[Datenschleuder] [66]    NMAP Kurzreview

NMAP Kurzreview Als dieser Artikel geschrieben wurde, war nmap 2.00 gerade erschienen. Beim Druck dieser Ausgabe könnte die Version 2.12 schon wieder veraltet sein. nmap ist in erster Linie ein Portscanner. Ein Portscanner ist ein Programm, das dazu dient, herauszufinden, welche TCP- oder UDP-Ports auf einem Rechner offen sind, was wiederum ein Hinweis darauf ist, welche Dienste von diesem Rechner angeboten werden, also z.B. HTTP auf Port 80, SMTP für Mailtransfer auf Port 25, ssh auf Port 22, und so weiter. Der klassische Weg ist, einfach für jeden Port zu versuchen, eine Verbindung aufzumachen. strobe von Julian Assange ist der Klassiker, der diese Methode verwendet. Leider ist ein solcher Scan relativ leicht zu entdecken. Eine Möglichkeit, die Entdeckung zu erschweren, ist es, den für den Aufbau einer TCP-Verbindung notwendigen Drei-Wege-Handshake[0] nach dem zweiten Schritt abzubrechen, so daß man zwar weiß, daß der andere Rechner prinzipiell eine Verbindung auf diesem Port entgegennimmt, diese aber nicht zustande kommen läßt. Dieses Verfahren ist als Stealth-Scan bekannt. Beide Verfahren werden von nmap implementiert. Zusätzlich gibt es noch weitere Scanmethoden, die anhand der Antwort auf ungültige Pakete auf das Vorhandensein eines offenen Ports schließen, die allerdings nur bei RFC-konformen Systemen, also nicht bei Windows oder IRIX, funktionieren. Auch ein UDP-Scanner ist vorhanden, ebenso ein Mode, der lediglich ein ping absetzt, um die Erreichbarkeit des Hosts zu überprüfen, oder ein Subnetz nach Rechnern zu durchsuchen. Als zusätzliche Leckerbissen hat der Autor einen fragment-Mode eingebaut, mit dem sich manche schlecht konfigurierte Firewalls durchtunneln lassen - das TCP-Paket wird mitten im Header aufgetrennt, und die Firewall lässt es deshalb passieren. Auch gibt es einen OS-Detection-Mode, der nach der von queso bekannten Methode anhand von im Standard nicht definierten Ausnahmefällen das Betriebssystem erkennt. Und um das Scannen noch einfacher zu machen, ist es möglich, eine Liste von Adressen aus einem File zu lesen, oder ein ganzes Subnet mittels Angabe der CIDR-Adresse zu scannen. Einige Beispiele: Ein klassischer Scan eines einzelnen Rechners: $ nmap www.ccc.de Dasselbe, aber mittels Stealth-Scan: $ nmap -sS www.ccc.de Durchsuche ein Subnetz nach Rechnern, und ermittle das Betriebssystem: $ nmap -sP -O 23.23.23.0/24 Finde alle Rechner, die bei Snafu Berlin eingewählt sind, und die Back Orifice auf dem Standardport installiert haben: $ host -l berlin.snafu.de|cut '-d ' -f 4| sudo nmap -sU -v -p31337 -i - Die nmap-Homepage ist unter http://www.insecure.org/nmap zu finden. nmap ist derzeit sicherlich das vollständigste Scanning-Tool, aber dadurch auch etwas schwieriger zu handhaben als zum Beispiel strobe. [0] Stevens, TCP/IP Illustrated, Addison-Wesley andreas@ccc.de

[Datenschleuder] [66]    NMAP Kurzreview