-sL
Se vogliamo solamente enumerare, senza far partire alcun controllo, gli host target che abbiamo selezionato, utilizziamo l’opzione -sL
Per esempio:
Fabios-MacBook-Air:~ shadowsheep$ nmap 192.168.1.0/30 -sL Starting Nmap 7.12 ( https://nmap.org ) at 2016-12-03 09:52 CET Nmap scan report for 192.168.1.0 Nmap scan report for 192.168.1.1 Nmap scan report for 192.168.1.2 Nmap scan report for 192.168.1.3 Nmap done: 4 IP addresses (0 hosts up) scanned in 0.04 seconds
di default il reverse-DNS viene eseguito:
Fabios-MacBook-Air:~ shadowsheep$ ping versionestabile.it PING www.versionestabile.it (62.149.142.224): 56 data bytes Fabios-MacBook-Air:~ shadowsheep$ nmap 62.149.142.224 -sL Starting Nmap 7.12 ( https://nmap.org ) at 2016-12-03 09:54 CET Nmap scan report for webx458.aruba.it (62.149.142.224) Nmap done: 1 IP address (0 hosts up) scanned in 0.06 seconds
Per vedere i 16 IP a partire dall’IP del mio sito scegliendo per il reverse-DNS il server DNS di Google, possiamo eseguire quindi:
Fabios-MacBook-Air:~ shadowsheep$ nmap www.versionestabile.it/28 -sL --dns-server 8.8.8.8 Starting Nmap 7.12 ( https://nmap.org ) at 2016-12-03 10:01 CET Nmap scan report for www.versionestabile.it (62.149.142.224) rDNS record for 62.149.142.224: webx458.aruba.it Nmap scan report for webx459.aruba.it (62.149.142.225) Nmap scan report for webx460.aruba.it (62.149.142.226) Nmap scan report for webx461.aruba.it (62.149.142.227) Nmap scan report for webx462.aruba.it (62.149.142.228) Nmap scan report for webx463.aruba.it (62.149.142.229) Nmap scan report for webx464.aruba.it (62.149.142.230) Nmap scan report for webx465.aruba.it (62.149.142.231) Nmap scan report for webx466.aruba.it (62.149.142.232) Nmap scan report for webx467.aruba.it (62.149.142.233) Nmap scan report for webx468.aruba.it (62.149.142.234) Nmap scan report for webx469.aruba.it (62.149.142.235) Nmap scan report for webx470.aruba.it (62.149.142.236) Nmap scan report for webx471.aruba.it (62.149.142.237) Nmap scan report for webx472.aruba.it (62.149.142.238) Nmap scan report for webx473.aruba.it (62.149.142.239) Nmap done: 16 IP addresses (0 hosts up) scanned in 0.10 seconds
-sn (o -sP nelle versioni precedenti)
Questa opzione fa eseguire solamente un ping scan (aka ping sweep) viene inviata una richiesta ICMP echo e un pacchetto TCP ACK alla porta 80 di default.
Se un utente non ha i diritti per inviare un RAW TCP ACK, viene inviato al suo posto un TCP SYN.
Se un utente con i diritti fa una scansion su rete locale viene inviata anche una richiesta ARP (-PR) a meno che non venga impostata l’opzione –send-ip.
Non vengono abilitati i controlli come il port scan e l’OS detection anche se specificati.
Solamente l’ NSE (Nmap Script Engine) –script e il trace route –traceroute se specificati vengono eseguiti.
Fabios-MacBook-Air:~ shadowsheep$ nmap -sn -T4 www.versionestabile.it/30 Starting Nmap 7.12 ( https://nmap.org ) at 2016-12-03 10:09 CET Nmap scan report for www.versionestabile.it (62.149.142.224) Host is up (0.033s latency). rDNS record for 62.149.142.224: webx458.aruba.it Nmap scan report for webx459.aruba.it (62.149.142.225) Host is up (0.029s latency). Nmap scan report for webx460.aruba.it (62.149.142.226) Host is up (0.026s latency). Nmap scan report for webx461.aruba.it (62.149.142.227) Host is up (0.032s latency). Nmap done: 4 IP addresses (4 hosts up) scanned in 0.10 seconds
-Pn (o -PN)
Disabilita il ping scan e tratta tutti gli host come attivi, applicando le fasi successive a tutti gli host specificati invece che solo a quelli che sono risultati attivi dal ping scan.
Questa funzione è utile nel caso alcuni host non rispondano alle sonde oppure siano ben coperti da firewall.
-PS<port list>
Invia un pacchetto TCP vuoto con il flag SYN attivo.
La porta di destinazione di default è la porta 80, ma è possibile sceglierne una alternativa passandola come parametro -PS<port list>.
E’ anche possible passare un range di porte, per es:
-PS22-25,80,53,113
In questo caso le sonde verranno inviate in parallelo ad ogni porta specificata.
Questo pacchetto interroga una porta dicendole che si vuole stabilire una connessione. Normalmente la porta è chiusa e quindi riceveremo indietro un pacchetto TCP con il flag RST (reset).
Se la porta invece è aperta riceveremo il secondo step del three-way-handshake, ovvero un pacchetto TCP con attivi i flash synch e acknowledge SYN/ACK.
Entrambe le situazioni ci dicono che l’host target è vivo.
-PA<port list>
Come prima ma invia un pacchetto TCP vuoto con il flag ACK attivo.
In questo caso se l’host è vivo invierà sempre un pacchetto di risposta TCP RST perché non ha ricevuto precedentemente nessun pacchetto TCP SYN, ne tantomeno inviato un TCP SYN/ACK.
Ci rivelerà comunque la sua presenza.
Perché usare -PA piuttosto che -PS? Perché alcuni firewall bloccano su alcune porte volontariamente i pacchetti TCP SYN (e.g. iptables –syn)
Se invece il firewall se invece il firewall è di tipo stateful, categorizzerà il pacchetto con lo stat o INVALID perché non è associato a nessuna connessione (e.g. iptables –state). In questo caso l’opzione -PS invece riuscirebbe a fornirci l’esistenza dell’host.
-PU<port list>
UDP Ping, è un’altra tecnica per scoprire se un host è presente o meno.
Viene inviato un pacchetto UDP vuoto (a meno di non usare –data-length) alle porte specificate (default a 31,338).
Se l’host è presente e la porta è chiusa otterremo come risposta un pacchetto ICMP port unreachable.
Se la porta è aperta invece il pacchetto verrà ignorato e la sonda fallirà.
Questa sonda evita i firewall che sono configurati solamente per il protocollo TCP.
-PE, -PP, e -PM
ICMP Ping non fa altro che inviare i pacchetti standard che fa il nostro ben conosciuto comando ping.
-PE invia una richiesta ICMP di tipo 8 (echo request) e si aspetta come risposta un ICMP di tipo 0 (echo reply).
-PP invia una richiesta ICMP di tipo 15 (timestamp request) e si aspetta una risposta ICMP di tipo 14 (timestamp reply)
-PM invia una richiesta ICMP di tipo 17 (mask request) e si aspetta una risposta ICMP di tipo 18 (mask reply)
-PP e -PM possono essere utili quando questi tipi di pacchetti ICMP non sono filtrati.
-PO<protcol list>
IP Protocol Ping invia pacchetti IP con il numero di protocollo specificato nell’header.
Il default sono ICMP (protocol 1), IGMP (protocol 2), IP-in-IP (protocol 4).
Quello che ci aspettiamo di ricevere se un host è presente è un messaggio ICMP protocol unreacheable che significa che la porta non parla quel protocollo oppure una risposta dello stesso tipo di protocollo.
-PR
ARP Scan, che viene fatto di default in ogni range di reti LAN, è in questi casi (reti LAN) molto più veloce e molto più sicuro in quanto molti host hanno l’echo reply disabilitato (ping) ma non possono non rispondere ad una richiesta ARP!
Nelle LAN inoltre il ping scan è problematico perché
- Il PC per rispondere ad un ICMP echo request deve prima fare una richiesta ARP per sapere a chi appartiene l’indirizzo IP della richiesta.
- Richiesta ARP incomplete vengono salvate nella tabella ARP dell’host, tabella che è limitata. Alcuni OS si comportano in maniera strana quando riempiono tale tabella.
Ad esempio possiamo inviare un ping ARP con un frame ethernet (layer 2) invece che un pacchetto IP (layer 3) in questo modo.
Fabios-MacBook-Air:~ shadowsheep$ sudo nmap -n -sP -PR --send-eth --packet-trace 192.168.1.24 Starting Nmap 7.12 ( https://nmap.org ) at 2016-12-03 15:11 CET SENT (0.0100s) ARP who-has 192.168.1.24 tell 192.168.1.2 SENT (0.2171s) ARP who-has 192.168.1.24 tell 192.168.1.2 RCVD (0.2337s) ARP reply 192.168.1.24 is-at B0:C5:54:[...] Nmap scan report for 192.168.1.24 Host is up (0.017s latency). MAC Address: B0:C5:54:[...] (D-Link) Nmap done: 1 IP address (1 host up) scanned in 0.28 seconds
In questo caso -PR e –send-eth sarebbero stati fatti di default perché siamo in LAN.
Mentre –packet-trace ci permette di visualizzare i pacchetti inviati e ricevuti.
Se non si vuole assolutamente che venga fatta uno scan ARP occorre dirlo esplicitamente con l’opzione –send-ip.
Puoi cambiare il MAC address da cui fai la richiesta ( 🙂 ) con l’opzione –spoof-mac.
Combinazione di default
Se lanciamo nmap senza specificare nulla, il default è: -PA -PE.
Altre opzioni di rilievo
-v (–verbose): nmap non stampa solo gli host attivi ma molte altre informazioni su di essi.
–source-port <portnum> (-g): setta come costante la porta sorgente del ping scanning.
–data-length <lenght>: aggiunge byte random di dati ad ogni pacchetto e funziona con gli scan TCP, UDP e ICMP. Questo permette di evadere alcuni firewall che hanno regole per droppare i pacchetti vuoti.
-T<timing>: velocizza l’esecuzione del ping scan. Valori più alti corrispondono a minor tempo. -T4 è raccomandato.
Ce ne sono altri e potete leggerli a pag 67 del manuale di nmap o nelle pagine man.
Lista delle 14 porte con maggior successo di accessibilità
- 80/http
- 25/smtp
- 22/ssh
- 443/https
- 21/ftp
- 113/auth
- 23/telnet
- 53/domain
- 554/rtsp
- 3389/ms-trem-server
- 1723/pptp
- 389/ldap
- 636/ldapssl
- 256/FW1-seruremote
Una combinazione “ideale”
nmap -PE -PA PS21,22,23,25,80,113,31339 -PA80,113,443,10042 -T4 –source-port 53 -iL <file with hosts> -oA <output file>
Man Section
HOST DISCOVERY:
-sL: List Scan - simply list targets to scan
-sn: Ping Scan - disable port scan
-Pn: Treat all hosts as online -- skip host discovery
-PS/PA/PU/PY[portlist]: TCP SYN/ACK, UDP or SCTP discovery to given ports
-PE/PP/PM: ICMP echo, timestamp, and netmask request discovery probes
-PO[protocol list]: IP Protocol Ping
-n/-R: Never do DNS resolution/Always resolve [default: sometimes]
--dns-servers <serv1[,serv2],...>: Specify custom DNS servers
--system-dns: Use OS's DNS resolver
--traceroute: Trace hop path to each host