Varredura TCP ACK com Nmap: Guia Prático e Análise de Segurança

Introdução

Neste laboratório, você aprenderá a realizar a varredura TCP ACK usando o Nmap. O laboratório cobre vários aspectos da varredura ACK, incluindo a execução de uma varredura ACK básica, a varredura de uma faixa de portas específica, a adição de verbosidade à varredura, o salvamento dos resultados da varredura, a análise de portas filtradas e a comparação de varreduras ACK com varreduras SYN no terminal Xfce. Você entenderá como as varreduras ACK funcionam enviando pacotes TCP ACK para um host de destino e analisando as respostas para determinar se as portas estão filtradas ou não filtradas.

Executar varredura ACK com nmap -sA 192.168.1.1

Nesta etapa, você aprenderá a realizar uma varredura ACK usando o Nmap. Uma varredura ACK é um tipo de varredura TCP que envia pacotes TCP ACK para um host de destino. Ao contrário de outros tipos de varredura, uma varredura ACK não estabelece uma conexão TCP completa. Em vez disso, ela analisa as respostas (ou a falta delas) para determinar se uma porta está filtrada ou não filtrada.

Entendendo os Fundamentos da Varredura ACK

Pacote ACK: Um pacote TCP ACK (Acknowledgment) é tipicamente usado para reconhecer o recebimento de dados em uma conexão TCP estabelecida.
Comportamento do Firewall: Firewalls frequentemente têm regras para bloquear conexões TCP de entrada não solicitadas. Varreduras ACK exploram esse comportamento para mapear conjuntos de regras de firewall.
Filtrado vs. Não Filtrado:
- Não Filtrado: Se a porta de destino não estiver filtrada, o Nmap receberá um pacote RST (Reset) em resposta à sonda ACK. Isso indica que nenhum firewall está bloqueando a conexão.
- Filtrado: Se a porta de destino estiver filtrada, o Nmap não receberá nenhuma resposta ou uma mensagem de erro ICMP. Isso sugere que um firewall está bloqueando a conexão.

Realizando uma Varredura ACK

Abra o terminal Xfce: Se ele ainda não estiver aberto, inicie o terminal Xfce do ambiente de desktop.
Execute o comando de varredura ACK: No terminal, digite o seguinte comando e pressione Enter:
```
nmap -sA 192.168.1.1
```
- nmap: O scanner de linha de comando Nmap.
- -sA: Especifica o tipo de varredura ACK.
- 192.168.1.1: O endereço IP de destino. Substitua este endereço pelo endereço IP real que você deseja varrer. Se você estiver executando isso em um ambiente virtual, talvez queira varrer seu gateway ou outra máquina em sua rede. Se você não tiver outra máquina, pode varrer o endereço IP do seu localhost 127.0.0.1.
```
nmap -sA 127.0.0.1
```
Analise os Resultados: O Nmap exibirá os resultados da varredura. Procure por portas que estão marcadas como "Unfiltered" (Não Filtrado) ou "Filtered" (Filtrado).

Exemplo de saída (pode variar dependendo do destino):
```
Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:00 UTC
Nmap scan report for 127.0.0.1
Host is up (0.00020s latency).
Other addresses for localhost (alias(es)): localhost

PORT      STATE      SERVICE
22/tcp    unfiltered ssh
80/tcp    unfiltered http
111/tcp   unfiltered rpcbind
631/tcp   unfiltered ipp
...

Nmap done: 1 IP address (1 host up) scanned in 2.50 seconds
```
Neste exemplo, as portas 22, 80, 111 e 631 estão não filtradas, o que significa que um pacote ACK enviado para essas portas provavelmente receberia uma resposta RST.

Considerações Importantes:

Varreduras ACK nem sempre são confiáveis para determinar o estado exato de uma porta. Firewalls e dispositivos de rede podem, às vezes, produzir resultados enganosos.
Varreduras ACK são usadas principalmente para mapear regras de firewall e identificar potenciais pontos de entrada em uma rede.

Varredura de faixa de portas com nmap -sA -p 1-100 127.0.0.1

Nesta etapa, você expandirá seu conhecimento sobre varreduras ACK varrendo uma faixa de portas específica. Isso é útil para restringir sua investigação às portas mais comumente usadas ou às portas de interesse.

Entendendo as Faixas de Portas

Uma faixa de portas especifica um conjunto de portas a serem varridas, em vez de varrer todas as 65535 portas. Isso pode reduzir significativamente o tempo de varredura e focar sua análise. Faixas de portas comuns incluem:

1-1024: Portas bem conhecidas, frequentemente usadas por serviços do sistema.
1-100: Uma faixa menor para verificações rápidas.
80,443,8080: Portas específicas de interesse (HTTP, HTTPS, HTTP alternativo).

Varrendo uma Faixa de Portas com Nmap

Abra o terminal Xfce: Se ele ainda não estiver aberto, inicie o terminal Xfce do ambiente de desktop.
Execute o comando de varredura ACK com uma faixa de portas: No terminal, digite o seguinte comando e pressione Enter:
```
nmap -sA -p 1-100 127.0.0.1
```
- nmap: O scanner de linha de comando Nmap.
- -sA: Especifica o tipo de varredura ACK.
- -p 1-100: Especifica a faixa de portas a serem varridas (portas de 1 a 100).
- 127.0.0.1: O endereço IP de destino (localhost neste caso).

Analise os Resultados: O Nmap exibirá os resultados da varredura, focando apenas nas portas dentro da faixa especificada (1-100).

Exemplo de saída (pode variar dependendo do destino):

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:05 UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.00018s latency).
Other addresses for localhost (alias(es)): localhost

PORT    STATE      SERVICE
21/tcp  unfiltered ftp
22/tcp  unfiltered ssh
25/tcp  unfiltered smtp
53/tcp  unfiltered domain
80/tcp  unfiltered http

Nmap done: 1 IP address (1 host up) scanned in 0.85 seconds

Esta saída mostra o estado das portas 21, 22, 25, 53 e 80 no localhost. Todas elas estão não filtradas.

Benefícios da Varredura de Faixas de Portas:

Eficiência: Reduz o tempo de varredura, focando em portas específicas.
Análise Direcionada: Permite investigar serviços ou aplicativos específicos em execução no destino.
Ruído Reduzido: Filtra informações irrelevantes, tornando mais fácil identificar potenciais vulnerabilidades.

Adicionar verbosidade com nmap -v -sA 192.168.1.1

Nesta etapa, você aprenderá como aumentar a verbosidade das varreduras Nmap. A verbosidade fornece informações mais detalhadas sobre o processo de varredura, o que pode ser útil para solucionar problemas ou entender os resultados mais profundamente.

Entendendo os Níveis de Verbosidade

O Nmap oferece diferentes níveis de verbosidade, controlados pela opção -v. Usar -v uma vez aumenta o nível de verbosidade, e usá-lo várias vezes (por exemplo, -vv) aumenta-o ainda mais. Níveis de verbosidade mais altos fornecem uma saída mais detalhada.

Adicionando Verbosidade a uma Varredura ACK

Abra o terminal Xfce: Se ele ainda não estiver aberto, inicie o terminal Xfce do ambiente de desktop.
Execute o comando de varredura ACK com verbosidade: No terminal, digite o seguinte comando e pressione Enter:
```
nmap -v -sA 192.168.1.1
```
- nmap: O scanner de linha de comando Nmap.
- -v: Habilita a saída verbose.
- -sA: Especifica o tipo de varredura ACK.
- 192.168.1.1: O endereço IP de destino. Substitua este endereço pelo endereço IP real que você deseja varrer. Se você estiver executando isso em um ambiente virtual, talvez queira varrer seu gateway ou outra máquina em sua rede. Se você não tiver outra máquina, pode varrer o endereço IP do seu localhost 127.0.0.1.
```
nmap -v -sA 127.0.0.1
```

Analise os Resultados: O Nmap exibirá os resultados da varredura com informações mais detalhadas. Você verá mais saída sobre o processo de varredura, como as sondas sendo enviadas e as respostas sendo recebidas.

Exemplo de saída (pode variar dependendo do destino):

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:10 UTC
Initiating Ping Scan at 10:10
Scanning 127.0.0.1 [4 ports]
Completed Ping Scan at 10:10, 0.00s elapsed (1 total hosts)
Initiating ACK Scan at 10:10
Scanning localhost (127.0.0.1) [1000 ports]
Discovered open port 22/tcp on 127.0.0.1
Discovered open port 80/tcp on 127.0.0.1
Discovered open port 111/tcp on 127.0.0.1
Discovered open port 631/tcp on 127.0.0.1
Completed ACK Scan at 10:10, 0.15s elapsed (1000 total ports)
Nmap scan report for localhost (127.0.0.1)
Host is up (0.00016s latency).
Other addresses for localhost (alias(es)): localhost

PORT      STATE      SERVICE
22/tcp    unfiltered ssh
80/tcp    unfiltered http
111/tcp   unfiltered rpcbind
631/tcp   unfiltered ipp
...

Nmap done: 1 IP address (1 host up) scanned in 0.16 seconds

A saída verbose mostra os diferentes estágios da varredura, incluindo a varredura ping e a varredura ACK, bem como as portas descobertas.

Benefícios da Verbosidade:

Solução de problemas: Ajuda a identificar problemas durante o processo de varredura, como problemas de conectividade de rede ou interferência de firewall.
Compreensão mais profunda: Fornece mais informações sobre como o Nmap funciona e como ele determina o estado das portas.
Relatórios detalhados: Oferece informações mais abrangentes para relatórios e análise.

Salvar resultados da varredura ACK com nmap -sA -oN ack.txt 127.0.0.1

Nesta etapa, você aprenderá como salvar os resultados de uma varredura ACK do Nmap em um arquivo. Isso é útil para análise posterior, relatórios ou comparação com outras varreduras.

Entendendo as Opções de Saída do Nmap

O Nmap oferece várias opções para salvar os resultados da varredura em diferentes formatos. A opção -oN salva os resultados em um formato "normal" legível por humanos. Outras opções incluem -oX para o formato XML e -oS para o formato script kiddie (menos legível).

Salvando os Resultados da Varredura ACK em um Arquivo

Abra o terminal Xfce: Se ele ainda não estiver aberto, inicie o terminal Xfce do ambiente de desktop.
Execute o comando de varredura ACK com saída para arquivo: No terminal, digite o seguinte comando e pressione Enter:
```
nmap -sA -oN ack.txt 127.0.0.1
```
- nmap: O scanner de linha de comando Nmap.
- -sA: Especifica o tipo de varredura ACK.
- -oN ack.txt: Especifica que a saída deve ser salva em formato normal em um arquivo chamado ack.txt. O arquivo será salvo em seu diretório atual (~/project).
- 127.0.0.1: O endereço IP de destino (localhost neste caso).
Verifique a criação do arquivo: Após a conclusão da varredura, verifique se o arquivo ack.txt foi criado em seu diretório ~/project. Você pode usar o comando ls para listar os arquivos no diretório:
```
ls ~/project
```
Você deve ver ack.txt na lista de arquivos.

Visualize o conteúdo do arquivo: Você pode visualizar o conteúdo do arquivo ack.txt usando o comando cat ou um editor de texto como nano:

cat ~/project/ack.txt

nano ~/project/ack.txt

O arquivo conterá os resultados da varredura Nmap em um formato legível por humanos.

Exemplo de conteúdo de ack.txt (pode variar dependendo do destino):

## Nmap 7.80 scan initiated Fri Oct 27 10:15:00 2023
Nmap scan report for localhost (127.0.0.1)
Host is up (0.00016s latency).
Other addresses for localhost (alias(es)): localhost

PORT      STATE      SERVICE
22/tcp    unfiltered ssh
80/tcp    unfiltered http
111/tcp   unfiltered rpcbind
631/tcp   unfiltered ipp
...

## Nmap done at Fri Oct 27 10:15:01 2023 -- 1 IP address (1 host up) scanned in 0.85 seconds

Benefícios de Salvar os Resultados da Varredura:

Documentação: Fornece um registro dos resultados da varredura para referência futura.
Análise: Permite analisar os resultados com mais detalhes usando ferramentas de processamento de texto ou scripts.
Relatórios: Facilita a criação de relatórios com base nos resultados da varredura.
Comparação: Permite comparar os resultados de diferentes varreduras ao longo do tempo para rastrear as mudanças na rede.

Analisar portas filtradas no terminal Xfce

Nesta etapa, você aprenderá como analisar as portas filtradas identificadas durante uma varredura ACK do Nmap. Entender por que as portas são filtradas é crucial para avaliar a segurança da rede e identificar possíveis vulnerabilidades.

Entendendo as Portas Filtradas

No Nmap, uma porta "filtrada" significa que o Nmap não pode determinar se a porta está aberta ou fechada porque a filtragem de pacotes impede que as sondas do Nmap alcancem a porta. Isso geralmente se deve a uma regra de firewall que bloqueia o tipo específico de tráfego que o Nmap está usando para a varredura. Com a varredura ACK, as portas filtradas geralmente indicam a presença de um firewall ou outro dispositivo de rede que está bloqueando os pacotes ACK.

Analisando Portas Filtradas da Varredura ACK

Abra o terminal Xfce: Se ele ainda não estiver aberto, inicie o terminal Xfce do ambiente de desktop.
Revise o arquivo ack.txt: Na etapa anterior, você salvou os resultados da varredura ACK no arquivo ack.txt. Use o comando cat ou nano para visualizar o conteúdo do arquivo:
```
cat ~/project/ack.txt
```
ou
```
nano ~/project/ack.txt
```
Identifique as Portas Filtradas: Procure linhas na saída que indiquem que uma porta está no estado "filtrado". Por exemplo:
```
PORT      STATE      SERVICE
21/tcp    filtered  ftp
23/tcp    filtered  telnet
```
Isso indica que as portas 21 (FTP) e 23 (Telnet) estão filtradas.
Investigue a Causa da Filtragem: O fato de as portas serem filtradas sugere que um firewall ou outro dispositivo de rede está bloqueando os pacotes ACK enviados para essas portas. Para investigar mais a fundo, você pode considerar o seguinte:
- Regras de Firewall: Verifique a configuração do firewall na máquina ou rede de destino para ver se há regras bloqueando pacotes ACK para portas específicas. Como você está varrendo 127.0.0.1, você pode verificar as regras do firewall local. No entanto, no ambiente LabEx, você provavelmente não terá acesso para modificar as regras do firewall.
- Topologia da Rede: Considere a topologia da rede entre sua máquina de varredura e o destino. Existem dispositivos intermediários (por exemplo, roteadores, firewalls) que podem estar filtrando o tráfego?
- Outros Tipos de Varredura: Use outros tipos de varredura Nmap (por exemplo, varredura SYN, varredura TCP connect) para ver se eles fornecem mais informações sobre o estado das portas. Você fará isso na próxima etapa.
Exemplo de Análise:

Se você vir que portas comuns como 21 (FTP), 23 (Telnet) e 80 (HTTP) estão filtradas, é provável que um firewall esteja configurado para bloquear conexões de entrada não solicitadas para essas portas. Esta é uma prática comum de segurança para evitar acesso não autorizado aos serviços em execução na máquina de destino.

Considerações Importantes:

As varreduras ACK são frequentemente usadas para mapear conjuntos de regras de firewall. Ao enviar pacotes ACK para diferentes portas, você pode determinar quais portas estão sendo filtradas e quais não estão.
Os resultados de uma varredura ACK podem ser afetados pela configuração da rede e pela presença de firewalls.
Portas filtradas não significam necessariamente que o serviço não está em execução. Significa simplesmente que o Nmap não pode determinar seu estado devido à filtragem.

Comparar varredura ACK com varredura SYN no terminal Xfce

Nesta etapa, você comparará os resultados de uma varredura ACK do Nmap com uma varredura SYN. Essa comparação ajudará você a entender as diferenças entre esses tipos de varredura e como eles podem ser usados para coletar informações diferentes sobre um alvo.

Entendendo as Varreduras ACK e SYN

Varredura ACK (-sA): Envia pacotes TCP ACK para o alvo. É usado principalmente para mapear conjuntos de regras de firewall. Se uma porta não estiver filtrada, geralmente significa que o firewall permite que os pacotes ACK passem. Se uma porta estiver filtrada, significa que o firewall provavelmente está bloqueando os pacotes ACK. A varredura ACK não determina se uma porta está aberta ou fechada.
Varredura SYN (-sS): Envia pacotes TCP SYN para o alvo. É uma varredura mais furtiva do que uma varredura TCP connect completa porque não conclui o handshake TCP. Se um pacote SYN/ACK for recebido, a porta é considerada aberta. Se um pacote RST for recebido, a porta é considerada fechada.

Executando uma Varredura SYN

Abra o terminal Xfce: Se ele ainda não estiver aberto, inicie o terminal Xfce do ambiente de desktop.
Execute o comando de varredura SYN: No terminal, digite o seguinte comando e pressione Enter:
```
nmap -sS 127.0.0.1
```
- nmap: O scanner de linha de comando Nmap.
- -sS: Especifica o tipo de varredura SYN.
- 127.0.0.1: O endereço IP de destino (localhost neste caso).
Execute o comando de varredura SYN com saída para arquivo: No terminal, digite o seguinte comando e pressione Enter:
```
nmap -sS -oN syn.txt 127.0.0.1
```
- nmap: O scanner de linha de comando Nmap.
- -sS: Especifica o tipo de varredura SYN.
- -oN syn.txt: Especifica que a saída deve ser salva em formato normal em um arquivo chamado syn.txt. O arquivo será salvo em seu diretório atual (~/project).
- 127.0.0.1: O endereço IP de destino (localhost neste caso).

Comparando os Resultados

Visualize os resultados da varredura SYN: Após a conclusão da varredura SYN, visualize os resultados no terminal. Você deve ver uma lista de portas abertas, fechadas e filtradas.
Visualize o conteúdo do arquivo: Você pode visualizar o conteúdo do arquivo syn.txt usando o comando cat ou um editor de texto como nano:
```
cat ~/project/syn.txt
```
ou
```
nano ~/project/syn.txt
```
O arquivo conterá os resultados da varredura Nmap em um formato legível por humanos.
Compare com os resultados da varredura ACK: Compare os resultados da varredura SYN com os resultados da varredura ACK que você obteve nas etapas anteriores (seja da saída do terminal ou do arquivo ack.txt).
Analise as Diferenças:
- Portas Abertas: A varredura SYN mostrará quais portas estão realmente abertas no alvo. A varredura ACK não revelará diretamente as portas abertas.
- Portas Filtradas: Se uma porta estiver filtrada na varredura ACK, mas aberta na varredura SYN, isso sugere que o firewall está bloqueando os pacotes ACK, mas permitindo os pacotes SYN para essa porta. Este é um cenário comum.
- Portas Fechadas: A varredura SYN mostrará quais portas estão fechadas. A varredura ACK não revelará diretamente as portas fechadas.

Exemplo de Comparação:

Digamos que a varredura ACK mostre que a porta 80 (HTTP) está filtrada, enquanto a varredura SYN mostra que a porta 80 está aberta. Isso indica que o firewall provavelmente está bloqueando os pacotes ACK para a porta 80, mas permitindo os pacotes SYN. Esta é uma configuração típica para um servidor web, onde os pacotes SYN de entrada são permitidos para estabelecer conexões, mas os pacotes ACK não solicitados são bloqueados.

Principais Conclusões:

As varreduras ACK e SYN fornecem diferentes tipos de informações sobre um alvo.
As varreduras ACK são úteis para mapear conjuntos de regras de firewall.
As varreduras SYN são úteis para identificar portas abertas.
Ao comparar os resultados dessas varreduras, você pode obter uma melhor compreensão da postura de segurança do alvo.

Resumo

Neste laboratório, você aprenderá a conduzir a varredura TCP ACK usando o Nmap. Você começará executando uma varredura ACK básica com o comando nmap -sA <target_ip>, entendendo como os pacotes ACK funcionam e como determinar se uma porta é filtrada ou não filtrada com base nas respostas. Você também aprenderá a varrer uma faixa de portas específica, adicionar verbosidade à varredura e salvar os resultados em um arquivo. Além disso, você analisará as portas filtradas e comparará as varreduras ACK com as varreduras SYN no terminal Xfce.

Realizar Varredura TCP ACK no Nmap