Warsztaty internetowe: Narzędzia i techniki ataków na komputery w sieci

Nmap - poszukiwanie hostów

Jeśli zależy ci na odkryciu działających (odpowiadających na wysyłane zapytania) komputerów,
możesz wykorzystać opcję -sP. Poniższy przykład ilustruje wykorzystanie tej opcji.

nmap -sP 192.168.137.1-254

Starting nmap V. 3.00 ( www.insecure.org/nmap )
Host TEST (192.168.137.1) appears to be up.
Host (192.168.137.2) appears to be up.
Host M82_FULL (192.168.137.131) appears to be up.
Nmap run completed -- 254 IP addresses (3 hosts up) scanned in 13 seconds

Nmap zwrócił nam informację, że trzy hosty w sieci o adresie 192.168.137.0 (maska podsieci
255.255.255.0) odpowiedziały na wysłany pakiet. Są to komputery o adresach IP (Internet
Protocol) 192.168.137.1, 192.168.137.2 oraz 192.168.137.131. Program dokonał skanowania 254
potencjalnych hostów w czasie 13 sekund. Całkiem nieźle.

Nmap z opcją -sP działa podobnie do tradycyjnego programu ping wysyłającego komunikat
protokołu ICMP (Internet Control Message Protocol) typu Echo Request (prośba o odpowiedź, lub
tzw. ping). Protokół ICMP służy do diagnostyki i sterowania przepływem komunikatów w sieci. Po
wysłaniu pakietu ICMP, nmap czeka na odpowiedź od hosta, który był jego adresatem. Ponieważ
wiele hostów blokuje pakiety protokołu ICMP (np. zapory ogniowe, rutery, itd.), nmap próbuje
uzyskać połączenie TCP z portem 80 (standardowy port usługi WWW - World Wide Web).
Domyślny port 80, można zastąpić innym wpisując opcję -PT .

Gdy zostanie wysłana jakakolwiek odpowiedź, skanowany komputer uważa się za uruchomiony. W
przeciwnym razie może być on wyłączony, nieobecny lub ruch między naszych hostem a hostem,
który skanujemy jest blokowany na przykład przez zaporę sieciową. Jeśli interesuje cię lista
komputerów odpowiadających tylko na sieciowe zaczepki, spróbuj wykorzystać opcję -sL.

nmap -sL 192.168.137.1

Starting nmap V. 3.00 ( www.insecure.org/nmap )
Host TEST (192.168.137.1) not scanned
Nmap run completed -- 1 IP address (0 hosts up) scanned in 0 seconds

Zwykle, gdy skanowany host nie udostępnia żadnej usługi (wszystkie porty są zamknięte),
wysyłany jest przez jego podsystem TCP/IP pakiet RST - to nam w tym przypadku wystarcza
(komputer odpowiedział, a więc jest uruchomiony). Jednak nie wszystkie systemy operacyjne
postępują zgodnie ze specyfikacją protokołów, dlatego brak odpowiedzi nie daje 100% pewności
odnośnie istnienia skanowanego hosta.

Jak widać w powyższym przykładzie, host 192.168.137.1, który wcześniej został wykryty jako
działający (dzięki opcji -sP) teraz rzekomo nie odpowiada. Płynie stąd bardzo ważna informacja
dla nas. Należy być bardzo ostrożnym w interpretowaniu wyników zwracanych przez programy
skanujące, gdyż w zależności od zastosowanej techniki skanowania, możemy otrzymać na
pierwszy rzut oka sprzeczne wyniki. Czasem dopiero kombinacja kilku typów skanowania jednego
hosta daje zadowalające rezultaty i jako taką pewność zgodności otrzymanych wyników ze stanem
faktycznym.

|

Strona główna

|

Projekty

|

Zagrożenia

|

Kontakt

|

© 2000-2007

Krzysztof

Satoła. Wszelkie prawa zastrzeżone.

odwiedzin:

698164

Page 1 of 1

haker.pl Krzysztof Satoła

2008-06-30

http://www.haker.pl/haker_start.pl?warsztaty1_temat=3