Realizar Varredura Idle no Nmap

Introdução

Neste laboratório, você aprenderá como realizar uma varredura idle (ociosa) usando o Nmap. O laboratório guia você pelo processo de identificação de um host zombie em uma rede usando uma varredura ping (nmap -sn). Esta etapa inicial ajuda a descobrir hosts ativos, o que é crucial para selecionar um host zombie adequado para a varredura idle.

O laboratório então demonstra como executar uma varredura idle (nmap -sI) contra um alvo, usando o host zombie identificado. Você explorará opções para aumentar a verbosidade (-v), direcionar portas específicas (-p) e salvar os resultados da varredura em um arquivo (-oN). Finalmente, você analisará os resultados da varredura idle dentro do terminal Xfce.

Identificar host zombie com nmap -sn 192.168.1.0/24

Nesta etapa, usaremos nmap para descobrir hosts ativos na rede 192.168.1.0/24. Esta é uma etapa fundamental na varredura e reconhecimento de rede. A opção -sn em nmap realiza uma varredura ping, o que significa que ela apenas tenta determinar se os hosts estão ativos, sem realizar a varredura de portas. Isso é útil para identificar rapidamente hosts ativos em uma rede.

Antes de começarmos, vamos entender o comando:

• nmap: A ferramenta de mapeamento de rede.
• -sn: Esta opção diz ao Nmap para realizar apenas uma varredura ping (descoberta de host). Ela desabilita a varredura de portas.
• 192.168.1.0/24: Esta é a rede alvo na notação CIDR. /24 significa que os primeiros 24 bits do endereço IP são fixos, e os últimos 8 bits podem variar, nos dando uma faixa de 256 endereços IP (192.168.1.1 a 192.168.1.254, excluindo os endereços de rede e broadcast).

Agora, vamos executar o comando. Abra seu terminal Xfce e digite o seguinte:

sudo nmap -sn 192.168.1.0/24

Você será solicitado a inserir sua senha. Como o usuário labex tem privilégios sudo sem senha, basta pressionar Enter.

A saída mostrará os hosts que estão ativos na rede. Pode se parecer com algo assim:

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:00 UTC
Nmap scan report for 192.168.1.1
Host is up (0.00023s latency).
Nmap scan report for 192.168.1.2
Host is up (0.00031s latency).
Nmap scan report for 192.168.1.100
Host is up (0.00045s latency).
Nmap done: 256 IP addresses (3 hosts up) scanned in 2.50 seconds

Esta saída indica que 192.168.1.1, 192.168.1.2 e 192.168.1.100 estão ativos na rede. Os endereços IP específicos que estão ativos podem variar em seu ambiente. Usaremos 192.168.1.2 como o host zombie nas etapas seguintes, e 192.168.1.1 como o alvo.

Executar varredura idle com nmap -sI 192.168.1.2 192.168.1.1

Nesta etapa, realizaremos uma varredura idle usando nmap. A varredura idle é uma técnica avançada de varredura que permite que você varra um alvo sem revelar seu próprio endereço IP. Ela funciona explorando um host zombie para redirecionar a varredura.

Veja como funciona:

1. Escolha um Host Zombie: Você precisa de um host que esteja principalmente ocioso e tenha uma geração de sequência de ID de IP (Identificação de IP) previsível. Na etapa anterior, identificamos 192.168.1.2 como um potencial host zombie.
2. Enviar um SYN-ACK para o Zombie: Nmap envia um pacote SYN-ACK para o host zombie. O host zombie responderá com um pacote RST se não estiver esperando o SYN-ACK, incrementando seu ID de IP.
3. Enviar um SYN para o Alvo via o Zombie: Nmap cria um pacote SYN destinado ao host alvo, mas falsifica o endereço IP de origem para ser o endereço IP do host zombie.
4. Analisar o ID de IP do Zombie:
   • Se a porta do host alvo estiver fechada, ele responderá com um pacote RST para o zombie. O ID de IP do zombie será incrementado em um.
   • Se a porta do host alvo estiver aberta, ele responderá com um pacote SYN-ACK para o zombie. O zombie então enviará um pacote RST de volta para o alvo (já que não iniciou a conexão). O ID de IP do zombie será incrementado em dois.
5. Determinar o Status da Porta: Ao observar as mudanças no ID de IP do zombie, o Nmap pode determinar se a porta alvo está aberta ou fechada.

Agora, vamos executar o comando de varredura idle. Abra seu terminal Xfce e digite o seguinte:

sudo nmap -sI 192.168.1.2 192.168.1.1

Aqui está uma análise do comando:

• nmap: A ferramenta de mapeamento de rede.
• -sI 192.168.1.2: Esta opção especifica a varredura idle e define 192.168.1.2 como o host zombie.
• 192.168.1.1: Este é o host alvo que queremos varrer.

Você será solicitado a inserir sua senha. Como o usuário labex tem privilégios sudo sem senha, basta pressionar Enter.

A saída mostrará as portas abertas no host alvo (192.168.1.1), conforme determinado pela varredura idle. Os resultados podem se parecer com algo assim:

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:05 UTC
Idle scan using zombie 192.168.1.2 (192.168.1.2:80); Class: Incremental
Nmap scan report for 192.168.1.1
Host is up (0.00029s latency).
PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned in 15.23 seconds

Esta saída indica que as portas 22 (SSH) e 80 (HTTP) estão abertas no host alvo 192.168.1.1. Observe que as portas abertas específicas podem variar dependendo da configuração do sistema alvo.

Adicionar verbosidade com nmap -v -sI 192.168.1.2 192.168.1.1

Nesta etapa, adicionaremos verbosidade ao comando de varredura idle da etapa anterior. A verbosidade em nmap fornece informações mais detalhadas sobre o processo de varredura, o que pode ser útil para entender o que está acontecendo e solucionar quaisquer problemas.

A opção -v aumenta o nível de verbosidade. Você pode usá-la várias vezes (por exemplo, -vv ou -vvv) para obter uma saída ainda mais detalhada. Para este laboratório, usaremos um único -v.

Vamos executar o comando com verbosidade. Abra seu terminal Xfce e digite o seguinte:

sudo nmap -v -sI 192.168.1.2 192.168.1.1

Aqui está uma análise do comando:

• nmap: A ferramenta de mapeamento de rede.
• -v: Esta opção aumenta o nível de verbosidade.
• -sI 192.168.1.2: Esta opção especifica a varredura idle e define 192.168.1.2 como o host zombie.
• 192.168.1.1: Este é o host alvo que queremos varrer.

Você será solicitado a inserir sua senha. Como o usuário labex tem privilégios sudo sem senha, basta pressionar Enter.

A saída será mais detalhada do que a varredura idle anterior. Ela mostrará informações sobre os pacotes sendo enviados, os valores de ID de IP do host zombie e o raciocínio por trás da determinação do status da porta. A saída pode se parecer com algo assim (a saída exata variará):

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:10 UTC
NSE: Loaded 0 scripts for scanning.
Initiating Idle scan for 192.168.1.1
Scanning 192.168.1.1 [1000 ports]
Idle scan using zombie 192.168.1.2 (192.168.1.2:80); Class: Incremental
Sending TCP SYN to 192.168.1.1:22
Got SYN-ACK from 192.168.1.1:22
PORT   STATE SERVICE
22/tcp open  ssh
Sending TCP SYN to 192.168.1.1:80
Got SYN-ACK from 192.168.1.1:80
PORT   STATE SERVICE
80/tcp open  http
Nmap done: 1 IP address (1 host up) scanned in 16.54 seconds

A saída verbose fornece insights sobre o processo de varredura, tornando mais fácil entender como a varredura idle funciona e diagnosticar quaisquer problemas potenciais.

Varredura de porta específica com nmap -sI 192.168.1.2 -p 80 192.168.1.1

Nesta etapa, focaremos nossa varredura idle em uma porta específica. Isso é útil quando você deseja verificar rapidamente o status de um serviço específico sem varrer todas as portas. Varreremos a porta 80 (HTTP) no host alvo.

A opção -p em nmap permite que você especifique as portas que deseja varrer. Você pode especificar uma única porta, um intervalo de portas (por exemplo, 1-100) ou uma lista de portas separadas por vírgulas (por exemplo, 22,80,443). Neste caso, varreremos apenas a porta 80.

Vamos executar o comando para varrer a porta 80 usando a técnica de varredura idle. Abra seu terminal Xfce e digite o seguinte:

sudo nmap -sI 192.168.1.2 -p 80 192.168.1.1

Aqui está uma análise do comando:

• nmap: A ferramenta de mapeamento de rede.
• -sI 192.168.1.2: Esta opção especifica a varredura idle e define 192.168.1.2 como o host zombie.
• -p 80: Esta opção especifica que queremos varrer apenas a porta 80.
• 192.168.1.1: Este é o host alvo que queremos varrer.

Você será solicitado a inserir sua senha. Como o usuário labex tem privilégios sudo sem senha, basta pressionar Enter.

A saída mostrará se a porta 80 está aberta ou fechada no host alvo (192.168.1.1). Os resultados podem se parecer com algo assim:

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:15 UTC
Idle scan using zombie 192.168.1.2 (192.168.1.2:80); Class: Incremental
Nmap scan report for 192.168.1.1
Host is up (0.00031s latency).

PORT   STATE SERVICE
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned in 14.87 seconds

Esta saída indica que a porta 80 (HTTP) está aberta no host alvo 192.168.1.1. Se a porta estivesse fechada, a saída mostraria closed em vez de open.

Salvar resultados da varredura idle com nmap -sI 192.168.1.2 -oN idle.txt 192.168.1.1

Nesta etapa, salvaremos os resultados de nossa varredura idle em um arquivo. Isso é útil para análise posterior ou para fins de relatório. Usaremos a opção -oN para salvar os resultados em um formato "normal" em um arquivo chamado idle.txt.

A opção -oN diz ao nmap para salvar a saída em um formato legível por humanos, que é fácil de ler e entender. Outros formatos de saída estão disponíveis (por exemplo, -oX para XML, -oG para saída Grepable), mas para este laboratório, usaremos o formato normal.

Vamos executar o comando para salvar os resultados da varredura idle em um arquivo. Abra seu terminal Xfce e digite o seguinte:

sudo nmap -sI 192.168.1.2 -oN idle.txt 192.168.1.1

Aqui está uma análise do comando:

• nmap: A ferramenta de mapeamento de rede.
• -sI 192.168.1.2: Esta opção especifica a varredura idle e define 192.168.1.2 como o host zombie.
• -oN idle.txt: Esta opção diz ao nmap para salvar a saída em formato normal em um arquivo chamado idle.txt.
• 192.168.1.1: Este é o host alvo que queremos varrer.

Você será solicitado a inserir sua senha. Como o usuário labex tem privilégios sudo sem senha, basta pressionar Enter.

Após a conclusão da varredura, os resultados serão salvos em um arquivo chamado idle.txt em seu diretório atual (~/project). Você não verá nenhuma saída no terminal, pois a saída está sendo redirecionada para o arquivo.

Para verificar se o arquivo foi criado e contém os resultados da varredura, você pode usar o comando cat para exibir o conteúdo do arquivo:

cat idle.txt

A saída mostrará os resultados da varredura, semelhantes ao que você viu nas etapas anteriores, mas agora está salvo em um arquivo. A saída pode se parecer com algo assim:

## Nmap 7.80 scan initiated Fri Oct 27 10:20:00 2023 as: nmap -sI 192.168.1.2 -oN idle.txt 192.168.1.1
Idle scan using zombie 192.168.1.2 (192.168.1.2:80); Class: Incremental
Nmap scan report for 192.168.1.1
Host is up (0.00031s latency).
PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http
## Nmap done at Fri Oct 27 10:20:15 2023 -- 1 IP address (1 host up) scanned in 15.00 seconds

Agora você tem os resultados da varredura idle salvos em um arquivo para análise posterior.

Analisar varredura idle no terminal Xfce

Nesta etapa, analisaremos os resultados da varredura idle que salvamos no arquivo idle.txt na etapa anterior. Usaremos o comando grep para extrair informações específicas do arquivo e discutiremos como interpretar os resultados.

Primeiro, vamos exibir o conteúdo do arquivo idle.txt usando o comando cat para refrescar nossa memória dos resultados da varredura. Abra seu terminal Xfce e digite o seguinte:

cat idle.txt

Você deve ver a saída da varredura nmap, incluindo informações sobre o host alvo e o status das portas varridas.

Agora, vamos usar grep para encontrar informações específicas. Por exemplo, para descobrir quais portas estão abertas, podemos usar grep para pesquisar linhas contendo a palavra "open":

grep "open" idle.txt

Este comando exibirá todas as linhas no arquivo idle.txt que contêm a palavra "open". A saída pode se parecer com algo assim:

80/tcp open  http

Isso nos diz que a porta 80 (HTTP) está aberta no host alvo.

Você também pode usar grep para encontrar o endereço IP do host alvo:

grep "Nmap scan report for" idle.txt

Este comando exibirá a linha contendo o endereço IP do host alvo:

Nmap scan report for 192.168.1.1

Interpretando os Resultados:

Os resultados da varredura idle fornecem informações sobre as portas abertas do host alvo. Essas informações podem ser usadas para identificar potenciais vulnerabilidades ou serviços em execução no host.

• Portas Abertas: Uma porta aberta indica que um serviço está ouvindo nessa porta e está aceitando conexões. Este pode ser um servidor web (porta 80), servidor SSH (porta 22) ou outro serviço.
• Portas Fechadas: Uma porta fechada indica que nenhum serviço está ouvindo nessa porta.
• Portas Filtradas: Uma porta filtrada significa que o nmap não pode determinar se a porta está aberta ou fechada porque um firewall está bloqueando a conexão.

Ao analisar as portas abertas, você pode obter informações sobre os serviços em execução no host alvo e potencialmente identificar vulnerabilidades que poderiam ser exploradas. Lembre-se de que a varredura idle é uma técnica furtiva, mas não é infalível. Os administradores de rede ainda podem ser capazes de detectar a varredura se estiverem monitorando o tráfego da rede.

Isso conclui o laboratório sobre varredura idle com nmap. Você aprendeu como identificar um host zombie, realizar uma varredura idle, adicionar verbosidade, varrer portas específicas, salvar os resultados em um arquivo e analisar os resultados no terminal Xfce.

Resumo

Neste laboratório, começamos identificando hosts ativos na rede 192.168.1.0/24 usando nmap -sn 192.168.1.0/24. Esta varredura ping nos permitiu descobrir rapidamente hosts ativos, como 192.168.1.1, 192.168.1.2 e 192.168.1.100, que são essenciais para as atividades de varredura subsequentes. Em seguida, nos preparamos para realizar uma varredura idle usando 192.168.1.2 como o host zombie e 192.168.1.1 como o alvo.