6 video | 5 week

Interactive Range

27 Nov 202313:36

Summary

TLDRВ данном скрипте обсуждаются различные типы сканирования портов с помощью утилиты nmap, наиболее распространенные ошибки и важные параметры для эффективного сканирования. Рассматриваются методы быстрого и точного анализа TCP и UDP портов, включая полуоткрытое сканирование, использование специфических опций для выбора диапазонов портов, а также комбинированное сканирование TCP и UDP. Также затрагиваются способы оптимизации массового сканирования большого количества хостов, уменьшения времени отклика, и необходимость балансировки между скоростью сканирования и стабильностью целевой системы, чтобы избежать отказов в обслуживании.

Takeaways

⚙️ Nmap по умолчанию сканирует только топ 1000 наиболее используемых портов, а не все порты до 1024.
📁 Файл nmap-services используется для определения популярных портов на основе анализа данных.
🔍 Для сканирования всех портов можно использовать диапазон от 0 до 65535, с помощью опции `-p`.
🎯 Возможность комбинированного сканирования TCP и UDP портов с помощью опций `-T` для TCP и `-U` для UDP.
🔗 Полуоткрытое сканирование TCP (SYN сканирование) является наиболее распространённым и эффективным методом.
⏱️ TCP Connect (полное трёхстороннее рукопожатие) сканирование медленнее и чаще записывается в логах системы.
🔒 Полуоткрытое сканирование более скрытно, но может быть обнаружено системами предотвращения вторжений (IDS, IPS).
📡 UDP-сканирование использует специфичные пакеты для популярных сервисов, таких как DNS, NTP, SNMP.
🏗️ Для ускорения сканирования можно ограничить область сканирования по машинам или портам.
🚀 Массовое сканирование можно ускорить с помощью инструментов, таких как Masscan, Zmap, но это требует высокой пропускной способности.

Q & A

Какая самая распространённая ошибка при сканировании портов с помощью nmap?
-Часто пользователи полагают, что при запуске nmap проверяются все порты, хотя на самом деле по умолчанию проверяется только топ 1000 наиболее часто используемых портов, как указано в файле nmap-services.
Как указать nmap сканировать все порты на целевой машине?
-Чтобы сканировать все порты, можно использовать опцию '-p-', что эквивалентно диапазону от 0 до 65535.
Какие параметры nmap позволяют сканировать конкретные порты?
-Можно использовать параметр '-p', указывая конкретные порты через запятую или диапазоны портов.
Какой флаг использовать для быстрого сканирования в nmap?
-Для быстрого сканирования можно использовать опцию '-F', которая проверяет топ 100 наиболее популярных портов.
Как скомбинировать сканирование TCP и UDP портов в одном запуске nmap?
-Для комбинированного сканирования TCP и UDP портов используются флаги '-sT' для TCP и '-sU' для UDP, указывая порты через двоеточие после соответствующих флагов.
Чем отличается полуоткрытое сканирование (SYN scan) от стандартного TCP-сканирования?
-Полуоткрытое сканирование SYN (-sS) не завершает трёхстороннее рукопожатие TCP, что снижает вероятность обнаружения, в отличие от стандартного TCP-сканирования (-sT), которое завершает соединение и может быть зафиксировано в логах.
Почему полуоткрытое сканирование SYN более популярно для пентестеров?
-SYN-сканирование экономит ресурсы, так как не завершает соединение, и менее вероятно, что оно будет зарегистрировано на целевых системах, что делает его популярным среди пентестеров.
Какие инструменты и параметры можно использовать для ускорения массового сканирования?
-Для ускорения массового сканирования можно использовать такие инструменты, как Masscan, Zmap, а также уменьшить время ожидания для неотвечающих портов и увеличить пропускную способность сети.
Почему важно быть осторожным при ускоренном сканировании больших сетей?
-Использование слишком высокой пропускной способности и настроек сканирования может случайно вызвать отказ в обслуживании (DoS) для тестируемой сети.
Какие UDP службы наиболее часто сканируются с помощью nmap?
-Наиболее популярные UDP службы, такие как DNS (порт 53), RPC (порт 111), NTP (порт 123), NetBIOS (порт 137), SNMP (порт 161), чаще всего проверяются с использованием nmap, с применением заранее подготовленных пакетов.

Outlines

00:00

🔍 Ошибки при сканировании портов с помощью nmap

В первом абзаце рассматриваются распространённые ошибки при сканировании портов с помощью nmap. Основная ошибка заключается в том, что пользователи часто полагают, что все порты будут проверены, но по умолчанию nmap сканирует только 1000 самых часто используемых портов, основываясь на файле nmap Services. Обсуждаются параметры, позволяющие сканировать все порты, включая опции для указания диапазонов портов и комбинированного сканирования TCP и UDP. Приводится описание параметров Open и P, а также опции F для быстрого сканирования топ 100 портов.

05:03

🛡️ Полуоткрытое сканирование и его особенности

Во втором абзаце описывается метод полуоткрытого сканирования (SYN сканирование) и его отличия от стандартного трёхстороннего рукопожатия. Полуоткрытое сканирование не завершает установку соединения, что экономит ресурсы и делает сканирование менее заметным для целевой системы. Обсуждаются потенциальные способы обнаружения данного сканирования через системы обнаружения вторжений (IDS) и предотвращения вторжений (IPS). Для успешного проведения полуоткрытого сканирования требуется права суперпользователя (root). Также описываются случаи, когда полуоткрытое сканирование оказывается менее эффективным.

10:05

🚀 Ускорение массового сканирования

Третий абзац посвящен проблемам и решениям при массовом сканировании большого количества хостов и портов. Обсуждаются сложности, связанные с продолжительностью сканирования при больших объёмах данных, и приводится пример расчёта времени для сканирования 2000 хостов по всем портам. Предлагаются различные способы ускорения процесса, такие как выборка портов и хостов, использование нескольких сканирующих машин, настройка времени ожидания для неответных портов и использование специализированных инструментов (например, masscan и ZMap). Подчеркивается важность избегания перегрузки сетей и вызова отказа в обслуживании (DoS) при массовом сканировании.

Mindmap

Keywords

💡Сканирование портов

Сканирование портов — это процесс проверки доступности различных портов на целевой машине для выявления открытых, закрытых или фильтруемых портов. В контексте видео рассматриваются различные типы сканирования, такие как TCP и UDP сканирование, которые помогают пентестерам находить уязвимости в системе.

💡Nmap

Nmap — это популярный инструмент для сетевого сканирования и выявления доступных портов, сервисов и систем. В видео упоминается использование Nmap для сканирования популярных портов с различными опциями, такими как проверка топ-1000 портов или всех портов с диапазоном от 0 до 65535.

💡Трёхстороннее рукопожатие (TCP handshake)

Трёхстороннее рукопожатие — это процесс установления соединения в протоколе TCP между клиентом и сервером, состоящий из трёх этапов: SYN, SYN-ACK и ACK. В видео объясняется, что в стандартном TCP-сканировании Nmap завершает этот процесс, в то время как при полуоткрытом сканировании (SYN-сканировании) этот процесс прерывается на этапе SYN.

💡SYN-сканирование

SYN-сканирование — это метод полуоткрытого сканирования TCP, при котором процесс трёхстороннего рукопожатия не завершается полностью. Это позволяет Nmap быстрее и скрытнее сканировать порты, не оставляя следов в журналах целевых машин. В видео подробно обсуждается этот метод как наиболее популярный среди пентестеров.

💡UDP-сканирование

UDP-сканирование проверяет порты, использующие протокол UDP, который не требует установления соединения, как TCP. В видео упоминается, что Nmap отправляет пакеты без нагрузки на UDP порты, например, на порты DNS и SNMP, и использует специфичные пакеты для анализа реакции сервисов.

💡Файлы nmap-services и nmap-payloads

Файлы nmap-services и nmap-payloads содержат информацию о популярных портах и полезных данных для отправки при сканировании, чтобы лучше идентифицировать работающие сервисы. В видео эти файлы упоминаются как ресурсы, которые Nmap использует для выбора портов и эффективного проведения UDP-сканирования.

💡Полуоткрытое сканирование

Полуоткрытое сканирование, также известное как SYN-сканирование, представляет собой метод, при котором соединение не доводится до конца, что делает его быстрее и менее заметным для систем мониторинга. В видео это объясняется как один из самых эффективных и популярных методов для тестирования безопасности сетей.

💡IDS/IPS системы

Системы обнаружения вторжений (IDS) и предотвращения вторжений (IPS) следят за сетевой активностью и могут блокировать подозрительное поведение, такое как сканирование портов. В видео упоминается, что SYN-сканирование может быть обнаружено такими системами, даже если оно более скрытно, чем другие методы.

💡Опции Nmap

Опции Nmap — это различные параметры, которые можно использовать для настройки сканирования, такие как -p (для указания диапазона портов), -sT (для полного TCP-сканирования), -sS (для полуоткрытого сканирования), и другие. В видео детально описаны различные опции, которые позволяют пользователю более точно настроить процесс сканирования.

💡Массовое сканирование

Массовое сканирование предполагает проверку большого числа хостов и портов, что может занять огромное количество времени. В видео приводится пример, что сканирование 2000 хостов на всех портах может занять до 8 лет, если проводить его по одному порту в секунду. Обсуждаются методы ускорения этого процесса, такие как параллельное сканирование и использование специализированных инструментов, таких как Masscan и ZMap.

Highlights

Самая распространённая ошибка при сканировании портов - запуск проверки всех портов, указывая тип сканирования и целевой адрес.

По умолчанию nmap проверяет только топ 1000 наиболее широко используемых портов, как это определено в файле nmap Services.

Nmap предлагает различные параметры, такие как параметр Open для показа только открытых портов и параметр для указания диапазона портов от 0 до 65535.

Можно комбинировать сканирование TCP и UDP портов, используя опции T: и U: соответственно.

Тип сканирования TCP портов Connect (SC) завершает трёхстороннее рукопожатие TCP с каждым целевым портом.

Полуоткрытое сканирование (SYN сканирование) не завершает трёхстороннее рукопожатие, что экономит ресурсы и менее вероятно зарегистрируется в логах.

UDP сканирование nmap отправляет UDP пакет без нагрузки на целевую машину для большинства портов.

Для популярных UDP сервисов nmap разработан с payloads, специфичными для каждого протокола.

Сканирование всех портов на 2000 хостах может занять почти 8 лет при скорости 1 порт в секунду.

Для ускорения сканирования можно использовать несколько сканирующих машин и уменьшить время ожидания для неответных портов.

Использование инструментов masan, Z Map и suan может улучшить скорость сканирования, но требует большой пропускной способности.

Системы IDS и IPS могут зарегистрировать или блокировать пакеты, связанные со сканированием типа SYN.

UDP пакеты данных отправляются только на те порты, которые связаны с общими UDP службами.

Если популярная UDP служба использует нестандартный порт, сканирование может её не обнаружить.

Тестировщики должны тщательно измерять системы цели, чтобы убедиться, что их сервисы по-прежнему доступны и не вызван отказ в обслуживании.