Phenquestions
Nmap
Network Mapper, powszechnie używany jako Nmap, to bezpłatne narzędzie typu open source do skanowania sieci i portów. Jest również biegły w wielu innych aktywnych technikach gromadzenia informacji. Nmap jest zdecydowanie najczęściej używanym narzędziem do zbierania informacji używanym przez testerów penetracyjnych. Jest to narzędzie oparte na CLI, ale ma również wersję opartą na GUI na rynku o nazwie Zenmap. Kiedyś było to narzędzie „tylko Unix”, ale teraz obsługuje wiele innych systemów operacyjnych, takich jak Windows, FreeBSD, OpenBSD, Sun Solaris i wiele innych. Nmap jest preinstalowany w dystrybucjach testujących penetrację, takich jak Kali Linux i Parrot OS. Można go również zainstalować w innych systemach operacyjnych. Aby to zrobić, poszukaj Nmapa tutaj.
Rysunek 1.1 pokazuje normalny skan i wyniki. Skan ujawnił otwarte porty 902 i 8080. Rysunek 1.2 pokazuje proste skanowanie usługi, które mówi, jaka usługa jest uruchomiona na porcie. Rysunek 1.3 pokazuje domyślny skan skryptu. Skrypty te czasami ujawniają interesujące informacje, które można dalej wykorzystać w bocznych częściach testu pisakowego. Aby uzyskać więcej opcji, wpisz nmap w terminalu, a wyświetli się wersja, użycie i wszystkie inne dostępne opcje.
Rys. 1.1: Proste skanowanie Nmap
Rys. 1.2: Skanowanie usługi/wersji Nmap
Rys. 1.3: Domyślne skanowanie skryptów
Tcpdump
Tcpdump to darmowy analizator pakietów w sieci danych, który działa na interfejsie CLI. Pozwala użytkownikom zobaczyć, odczytać lub przechwycić ruch sieciowy przesyłany przez sieć podłączoną do komputera. Pierwotnie napisany w 1988 roku przez czterech pracowników Lawrence Berkely Laboratory Network Research Group, został zorganizowany w 1999 roku przez Michaela Richardsona i Billa Fennera, którzy stworzyli www.tcpdump.organizacja. Działa na wszystkich systemach operacyjnych typu Unix (Linux, Solaris, All BSD, macOS, SunSolaris, itp.). Wersja Tcpdump dla systemu Windows nazywa się WinDump i używa WinPcap, alternatywy dla systemu Windows dla libpcap.
Aby zainstalować tcpdump:
$ sudo apt-get install tcpdumpStosowanie:
# tcpdump [ Opcje ] [ wyrażenie ]Szczegóły opcji:
$ tcpdump -hWireshark
Wireshark to niezwykle interaktywny analizator ruchu sieciowego. Można zrzucać i analizować pakiety w miarę ich odbierania. Pierwotnie opracowany przez Geralda Combsa w 1998 roku jako Ethereal, został przemianowany na Wireshark w 2006 roku z powodu problemów ze znakiem towarowym. Wireshark oferuje również różne filtry, dzięki czemu użytkownik może określić rodzaj ruchu, który ma być wyświetlany lub zrzucany do późniejszej analizy. Wireshark można pobrać ze strony www.Wireshark.org/#pobierz. Jest dostępny w większości popularnych systemów operacyjnych (Windows, Linux, macOS) i jest preinstalowany w większości dystrybucji penetracyjnych, takich jak Kali Linux i Parrot OS.
Wireshark to potężne narzędzie, które wymaga dobrego zrozumienia podstaw pracy w sieci. Konwertuje ruch do formatu, który ludzie mogą łatwo odczytać. Może pomóc użytkownikom rozwiązywać problemy z opóźnieniami, upuszczanymi pakietami, a nawet próbami włamania do Twojej organizacji. Ponadto obsługuje do dwóch tysięcy protokołów sieciowych. Można nie być w stanie wykorzystać ich wszystkich, ponieważ wspólny ruch składa się z pakietów UDP, TCP, DNS i ICMP.
Mapa
Mapowanie aplikacji (również Mapa), jak sama nazwa może sugerować, to narzędzie do mapowania aplikacji na otwartych portach urządzenia. Jest to narzędzie nowej generacji, które może wykrywać aplikacje i procesy, nawet jeśli nie działają one na konwencjonalnych portach. Na przykład, jeśli serwer WWW działa na porcie 1337 zamiast na standardowym porcie 80, amap może to wykryć. Amap zawiera dwa wyróżniające się moduły. Pierwszy, amapcrap może wysyłać dane do portów w celu wygenerowania pewnego rodzaju odpowiedzi z portu docelowego, która może być później wykorzystana do dalszej analizy. Po drugie, amap ma moduł podstawowy, którym jest Mapowanie aplikacji (Mapa).
Wykorzystanie mapy:
$ amap -hmapa v5.4 (c) 2011 przez van Hausera
Składnia: amap [Tryby [-A|-B|-P]] [Opcje] [PORT DOCELOWY [port]… ]
Tryby:
-A (Domyślnie) Wysyłaj wyzwalacze i analizuj odpowiedzi (aplikacje mapowe)
-B Chwyć TYLKO banery; nie wysyłaj wyzwalaczy
-P Pełnoprawny skaner portów Connect
Opcje:
-1 Szybki! Wysyłaj wyzwalacze do portu do pierwszej identyfikacji
-6 Użyj IPv6 zamiast IPv4
-b Wydrukuj baner odpowiedzi ASCII
-i PLIK Plik wyjściowy do odczytu maszynowego, z którego można odczytać porty
-u Określ porty UDP w wierszu poleceń (domyślnie: TCP)
-R NIE identyfikuj usługi RPC
-H NIE wysyłaj potencjalnie szkodliwych wyzwalaczy aplikacji
-U NIE zrzucaj nierozpoznanych odpowiedzi
-d Zrzuć wszystkie odpowiedzi
-v Tryb szczegółowy; użyj dwa razy lub więcej, aby uzyskać więcej gadatliwości
-q Nie zgłaszaj zamkniętych portów i nie drukuj ich jako niezidentyfikowanych
-o PLIK [-m] Zapisuje dane wyjściowe do pliku PLIK; -m tworzy dane wyjściowe do odczytu maszynowego
-c CONS Wykonaj połączenia równoległe (domyślnie 32, maks. 256)
-C PONOWNE PRÓBY Liczba ponownych połączeń po przekroczeniu limitu czasu połączenia (domyślnie 3)
-Limit czasu T SEC Connect przy próbach połączenia w sekundach (domyślnie 5)
-t SEC Odpowiedź czeka na przekroczenie limitu czasu w sekundach (domyślnie 5)
-p PROTO Wysyłaj wyzwalacze TYLKO do tego protokołu (e.sol. FTP)
PORT DOCELOWY Adres docelowy i porty do skanowania (dodatkowe do -i)
Rys. 4.1 przykładowe skanowanie amap
p0f
p0f to skrócona forma „pasysta OS faodcisk palca” (zamiast O). Jest to skaner pasywny, który może zdalnie identyfikować systemy. p0f wykorzystuje techniki linii papilarnych do analizy pakietów TCP/IP oraz w celu określenia różnych konfiguracji, w tym systemu operacyjnego hosta. Ma możliwość pasywnego wykonywania tego procesu bez generowania podejrzanego ruchu. p0f może również czytać pliki pcap p.
Stosowanie:
# p0f [Opcje] [reguła filtrowania]
Rys. 5.1 Przykładowe wyjście p0f
Host musi albo połączyć się z twoją siecią (samoistnie lub wywołane) albo być połączony z jakimś podmiotem w twojej sieci za pomocą standardowych środków (przeglądanie stron internetowych itp.) Host może zaakceptować lub odrzucić połączenie. Ta metoda jest w stanie przejrzeć zapory pakietowe i nie jest ograniczona ograniczeniami aktywnego odcisku palca. Pasywne odciski palców systemu operacyjnego są używane głównie do profilowania napastników, profilowania odwiedzających, profilowania klientów/użytkowników, testów penetracyjnych itp.
Zaprzestanie
Rozpoznanie lub zbieranie informacji to pierwszy krok w każdym teście penetracyjnym. Jest to istotna część procesu. Rozpoczęcie testu penetracyjnego bez porządnego rozpoznania jest jak pójście na wojnę bez wiedzy, gdzie i z kim walczysz. Jak zawsze, poza powyższymi, istnieje cały świat niesamowitych narzędzi zwiadowczych. Wszystko dzięki niesamowitej społeczności open-source i cyberbezpieczeństwa!
Wesoły zwiad! 🙂
