Ziele in Nmap randomisieren

Einführung

In diesem Labor lernen Sie, die Reihenfolge der Zielhosts bei Nmap-Scans zufällig zu gestalten. Die Randomisierung der Scan-Reihenfolge kann nützlich sein, um grundlegende Intrusion Detection Systeme (IDS) zu umgehen und Ihre Scans weniger vorhersehbar zu machen.

Sie beginnen mit einem Standard-Nmap-Scan, um einen Ausgangspunkt zu schaffen. Anschließend verwenden Sie die Option --randomize-hosts, um die Reihenfolge, in der Nmap Ziel-IP-Adressen scannt, sowohl für ein Subnetz als auch für einen bestimmten Bereich zufällig zu mischen. Sie lernen auch, wie Sie Ihren Scans mehr Detaillierungsgrad hinzufügen und die Ergebnisse zur späteren Analyse in einer Datei speichern. Durch den Vergleich der Ausgaben verstehen Sie die Auswirkungen der Host-Randomisierung.

Durchführung eines Standard-Nmap-Scans

In diesem Schritt führen Sie einen grundlegenden Netzwerkscan mit Nmap durch, um aktive Hosts im Subnetz 127.0.0.1/24 zu identifizieren. Dies ist eine grundlegende Technik für die Netzwerkerkundung und das Verständnis der auf einem Netzwerk vorhandenen Geräte.

Bevor Sie beginnen, lassen Sie uns kurz erläutern, was Nmap und Subnet-Scanning sind:

• Nmap (Network Mapper): Ein kostenloses und quelloffenes Werkzeug zur Netzwerkerkennung und Sicherheitsauditing. Es wird verwendet, um Hosts und Dienste in einem Computernetzwerk zu entdecken, indem Pakete gesendet und die Antworten analysiert werden.
• Subnet: Eine logische Unterteilung eines IP-Netzwerks. Die Notation /24 (CIDR-Notation) gibt die Subnetzmaske an, die in diesem Fall 255.255.255.0 ist. Dies bedeutet, dass die ersten drei Oktetts (127.0.0) das Netzwerk definieren und das letzte Oktett (0-255) die Hostadressen innerhalb dieses Netzwerks.
• Subnet-Scanning: Der Prozess des Scannens aller möglichen IP-Adressen innerhalb eines Subnetzes, um aktive Hosts zu identifizieren.

Führen Sie nun den Scan durch. Öffnen Sie Ihr Xfce-Terminal. Ihr Standardverzeichnis ist ~/project.

Führen Sie den folgenden Befehl aus:

sudo nmap 127.0.0.1/24

Sie werden nach Ihrem Passwort gefragt. Da der Benutzer labex ohne Passwort sudo-Berechtigungen hat, drücken Sie einfach die Eingabetaste.

Dieser Befehl weist Nmap an, alle IP-Adressen von 127.0.0.1 bis 127.0.0.255 zu scannen. Nmap sendet verschiedene Sonden an jede IP-Adresse, um festzustellen, ob ein Host aktiv ist.

Die Ausgabe zeigt Ihnen eine Liste der gefundenen Hosts und deren Status (z. B. "Host ist aktiv"). Sie zeigt möglicherweise auch offene Ports auf diesen Hosts an, wenn Nmap diese ermitteln kann.

Beispielausgabe (die tatsächliche Ausgabe variiert je nach Ihrer Netzwerkinfrastruktur, aber Sie sollten 127.0.0.1 und möglicherweise andere Hosts sehen):

Starting Nmap <version> ( https://nmap.org ) at <date>
Nmap-Scanbericht für localhost (127.0.0.1)
Host ist aktiv (<Latenz>s Latenz).
Nicht angezeigt: 994 geschlossene Ports
PORT     STATUS SERVICE
22/tcp   offen  ssh
2121/tcp offen  ccproxy-ftp
2222/tcp offen  EtherNetIP-1
3001/tcp offen  nessus
8080/tcp offen  http-proxy

Nmap abgeschlossen: 256 IP-Adressen (1 Host aktiv) in <Zeit> Sekunden gescannt

Diese Ausgabe zeigt an, dass 127.0.0.1 als aktiv erkannt wurde und mehrere Ports darauf offen sind, darunter 22 (SSH), 2121 (FTP), 2222 (EtherNet/IP-1), 3001 (Nessus) und 8080 (HTTP-Proxy).

Zufällige Host-Scan-Reihenfolge für ein Subnetz

In diesem Schritt verbessern Sie Ihren Netzwerkscan, indem Sie die Reihenfolge, in der Nmap die Hosts im Subnetz 127.0.0.1/24 scannt, randomisieren. Diese Technik ist nützlich, um grundlegende Intrusion Detection Systeme (IDS) zu umgehen und den Scan weniger vorhersehbar zu machen.

Standardmäßig scannt Nmap Hosts in sequenzieller Reihenfolge. Dies kann von Netzwerküberwachungstools leicht erkannt werden. Die Option --randomize-hosts mischt die Reihenfolge der Ziel-IP-Adressen vor dem Scannen, wodurch es schwieriger wird, den Scan zu identifizieren.

Um die Hostreihenfolge zu randomisieren, führen Sie den folgenden Befehl in Ihrem Xfce-Terminal aus:

sudo nmap --randomize-hosts 127.0.0.1/24

Wie zuvor werden Sie nach Ihrem Passwort gefragt. Da der Benutzer labex ohne Passwort sudo-Berechtigungen hat, drücken Sie einfach die Eingabetaste.

Dieser Befehl scannt dasselbe Subnetz (127.0.0.1/24) wie im vorherigen Schritt, aber die Reihenfolge, in der die IP-Adressen gescannt werden, ist randomisiert.

Die Ausgabe ähnelt dem vorherigen Scan und zeigt die gefundenen Hosts und deren Status an. Die Reihenfolge, in der die Hosts aufgelistet werden, kann jedoch unterschiedlich sein, wenn mehrere Hosts gefunden wurden. In dieser speziellen Laborumgebung sehen Sie möglicherweise nur 127.0.0.1 als primären aktiven Host, aber der interne Scanprozess versucht dennoch, die Reihenfolge aller 256 IPs im Subnetz zu randomisieren.

Beispielausgabe (die tatsächliche Ausgabe variiert je nach Ihrem Netzwerk):

Starting Nmap <version> ( https://nmap.org ) at <date>
Nmap-Scanbericht für localhost (127.0.0.1)
Host ist aktiv (<Latenz>s Latenz).
Nicht angezeigt: 994 geschlossene Ports
PORT     STATUS SERVICE
22/tcp   offen  ssh
2121/tcp offen  ccproxy-ftp
2222/tcp offen  EtherNetIP-1
3001/tcp offen  nessus
8080/tcp offen  http-proxy

Nmap abgeschlossen: 256 IP-Adressen (1 Host aktiv) in <Zeit> Sekunden gescannt

Obwohl die endgültige Ausgabe für einen einzelnen aktiven Host möglicherweise identisch aussieht, wurde der interne Scanprozess für die 256 IP-Adressen im Subnetz randomisiert.

Zufällige Host-Scan-Reihenfolge für einen bestimmten Bereich

In diesem Schritt konzentrieren Sie sich auf das Scannen eines bestimmten IP-Adressbereichs (127.0.0.1 bis 127.0.0.10) und die Randomisierung der Reihenfolge, in der diese Hosts gescannt werden. Dies ist nützlich, wenn Sie eine kleinere Teilmenge eines Netzwerks ansprechen und dennoch ein gewisses Maß an Stealth beibehalten möchten.

Die Option --randomize-hosts, wie Sie im vorherigen Schritt gesehen haben, mischt die Reihenfolge der Ziel-IP-Adressen. Diesmal wenden Sie sie auf einen bestimmten Bereich an, anstatt auf das gesamte Subnetz.

Um die Hostreihenfolge im Bereich 127.0.0.1-10 zu randomisieren, führen Sie den folgenden Befehl in Ihrem Xfce-Terminal aus:

sudo nmap --randomize-hosts 127.0.0.1-10

Sie werden nach Ihrem Passwort gefragt. Da der Benutzer labex ohne Passwort sudo-Berechtigungen hat, drücken Sie einfach die Eingabetaste.

Dieser Befehl weist Nmap an, die IP-Adressen von 127.0.0.1 bis 127.0.0.10 in zufälliger Reihenfolge zu scannen.

Die Ausgabe zeigt Ihnen eine Liste der gefundenen Hosts innerhalb dieses Bereichs und deren Status. Die Reihenfolge, in der die Hosts aufgelistet werden, ist bei jedem Ausführen des Befehls zufällig.

Beispielausgabe (die tatsächliche Ausgabe variiert je nach Ihrem Netzwerk):

Starting Nmap <version> ( https://nmap.org ) at <date>
Nmap-Scanbericht für localhost (127.0.0.1)
Host ist aktiv (<Latenz>s Latenz).
Nicht angezeigt: 994 geschlossene Ports
PORT     STATE SERVICE
22/tcp   open  ssh
2121/tcp open  ccproxy-ftp
2222/tcp open  EtherNetIP-1
3001/tcp open  nessus
8080/tcp open  http-proxy

Nmap abgeschlossen: 10 IP-Adressen (1 Host aktiv) in <Zeit> Sekunden gescannt

In diesem Beispiel hat Nmap die IP-Adressen von 127.0.0.1 bis 127.0.0.10 in zufälliger Reihenfolge gescannt und festgestellt, dass 127.0.0.1 aktiv ist.

Detailliertere Ausgabe und Speicherung der Ergebnisse in einer Datei

In diesem Schritt lernen Sie, wie Sie Ihrem Nmap-Scan mehr Detaillierungsgrad hinzufügen und die Ergebnisse in einer Datei speichern. Dies ist entscheidend für die spätere Analyse, Berichterstattung oder den Vergleich mit vorherigen Scans. Sie werden die Hostreihenfolge weiterhin randomisieren, während Sie diese Aktionen durchführen.

Die Option -v in Nmap erhöht den Detaillierungsgrad und liefert detailliertere Informationen über den Scanprozess. Die Option -oN spezifiziert eine "normale" Ausgabe, die lesbar für Menschen ist und sich für die Verarbeitung mit einfachen Tools eignet.

Um mehr Detaillierungsgrad hinzuzufügen und die Ergebnisse eines randomisierten Host-Scans in einer Datei namens random_scan.txt zu speichern, führen Sie den folgenden Befehl in Ihrem Xfce-Terminal aus:

sudo nmap -v --randomize-hosts -oN random_scan.txt 127.0.0.1/24

Sie werden nach Ihrem Passwort gefragt. Da der Benutzer labex ohne Passwort sudo-Berechtigungen hat, drücken Sie einfach die Eingabetaste.

Dieser Befehl weist Nmap an, das Subnetz 127.0.0.1/24 zu scannen, die Hostreihenfolge zu randomisieren, eine detaillierte Ausgabe zu erzeugen und die Ausgabe im "normalen" Format in eine Datei namens random_scan.txt in Ihrem aktuellen Verzeichnis (~/project) zu speichern.

Die Ausgabe im Terminal enthält nun Details zum Scanprozess, wie z. B. die gesendeten Protokolle, die gescannten Ports und die Gründe für bestimmte Entscheidungen.

Beispiel für eine detaillierte Ausgabe (die tatsächliche Ausgabe variiert je nach Ihrem Netzwerk):

Starting Nmap <version> ( https://nmap.org ) at <date>
Initiating Ping Scan at <time>
Scanning 256 hosts [2 ports/host]
Completed Ping Scan at <time>, <time>s elapsed (256 total hosts)
Initiating Parallel DNS resolution of 256 hosts. at <time>
Completed Parallel DNS resolution of 256 hosts. at <time>, <time>s elapsed
Initiating SYN Stealth Scan at <time>
Scanning 256 hosts [1000 ports/host]
Discovered open port 22/tcp on 127.0.0.1
Discovered open port 2121/tcp on 127.0.0.1
Discovered open port 2222/tcp on 127.0.0.1
Discovered open port 3001/tcp on 127.0.0.1
Discovered open port 8080/tcp on 127.0.0.1
Completed SYN Stealth Scan at <time>, <time>s elapsed (256 total hosts)
Nmap scan report for localhost (127.0.0.1)
Host is up (<latency>s latency).
PORT     STATE SERVICE
22/tcp   open  ssh
2121/tcp open  ccproxy-ftp
2222/tcp open  EtherNetIP-1
3001/tcp open  nessus
8080/tcp open  http-proxy

Nmap done: 256 IP addresses (1 host up) scanned in <time> seconds

Nachdem der Scan abgeschlossen ist, können Sie den Inhalt der Datei random_scan.txt mit dem Befehl cat anzeigen:

cat random_scan.txt

Die Datei random_scan.txt enthält nun dieselben Informationen, die während des Scans auf dem Bildschirm angezeigt wurden. Sie können diese Datei nun für weitere Analysen oder Berichterstattung verwenden.

Zusammenfassung

In diesem Labor haben Sie die Fähigkeiten von Nmap für Netzwerkscans und Host-Erkennung erkundet, wobei der Schwerpunkt auf der Randomisierung der Zielauswahl lag.

Sie begannen mit einem Standard-Subnet-Scan mit nmap 127.0.0.1/24, um aktive Hosts und ihre offenen Dienste zu identifizieren. Dies legte eine Grundlage für das Verständnis des Standardverhaltens von Nmap.

Als Nächstes lernten Sie, die Reihenfolge, in der Nmap Ziele scannt, mithilfe der Option --randomize-hosts zu randomisieren, und zwar sowohl für ein Subnetz (127.0.0.1/24) als auch für einen bestimmten IP-Bereich (127.0.0.1-10). Dies demonstrierte, wie Sie Ihre Scans weniger vorhersehbar gestalten können.

Schließlich haben Sie Ihren Scan verbessert, indem Sie die Detailstufe (-v) für eine detailliertere Ausgabe erhöht und die Ergebnisse in einer Datei (random_scan.txt) mit der Option -oN gespeichert haben. Dies hob praktische Techniken zur Steuerung und Dokumentation von Nmap-Scans für die spätere Analyse hervor.

Sie haben nun grundlegende Fähigkeiten erworben, um Nmap-Scans durchzuführen, die Hostreihenfolge zu randomisieren, die Detailstufe zu erhöhen und die Scan-Ergebnisse zu speichern. Dies ist entscheidend für die Netzwerkerkundung und die Sicherheitsauditing.