ее законное использование сообщает FTP-серверу о необходимости установить обратное соединение по данным с только что открытым портом. Но поскольку мы определили для использования не только порт, но и IP-адрес, наш клиент, передавший команду PORT на сервер, может попытаться установить соединение с кем-то, находящимся где-либо. Nmap может использовать такое поведение для сканирования порта с целью определения уязвимого FTP-сервера и интерпретации полученных результатов. Такой прием называется FTP-сканированием. nmap создает активное FTP-соединение с сервером и передает команды PORT, содержащие IP-адрес и порт сканируемого хоста. Затем Nmap может интерпретировать полученные результаты и выводить их в том же самом формате, что и нормальные результаты сканирования порта.

Как найти FTP-сервер, который можно так использовать? Это самая интересная часть. Это ошибка проектирования, а не только недостатки реализации. FTP-серверы, разработанные в соответствии с документом RFC 959 для протокола FTP, должны реализовывать эту возможность. Многие пакеты FTP-серверов, такие как wu-ftpd, модифицированы для передачи команды PORT только оригинальному хосту, и многие поставщики операционных систем со встроенными FTP-серверами скорректированы в соответствии с этим. Но некоторые по-прежнему запускают устаревшие или не скорректированные FTP-серверы. Не следует запускать анонимный FTP-сервер, если в этом нет очень серьезной необходимости.

Пойдем дальше. Выберем анонимный FTP-сервер и попытаемся выполнить:

nmap -b anonymous@ftp.lame_host.com -p 6000 192.168.1.200

Предыдущая команда пытается использовать ftp.lame_host.com для сканирования порта с номером 6000 на машине 192.168.1.200, чтобы сообщить, используется ли там X Window-сервер. А вот пример взаимодействия nmap с этим сервером.

Server: 220 LAME_HOST FTP server version 4 ready
Client: USER anonymous
Server: 331 Guest login OK, send e-mail as password
Client: PASS -wwwuser@
Server: 230 Login successful
Client: PORT 192,168,1,200,23,112
Server: 200 PORT command successful
Client: LIST
Server: 150 Opening ASCII connection for "/bin/ls"
Server: 226 Transfer complete

Nmap сообщает о необходимости открыть соединение по порту 6000 на машине 192.168.1.200, используя команду PORT. Последние две цифры в конце команды PORT, 23 и 112, представляют собой порт с номером 6000. ( FTP определяет это, умножая первое число на 256 и складывая со вторым числом 23*256+112=6000). Если команда успешно выполнена, появляется возможность выполнить команду LIST. Поскольку это позволяет открыть соединение, порт 6000 открыт на машине 192.168.1.200. Если сервер вместо этого сообщает "425 Can't build data connection", мы можем определить, что порт 6000 закрыт.

Если команда PORT работает, вы можете не только сканировать кого-либо еще, но и порты любой машины, к которой имеет доступ FTP-сервер. Это великолепный способ обойти фильтры портов и брандмауэры, которые обычно не пропускают ваши попытки сканирования. Однако всегда будьте осмотрительны, используя маскировку, подобную этой. Помните, что FTP-серверы могут зафиксировать ваши соединения в журнале. Если кто-либо заподозрит LameHost в сканировании его сети в 13:45 6 января, и у него есть анонимное FTP-соединение с вашей домашней машиной в это же самое время, вы попались.

Даже если вы нашли сервер, уязвимый с точки зрения FTP, это не дает вам возможности сканировать привилегированные порты (с номером ниже 1024), поскольку FTP-клиент обычно не должен прослушивать привилегированные порты в ожидании соединения по данным.

Фрагментация. Опция -f nmap, указывает на необходимость выполнения скрытого сканирования ( -sS, -sF, -sX или -sN ) с использованием фрагментированных IP-пакетов, у которых разорваны TCP-заголовки. Идея состоит в предохранении таких "искаженных" TCP-пакетов с необычными флагами от блокировки брандмауэрами. Эта опция может привести к нарушению в работе некоторых систем и не может корректно работать на всех разновидностях Unix, поэтому применяйте ее осторожно.

Заманивание. Мы беседовали о том, как можно замаскировать сканирование портов, сохранив при этом возможность получения результатов сканирования (вместо того чтобы передавать их на наш неизвестный адрес). Мы также обсуждали, как это сложно сделать (в лекциях "NETCAT и CRYPTCAT" и "Системные средства" и на протяжении всей этой лекции). Nmap дает возможность определить хост "ловушку", используя опцию -D. Идея состоит в определении нескольких "мистических жертв" - хостов в интернете - и задания их в разделенном запятыми списке после флага -D. Nmap будет, как обычно, выполнять роль сканера порта, но при этом определяться среди замаскированных сканеров портов с IP-адресами - ловушками. Системный администратор увидит несколько различных сканеров портов, но только один из них будет настоящим.

Рандомизация портов и хостов. Nmap по умолчанию перебирает заданные вами порты случайным образом. Вы можете выключить эту возможность, воспользовавшись флагом -r. Если вы задали список хостов для сканирования, то можете задать случайный порядок сканирования, используя флаг -randomize_hosts.

Расписание сканирования

Nmap использует опции планирования по времени, чтобы попытаться скрыть сканирование портов от брандмауэров и систем IDSs, которые используют основанные на временных параметрах алгоритмы обнаружения сканирования. Вдобавок, вы можете определить свою собственную политику планирования по времени, используя специальные флаги командной строки. В таблице 6.2 подробно описаны встроенные расписания и показано, как можно определить собственную политику сканирования. Вы можете использовать именованные политики маскировки с использованием флага -T. Команда nmap -T Sneaky -sS 192.168.1.100 -p 1-100 позволяет сделать попытку избежать определения сканирования с использованием именованной политики Sneaky и метода сканирования SYN при сканировании первых ста портов на компьютере 192.168.1.100.

Для полной ясности, флаг -scan_delay определяет минимальный временной промежуток в миллисекундах, который следует выдерживать между попытками сканирования. Параметр -host_timeout определяет максимальную задержку по времени в миллисекундах при сканировании одного хоста таким образом, что вы можете прерваться через 5 минут, если сканирование порта занимает слишком много времени. Параметр rtt_timeout определяет, время ожидания ответа в миллисекундах.

Nmap по умолчанию всегда ожидает ответа около 0.3 секунды (300 миллисекунд). Он запускается с начальным значением rtt_timeout (по умолчанию 6 секунд) и затем последовательно уменьшает или увеличивает значение в зависимости от предыдущих значений. Это позволяет оптимизировать производительность сканирования. Если хост отзывается быстро, то параметр rtt_timeout уменьшается. Если задержка слишком велика, nmap увеличивает параметр rtt_timeout. Но величина задержки по времени всегда остается в пределах между максимальным и минимальным значением. Малое значение параметра rtt_timeout увеличивает шансы ошибочного диагноза о состоянии порта для системы, которая реагирует не слишком быстро.

Параметр -max_parallelism определяет количество одновременно производимых попыток сканирования. Задание в качестве значения параметра 1 отключает параллельное выполнение сканирования. По умолчанию, nmap параллельно выполняет 36 попыток сканирования, если не задано иное значение. Вы можете задать для nmap существенно большее количество соединений для сканирования, используя параметр -M. В исходных кодах программы nmap задано предельное значение числа соединений 1025.

TCP Reverse Ident Scanning

Если на удаленном хосте, который вы сканируете, выполняется программа identd, которая по умолчанию прослушивает 113 порт, nmap попытается найти информацию о пользователях, выполняющих определенные процессы. Identd может сообщить вам такую информацию, позволив тем самым найти серверы, запущенные с полномочиями пользователя root. Переполнение буфера на уязвимой службе - достойная плата за запуск программы с такими полномочиями. Воспользуйтесь флагом -I, чтобы задействовать такой тип сканирования.

bash-2.04$ nmap -I 192.168.1.210

Starting nmap V. 2.54BETA30 ( www.insecure.org/nmap/ )
Interesting ports on (192.168.1.210):
(The 1535 ports scanned but not shown below are in state: closed)

Port    State   Service Owner
21/tcp  open    ftp root
22/tcp  open    ssh root
23/tcp  open    telnet  root
80/tcp  open    http    nobody
111/tcp open    sunrpc  bin
113/tcp open    auth    nobody
512/tcp open    exec    root
513/tcp open    login   root
514/tcp open    shell   root
884/tcp open    unknown root
889/tcp open    unknown root
1024/tcp    open    kdm bjohnson
1032/tcp    open    iad3    bjohnson
6000/tcp    open    X11 root

Nmap run completed - 1 IP address (1 host up) scanned in 3 seconds

Мы обнаружили несколько сервисов, выполняющихся с полномочиями пользователя root, включая ftp и telnet. Далее мы можем соединиться напрямую с этими портами, чтобы определить версии соответствующего программного обеспечения и вновь проверить их с точки зрения известных прорех в безопасности. Уязвимые службы FTP и Telnet на этой машине дают взломщику возможность получить доступ к системе с полномочиями суперпользователя.

OS Fingerprinting

Одной из наиболее часто употребляемых возможностей, которые предоставляет nmap, является удаленная идентификация хоста. Nmap, просто осуществляя сканирование по сети, зачастую может сообщить вам, какая операционная система выполняется на хосте, а также дать некоторую информацию о номере версии и релиза. Как это делается? Если задан флаг -O, nmap использует несколько различных приемов для поиска некоторых характерных признаков в TCP/IP-пакетах, возвращаемых хостом. Посылая специально созданные TCP- и UDP-заголовки, nmap может получить некоторые сведения о том, как удаленный хост осуществляет взаимодействие по протоколу TCP/IP. Если затем проанализировать информацию, то ее можно сравнить с известными признаками, которые хранятся в файле nmap-os-fingerprints. Этот файл поддерживается разработчиками nmap. Если вы сканируете хост с известной операционной системой, используя флаг -O, и nmap не может ее распознать, то он выводит зашифрованный результат тестирования и сетевой адрес, чтобы можно было послать информацию разработчикам. Просто сбросьте информацию о тестировании и название операционной системы, и она будет включена в следующую версию Nmap.

Флаг определения ОС также может обеспечить анализ TCP-пакетов с целью определения информации типа общей продолжительности работы системы с момента последней перезагрузки (используя отметку времени в TCP/IP ) и предсказуемость последовательного номера. Предсказуемая последовательность номеров упрощает возможность имитации TCP-соединения посредством перехвата пакетов и угадывания последовательности номеров.

Дополнительную информацию об определении ОС при помощи nmap вы получите из примеров в конце этого раздела.

Сводная информация о параметрах командной строки

В нашей дискуссии об использовании nmap мы уже рассмотрели большое количество параметров командной строки. Коротко рассмотрим еще несколько параметров, о которых мы еще не упоминали. В списке ниже приводится информация об этих параметрах.

Nmapfe

. Программа имеет много таких же как и nmap параметров, но использует экранные формы и меню для ввода информации от пользователя и сканирования конфигурации. Программа выглядит куда приятней и проще в использовании, но у нее по-прежнему остается много настроечных параметров, вводимых из командной строки.

nmap -sP "192.168.1.*"
nmap -sP 192.168.1.0/24
nmap -sP 192.168.1.1-254

bash-2.04$ nmap -sP 192.168.1.1-254

Starting nmap V. 2.54BETA30 ( www.insecure.org/nmap/ )
Host    (192.168.1.1) appears to be up.
Host    (192.168.1.100) appears to be up.
Host    (192.168.1.101) appears to be up.
Host    (192.168.1.102) appears to be up.

Nmap run completed - 254 IP addresses (4 hosts up) scanned 
  in 2 seconds

bash-2.04$ nmap 192.168.1.1,100-102

Starting nmap V. 2.54BETA30 ( www.insecure.org/nmap/ )
Interesting ports on (192.168.1.1):
(The 1548 ports scanned but not shown below are in state: closed)
Port            State       Service
80/tcp          open        http

Interesting ports on (192.168.1.100):
(The 1539 ports scanned but not shown below are in state: closed)
Port            State       Service
21/tcp          open        ftp
22/tcp          open        ssh
23/tcp          open        telnet
80/tcp          open        http
512/tcp     open        exec
513/tcp     open        login
514/tcp     open        shell
1024/tcp        open        kdm
1032/tcp        open        iad3
6000/tcp        open        X11

Interesting ports on (192.168.1.101):
(The 1547 ports scanned but not shown below are in state: closed)
Port            State       Service
139/tcp     open        netbios-ssn
641/tcp     open        unknown

Interesting ports on (192.168.1.102):
(The 1545 ports scanned but not shown below are in state: closed)
Port            State       Service
21/tcp          open        ftp
22/tcp          open        ssh
23/tcp          open        telnet
80/tcp          open        http

Nmap run completed - 4 IP addresses (4 hosts up) scanned in 17 seconds

Mar 15 20:25:33 originix in.telnetd[1653]   :   warning: can't get client
address: Connection reset by peer
Mar 15 20:25:33 originix in.telnetd[1653]   :   refused connect from unknown
Mar 15 20:25:34 originix in.rlogind[1655]   :   warning: can't get client
address: Connection reset by peer
Mar 15 20:25:34 originix in.rlogind[1655]   :   refused connect from unknown
Mar 15 20:25:34 originix in.ftpd[1656] : warning: can't get client address:
Connection reset by peer
Mar 15 20:25:34 originix in.ftpd[1656] : refused connect from unknown
Mar 15 20:25:34 originix in.rshd[1658] : warning: can't get client address:
Connection reset by peer
Mar 15 20:25:34 originix in.rshd[1658] : refused connect from unknown
Mar 15 20:25:34 originix in.rexecd[1657] : warning: can't get client address:
Connection reset by peer
Mar 15 20:25:34 originix in.rexecd[1657] : refused connect from unknown

# nmap -d -v -v -sS -T Sneaky -p 20-80 192.168.1.100

# nmap -O 192.168.1.1,100,101

Starting nmap V. 2.54BETA30 ( www.insecure.org/nmap/ )
Interesting ports on (192.168.1.1):
(The 1548 ports scanned but not shown below are in state: closed)
Port            State       Service
80/tcp          open        http

No exact OS matches for host (If you know what OS is running on it, see
http://www.insecure.org/cgi-bin/nmap-submit.cgi).
TCP/IP fingerprint:
SInfo(V=2.54BETA30%P=i386-unknown-freebsd4.3%D=3/16%Time=3C9346F5%O=80%C=1)
TSeq(Class=TD%gcd=1A4%SI=0%IPID=Z%TS=U)
T1(Resp=Y%DF=N%W=400%ACK=S++%Flags=AR%Ops=)
T2(Resp=Y%DF=N%W=400%ACK=S%Flags=AR%Ops=)
T3(Resp=Y%DF=N%W=400%ACK=S++%Flags=AR%Ops=)
T4(Resp=Y%DF=N%W=400%ACK=S%Flags=AR%Ops=)
T5(Resp=Y%DF=N%W=400%ACK=S++%Flags=AR%Ops=)
T6(Resp=Y%DF=N%W=400%ACK=S%Flags=AR%Ops=)
T7(Resp=Y%DF=N%W=400%ACK=S++%Flags=AR%Ops=)
PU(Resp=N)

Interesting ports on (192.168.1.100):
(The 1540 ports scanned but not shown below are in state: closed)
Port            State       Service
21/tcp          open        ftp
22/tcp          open        ssh
23/tcp          open        telnet
80/tcp          open        http
512/tcp     open        exec
513/tcp     open        login
514/tcp     open        shell
1024/tcp        open        kdm
6000/tcp        open        X11

Remote operating system guess: Linux 2.1.19 - 2.2.17
Uptime 2.597 days (since Wed Mar 13 23:00:28 2002)
Interesting ports on (192.168.1.101):
(The 1547 ports scanned but not shown below are in state: closed)
Port            State       Service
139/tcp     open        netbios-ssn
641/tcp     open        unknown

Remote operating system guess: Windows 98 w/ Service Pack 1
Nmap run completed - 2 IP addresses (2 hosts up) scanned in 12 seconds

NetScanTools

). Представляет собой коммерческий продукт, но вы можете загрузить 30-дневную пробную версию по адресу http://www.netscantools.com/. Загружаемый файл для версии 4.22 составляет 1.5Мб. Профессиональную версию программы надо покупать.

Реализация

NetScanTools представляет собой приятный графический интерфейс к большому количеству свободно-доступных утилит командной строки, которые были описаны в лекции "Системные средства с открытым программным кодом: основы": Ping, Traceroute, Finger, whois/fwhois и другие им подобные. Он также взаимодействует с несколькими вышедшими из употребления службами типа echo, daytime, quote и chargen, которые не слишком широко распространены в сети Internet. Многие из экранных закладок интерфейса NetScanTools, такие как TimeSync, Database Tests, WinSock Info, NetBios Info и IDENT Server, используются для просмотра информации или управления сервисами на хосте, где выполняется программа. Вдобавок, программа может запускать telnet-, FTP- и HTTP -приложения. Программа представляет собой централизованное средство для получения информации о сети и управления сканированием.

Три наиболее используемые возможности сосредоточены на закладках ) может использоваться для сканирования интервала IP-адресов работающих хостов, аналогично запуску nmap -sP. Введите начальное и конечное значения IP-адресов и нажмите кнопку Start. NetScan проведет тестирование заданных вами хостов с использованием Ping, DNS-запросов и некоторых дополнительных whois-запросов. NetScan дает возможность сохранить полученную информацию в текстовый файл или обновить HOSTS-файл на вашей машине с использованием полученной информации.

Закладка ) представляет собой раздел NetScan для сканирования портов. Вы можете определить один хост или интервал хостов для сканирования, а также интервал портов и время сканирования. Результаты сканирования отображаются в виде дерева. Реагирующие порты помечены зеленым цветом, а зеленый символ "d" обозначает, что в процессе сканирования от порта удалось получить некоторые данные. Дважды щелкнув мышью на помеченном зеленым символом "d" порте, вы можете увидеть полученные данные. Эта информация получена с использованием перехвата заголовков и может быть использована для определения типа и версии сервисов, прослушивающих данный порт.

У NetScanTools нет широких возможностей сокрытия сканирования, но он позволяет сканировать интервалы IP-адресов и портов и управлять временными параметрами сканирования. Тем не менее, если мы посмотрим в системный журнал машины 192.168.1.100, то обнаружим, что эта программа куда более болтлива, чем nmap. Поскольку NetScan закрывает свои соединения с использованием запроса FIN вместо RST, в системном журнале можно зафиксировать IP-адрес сканера.

Mar 15 21:31:18 originix in.ftpd[1794]: connect from 192.168.1.101
Mar 15 21:31:19 originix in.telnetd[1796]: connect from 192.168.1.101
Mar 15 21:31:23 originix sshd[1795]: Did not receive ident string from 192.168.1.101
Mar 15 21:31:24 originix telnetd[1796]: ttloop: peer died: Invalid or incomplete multibyte or 
   wide character
Mar 15 21:31:24 originix ftpd[1794]: FTP session closed
Mar 15 21:32:27 originix in.rexecd[1797]: connect from 192.168.1.101
Mar 15 21:32:27 originix in.rexecd[1797]: connect from badman
Mar 15 21:32:27 originix in.rlogind[1798]: connect from 192.168.1.101
Mar 15 21:32:27 originix in.rshd[1799]: connect from 192.168.1.101
Mar 15 21:32:27 originix rshd[1799]: Connection from 192.168.1.101 on illegal port
Mar 15 21:32:34 originix rlogind[1798]: Connection from 192.168.1.101 on illegal port
Mar 15 21:32:34 originix rlogind[1798]: PAM pam_end: NULL pam handle passed

Закладка ) позволяет осуществить прямое соединение с заданным портом на заданном хосте и взаимодействовать с программой, прослушивающей этот порт. В предыдущих попытках сканирования от многих портов удалось получить данные (зеленый символ "d"), которые представляют нам информацию о сервисах, работающих на этих портах. Некоторые сервисы, такие как httpd (Web-сервер), могут вернуть данные только в ответ на посланный запрос. Функции, сосредоточенные на закладке, позволяют это сделать. Здесь мы посылаем Web-серверу, расположенному по адресу 192.168.1.100, команду GET / HTTP, сопровождаемую двумя последовательными нажатиями клавиши ENTER, для получения от него некоторой информации. Мы можем определить тип Web-сервера ( Apache ), его версию (1.3.14 для Unix ) и операционную систему, под управлением которой он работает ( RedHat Linux ).

SuperScan

.

Реализация

Внешний вид пользовательского интерфейса ) похож на интерфейс закладки NetScanTools. У программы нет таких дополнительных возможностей, как у NetScanTools, и они ограничены установкой TCP-сеанса, но имеются основные средства, требующиеся для сканирования.

Поиск имен хостов. В этом сеансе вы можете осуществлять поиск имен хостов и IP-адресов. Также вы можете получить информацию о своей системе и имеющихся сетевых интерфейсах.

Конфигурация. Этот раздел дает возможность настроить список портов для SuperScan. По умолчанию SuperScan может сканировать все порты, отмеченные в этом списке. Список портов сохраняется в файле с названием scanner. lst, но вы можете задать несколько списков для сканирования с различными целями. Например, программа поставляется с файлом trojans. lst, с помощью которого вы можете сканировать порты, чтобы определить, есть ли где-то в вашей сети машины, у которых порты прослушиваются каким-либо из известных "троянских коней".

Вы можете добавить порты в список, изменить порт и имя службы, выбрать порты для сканирования и изменить вспомогательные приложения, которые будут использоваться для получения дополнительной информации от .

Добавить порт в список просто. Чтобы добавить порт для службы FTP, которую мы обнаружили на порту 2121, вводим число 2121 в поле ввода Port. Если мы хотим, чтобы порт стал частью программы сканирования в текущем листе сканирования, мы должны поставить отметку в поле Selected и ввести описание протокола в поле Description - что-то вроде "возможно, кривой FTP-сервер". Определяя программу и параметры для этого порта, мы можем установить для него "вспомогательное приложение". Как только этот порт появится в результатах сканирования, мы можем запустить это вспомогательное приложение для соединения с ним, щелкнув правой кнопкой мыши и выбрав параметр Custom. Для FTP-сервера такой программой может быть системный ftp-клиент (такой как C:\Windows\FTP.exe ), и параметры могут включать любые аргументы командной строки вспомогательного приложения. Если нужно, чтобы SuperScan автоматически запрашивал данные от этого порта в случае, если он обнаружит его открытым в системе, необходимо определить пробный текст в поле Probe Text. Этот текст будет использован SuperScan для запроса заголовков от служб, которые перед передачей какой-либо информации требуют его ввода от присоединившегося клиента. Для FTP-сервера это просто перевод строки и возврат каретки (обозначаемые \r\n ), которые позволят получить от сервера номер его версии. Закончив, достаточно просто щелкнуть на кнопке Add. Теперь мы можем включить выбранный порт в любой список портов для сканирования.

Определяя вспомогательные приложения для каждого порта, вы можете использовать это окно для определения основного приложения для служб FTP, Telnet и Web. Эти три параметра могут быть доступны всегда для любого порта в момент, когда вы щелкните правой кнопкой мыши на результатах сканирования.

IP. В этом разделе вы можете задать интервал IP-адресов для сканирования. Использование кнопок поможет вам задать значения для сетей класса C. Отметьте необходимые вам значения сканируемых сетей и широковещательных адресов. Если вам необходимо сканировать некоторое количество отдельных IP-адресов, не принадлежащих к конкретному интервалу, вы можете взять их из текстового файла, как это показано на следующей иллюстрации. SuperScan разберет любой текст в поиске IP-адресов. Это особенно удобно для сканирования подозрительных адресов, которые отображаются в ваших системных журналах.

Scan Type и Scan. В разделе Scan Type, вы можете задать параметры сканирования. Вы можете определить сканирование только с использованием Ping, интервал портов или порты из заданного списка портов. Выбрав параметр " Only Scan Responsive Pings", вы избавите программу от необходимости сканирования неработающих хостов. Выбор параметра " Show Host Responses" заставляет SuperScan протестировать и отобразить любые данные, которые вернет конкретный порт. Раздел Scan дает возможность запустить и остановить сканирование в процессе работы.

Timeout и Speed. Эти разделы управляют тем, как долго (в миллисекундах) можно ожидать ответа, и какой перерыв делать между последовательными запросами к хосту. В процессе работы скорость сканирования может контролироваться с помощью индикатора (слайдера), расположенного в самом левом нижнем углу окна.

Результаты сканирования

Рассмотрим все вместе. Мы хотим произвести сканирование Linux-машины (192.168.1.100) и Windows-машины (192.168.1.101) по всем портам в нашем списке между 20 и 80 портами и посмотреть, что сможет определить .

) для получения любой информации, которую можно получить от этих портов. Обратите внимание на тарабарщину, полученную от 23 порта telnet. Это те самые параметры telnet, о которых упоминалось в лекции "NETCAT и CRYPTCAT". Нет простого пробного текста, который можно было бы использовать для захвата информации, поступающей от telnet-порта в заголовке. В этой ситуации мы можем щелкнуть на информации о 23 порте правой кнопкой мыши и выбрать параметры telnet для соединения с этим портом напрямую, чтобы увидеть заголовок приглашения.

Как уже упоминалось в предыдущей подсказке, эта программа оставляет следы в системном журнале, поскольку требует полного соединения для получения информации. Это плата за то, что вы хотите узнать, что за служба работает на сканируемом порте.

IPEYE

Вам уже знакомы два сканера портов, работающих под управлением /. К сожалению, ipEye работает только под управлением Windows 2000 и XP.

Реализация

Параметры IpEye похожи на аналогичные параметры сканеров портов, которые мы уже рассматривали. Вы можете увеличить промежуток времени между последовательными запросами и изменить исходящий IP-адрес и порт (также поддерживается не слишком удачная функция маскировки).

Чтобы сравнить программу с другими сканерами портов, можно запустить сканирование по сценарию, который уже выполнялся в этой лекции: SYN -сканирование IP-адреса 192.168.1.100 по интервалу портов от 20 до 80. Работа программы и вывод информации представлены ниже.

IpEye дает сводную информацию о своей деятельности. Программа обнаружила открытые FTP-, SSH-, Telnet- и Web-порты и выводит эту информацию в таблице на консоль. У программы нет параметров, обеспечивающих удобный вывод информации, но есть возможность работать скрытно. В системном журнале машины 192.168.1.100 нет никаких следов. У IpEye также есть возможность задать исходящие IP-адреса и порты с использованием параметров -sip и -sp. Для лучшей маскировки от деятельности IDS имеется параметр -d, позволяющий пользователю осуществлять задержку между последовательными сканированиями портов. По умолчанию значение задержки равно 750 миллисекундам.

FSCAN

Все сканеры портов для .

Реализация

FScan - наиболее предпочтительный из всех бесплатных сканеров, работающих под управлением Windows, поскольку он обеспечивает возможность UDP-сканирования. Как и для любого UDP-сканера, пакетные фильтры, работающие на сканируемом хосте, могут аккуратно перехватывать результаты вашей работы. Если вы не получаете ожидаемого результата при работе с открытым UDP-портом, то весьма вероятно, что брандмауэр или сетевой фильтр заблокировал ICMP-сообщения " port unreachable", которые большинство UDP-сканеров используют для определения, открыт UDP-порт или нет.

На следующей иллюстрации представлены результаты UDP-сканирования портов от 130 до 140 для поиска NetBios-служб машины, на которой не установлены фильтры. Вы можете видеть, что по адресу 192.168.1.102 работает служба NetBIOS (UDP-порты 137 и 138).

В остальном FScan похож на nmap и другие сканеры, которые уже упоминались. Вы можете использовать параметр -b для запроса заголовков или получения ответа от портов, с которыми вы соединились, как это показано на следующей иллюстрации.

Это сканирование не так успешно, как проведенное с использованием SuperScan, поскольку невозможно запросить заголовок HTTPD. Это происходит потому, что у нас нет способа задать пробный текст для FScan. Он может послать только возврат каретки и перевод строки и отобразить ответ сервера.

Вы можете использовать флаги -c, -d и -t для управления временными параметрами. Можете задать IP-адреса в виде интервала или разделенного запятыми списка (например, 192.168.1.1,192.168.1.100-192.168.1.102), а также значения портов ( -p 21-23,80 или -u 137-138,514). Ниже приведен список аргументов командной строки FScan, взятый непосредственно из файла README.

FScan [-abefhqnv?] [-cditz <n>] [-flo <file>] [-pu <n>[,<n>-<n>]] IP[,IP-IP]

-?/-h   - shows this help text
-a  - append to output file (used in conjunction with -o option)
-b  - get port banners
-c  - timeout for connection attempts (ms)
-d  - delay between scans (ms)
-e  - resolve IP addresses to hostnames
-f  - read IPs from file (compatible with output from -o)
-i  - bind to given local port
-l  - port list file - enclose name in quotes if it contains spaces
-n  - no port scanning - only pinging (unless you use -q)
-o  - output file - enclose name in quotes if it contains spaces
-p  - TCP port(s) to scan (a comma separated list of ports/ranges)
-q  - quiet mode, do not ping host before scan
-r  - randomize port order
-t  - timeout for pings (ms)
-u  - UDP port(s) to scan (a comma separated list of ports/ranges)
-v  - verbose mode
-z  - maximum simultaneous threads to use for scanning

WUPS

Поскольку /.

Реализация

Одно из замечательных свойств . Как и с другими UDP-сканерами, фильтры пакетов, перехватывающие сообщения " мы представляем процесс сканирования портов от 1 до 1024 по адресу 192.168.1.102 с задержкой по времени 100 миллисекунд. Видно, что по адресу 192.168.1.102 отзывается Windows-машина, поскольку на портах 137 и 138 выполняется NetBIOS, а на порту 445 SMB поверх IP-протокола, также являющийся службой Microsoft.

UDP_SCAN

. Udp_scan, как и другие TCP-сканеры для Unix, называемые индикаторами, имеет все требуемые функции, но был отодвинут на задний план более новыми программами.

Установка

Как и большинство Unix-программ, udp_scan поставляется в исходных кодах. После загрузки и распаковки архива port-scan.tar.gz вам потребуется войти в директорию с исходными текстами и выполнить команду make.

Реализация

Использование Udp_scan очень просто; введите IP-адрес и интервал портов и запустите на выполнение.

# ./udp_scan 192.168.1.102 1-1024
37:netbios-ns:
138:netbios-dgm:
445:UNKNOWN:
500:UNKNOWN

Udp_scan использует изощренную технику оптимизации сканирования. Сначала (по умолчанию) он посылает UDP-пакет по адресу 1 порта UDP сканируемого хоста. Затем он ожидает получения сообщения " ICMP port unreachable error". Если оно не приходит, он делает вывод о том, что хост не работает (если только брандмауэр не блокировал передачу этого сообщения), и не продолжает сканирование этого хоста. Сканирование 1-го порта UDP можно изменить, воспользовавшись опцией -p port. Тестируемый порт всегда должен быть портом UDP, который не будет использоваться каким-либо сервисом на сканируемом хосте.

Udp_scan аккуратно отслеживает свою деятельность в сети при сканировании. По умолчанию он может открыть до 100 одновременных UDP-соединений (вы можете изменить эту верхнюю цифру, используя флаг -l <max_connections> в командной строке). Он использует анализ времени возврата своих пакетов, определенных в начальной фазе тестирования, чтобы вычислить максимальное количество одновременно выполняемых тестов, которое возможно в данной сети. Каждый UDP-пакет, посланный udp_scan, содержит только один байт данных (символ "0") с целью минимизации загрузки полосы пропускания и получения наиболее достоверного результата. Некоторые UDP-службы и фильтры портов по-разному реагируют на UDP-пакеты без данных, поэтому UDP-пакеты сопровождаются полезной нагрузкой.

Есть только несколько опций, которые вы можете использовать с udp_scan. Опция -a сообщает программе о необходимости выводить все сообщения об ошибках, так же как и о протестированных UDP-портах. Опция -u указывает, что в случае получения ICMP-сообщения " host unreachable " необходимо вывести номер UDP-порта, который вернул ошибку. С другой стороны, опция -U выдаст вам совершенно противоположное сообщение, выведя сообщения о портах, для которых не были получены ICMP-сообщения об ошибках " host unreachable ". Еще только с помощью одной опции для udp_scan можно определить, какой UDP-порт использовать на сканирующей машине, задав в командной строке параметр -s <source_port>.

У Udp_scan есть несколько ограничений в использовании. Поскольку он использует ICMP-сокеты, udp_scan может быть запущен только root-пользователем или с полномочиями суперпользователя ( uid 0 ). Как и WUPS, одновременно он может поддерживать соединение только с одним IP-адресом.

[bjohnson@originix nmap-2.54BETA30]$ ./nmap 192.168.1.100

Starting nmap V. 2.54BETA30 ( www.insecure.org/nmap/ )
Interesting ports on (192.168.1.100):
(The 1541 ports scanned but not shown below are in state: closed)
Port            State   Service
21/tcp          open    ftp
22/tcp          open    ssh
23/tcp          open    telnet
80/tcp          open    http
1024/tcp        open    kdm
1030/tcp        open    iad1
6000/tcp        open    X11
8888/tcp        open    sun-answerbook

Nmap run completed - 1 IP address (1 host up) scanned in 1 second
[bjohnson@originix nmap-2.54BETA30]$