domingo, julho 31, 2011

Nmap - Attack






A
ferramenta de varredura/scan Nmap é a mais acentuada para tal uso, você
pode obter desde serviços rodando nas portas do host-alvo ou o sistema
do alvo para iniciar uma invasão ou um teste de penetração.




Veremos algumas noções básicas desta ótima ferramenta a seguir,
é muito importante que você leia o artigo antes de efetuar o download e
ir usando conforme lê, pois isso poderá causar problemas na
aprendizagem, então o link de download disponibilizo ao fim do artigo.



Iniciando


O Nmap como você já deve ter conhecido na introdução é uma ferramenta
para Linux e Windows, que tem como objetivo principal varrer um host
(computador, rede de computadores ou só um servidor) que esteja online
conectado à internet ou ao ponto local de onde você está, em sua rede.

O comando básico do Nmap para se iniciar um scan é simples. Basta
executar a ferramenta caso for no Windows e inserir os comandos no campo
Targets (eu acho, pois não tenho ele em meu Windows, a
ferramenta costuma apresentar defeitos de desempenho nele, eu
recomendo usar o Linux para executa-la com excelência). Agora caso for
no Linux, basta abrir o terminal e entrar com:

nmap target

Em que target significa a especificação de um host alvo, ou seja o
IP do alvo. O programa automaticamente com este comando realiza o scan
de mais de 1660 portas TCP e, ainda, é capaz de especificar o estado de
cada uma delas nas categorias aberta, fechada, filtrada, não-filtrada,
aberta-filtrada e fechada-filtrada. Este foi o comando básico do Nmap
para um scan cru de um alvo, ou seja, sem complementos de scanning
então poderá obter poucos dados, ou muitos dados inúteis, ou não obter
nada.



Estados de Portas



  • Porta aberta (open): apesar de uma porta aberta ser uma brecha em
    potencial para uma invasão fácil, fechá-la significa apenas desativar a
    comunicação do programa utilizado no momento. Isso significa que portas
    abertas não são necessariamente ameaças diretas, mas devem estar
    condizentes com a atividade do IP no momento. Evidentemente, se portas
    abertas não são ou não devem ser utilizadas, preferencialmente devem ser
    desativadas. Na maioria dos sistemas operacionais, tanto domésticos
    como em redes corporativas, vemos, por exemplo, o serviço de telnet
    ativado e, na maioria das vezes, sem utilidade.

  • Porta fechada (closed): ao contrário do que se pode imaginar, uma
    porta fechada não é apenas a descrição de que nenhum programa está
    diretamente recebendo/enviando informações e tampouco constitui-se em um
    elemento protegido. Portas fechadas naturalmente demonstram a
    ocorrência de atividade de um host em determinado endereço de IP, e
    devem ser monitoradas no momento de abertura. A configuração adequada é
    aplicar ao Firewall designando-se que as portas sejam "filtradas".

  • Porta filtrada (filtered): uma porta filtrada deveria sugerir em
    primeira instância, a condição de uma porta devidamente configurada e
    protegida por um firewall, ou qualquer outra ferramenta específica de
    administração/defesa, no entanto a atividade de uma porta filtrada não
    apresenta garantia alguma de eficácia de segurança. Usando uma analogia
    básica, podemos pensar sobre uma porta filtrada, como uma porta normal
    trancada, mais com a impossibilidade de definir se a porta está
    trancada com um ferrolho fixado com parafusos velhos e enferrujados, ou
    com um cadeado forjado com aço especial blindado, para tentar a
    invasão nestas portas é necessário o uso do pentest.

  • Porta sem filtro (unfiltered): designação dada a uma porta
    acessível, porém sem a possibilidade de definição quando a estar aberta
    ou fechada. Outros tipos de scan, usados principalmente para a
    varredura de configuração do firewall interno, são capazes de
    determinar o estado aberto/fechado de portas sem filtro, mas isso fica
    para outro artigo.

  • Porta aberta/filtrada (open/filtered): se portas abertas não tornam
    resposta alguma são atribuídas pelo Nmap como "abertas/filtradas";
    scans UDP, IP, FIN, Null e Xmas são recomendados.

  • Porta fechada/filtrada (closed/filtered): é dado quando o Nmap não
    consegue determinar quando a porta está fechada ou filtrada; usada
    apenas em scans de IPID.




Comandos complementares


A seguir, segue uma lista de comandos para ser aplicados em seu scan
contra um host. Os comandos geralmente têm sua sixtaxe correta, basta
parar de ser preguiçoso caso o nmap não inicie o scan e procurar a
sintaxe correta para iniciar. Exemplo de sintaxe correta: nmap -sS -p 22,80 129.0.0.1
(Comandos principais na frente, subcomando complementar depois (podendo
ser vários dos ambos) e endereço IP do host alvo por último).

Scan TCP SYN (-sS)

Técnica q não abre uma conexão
TCP completa, é enviado um pacote SYN como se ele fosse uma conexão
real e aguarda uma resposta, caso um pacote SYN-ACK seja recebido, a
porta esta aberta, enquanto um como resposta indica q a porta esta
fechada, a vantagem dessa abordagem é q poucos vão detectar esse scan
de portas.

Scan TCP Connect (-sT)

É uma técnica mais básica
de TCP scan, é utilizada a chamada de sistema (System Call Connect), é
um dos scan mais rapidos só que é facil de ser detectado.

Scan UDP (-sU)

Esse método é utilizado pra
determinar qual porta udp esta aberta em um host, a técnica envia um
pacote UDP de 0 bytes pra cada porta do host, se for recebido uma
mensagem ICMP “port unreachable” então ta fechada senão a porta pode
estar aberta.

Scans TCP Null, FIN e Xmas (-sF e -sX)

Procura determinar portas abertas e fechadas, detecta falhas no parâmetro de requisição RFC do protocolo TCP.

Scan TCP ACK (-sA)

Tipo de scan orientado
principalmente para o mapeamento de conjuntos de regras de firewall,
para determinar se tais conjuntos encontram-se orientados à conexão e à
especificação das portas filtradas.

Scan TCP Window (-sW)

O comportamento da
varredura TCP Window assemelha-se ao TCP ACK, com o diferencial de
tentar especificar as portas abertas e fechadas.

Scan TCP Mainmon (-sM)

Apresenta mecanismo semelhante ao scan dos tipos Null, FIN e Xmas, com diferença pouco significativa nas sondagens FIN/ACK.

Scan de protocolo (-sO)

Permite a determinação
dos protocolos suportados pelo host-alvo, não sendo considerado um scan
de portas em si, é posível selecionar o número de protocolos varridos
com o comando -p. Pode determinar o sistema operacional da máquina entre
outras funções.



Finalizando


Por conclusão, você deve ter tido uma ótima leitura e agora deve
estar tudo armazenado em seu subconsciente. Agora lhe resta baixar a
ferramenta tanto para Windows como para Linux no site http://nmap.org/download.html e testar para ver se você já sabe fazer alguns tipos de scan.

 




 Sobre o Autor: 






-' O.liverkall Atualmente em - Tecnologia em Analise e Desenvolvimento de sistemas, Militante Ativista do Coletivo Jovem de Meio Ambiente Mato Grosso [Núcleo de Comunicação],Coletivo Jovem de Cuiabá -MT [nucleo de Comunicação] | Fundador do Coletivo Jovem de Meio Ambiente Várzea Grande-MT [Núcleo de Comunicação], UbunTu Linux User 20289 ",Administrador de Redes Linux



 



0 comentários:

Postar um comentário