Realizar Varredura TCP Xmas no Nmap

Introdução

Neste laboratório, você aprenderá como realizar a varredura TCP Xmas usando o Nmap. O laboratório cobre vários aspectos da varredura Xmas, incluindo a execução de uma varredura básica em um IP alvo, a varredura de portas específicas, a adição de verbosidade à varredura, o salvamento dos resultados da varredura, a comparação de varreduras Xmas com varreduras FIN e a análise dos resultados no terminal Xfce. Você entenderá como as varreduras Xmas funcionam, definindo as flags FIN, PSH e URG no cabeçalho TCP para identificar portas abertas ou filtradas em um sistema alvo.

Executar varredura Xmas com nmap -sX 192.168.1.1

Nesta etapa, realizaremos uma varredura Xmas usando o Nmap. Uma varredura Xmas é um tipo de varredura de portas que define as flags FIN, PSH e URG no cabeçalho TCP. Este tipo de varredura é chamado de "Xmas" porque as flags definidas se assemelham a uma árvore de Natal. É útil para identificar portas abertas ou filtradas em um sistema alvo.

Antes de começarmos, vamos entender o que essas flags significam:

• FIN (Finish): Indica o fim de uma conexão.
• PSH (Push): Diz ao sistema receptor para enviar os dados em buffer para a aplicação.
• URG (Urgent): Indica que o campo de ponteiro urgente é significativo e aponta para dados que devem ser processados urgentemente.

Quando um host recebe um pacote de varredura Xmas, ele deve responder com um pacote RST (reset) se a porta estiver fechada. Se a porta estiver aberta, o host deve descartar o pacote e não responder. No entanto, alguns sistemas podem não responder corretamente, o que pode ajudar a identificar o sistema operacional ou as regras do firewall.

Agora, vamos executar a varredura Xmas contra o endereço IP alvo 192.168.1.1. Abra seu terminal Xfce e execute o seguinte comando:

sudo nmap -sX 192.168.1.1

Este comando diz ao Nmap para realizar uma varredura Xmas (-sX) no endereço IP alvo 192.168.1.1. Você precisará de privilégios sudo para executar este comando.

Após a conclusão da varredura, o Nmap exibirá os resultados. A saída mostrará quais portas são consideradas abertas, fechadas ou filtradas com base nas respostas (ou na falta delas) do sistema alvo.

Exemplo de saída (a saída real variará dependendo do sistema alvo):

Starting Nmap 7.80 ( https://nmap.org )
Nmap scan report for 192.168.1.1
Host is up (0.0012s latency).
All 1000 scanned ports on 192.168.1.1 are filtered

Nmap done: 1 IP address (1 host up) scanned in 3.21 seconds

Neste exemplo, todas as 1000 portas varridas são relatadas como filtradas. Isso significa que o Nmap não conseguiu determinar se as portas estão abertas ou fechadas porque o sistema alvo provavelmente está bloqueando ou filtrando os pacotes de varredura.

Varredura de portas específicas com nmap -sX -p 22,80 127.0.0.1

Nesta etapa, focaremos nossa varredura Xmas em portas específicas. Isso é útil quando você deseja verificar rapidamente o status de serviços específicos em execução em uma máquina alvo, em vez de varrer todas as portas. Vamos varrer as portas 22 (SSH) e 80 (HTTP) no localhost (127.0.0.1).

A opção -p no Nmap permite que você especifique quais portas varrer. Você pode fornecer uma única porta, um intervalo de portas (por exemplo, 1-100) ou uma lista de portas separadas por vírgulas (por exemplo, 22,80,443).

Para varrer as portas 22 e 80 usando uma varredura Xmas, abra seu terminal Xfce e execute o seguinte comando:

sudo nmap -sX -p 22,80 127.0.0.1

Este comando diz ao Nmap para realizar uma varredura Xmas (-sX) nas portas 22 e 80 (-p 22,80) do endereço IP alvo 127.0.0.1 (localhost). Você precisará de privilégios sudo para executar este comando.

Após a conclusão da varredura, o Nmap exibirá os resultados para as portas especificadas. A saída indicará se as portas estão abertas, fechadas ou filtradas.

Exemplo de saída (a saída real pode variar):

Starting Nmap 7.80 ( https://nmap.org )
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000029s latency).

PORT   STATE    SERVICE
22/tcp filtered ssh
80/tcp filtered http

Nmap done: 1 IP address (1 host up) scanned in 0.12 seconds

Neste exemplo, ambas as portas 22 e 80 são relatadas como filtradas. Isso significa que o Nmap não conseguiu determinar se essas portas estão abertas ou fechadas, possivelmente devido a regras de firewall ou outras configurações de rede no localhost.

Adicionar verbosidade com nmap -v -sX 192.168.1.1

Nesta etapa, adicionaremos verbosidade à nossa varredura Xmas. Verbosidade no Nmap significa aumentar a quantidade de informações exibidas durante a varredura. Isso pode ser útil para entender o que o Nmap está fazendo e para solucionar quaisquer problemas que possam surgir.

A opção -v no Nmap aumenta o nível de verbosidade. Você pode usar -v para verbosidade normal ou -vv para uma saída ainda mais detalhada.

Para executar uma varredura Xmas com verbosidade, abra seu terminal Xfce e execute o seguinte comando:

sudo nmap -v -sX 192.168.1.1

Este comando diz ao Nmap para realizar uma varredura Xmas (-sX) no endereço IP alvo 192.168.1.1 com verbosidade habilitada (-v). Você precisará de privilégios sudo para executar este comando.

A saída agora incluirá mais informações sobre o processo de varredura, como as portas sendo varridas, os pacotes sendo enviados e quaisquer respostas recebidas.

Exemplo de saída (a saída real variará dependendo do sistema alvo e da configuração da rede):

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:00 UTC
NSE: Loaded 0 scripts for scanning.
Initiating Xmas Scan at 10:00
Scanning 192.168.1.1 [1000 ports]
Completed Xmas Scan at 10:00, 0.00s elapsed (1000 total ports)
Nmap scan report for 192.168.1.1
Host is up (0.0012s latency).
All 1000 scanned ports on 192.168.1.1 are filtered

Nmap done: 1 IP address (1 host up) scanned in 3.21 seconds

A saída verbose fornece mais detalhes sobre o progresso da varredura, incluindo os horários de início e término, o número de portas varridas e quaisquer erros ou avisos encontrados.

Salvar resultados da varredura Xmas com nmap -sX -oN xmas.txt 127.0.0.1

Nesta etapa, aprenderemos como salvar os resultados de uma varredura Xmas em um arquivo. Isso é útil para análise posterior ou para documentar suas descobertas. O Nmap oferece várias opções para salvar os resultados da varredura em diferentes formatos. A opção -oN salva os resultados em um formato "normal" legível por humanos.

Para salvar os resultados de uma varredura Xmas em um arquivo chamado xmas.txt, abra seu terminal Xfce e execute o seguinte comando:

sudo nmap -sX -oN xmas.txt 127.0.0.1

Este comando diz ao Nmap para realizar uma varredura Xmas (-sX) no endereço IP alvo 127.0.0.1 (localhost) e salvar os resultados em formato normal (-oN) no arquivo xmas.txt. O arquivo será criado em seu diretório atual, que é ~/project. Você precisará de privilégios sudo para executar este comando.

Após a conclusão da varredura, você pode visualizar o conteúdo do arquivo xmas.txt usando o comando cat ou um editor de texto como nano.

cat xmas.txt

Exemplo de saída (a saída real pode variar):

## Nmap 7.80 scan initiated Tue Oct 27 10:00:00 2023
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000029s latency).
All 1000 scanned ports on localhost (127.0.0.1) are filtered

## Nmap done at Tue Oct 27 10:00:00 2023 -- 1 IP address (1 host up) scanned in 0.12 seconds

Alternativamente, você pode usar nano para abrir e visualizar o arquivo:

nano xmas.txt

Isso abrirá o arquivo xmas.txt no editor de texto nano, permitindo que você examine os resultados da varredura. Lembre-se de salvar e sair do nano pressionando Ctrl+X, depois Y para confirmar o salvamento e, finalmente, Enter.

Comparar varredura Xmas com varredura FIN no terminal Xfce

Nesta etapa, compararemos os resultados de uma varredura Xmas com uma varredura FIN. Tanto as varreduras Xmas quanto as FIN são tipos de varreduras furtivas (stealth scans) que podem ser usadas para identificar portas abertas em um sistema alvo. Elas funcionam enviando pacotes TCP especialmente criados para o alvo e analisando as respostas.

Primeiro, vamos executar uma varredura FIN no localhost (127.0.0.1):

sudo nmap -sF 127.0.0.1

Este comando diz ao Nmap para realizar uma varredura FIN (-sF) no endereço IP alvo 127.0.0.1. Você precisará de privilégios sudo para executar este comando.

Exemplo de saída (a saída real pode variar):

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:00 UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000029s latency).
All 1000 scanned ports on localhost (127.0.0.1) are filtered

Nmap done: 1 IP address (1 host up) scanned in 0.12 seconds

Agora, vamos comparar esta saída com a saída da varredura Xmas que realizamos anteriormente. Você pode rolar para trás no histórico do seu terminal para encontrar a saída da varredura Xmas anterior, ou pode executar novamente a varredura Xmas:

sudo nmap -sX 127.0.0.1

Exemplo de saída (a saída real pode variar):

Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:01 UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000029s latency).
All 1000 scanned ports on localhost (127.0.0.1) are filtered

Nmap done: 1 IP address (1 host up) scanned in 0.12 seconds

Observe as semelhanças e diferenças entre os dois resultados da varredura. Em muitos casos, os resultados serão idênticos, mostrando todas as portas como filtradas. Isso ocorre porque muitos firewalls e sistemas operacionais modernos são configurados para descartar ou ignorar esses tipos de pacotes.

Para comparar ainda mais, você pode salvar os resultados da varredura FIN em um arquivo, semelhante ao que fizemos com a varredura Xmas:

sudo nmap -sF -oN fin.txt 127.0.0.1

Em seguida, você pode usar o comando diff para comparar os dois arquivos:

diff xmas.txt fin.txt

Este comando mostrará quaisquer diferenças entre os arquivos xmas.txt e fin.txt. Se as varreduras produziram resultados idênticos, o comando diff não exibirá nada.

Analisar resultados no terminal Xfce

Nesta etapa, analisaremos os resultados das varreduras Nmap que realizamos. Compreender a saída das varreduras Nmap é crucial para identificar potenciais vulnerabilidades e riscos de segurança.

Vamos começar examinando o arquivo xmas.txt, que contém os resultados da varredura Xmas. Você pode visualizar o conteúdo deste arquivo usando o comando cat ou um editor de texto como nano:

cat xmas.txt

ou

nano xmas.txt

A saída normalmente incluirá as seguintes informações:

• Versão do Nmap: A versão do Nmap usada para a varredura.
• Hora de início da varredura: A data e hora em que a varredura foi iniciada.
• Informações do alvo: O endereço IP ou nome de host do sistema alvo.
• Status do host: Se o host alvo está ativo ou inativo.
• Status da porta: O status de cada porta varrida (por exemplo, aberta, fechada, filtrada).
• Hora de conclusão da varredura: A data e hora em que a varredura foi concluída.

No caso das varreduras Xmas e FIN, você frequentemente verá que todas as portas são relatadas como "filtradas". Isso significa que o Nmap não conseguiu determinar se as portas estão abertas ou fechadas porque o sistema alvo não respondeu aos pacotes de varredura de uma forma que permitisse ao Nmap fazer uma determinação definitiva. Este é um resultado comum ao varrer sistemas protegidos por firewalls ou sistemas de detecção de intrusão (IDS).

Se você vir portas relatadas como "abertas" ou "fechadas", isso indica que o sistema alvo respondeu aos pacotes de varredura de uma maneira previsível. No entanto, é importante notar que as varreduras Xmas e FIN podem ser pouco confiáveis, e os resultados nem sempre podem ser precisos.

Para obter uma imagem mais precisa das portas abertas do sistema alvo, pode ser necessário usar outros tipos de varreduras Nmap, como uma varredura TCP connect (-sT) ou uma varredura SYN (-sS). Essas varreduras são mais confiáveis, mas também podem ser detectadas mais facilmente por firewalls e IDS.

Em resumo, analisar os resultados da varredura Nmap envolve examinar cuidadosamente a saída para identificar potenciais vulnerabilidades e riscos de segurança. É importante entender os diferentes tipos de varreduras Nmap e as limitações de cada tipo de varredura. Ao combinar diferentes técnicas de varredura e analisar cuidadosamente os resultados, você pode obter uma compreensão mais completa da postura de segurança do sistema alvo.

Resumo

Neste laboratório, os participantes aprendem a realizar a varredura TCP Xmas usando o Nmap. Eles começam executando uma varredura Xmas básica em um IP alvo (192.168.1.1) com o comando nmap -sX, entendendo que ele define as flags FIN, PSH e URG no cabeçalho TCP para identificar portas abertas ou filtradas. Eles também aprendem a varrer portas específicas, adicionar verbosidade à varredura e salvar os resultados em um arquivo. Além disso, eles comparam as varreduras Xmas com as varreduras FIN e analisam os resultados no terminal Xfce.