nmap: Scanarten

Wie bereits im letzten Artikel beschrieben ist nmap ein sehr mächtiges Tool und als ersten Schritt, um alle Funktionalitäten zu verstehen, sollte man die grundlegenden Scanarten kennen.

Was sind die wichtigsten Scanarten in nmap?

Startet man einen nmap Scan ohne weitere Optionen mit

nmap 192.168.178.1

dann wird als erstes ein PING-Scan durchgeführt, um festzustellen, ob der Host online ist. Sofern der Host als online erkannt wird, werden die Portscans gestartet. In der Variante ohne Optionen wird dabei ein TCP-SYN-Scan verwendet. Dieser öffnet beim Ziel (in diesem Fall 192.168.178.1) eine TCP-Verbindung bis das SYNACK-Paket an den Angreifer gesendet wird und damit ist der Scan abgeschlossen, d.h. die Verbindungen werden nie korrekt aufgebaut (der Schritt ACK fehlt noch). Diese Art des Scans ist robust gegenüber verschiedenen TCP-Implementierungen und es kann gut zwischen Offen, filtered und geschlossen unterschieden werden. Dieser Scan wird mit -sS spezifiziert und funktioniert nur mit root-Rechten auf dem System. Da dies nicht immer gegeben ist, gibt es die Alternative TCP-Connect-Scan:

nmap -sT 192.168.178.1

Dieser Scan greift für den Aufbau einer TCP-Verbindung auf das Betriebssystem zurück (wie es auch Webbrowser oder andere Programme tun) und hat somit weniger Kontrolle über die Pakete, welche versendet werden. Aus diesem Grund wird hier auch eine TCP-Verbindung vollständig aufgebaut. Der -sS Scan sendet raw packages und hat gegenüber -sT nur Vorteile. Neben den TCP-Scans, sind außerdem UDP-Scans wichtig:

nmap -sU 192.168.178.1

Mit UDP werden weit weniger Dienste ausgeliefert als über TCP. Trotzdem können hier interessante Programme laufen, wie DNS, VoIP, DHCP oder DNMP.

Weiterhin gibt es spezielle Scanarten, welche vor Allem dafür gedacht sind zwischen gefilterten und geschlossenen Ports zu unterscheiden:

nmap -sN 192.168.178.1
nmap -sF 192.168.178.1
nmap -sX 192.168.178.1

Diese Scans setzen unterschiedliche Bits im TCP-Paket:

• Null-Scan (-sN) setzt kein Bit
• FIN-Scan (-sF) setzt das FIN-Bit
• Xmas-Scan (-sX) setzt alle verfügbaren Bits (wie ein beleuchteter Weihnachtsbaum :D)

Das waren erstmal die wichtigsten Scanarten. Wenn ich irgendwann Lust habe, schreibe ich eventuell noch was zu den selteneren Scanarten 😉