Nmap SYN scan

Abbiamo visto nel post precedente un primo utilizzo di Nmap per effettuare il port scanning: nella modalità vista il tool effettua un'intera connessione TCP completando il three-way handshaking.
Un altro modo (il più utilizzato in realtà) di effettuare un port scanning è quello di utilizzare la SYN scan in Nmap.
La differenza con la scansione in modalità TCP sta proprio nel three-way handshaking e andiamo a vedere il perchè.
Quando si instaura una connessione TCP tra due host quello che succede prima dell'invio delle informazioni vere e proprie è una sorta di "presentazione" tra le macchine ed è questo quello che si definisce "stretta di mano". In poche parole accade che l'host che vuole iniziare la comunicazione (Host A) invia un SYN all'host B il quale a sua volta risponderà con un SYN-ACK; a questo punto l'host A invia un ACK e successivamente si stabilisce la connessione; il tutto è semplificato nella figura:

Nella SYN scan non viene completata tutta la procedura di handshaking rendendo più snella l'operazione e anche più nascosta: la macchina che effettua lo scan invia normalmente un pacchetto SYN, ma quando il target risponde con un pacchetto SYN-ACK non viene inviato il tipico pacchetto ACK ma un RST che va a chiudere la connessione senza che venga di fatto instaurata del tutto.

Per effettuare questo tipo di scansione è sufficiente dare il seguente comando:

nmap -sS -p -<ip address>
e nel caso del nostro esempio diventa:
nmap -sS -p- 192.168.0.107

Quello che si noterà sarà l'assoluta rapidità di questa scansione rispetto a quella TCP con il completamento del three way handhaking.

Nei prossimi post saranno descritte infine le opzioni per lo scanning UDP e due particolari tipi di scansioni: Xmas scan e Null scan

Nmap

Nmap è uno strumento utilizzato in una delle fasi del penetration testing, in particolare nella fase di "Scanning" che segue quella di Information gathering.
in questa fase vengono analizzati i sistemi target al fine di scoprire eventuali falle; lo scanning prevede che venga effettuata una fase di port scanning e una di vulnerability scanning. Nmap può essere utilizzato per effettuare la prima di queste due fasi al fine di avere una visione di quali porte sono aperte e quali servizi sono abilitati sui target.
Nmap prevede diverse opzioni per il suo utilizzo e ne saranno presentate alcune.
Di seguito alcuni esempi di port scanning verso una macchina target windows xp sp3.
Per effettuare un port scanning utilizzando TCP è sufficiente utilizzare l'opzione -sT:

nmap -sT -p- 192.168.0.107

L'opzione "-p-" setta il tool al fine di effettuare uno scan di tutte le porte (di default lo strumento ne analizza 1000). L'indirizzo ip è quello della macchina target (che fa parte della mia rete locale).
L'output è il seguente:

Nmap output

Si vede quindi che il target presenta le seguenti porte aperte:

PORT    
135/tcp
139/tcp 
445/tcp 
3389/tcp

Altra informazione che bisogna considerare è quella che riguarda i servizi associati:

SERVICE
msrpc
netbios-ssn
microsoft-ds
ms-term-serv


A questo punto abbiamo a disposizione quali porte sono aperte e quali servizi sono attivi dietro le porte stesse.
Come utilizzare queste informazioni verrà trattato nei post successivi.
Ovviamente nmap non consente solo questo tipo di scansione e nei prossimi post saranno trattate le altre funzionalità del tool.