TCP Null Scan mit Nmap ausführen

Einführung

In diesem Labyrinth lernst du, wie du in Nmap einen TCP-Null-Scan ausführen kannst. Das Labyrinth umfasst verschiedene Aspekte des Null-Scans, darunter das Ausführen eines grundlegenden Null-Scans auf eine bestimmte IP-Adresse, das Scannen eines definierten Portbereichs, das Hinzufügen von Ausführlichkeit zum Scan, das Speichern der Scanergebnisse, das Vergleichen von Null-Scans mit SYN-Scans und das Überprüfen der Ergebnisse im Xfce-Terminal.

Null-Scans, bei denen alle TCP-Flags auf Null gesetzt werden, können helfen, die Portzustände zu bestimmen, sind aber aufgrund bestimmter Firewalls oder Systeme, die Pakete ohne Flags fallen lassen, nicht immer zuverlässig. Durch eine Reihe von Nmap-Befehlen wirst du praktische Erfahrungen mit verschiedenen Null-Scan-Operationen sammeln.

Skills Graph

Führe einen Null-Scan mit nmap -sN 192.168.1.1 durch

In diesem Schritt werden wir einen Null-Scan mit Nmap ausführen. Ein Null-Scan ist ein Typ von TCP-Scan, bei dem alle TCP-Flags auf Null gesetzt werden. Dies bedeutet, dass keine Flags (SYN, ACK, RST, FIN, URG, PSH) im TCP-Header gesetzt sind. Die Reaktion auf einen Null-Scan kann helfen, den Zustand eines Ports zu bestimmen.

Hier ist ein kurzer Überblick darüber, wie Null-Scans funktionieren:

• Null-Scan: Sendet ein TCP-Paket ohne gesetzte Flags.
• Offener oder gefilterter Port: Wenn der Port offen oder gefiltert ist, gibt es keine Reaktion.
• Geschlossener Port: Wenn der Port geschlossen ist, sollte der Zielhost mit einem RST (Reset)-Paket antworten.

Es ist wichtig zu beachten, dass Null-Scans nicht immer zuverlässig sind, da einige Firewalls oder Systeme Pakete mit nicht gesetzten Flags ableiten können.

Lassen Sie uns einen Null-Scan gegen die IP-Adresse 192.168.1.1 ausführen. Öffnen Sie Ihren Xfce-Terminal und führen Sie den folgenden Befehl aus:

sudo nmap -sN 192.168.1.1

Dieser Befehl 告诉 Nmap, einen Null-Scan (-sN) gegen die Ziel-IP-Adresse 192.168.1.1 durchzuführen. Sie benötigen sudo-Rechte, um Nmap auszuführen.

Die Ausgabe wird den Zustand der Ports auf dem Zielcomputer anzeigen. Da Null-Scans oft keine endgültigen Antworten liefern, können Sie Ports als open|filtered oder closed sehen.

Beispielausgabe (die tatsächliche Ausgabe variiert je nach Ziel):

Starting Nmap 7.80 ( https://nmap.org )
Nmap scan report for 192.168.1.1
Host is up (0.00028s latency).
All 1000 scanned ports on 192.168.1.1 are filtered

Nmap done: 1 IP address (1 host up) scanned in 3.21 seconds

In diesem Beispiel werden alle 1000 durchgescannten Ports als gefiltert gemeldet. Dies bedeutet, dass Nmap aufgrund von Firewall-Regeln oder anderen Netzwerk-Konfigurationen nicht bestimmen konnte, ob die Ports offen oder geschlossen sind.

Scanne einen Portbereich mit nmap -sN -p 1-100 127.0.0.1

In diesem Schritt erweitern wir die Verwendung des Null-Scans, indem wir einen Portbereich angeben, der zu scannen ist. Dadurch können wir unseren Scan auf bestimmte Ports von Interesse konzentrieren, anstatt alle 1000 Standard-Ports zu scannen. Wir werden die Ports 1 bis 100 auf dem localhost (127.0.0.1) scannen.

Die -p-Option in Nmap ermöglicht es Ihnen, den Portbereich anzugeben. Die Syntax lautet -p <start_port>-<end_port>. Im unserem Fall verwenden wir -p 1-100, um die Ports 1 bis 100 zu scannen.

Öffnen Sie Ihren Xfce-Terminal und führen Sie den folgenden Befehl aus:

sudo nmap -sN -p 1-100 127.0.0.1

Dieser Befehl 告诉 Nmap, einen Null-Scan (-sN) auf den Ports 1 bis 100 (-p 1-100) des localhosts (127.0.0.1) durchzuführen. Denken Sie daran, dass Sie sudo-Rechte benötigen, um Nmap auszuführen.

Die Ausgabe wird den Zustand der Ports 1-100 auf dem Zielcomputer anzeigen. Wie bei dem vorherigen Null-Scan können die Ergebnisse nicht endgültig sein, und Sie können Ports als open|filtered oder closed sehen.

Beispielausgabe (die tatsächliche Ausgabe variiert):

Starting Nmap 7.80 ( https://nmap.org )
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000090s latency).
Not shown: 99 filtered ports
PORT    STATE  SERVICE
7/tcp   closed echo

Nmap done: 1 IP address (1 host up) scanned in 0.12 seconds

In diesem Beispiel wird der Port 7 (echo) als geschlossen gemeldet, und die anderen 99 Ports sind gefiltert. Dies zeigt an, dass der Zielhost mit einem RST-Paket auf Port 7 geantwortet hat, während die anderen Ports entweder nicht geantwortet haben oder ihre Antworten durch eine Firewall blockiert wurden.

Füge die Ausführlichkeit mit nmap -v -sN 192.168.1.1 hinzu

In diesem Schritt werden wir der Ausführlichkeit unseres Null-Scans hinzufügen. Die Ausführlichkeit in Nmap liefert detailliertere Informationen über den Scanprozess, was hilfreich sein kann, um zu verstehen, was Nmap macht, und um Probleme zu beheben.

Die -v-Option in Nmap erhöht das Ausführlichkeitsniveau. Sie können -v mehrmals verwenden (z. B. -vv), um die Ausführlichkeit noch weiter zu erhöhen. Für diesen Schritt verwenden wir eine einzelne -v.

Öffnen Sie Ihren Xfce-Terminal und führen Sie den folgenden Befehl aus:

sudo nmap -v -sN 192.168.1.1

Dieser Befehl 告诉 Nmap, einen Null-Scan (-sN) gegen die Ziel-IP-Adresse 192.168.1.1 durchzuführen, mit erhöhter Ausführlichkeit (-v). Sie benötigen sudo-Rechte, um Nmap auszuführen.

Die Ausgabe wird detaillierter als der vorherige Null-Scan sein. Sie werden Informationen über den Scanfortschritt, die gescannten Ports und alle Fehler oder Warnungen erhalten, die auftreten.

Beispielausgabe (die tatsächliche Ausgabe variiert je nach Ziel):

Starting Nmap 7.80 ( https://nmap.org )
NSE: Loaded 0 scripts for scanning.
Initiating Null scan for 192.168.1.1
Scanning 192.168.1.1 [1000 ports]
Completed Null scan for 192.168.1.1
Nmap scan report for 192.168.1.1
Host is up (0.00028s latency).
All 1000 scanned ports on 192.168.1.1 are filtered

Nmap done: 1 IP address (1 host up) scanned in 3.21 seconds

Bemerken Sie die zusätzlichen Zeilen in der Ausgabe, wie "NSE: Loaded 0 scripts for scanning.", "Initiating Null scan for 192.168.1.1", "Scanning 192.168.1.1 [1000 ports]" und "Completed Null scan for 192.168.1.1". Diese Zeilen geben mehr Einblicke in den Scanprozess.

Speichere die Ergebnisse des Null-Scans mit nmap -sN -oN null.txt 127.0.0.1

In diesem Schritt werden wir die Ergebnisse unseres Null-Scans in eine Datei speichern. Dies ist nützlich für spätere Analysen oder zur Dokumentation Ihrer Ergebnisse. Nmap bietet mehrere Optionen zum Speichern von Scanergebnissen in verschiedenen Formaten. Wir werden die -oN-Option verwenden, die die Ergebnisse in einem normalen, menschenlesbaren Format speichert.

Die -oN-Option nimmt einen Dateinamen als Argument entgegen. Im unserem Fall werden wir die Ergebnisse in eine Datei namens null.txt im Verzeichnis ~/project speichern.

Öffnen Sie Ihren Xfce-Terminal und führen Sie den folgenden Befehl aus:

sudo nmap -sN -oN null.txt 127.0.0.1

Dieser Befehl 告诉 Nmap, einen Null-Scan (-sN) gegen den localhost (127.0.0.1) durchzuführen und die Ergebnisse im normalen Format (-oN) in die Datei null.txt zu speichern. Sie benötigen sudo-Rechte, um Nmap auszuführen.

Nach Abschluss des Scans können Sie den Inhalt der Datei null.txt mit dem cat-Befehl oder einem Texteditor wie nano anzeigen.

cat null.txt

Beispielausgabe (die tatsächliche Ausgabe variiert):

## Nmap 7.80 scan initiated Mon Oct 26 14:35:00 2020
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000090s latency).
All 1000 scanned ports on localhost (127.0.0.1) are filtered

## Nmap done at Mon Oct 26 14:35:03 2020 -- 1 IP address (1 host up) scanned in 3.21 seconds

Sie können die Datei auch mit nano öffnen:

nano null.txt

Dies wird die Datei null.txt im nano-Texteditor öffnen und Ihnen die Möglichkeit geben, den Inhalt anzuzeigen und zu bearbeiten.

Vergleiche einen Null-Scan mit einem SYN-Scan im Xfce-Terminal

In diesem Schritt werden wir die Ergebnisse eines Null-Scans mit denen eines SYN-Scans vergleichen. Dies wird Ihnen helfen, die Unterschiede zwischen diesen beiden Scan-Typen zu verstehen und wie sie verwendet werden können, um verschiedene Informationen über ein Ziel zu sammeln.

Ein SYN-Scan (auch bekannt als halboffener Scan) ist ein diskretiverer Scan, bei dem die TCP-Handschlagung nicht abgeschlossen wird. Es sendet ein SYN-Paket an das Ziel, und wenn das Ziel mit einem SYN/ACK antwortet, bedeutet dies, dass der Port geöffnet ist. Nmap sendet dann ein RST-Paket, um die Verbindung zu schließen.

Ein Null-Scan hingegen sendet ein TCP-Paket ohne gesetzte Flags. Die Antwort des Ziels kann anzeigen, ob der Port geöffnet, geschlossen oder gefiltert ist, je nachdem, wie das Betriebssystem und die Firewall-Konfiguration des Ziels sind.

Zunächst führen wir einen SYN-Scan gegen den localhost (127.0.0.1) durch und speichern die Ergebnisse in eine Datei namens syn.txt.

Öffnen Sie Ihren Xfce-Terminal und führen Sie den folgenden Befehl aus:

sudo nmap -sS -oN syn.txt 127.0.0.1

Dieser Befehl 告诉 Nmap, einen SYN-Scan (-sS) gegen den localhost (127.0.0.1) durchzuführen und die Ergebnisse im normalen Format (-oN) in die Datei syn.txt zu speichern. Sie benötigen sudo-Rechte, um Nmap auszuführen.

Jetzt vergleichen wir den Inhalt von null.txt (den wir im vorherigen Schritt erstellt haben) mit dem Inhalt von syn.txt. Sie können den diff-Befehl verwenden, um die beiden Dateien zu vergleichen:

diff null.txt syn.txt

Der diff-Befehl zeigt Ihnen die Unterschiede zwischen den beiden Dateien. Sie können auch einen Texteditor wie nano verwenden, um beide Dateien zu öffnen und nebeneinander zu vergleichen.

nano null.txt syn.txt

Untersuchen Sie die Ausgabe beider Scans. Sie werden möglicherweise bemerken, dass der SYN-Scan wahrscheinlicher ist, offene Ports zu identifizieren als der Null-Scan, insbesondere wenn das Zielsystem so konfiguriert ist, Pakete mit nicht gesetzten Flags abzulehnen. Null-Scans werden oft verwendet, um Firewalls oder Intrusion Detection Systeme zu umgehen, sind aber nicht immer zuverlässig.

Der entscheidende Unterschied besteht darin, dass der SYN-Scan versucht, eine Verbindung herzustellen, während der Null-Scan ein Paket ohne gesetzte Flags sendet und auf die Antwort des Ziels setzt, um den Portstatus zu schließen.

Überprüfe die Ergebnisse im Xfce-Terminal

In diesem Schritt werden wir die Ergebnisse der Null- und SYN-Scans überprüfen, die wir in den vorherigen Schritten durchgeführt haben. Dies umfasst das Überprüfen der Ausgabedateien (null.txt und syn.txt) und die Interpretation der darin enthaltenen Informationen.

Öffnen Sie Ihren Xfce-Terminal und verwenden Sie den cat-Befehl oder den nano-Editor, um den Inhalt beider Dateien anzuzeigen.

cat null.txt
cat syn.txt

Oder mit nano:

nano null.txt
nano syn.txt

Beim Überprüfen der Ergebnisse sollten Sie Folgendes berücksichtigen:

• Host-Status: Überprüfen Sie, ob der Zielhost als "up" oder "down" gemeldet wird. Wenn der Host down ist, kann Nmap möglicherweise nicht viele Informationen sammeln.
• Port-Status: Suchen Sie den Status jedes Ports. Gemeinsame Port-Status sind "open" (geöffnet), "closed" (geschlossen) und "filtered" (gefiltriert).
  • Open: Zeigt an, dass der Port auf Verbindungen wartet.
  • Closed: Zeigt an, dass der Port nicht auf Verbindungen wartet.
  • Filtered: Zeigt an, dass eine Firewall oder ein anderes Netzwerkgerät den Zugang zum Port blockiert, was es schwierig macht, seinen Status zu bestimmen.
• Unterschiede zwischen Null- und SYN-Scans: Vergleichen Sie die Ergebnisse der beiden Scans. Hat ein Scan mehr offene Ports identifiziert als der andere? Gab es Ports, die von einem Scan als "filtered" gemeldet wurden, aber von dem anderen als "closed"?

Zum Beispiel könnte null.txt alle Ports als gefiltert anzeigen:

## Nmap 7.80 scan initiated Mon Oct 26 14:35:00 2020
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000090s latency).
All 1000 scanned ports on localhost (127.0.0.1) are filtered

## Nmap done at Mon Oct 26 14:35:03 2020 -- 1 IP address (1 host up) scanned in 3.21 seconds

Während syn.txt möglicherweise einige Ports als offen anzeigt:

## Nmap 7.80 scan initiated Mon Oct 26 14:36:00 2020
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000090s latency).
PORT     STATE SERVICE
22/tcp   open  ssh
25/tcp   closed smtp
80/tcp   open  http
111/tcp  open  rpcbind
...
## Nmap done at Mon Oct 26 14:36:03 2020 -- 1 IP address (1 host up) scanned in 3.21 seconds

Indem Sie die Ergebnisse unterschiedlicher Scan-Typen vergleichen, können Sie ein umfassendereres Verständnis der Sicherheitslage des Zielsystems gewinnen. Denken Sie daran, dass die Genauigkeit der Ergebnisse von verschiedenen Faktoren wie Firewalls, Intrusion Detection Systemen und der Betriebssystemkonfiguration des Ziels beeinflusst werden kann.

Zusammenfassung

In diesem Lab haben die Teilnehmer gelernt, wie man mit Nmap einen TCP-Null-Scan ausführt. Sie haben begonnen, indem sie einen Null-Scan gegen die IP-Adresse 192.168.1.1 mit dem Befehl sudo nmap -sN 192.168.1.1 durchgeführt haben und dabei verstanden, dass ein Null-Scan alle TCP-Flags auf Null setzt und die Antwort dazu beitragen kann, die Port-Zustände zu bestimmen. Sie haben auch gelernt, einen bestimmten Port-Bereich (1 - 100) auf 127.0.0.1 zu scannen, die Ausführlichkeit des Scans zu erhöhen, die Ergebnisse in eine Datei zu speichern, Null-Scans mit SYN-Scans zu vergleichen und die Ergebnisse im Xfce-Terminal zu überprüfen. Es wurde darauf hingewiesen, dass Null-Scans nicht immer zuverlässig sind, da einige Firewalls oder Systeme Pakete mit nicht gesetzten Flags ablehnen.