Kəşfiyyat - araşdırma alətlərindən NMAP (Hissə 2)


 


 


 


 


 


 

Yuxarıda bəsit bir şəkildə, sadəcə İP parametrini verdikdə bizə açıq port və versiyaları təqdim etdi. 23 ədəd portun açıq olduğunu və 977 ədəd portun da qapalı olduğunu bizə bildirdi. Diqqət etməyimiz lazım gələn, nmap burada sadəcə bilinən portları axtardı və bunu 52.18 saniyədə etdi. İndi parametr verərək axtarış edək: nmap -A -T4 192.168.133.129

Yuxarıda verdiyimiz parametrləri irəlidə ətraflı şəkildə izah edəcəyik, ancaq qısa məlumat verək. -A # Bu parametr Əməliyyat Sistemi, Servislərin Versiya Təsbitlərini və Script axtarışını cəm şəkildə edər. Biraz uzun çəkir. -T4 # Sürətli şəkildə axtarış etməsi üçün bu əmri yazdıq. 0-5 arasında bir qiymət ala bilər. Qiymət qeyd edilmədikdə T3 ilə işini görər.

Nəticə isə:


 


 

 


 

 

 

 

 

 

 

 

 

Hədəf sistemimiz Linux/Metasploitable istifadə edirmiş (Ubuntu). Təbii ki nəticələr qərarlı deyil, bizə nisbətlər daxilində məlumat verir. Bundan başqa bizə kernel məlumatını da verdi və əlavə olaraq komputerin lokal serverində bir neçə script də tapdı. Bizə versiya nömrələrini də göstərdi, bəs bunlar nə işə yaraya bilər? 21ci portu istifadə edən vsftpd programı 2.3.4. versiyasını istifadə edirmiş. Bunu metasploit üzərində araşdırdığımızda bir exploit ortaya çıxır.



 

 

 

 

 

 

Bu exploit bizə bir “arxa qapı” (backdoor) ilə o sistemə giriş etməyimizə icazə verir. Bu gördüyünüz kimi penetrasiya testləri üçün NMAP programının nə qədər vacib olduğunu göstərir.

Kəşf mərhələsi Şəbəkədə olan və işlək vəziyyətdə, aktiv cihazların testi üçün fərqli axtarış üsulları vardır. Aşağıdaki nümunələri nəzərdən keçirək: Ping Sweep | nmap -sP 192.168.133.0/24

Bütün sistemlərə ping aaxtarq cavab verən sistemlərin açıq olub olmadığına nəzarət edər, bir növ server və istəkçiləri (clients) təsbit edər.

Ping SYN | nmap -PS 192.168.133.0/24 TCP SYN Ping paketləri ilə sistemlərin açıq olub olmadığına nəzarət edər. Araşdırar.

Ping ACK | nmap -PA 192.168.133.0/24 TCP ACK Ping paketləri ilə sistemlərin açıq olub olmadığına nəzarət edər. Araşdırar.

Ping UDP | nmap -PU 192.168.133.0/24 UDP Ping paketləri ilə sistemlərin açıq olub olmadığına nəzarət edər. Araşdırar.

Ping ICMP | nmap -PE 192.168.133.0/24 ACMP Echo Request paketlərini istifadə edərək sistemlərin açıq olub olmadığına nəzarət edər. Araşdırar.

Ping ARP | nmap -PR 192.168.133.0/24 ARP Ping paketləri ilə sistemlərin açıq olub olmadığına nəzarət edər. Araşdırar.

Traceroute | nmap -traceroute 192.168.133.0/24 Traceroute funksiyasını aktivləşdirərək hədəfə gedən paketlərin yol analizini edər.

DNS Kəşfi | nmap -system-dns 192.168.133.0/24 Əməliyyat sistemi üzərindəki DNS Serverləri istifadə edər.

Reverse DNS Kəşfi | nmap -R 192.168.133.0/24 IP adresindən hostname məlumatı əldə edilməsi üçün istifadə edər.

Port Axtarış Üsulları NMAP üzərində, portların vəziyyətini ifadə edən 6 müəyyən etmə mövcuddur.

Open - Port açıqdır və açıq portu dinləyən bir program var. Closed - Port qapalıdır, ancaq giriş etmək olar. Dinləyən hər hansı bir program yoxdur. Filtered - Filterlərdən ötrü NMAP portun vəziyyətini müəyyən edə bilməmişdir (həll edə bilmir). Unfiltered - ACK Scan nəticələrində qarşımıza çıxan bu müəyyən etmədə, portun giriş edilə bilinən olduğu ancaq açıq olub olmadığı təsbit edilə bilinməmişdir. Open Filtered - UDP, IP Protocol, FIN, NULL və XMAS Scan üçün dönən bu vəziyyətdə portların açıq və ya filtrlənmiş olduğu təsbit edilə bilinməmişdir. Closed Filtered - IDLE Scan üçün dönən bu vəziyyətdə portların qapalı və ya filtrlənmiş olduğu təsbit edilə bilinməmişdir.

Bu üsullara bir çox məqalədə Flag/Bayraq olaraq da rast gələ bilərsiniz.

TCP SYN Scan NMAP üzərində defolt (dəyişdirilmədiyi müddətcə programın özünün etdiyi) axtarış üsulu SYN Scandır. Çox sürətli olan bu axtarış üsulu üçün 3 ədəd dönüş olacaqdır: open, closed, filtered. Digər adı isə Half Open Scan’dır (yarı açıq axtarış). Bu adı almasının səbəbi, 3 yollu proses baştutmasının (əl sıxma da deyilir) tamamlanmamasıdır. Beləcə hədəf sistemdə hesab girişi edilməz və bu səbəblə də qeydi tutulmaz.



 

 

 

 

 

 

 

 

 

 

Məlumat dağarcığı | 3 Yollu əl sıxmaq nədir? - A komputeri B komputerinə TCP SYNchronize mesajı göndərər - B komputeri A komputerinin istəyini aldığına dair bir TCP SYN+ACKnowledgement mesajı göndərər. - A komputeri B komputerinə TCP ACK mesajı göndərər. - B komputeri bir ACK "TCP connection is ESTABLISHED" mesajı alar. 3 yollu prosesin baştutması (əl sıxmaq) tamamlanar.

Axtarış prosesi, göndərilən SYN paketinə gələn cavaba görə gerçəkləşər. Göndərilən SYN paketinə qarışıq alınan paket RST+ACK isə port qapalıdır və axtarış bir sonraki port ilə davam edər. Əgər alınan paket SYN+ACK isə portun açıq olduğu aydın olar və bir RST paketi göndərilərək əməliyyat sistemi qurulmadan axtarış prosesi tamamlanar.

Nümunə: nmap -sS 192.168.133.129

TCP Connect Scan Başlıqdaki "connect" hissəsindən də gördüyümüz kimi,SYN Scan üsulunun tam tərsi bir şəkildə 3 yollu əl sıxma prosesi həyata keçir və qeydi tutulur. SYN Scan üsulunun tərsinə əgər SYN paketlərinə qarşılıq SYN+ACK gəlirsə ACK paketi göndərər və port axtarışı tamamlanar.

Nümunə: nmap -sT 192.168.133.129

UDP Scan UDP portlarının vəziyyətini analiz etmək üçün istifadə edilən bu üsulda axtarış göndərilən UDP paketlərinin vəziyyətinə görə həyata keçər. İCMP Port Unreachable isə port bağlıdır, əgər gələn cavab yenə UDP paketi isə port açıqdır.

Nümunə: nmap -sU 192.168.133.129

NULL - FIN - XMAS Scan 3 axtarış növü də qismən bənzərlik göstərir. Göndərilən paketlərə cavab olaraq RST+ACK göndərilirsə port qapalı, ICMP Port Unreachable göndərilirsə port filterli, heç bir şey göndərilmirsə, port açıqdır.

NULL Scan vasitəsilə göndərilən paketlər hər hansı bir bayrağa sahib deyildir (hər hansı bir üsul tətbiq edilməz). FIN Scan vasitəsilə göndərilən paketlər FIN bayrağına sahibdirlər (öz üsulunu tətbiq edər). XMAS Scan vasitəsilə göndərilən paketlər, fərqli bayraqlara sahib ola bilər.

Nümunə: nmap -sN 192.168.133.129 # Null Scan Nümunə: nmap -sF 192.168.133.129 # FIN Scan Nümunə: nmap -sX 192.168.133.129 # XMAS Scan

ACK - Window Scan ACK Scan, təhlükəsizlik divarının quruluşunu aydınlaşdırmaq, incələmək üçün sıx şəkildə istifadə edilən üsullardan biridir. ACK bayraqlı göndərilən paketlərə gələn vəziyyətə görə portun vəziyyəti analiz edilər. Göndərilən paketlərə RST geri dönürsə portun Unfiltered olduğu ortaya çıxar. Əgər İCMP Unreachable paketi dönürsə ya da bir şey dönmürsə portun filtered olduğu ortaya çıxar.

Window Scan isə, ACK axtarışından fərqli olaraq portların açıq olub olmadığını anlaya bilər.

Nümunə: nmap -sA 192.168.133.129 # ACK Scan Nümunə: nmap -sW 192.168.133.129 # Window Scan

Ping Scan Tək bir İCMP Echo paketi göndərilən bu axtarışda İCMP filter olmadığı müddətcə bizə İCMP Echo cavabı qayıdacaqdır.

Nümunə: nmap -sP 192.168.133.129

IP Protocol Ping Scan IP vasitəsilə həyata keçirilən bu axtarışda, əl çatmayan, giriş edilə bilinməyən İP adresi cavab verməyəcəkdir. Giriş edilə bilinən İP isə RST tipi bayraq döndürəcəkdir.

Nümunə: nmap -sO 192.168.133.129

Port Müəyən etmə Hədəf müəyyən etmə qismində etdiyimiz müəyyən etmədə “diqqət edilməsi lazım gələn nmap bizə ən çox bilinən portları axtardı” demişdik. Bəli, əgər hər hansı bir parametr verilməzsə NMAP bizə ən çox bilinən portları sürətli bir şəkildə axaxaxtarr. Siz isə verəcəyiniz parametrlər ilə bu axtarış prosesini xüsusiləşdirə bilərsiniz: nmap –sS -F 192.168.133.129 # ən çox yayılmış 100 portu axtar nmap –sS –p80 192.168.133.129 # 80 portunu axtar nmap –sS –p1-100 192.168.133.129 # 1 ilə 100 arasındaki portları axtar nmap –sS –p1,100,102 192.168.133.129 # 1, 100 və 02. portları axtar nmap –sS –top-ports <n> 192.168.133.129 # Ən çox istifadə edilən n ədəd portu axtarar nmap –sS –p- 192.168.133.129 # 65535 ədəd portun hamsını axtarar nmap –sS –p U:53,T:22 192.168.133.129 # UDP 53 və TCP 22. portu axtarar

Servis və Versiya Kəşfi Hədəf müəyyən etmə bölməsinin ilk hissəsində etdiyimiz axtarışda, parametr vermədən qısa bir məlumat istədi. Bəzi açıq portları və bunların nə portu olduğunu bizə təqdim etdi. Ancaq çox vaxt bu kiçik məlumatlar bizə kifayət etməz. Bizim portu istifadə edən servis haqqında daha ətraflı məlumata və servisin versiya nömrəsinə ehtiyacımız ola bilər. Bu səbəbdən bölmənin digər axtarışında 21ci portu istifadə edən vsftpd programının exploitini taparaq sistemə sıza bilinəcəyini göstərmişdik.

Axtarma növü üçün parametr: -sS # SYN Scan Versiya təsbiti üçün parametr: -sV

Nümunə: nmap -sS -sV 192.168.133.129



 

 

 

 

 

 

 

 

 

 

 

Göründüyü kimi servislər və servisi istifadə edən programları və versiyasını da bizə göstərdi. 


blog comments powered by Disqus