Einführung
In diesem Labyrinth lernen Sie, wie Sie Nmap-Scans mit Paketverfolgung und Debugging-Techniken beheben. Das Lab führt Sie durch das Ausführen von Nmap-Scans mit der Option --packet-trace, um Netzwerkpakete zu beobachten, das Aktivieren der Debug-Ebene 2 mit -d2 und das Kombinieren von Verfolgung und Debugging.
Sie lernen auch, wie Sie die Verfolgungsausgabe in eine Datei mit -oN speichern und die Paketdetails im Xfce-Terminal analysieren, um Scanprobleme zu identifizieren. Das Lab verwendet Befehle wie nmap --packet-trace 192.168.1.1, nmap -d2 127.0.0.1 und nmap --packet-trace -oN trace.txt 127.0.0.1, um praktische Erfahrungen bei der Diagnose von Nmap-Scanproblemen zu vermitteln.
Führe einen Scan mit Paketverfolgung aus, indem du nmap --packet-trace 192.168.1.1 verwendest
In diesem Schritt verwenden wir die Option --packet-trace mit Nmap, um die Pakete zu beobachten, die während eines Scans gesendet und empfangen werden. Dies ist ein leistungsstarkes Debugging-Tool, das Ihnen ermöglicht, genau zu verstehen, was Nmap auf Netzwerkebene macht.
Bevor wir beginnen, besprechen wir kurz, was die Paketverfolgung ist. Die Paketverfolgung umfasst das Erfassen und Analysieren von Netzwerkpaketen, um die Kommunikation zwischen zwei oder mehr Geräten zu verstehen. Nmaps Option --packet-trace bietet eine vereinfachte Möglichkeit, diese Pakete direkt aus Nmap auszublenden.
Um einen Scan mit Paketverfolgung durchzuführen, folgen Sie diesen Schritten:
Öffnen Sie ein Terminal: Wenn Sie kein Terminal bereits geöffnet haben, starten Sie das Xfce-Terminal.
Führen Sie den Nmap-Befehl aus: Geben Sie im Terminal folgenden Befehl ein und drücken Sie die Eingabetaste:
sudo nmap --packet-trace 192.168.1.1sudo: Dieser Befehl erfordert Root-Rechte, um Netzwerkpakete zu erfassen.nmap: Dies ist der Befehlszeilen-Nmap-Scanner.--packet-trace: Diese Option 告诉 Nmap, einen Verlauf der Pakete auszugeben, die es sendet und empfängt.192.168.1.1: Dies ist die Ziel-IP-Adresse. Wenn diese IP-Adresse nicht auf Ihrem Netzwerk verfügbar ist, können Sie sie durch die IP-Adresse eines Geräts ersetzen, das von Ihrer LabEx-VM aus erreichbar ist. Ein häufiger Ersatz ist127.0.0.1(localhost).
Beobachten Sie die Ausgabe: Nmap führt jetzt einen Scan der Ziel-IP-Adresse durch und gibt detaillierte Informationen zu jedem gesendeten und empfangenen Paket aus. Die Ausgabe zeigt den Pakettyp (z.B. SYN, ACK), die Quell- und Ziel-IP-Adressen und -Ports sowie andere relevante Informationen an.
Die Ausgabe sieht ähnlich wie folgt aus (die genaue Ausgabe variiert je nach Ihrem Netzwerk und dem Zielhost):
Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:00 UTC SENT (0.0034s) to 192.168.1.1: TCP 192.168.1.100:54321 > 192.168.1.1:80 S ttl=64 id=12345 win=65535 RECV (0.0045s) from 192.168.1.1: TCP 192.168.1.1:80 > 192.168.1.100:54321 SA ttl=64 id=67890 win=14600 SENT (0.0045s) to 192.168.1.1: TCP 192.168.1.100:54321 > 192.168.1.1:80 A ttl=64 id=12346 win=65535 ... Nmap done: 1 IP address (1 host up) scanned in 0.123 secondsJede Zeile stellt ein Paket dar.
SENTgibt an, dass ein Paket von Nmap gesendet wurde, undRECVgibt an, dass ein Paket von Nmap empfangen wurde. Die Informationen nachSENToderRECVbeschreiben das Protokoll des Pakets (TCP), die Quell- und Ziel-IP-Adressen und -Ports, die Flags (S für SYN, A für ACK, SA für SYN-ACK), die Lebensdauer (Time To Live), die ID und die Fenstergröße.Unterbrechen Sie den Scan: Der Scan wird für eine Weile fortgesetzt. Sie können ihn durch Drücken von
Ctrl+Cunterbrechen.
In diesem Schritt wurde gezeigt, wie die Option --packet-trace verwendet werden kann, um Einblicke in die Netzwerkaktivität von Nmap zu erhalten. In den folgenden Schritten werden wir andere Debugging-Optionen und -Techniken erkunden.
Aktiviere Debug-Ebene 2 mit nmap -d2 127.0.0.1
In diesem Schritt aktivieren wir die Debug-Ebene 2 in Nmap. Die Debug-Ausgabe liefert detaillierte Informationen über die internen Vorgänge von Nmap, die hilfreich sein können, um zu verstehen, wie Nmap funktioniert und um Probleme zu beheben.
Die Debug-Ebenen von Nmap reichen von 1 bis 9. Höhere Ebenen liefern detailliertere Ausgabe. Für diesen Schritt verwenden wir die Debug-Ebene 2, die einen guten Kompromiss zwischen Detail und Lesbarkeit bietet.
Um die Debug-Ebene 2 zu aktivieren, folgen Sie diesen Schritten:
Öffnen Sie ein Terminal: Wenn Sie kein Terminal bereits geöffnet haben, starten Sie das Xfce-Terminal.
Führen Sie den Nmap-Befehl aus: Geben Sie im Terminal folgenden Befehl ein und drücken Sie die Eingabetaste:
sudo nmap -d2 127.0.0.1sudo: Dieser Befehl kann je nach Scan-Typ Root-Rechte erfordern.nmap: Dies ist der Befehlszeilen-Nmap-Scanner.-d2: Diese Option setzt die Debug-Ebene auf 2.127.0.0.1: Dies ist die Ziel-IP-Adresse, die die Loopback-Adresse (localhost) ist.
Beobachten Sie die Ausgabe: Nmap führt jetzt einen Scan von localhost durch und druckt die Debug-Informationen in das Terminal. Die Ausgabe wird Details über die Nmap-Konfiguration, die Proben, die es sendet, und die Antworten, die es erhält, enthalten.
Die Ausgabe sieht ähnlich wie folgt aus (die genaue Ausgabe variiert):
Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:05 UTC --------------- Timing report --------------- hostgroups: min 1, max 1024 rtt-timeouts: init 1250, min 100, max 10000 max-scan-delay: 0 ms, brtt 1250 ms, rttvar 625 ms parallelism: min 1, max 256 --------------------------------------------- ... Nmap done: 1 IP address (1 host up) scanned in 0.123 secondsDie Ausgabe zeigt verschiedene interne Parameter und Entscheidungen, die Nmap während des Scans trifft. Dieser Grad an Detail kann nützlich sein, um zu verstehen, wie Nmap funktioniert und um Probleme zu diagnostizieren.
Unterbrechen Sie den Scan: Der Scan wird für eine Weile fortgesetzt. Sie können ihn durch Drücken von
Ctrl+Cunterbrechen.
In diesem Schritt wurde gezeigt, wie man die Debug-Ebene 2 in Nmap aktiviert. Im nächsten Schritt werden wir Paketverfolgung und Debug-Ausgabe kombinieren, um eine noch detailliertere Analyse durchzuführen.
Kombiniere Verfolgung und Debugging mit nmap --packet-trace -d 192.168.1.1
In diesem Schritt kombinieren wir die Optionen --packet-trace und -d, um einen umfassenden Überblick über das Funktionieren von Nmap zu erhalten. Dies liefert sowohl Paketebenen-Details als auch interne Debug-Informationen, die sehr nützlich für fortgeschrittene Fehlerbehebung und das Verständnis des Verhaltens von Nmap sein können.
Um die Paketverfolgung und das Debuggen zu kombinieren, folgen Sie diesen Schritten:
Öffnen Sie ein Terminal: Wenn Sie kein Terminal bereits geöffnet haben, starten Sie das Xfce-Terminal.
Führen Sie den Nmap-Befehl aus: Geben Sie im Terminal folgenden Befehl ein und drücken Sie die Eingabetaste:
sudo nmap --packet-trace -d 192.168.1.1sudo: Dieser Befehl erfordert Root-Rechte, um Netzwerkpakete zu erfassen.nmap: Dies ist der Befehlszeilen-Nmap-Scanner.--packet-trace: Diese Option 告诉 Nmap, einen Verlauf der Pakete auszugeben, die es sendet und empfängt.-d: Diese Option aktiviert die Debug-Ausgabe. Standardmäßig setzt sie die Debug-Ebene auf 1. Sie können-d2,-d3usw. verwenden, um die Debug-Ebene zu erhöhen. In diesem Fall verwenden wir die Standard-Ebene 1.192.168.1.1: Dies ist die Ziel-IP-Adresse. Wenn diese IP-Adresse nicht auf Ihrem Netzwerk verfügbar ist, können Sie sie durch die IP-Adresse eines Geräts ersetzen, das von Ihrer LabEx-VM aus erreichbar ist. Ein häufiger Ersatz ist127.0.0.1(localhost).
Beobachten Sie die Ausgabe: Nmap führt jetzt einen Scan der Ziel-IP-Adresse durch und druckt sowohl Paketverläufe als auch Debug-Informationen in das Terminal. Die Ausgabe wird eine Mischung aus Paketdetails (wie in Schritt 1 zu sehen) und internen Nmap-Nachrichten (wie in Schritt 2 zu sehen) sein.
Die Ausgabe sieht ähnlich wie folgt aus (die genaue Ausgabe variiert je nach Ihrem Netzwerk und dem Zielhost):
Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:10 UTC SENT (0.0034s) to 192.168.1.1: TCP 192.168.1.100:54321 > 192.168.1.1:80 S ttl=64 id=12345 win=65535 RECV (0.0045s) from 192.168.1.1: TCP 192.168.1.1:80 > 192.168.1.100:54321 SA ttl=64 id=67890 win=14600 NSE: Using Lua engine for script processing. SENT (0.0045s) to 192.168.1.1: TCP 192.168.1.100:54321 > 192.168.1.1:80 A ttl=64 id=12346 win=65535 ... Nmap done: 1 IP address (1 host up) scanned in 0.123 secondsSie werden die Zeilen
SENTundRECVmit Debug-Nachrichten wieNSE: Using Lua engine for script processing.durchmischt sehen.Unterbrechen Sie den Scan: Der Scan wird für eine Weile fortgesetzt. Sie können ihn durch Drücken von
Ctrl+Cunterbrechen.
In diesem Schritt wurde gezeigt, wie man die Paketverfolgung und die Debug-Ausgabe in Nmap kombiniert. Diese Kombination bietet ein leistungsstarkes Tool für das Verständnis und die Fehlerbehebung von Nmap-Scans.
Speichere die Verfolgungsausgabe mit nmap --packet-trace -oN trace.txt 127.0.0.1
In diesem Schritt speichern wir die Paketverfolgungsausgabe in eine Datei für eine spätere Analyse. Dies ist nützlich, wenn Sie die Paketdetails genauer untersuchen möchten oder die Ausgabe mit anderen teilen möchten. Nmap bietet mehrere Optionen zum Speichern von Scanergebnissen in verschiedenen Formaten. Hier verwenden wir das normale Ausgabeformat (-oN), um die Paketverfolgung zu speichern.
Um die Paketverfolgungsausgabe in eine Datei zu speichern, folgen Sie diesen Schritten:
Öffnen Sie ein Terminal: Wenn Sie kein Terminal bereits geöffnet haben, starten Sie das Xfce-Terminal.
Führen Sie den Nmap-Befehl aus: Geben Sie im Terminal folgenden Befehl ein und drücken Sie die Eingabetaste:
sudo nmap --packet-trace -oN trace.txt 127.0.0.1sudo: Dieser Befehl kann je nach Scan-Typ Root-Rechte erfordern.nmap: Dies ist der Befehlszeilen-Nmap-Scanner.--packet-trace: Diese Option 告诉 Nmap, einen Verlauf der Pakete auszugeben, die es sendet und empfängt.-oN trace.txt: Diese Option gibt an, dass die Ausgabe im normalen Format in die Dateitrace.txtgespeichert werden soll. Die Datei wird im aktuellen Verzeichnis (~/project) erstellt.127.0.0.1: Dies ist die Ziel-IP-Adresse, die die Loopback-Adresse (localhost) ist.
Beobachten Sie die Ausgabe: Nmap führt einen Scan von localhost durch und druckt die Paketverfolgung in das Terminal und speichert sie auch in die Datei
trace.txt.Die Terminalausgabe wird ähnlich wie folgt aussehen:
Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:15 UTC SENT (0.0034s) to 127.0.0.1: TCP 127.0.0.1:54321 > 127.0.0.1:80 S ttl=64 id=12345 win=65535 RECV (0.0045s) from 127.0.0.1: TCP 127.0.0.1:80 > 127.0.0.1:54321 SA ttl=64 id=67890 win=14600 SENT (0.0045s) to 127.0.0.1: TCP 127.0.0.1:54321 > 127.0.0.1:80 A ttl=64 id=12346 win=65535 ... Nmap done: 1 IP address (1 host up) scanned in 0.123 secondsVerifizieren Sie die Dateiserstellung: Nachdem der Scan abgeschlossen ist, überprüfen Sie, ob die Datei
trace.txtim Verzeichnis~/projecterstellt wurde. Sie können den Befehllsverwenden, um zu überprüfen:ls ~/projectSie sollten in der Ausgabe
trace.txtsehen.Zeigen Sie den Dateiinhalt an: Sie können den Inhalt der Datei
trace.txtmit dem Befehlcatoder einem Texteditor wienanoanzeigen:cat ~/project/trace.txtoder
nano ~/project/trace.txtDie Datei wird den gleichen Paketverfolgungsausgang enthalten, der in das Terminal gedruckt wurde.
In diesem Schritt wurde gezeigt, wie man die Paketverfolgungsausgabe von Nmap in eine Datei speichert. Im nächsten Schritt werden wir die Paketdetails im Xfce-Terminal analysieren.
Analysiere Paketdetails im Xfce-Terminal
In diesem Schritt werden wir die Paketdetails analysieren, die von der --packet-trace-Option von Nmap erfasst wurden. Das Verständnis der Paketverfolgungsausgabe kann Ihnen helfen, Netzwerkprobleme zu diagnostizieren, zu verstehen, wie Nmap-Sonden funktionieren, und potenzielle Sicherheitslücken zu identifizieren. Wir werden den grep-Befehl im Xfce-Terminal verwenden, um bestimmte Pakete zu filtern und zu untersuchen.
Um die Paketdetails zu analysieren, folgen Sie diesen Schritten:
Öffnen Sie ein Terminal: Wenn Sie kein Terminal bereits geöffnet haben, starten Sie das Xfce-Terminal.
Überprüfen Sie die Datei
trace.txt: Im vorherigen Schritt haben Sie die Paketverfolgungsausgabe in die Dateitrace.txtim Verzeichnis~/projectgespeichert. Wenn Sie diesen Schritt noch nicht durchgeführt haben, kehren Sie bitte zurück und machen Sie ihn zuerst.Verwenden Sie
grep, um Pakete zu filtern: Dergrep-Befehl ist ein leistungsstarkes Tool zum Suchen in Textfilen. Wir können ihn verwenden, um die Dateitrace.txtzu filtern und Pakete zu finden, die bestimmten Kriterien entsprechen.Beispielsweise können Sie den folgenden Befehl verwenden, um alle Pakete zu finden, die an Port 80 gesendet werden:
grep " > 127.0.0.1:80" ~/project/trace.txtgrep: Dies ist das Befehlszeilen-Werkzeug zum Suchen in Texten." > 127.0.0.1:80": Dies ist das Suchmuster. Es sucht nach Zeilen, die " > 127.0.0.1:80" enthalten, was Pakete angibt, die an Port 80 auf dem localhost (127.0.0.1) gesendet werden. Der Leerraum vor>ist wichtig, um die Quellports nicht zu treffen.~/project/trace.txt: Dies ist der Pfad zur Datei, die die Paketverfolgungsausgabe enthält.
Die Ausgabe wird alle Zeilen in der Datei
trace.txtanzeigen, die dem Suchmuster entsprechen. Beispielsweise:SENT (0.0034s) to 127.0.0.1: TCP 127.0.0.1:54321 > 127.0.0.1:80 S ttl=64 id=12345 win=65535 RECV (0.0045s) from 127.0.0.1: TCP 127.0.0.1:80 > 127.0.0.1:54321 SA ttl=64 id=67890 win=14600 SENT (0.0045s) to 127.0.0.1: TCP 127.0.0.1:54321 > 127.0.0.1:80 A ttl=64 id=12346 win=65535Analysieren Sie die Paketdetails: Untersuchen Sie die Ausgabe, um die Paketdetails zu verstehen. Die Ausgabe zeigt die Richtung des Pakets (
SENToderRECV), die Quell- und Ziel-IP-Adressen und -Ports, das Protokoll (TCP) und andere Flags und Optionen.SENT: Gibt an, dass ein Paket von Nmap gesendet wurde.RECV: Gibt an, dass ein Paket von Nmap empfangen wurde.TCP 127.0.0.1:54321 > 127.0.0.1:80: Zeigt die Quell-IP-Adresse und -Port (127.0.0.1:54321) und die Ziel-IP-Adresse und -Port (127.0.0.1:80).S: Gibt an, dass das SYN-Flag gesetzt ist, was verwendet wird, um eine TCP-Verbindung zu initiieren.SA: Gibt an, dass die SYN-ACK-Flags gesetzt sind, was eine Antwort auf ein SYN-Paket ist.A: Gibt an, dass das ACK-Flag gesetzt ist, was verwendet wird, um empfangene Daten zu bestätigen.ttl: Time to live.id: IP-Kennungnummer.win: Fenstergröße.
Experimentieren Sie mit verschiedenen
grep-Mustern: Versuchen Sie verschiedenegrep-Muster, um die Paketverfolgungsausgabe basierend auf Ihren spezifischen Bedürfnissen zu filtern. Beispielsweise:Um alle SYN-Pakete zu finden:
grep "S ttl=" ~/project/trace.txtUm alle Pakete zu finden, die von Port 80 empfangen werden:
grep "from 127.0.0.1:80" ~/project/trace.txtUm alle Pakete mit einer bestimmten IP-ID zu finden:
grep "id=12345" ~/project/trace.txt
Indem Sie grep verwenden, um die Paketverfolgungsausgabe zu filtern und zu analysieren, können Sie einen tieferen Einblick in das Verhalten von Nmap und den Netzwerkverkehr erhalten, den es generiert.
Identifiziere Scannenprobleme im Xfce-Terminal
In diesem Schritt werden wir die Paketverfolgung und die Debug-Ausgabe von Nmap verwenden, um potenzielle Scanprobleme zu identifizieren. Dies beinhaltet das Suchen nach Anomalien im Paketexchange, wie Retransmissionen, unerwartete Antworten oder fehlende Antworten. Indem Sie diese Probleme analysieren, können Sie Scanprobleme beheben und die Genauigkeit und Zuverlässigkeit Ihrer Nmap-Scans verbessern.
Um Scanprobleme zu identifizieren, folgen Sie diesen Schritten:
Öffnen Sie ein Terminal: Wenn Sie kein Terminal bereits geöffnet haben, starten Sie das Xfce-Terminal.
Überprüfen Sie die Datei
trace.txt: In den vorherigen Schritten haben Sie die Paketverfolgungsausgabe in die Dateitrace.txtim Verzeichnis~/projectgespeichert. Stellen Sie sicher, dass diese Datei existiert und die Paketverfolgungsinformationen enthält.Suchen Sie nach Retransmissionen: Retransmissionen treten auf, wenn ein Paket nicht von dem Zielhost bestätigt wird und Nmap das Paket erneut sendet. Dies kann auf Netzwerküberlastung, Paketverlust oder einen Firewallblock des Traffics hinweisen. Verwenden Sie
grep, um Retransmissionen zu suchen:grep "Retransmission" ~/project/trace.txtWenn Sie Zeilen mit "Retransmission" sehen, bedeutet dies, dass Nmap Pakete erneut senden musste. Dies könnte ein Zeichen für Netzwerkprobleme oder eine Firewall sein.
Analysieren Sie die TCP-Flags: Untersuchen Sie die TCP-Flags in der Paketverfolgung, um den Zustand der TCP-Verbindung zu verstehen. Suchen Sie nach unerwarteten Flag-Kombinationen oder fehlenden Flags. Beispielsweise kann ein SYN-Paket ohne entsprechende SYN-ACK-Antwort auf einen Firewallblock der Verbindung hinweisen.
Sie können
grepverwenden, um nach bestimmten TCP-Flags zu filtern. Beispielsweise, um SYN-Pakete zu finden:grep "S ttl=" ~/project/trace.txtUnd um SYN-ACK-Pakete zu finden:
grep "SA ttl=" ~/project/trace.txtVergleichen Sie die Anzahl der gesendeten SYN-Pakete mit der Anzahl der empfangenen SYN-ACK-Pakete. Wenn es deutlich weniger SYN-ACK-Pakete als SYN-Pakete gibt, könnte dies ein Problem anzeigen.
Prüfen Sie auf unerwartete Antworten: Manchmal kann der Zielhost unerwartete Antworten senden, wie ICMP-Fehlermeldungen. Diese Antworten können wertvolle Informationen darüber liefern, warum ein Scan fehlschlägt.
Um nach ICMP-Paketen zu suchen, verwenden Sie folgenden Befehl:
grep "ICMP" ~/project/trace.txtAnalysieren Sie die ICMP-Nachrichten, um die Natur des Fehlers zu verstehen. Beispielsweise bedeutet "Ziel nicht erreichbar", dass der Zielhost nicht erreichbar ist.
Suchen Sie nach fehlenden Antworten: Wenn Nmap eine Probe sendet und keine Antwort erhält, kann dies darauf hinweisen, dass der Zielhost offline ist, eine Firewall den Traffic blockiert oder die Probe im Transit verloren gegangen ist.
Untersuchen Sie die Paketverfolgung, um Proben zu identifizieren, die keine Antwort erhalten haben. Beispielsweise, wenn Sie ein SYN-Paket an Port 80 gesendet haben, aber kein SYN-ACK-Paket erhalten haben, könnte dies darauf hinweisen, dass Port 80 geschlossen oder gefiltert ist.
Berücksichtigen Sie die Debug-Ausgabe: Während die vorherigen Schritte sich auf die Paketverfolgung konzentrierten, denken Sie daran, dass die Debug-Ausgabe (aus
-doder-d2) ebenfalls wertvolle Hinweise liefern kann. Sie enthält oft Informationen über Nmap's internen Entscheidungsprozess, die Ihnen helfen können, zu verstehen, warum es sich so verhält. Leider haben wir die Debug-Ausgabe in den vorherigen Schritten nicht in eine Datei gespeichert, aber in einem realen Szenario würden Sie diese Ausgabe zusammen mit der Paketverfolgung analysieren.
Indem Sie die Paketverfolgung und die Debug-Ausgabe sorgfältig analysieren, können Sie potenzielle Scanprobleme identifizieren und Schritte unternehmen, um sie zu beheben. Dies wird die Genauigkeit und Zuverlässigkeit Ihrer Nmap-Scans verbessern.
Zusammenfassung
In diesem Lab haben wir Nmap's Debugging-Fähigkeiten erkundet, indem wir die --packet-trace-Option verwendet haben, um die während eines Scans ausgetauschten Netzwerkpakete zu beobachten. Dies involved das Ausführen des Befehls sudo nmap --packet-trace 192.168.1.1 (oder 127.0.0.1 als Alternative) im Xfce-Terminal und die Analyse der detaillierten Ausgabe, die die Pakettypen, die Quell- und Ziel-IP-Adressen und -Ports sowie andere relevante Informationen enthielt.
Der zentrale Gedanke ist das Verständnis dafür, wie --packet-trace einen einfachen Weg bietet, um Netzwerkpakete direkt aus Nmap zu betrachten, was ein tieferes Verständnis von Nmap's netzwerkseitigen Operationen ermöglicht und die Identifizierung potenzieller Scanprobleme erleichtert.
