NAME
nmap - Netzwerk-Analysewerkzeug und Sicherheits-/Portscanner
ÜBERSICHT nmap [Scan Type…] [Options] {target specification}
BESCHREIBUNG
Nmap („Network Mapper“) ist ein Open-Source-Werkzeug für die
Netzwerkanalyse und Sicherheitsüberprüfung. Es wurde entworfen, um
große Netzwerke schnell zu scannen, auch wenn es bei einzelnen Hosts
auch gut funktioniert. Nmap benutzt rohe IP-Pakete auf neuartige Weise,
um festzustellen, welche Hosts im Netzwerk verfügbar sind, welche
Dienste (Anwendungsname und -version) diese Hosts bieten, welche
Betriebssysteme (und Versionen davon) darauf laufen, welche Art von
Paketfiltern/-Firewalls benutzt werden sowie Dutzende anderer
Eigenschaften. Auch wenn Nmap üblicherweise für
Sicherheitsüberprüfungen verwendet wird, wird es von vielen Systemen
und Netzwerkadministratoren für Routineaufgaben benutzt, z.B.
Netzwerkinventarisierung, Verwaltung von Ablaufplänen für
Dienstaktualisierungen und die Überwachung von Betriebszeiten von Hosts
oder Diensten.
Die Ausgabe von Nmap ist eine Liste gescannter Ziele mit zusätzlicher
Information zu jedem, abhängig von den benutzten Optionen. Die
entscheidende Information dabei steht in der „Tabelle der interessanten
Ports“.. Diese Tabelle listet die Portnummer und das -protokoll sowie
den Dienstnamen und -zustand auf. Der Zustand ist entweder offen,
gefiltert, geschlossen oder ungefiltert. Offen. bedeutet, dass auf
diesem Port des Zielrechners eine Anwendung auf eingehende
Verbindungen/Pakete lauscht. Gefiltert. bedeutet, dass eine Firewall,
ein Filter oder ein anderes Netzwerkhindernis den Port blockiert, so
dass Nmap nicht wissen kann, ob er offen oder geschlossen ist. Für
geschlossene. Ports gibt es keine Anwendung, die auf ihnen lauscht,
auch wenn sie jederzeit geöffnet werden könnten. Als ungefiltert.
werden Ports dann klassifiziert, wenn sie auf Nmaps Testpakete
antworten, Nmap aber nicht feststellen kann, ob sie offen oder
gechlossen sind. Nmap gibt die Zustandskombinationen offen|gefiltert.
und geschlossen|gefiltert. an, wenn es nicht feststellen kann, welcher
der beiden Zustände für einen Port zutrifft. Die Port-Tabelle enthält
eventuell auch Details zur Softwareversion, sofern eine
Versionserkennung verlangt wurde. Wurde ein IP-Protokoll-Scan verlangt
(-sO), dann bietet Nmap Angaben über die unterstützten IP-Protokolle
statt über lauschende Ports.
Zusätzlich zur Tabelle der interessanten Ports kann Nmap weitere
Angaben über Ziele bieten, darunter Reverse-DNS-Namen, Mutmaßungen über
das benutzte Betriebssystem, Gerätearten und MAC-Adressen.
Einen typischen Nmap-Scan sehen Sie in Beispiel 1. Die einzigen in
diesem Beispiel benutzten Nmap-Argumente sind -A für die
Betriebssystem- und Versionserkennung, Script-Scanning und Traceroute
und -T4 für eine schnellere Ausführung. Danach kommen die Namen der
Zielhosts.
Beispiel 1. Ein repräsentativer Nmap-Scan
# nmap -A -T4 scanme.nmap.org
Starting Nmap ( https://nmap.org )
Interesting ports on scanme.nmap.org (64.13.134.52):
Not shown: 994 filtered ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.3 (protocol 2.0)
25/tcp closed smtp
53/tcp open domain ISC BIND 9.3.4
70/tcp closed gopher
80/tcp open http Apache httpd 2.2.2 ((Fedora))
|_ HTML title: Go ahead and ScanMe!
113/tcp closed auth
Device type: general purpose
Running: Linux 2.6.X
OS details: Linux 2.6.20-1 (Fedora Core 5)
TRACEROUTE (using port 80/tcp)
HOP RTT ADDRESS
[Cut first seven hops for brevity]
8 10.59 so-4-2-0.mpr3.pao1.us.above.net (64.125.28.142)
9 11.00 metro0.sv.svcolo.com (208.185.168.173)
10 9.93 scanme.nmap.org (64.13.134.52)
Nmap done: 1 IP address (1 host up) scanned in 17.00 seconds
Die neueste Version von Nmap erhält man unter https://nmap.org, und die
neueste Version der Manpage ist unter https://nmap.org/book/man.html
verfügbar.
ÜBERSICHT DER OPTIONEN
Diese Übersicht wird ausgegeben, wenn Nmap ohne Argumente aufgerufen
wird; die neueste Version davon ist immer unter
https://nmap.org/data/nmap.usage.txt verfügbar. Sie hilft dabei, sich
die am häufigsten benutzten Optionen zu merken, ist aber kein Ersatz
für die detaillierte Dokumentation im Rest dieses Handbuchs. Einige
obskure Optionen werden hier nicht einmal erwähnt.
Nmap 4.85BETA8 ( https://nmap.org )
Usage: nmap [Scan Type(s)] [Options] {target specification}
TARGET SPECIFICATION:
Can pass hostnames, IP addresses, networks, etc.
Ex: scanme.nmap.org, microsoft.com/24, 192.168.0.1; 10.0.0-255.1-254
-iL <inputfilename>: Input from list of hosts/networks
-iR <num hosts>: Choose random targets
--exclude <host1[,host2][,host3],...>: Exclude hosts/networks
--excludefile <exclude_file>: Exclude list from file
HOST DISCOVERY:
-sL: List Scan - simply list targets to scan
-sP: Ping Scan - go no further than determining if host is online
-PN: Treat all hosts as online -- skip host discovery
-PS/PA/PU[portlist]: TCP SYN/ACK or UDP discovery to given ports
-PE/PP/PM: ICMP echo, timestamp, and netmask request discovery probes
-PO[protocol list]: IP Protocol Ping
-n/-R: Never do DNS resolution/Always resolve [default: sometimes]
--dns-servers <serv1[,serv2],...>: Specify custom DNS servers
--system-dns: Use OS's DNS resolver
--traceroute: Trace hop path to each host
SCAN TECHNIQUES:
-sS/sT/sA/sW/sM: TCP SYN/Connect()/ACK/Window/Maimon scans
-sU: UDP Scan
-sN/sF/sX: TCP Null, FIN, and Xmas scans
--scanflags <flags>: Customize TCP scan flags
-sI <zombie host[:probeport]>: Idle scan
-sO: IP protocol scan
-b <FTP relay host>: FTP bounce scan
PORT SPECIFICATION AND SCAN ORDER:
-p <port ranges>: Only scan specified ports
Ex: -p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080
-F: Fast mode - Scan fewer ports than the default scan
-r: Scan ports consecutively - don't randomize
--top-ports <number>: Scan <number> most common ports
--port-ratio <ratio>: Scan ports more common than <ratio>
SERVICE/VERSION DETECTION:
-sV: Probe open ports to determine service/version info
--version-intensity <level>: Set from 0 (light) to 9 (try all probes)
--version-light: Limit to most likely probes (intensity 2)
--version-all: Try every single probe (intensity 9)
--version-trace: Show detailed version scan activity (for debugging)
SCRIPT SCAN:
-sC: equivalent to --script=default
--script=<Lua scripts>: <Lua scripts> is a comma separated list of
directories, script-files or script-categories
--script-args=<n1=v1,[n2=v2,...]>: provide arguments to scripts
--script-trace: Show all data sent and received
--script-updatedb: Update the script database.
OS DETECTION:
-O: Enable OS detection
--osscan-limit: Limit OS detection to promising targets
--osscan-guess: Guess OS more aggressively
TIMING AND PERFORMANCE:
Options which take <time> are in milliseconds, unless you append 's'
(seconds), 'm' (minutes), or 'h' (hours) to the value (e.g. 30m).
-T<0-5>: Set timing template (higher is faster)
--min-hostgroup/max-hostgroup <size>: Parallel host scan group sizes
--min-parallelism/max-parallelism <time>: Probe parallelization
--min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <time>: Specifies
probe round trip time.
--max-retries <tries>: Caps number of port scan probe retransmissions.
--host-timeout <time>: Give up on target after this long
--scan-delay/--max-scan-delay <time>: Adjust delay between probes
--min-rate <number>: Send packets no slower than <number> per second
--max-rate <number>: Send packets no faster than <number> per second
FIREWALL/IDS EVASION AND SPOOFING:
-f; --mtu <val>: fragment packets (optionally w/given MTU)
-D <decoy1,decoy2[,ME],...>: Cloak a scan with decoys
-S <IP_Address>: Spoof source address
-e <iface>: Use specified interface
-g/--source-port <portnum>: Use given port number
--data-length <num>: Append random data to sent packets
--ip-options <options>: Send packets with specified ip options
--ttl <val>: Set IP time-to-live field
--spoof-mac <mac address/prefix/vendor name>: Spoof your MAC address
--badsum: Send packets with a bogus TCP/UDP checksum
OUTPUT:
-oN/-oX/-oS/-oG <file>: Output scan in normal, XML, s|<rIpt kIddi3,
and Grepable format, respectively, to the given filename.
-oA <basename>: Output in the three major formats at once
-v: Increase verbosity level (use twice or more for greater effect)
-d[level]: Set or increase debugging level (Up to 9 is meaningful)
--reason: Display the reason a port is in a particular state
--open: Only show open (or possibly open) ports
--packet-trace: Show all packets sent and received
--iflist: Print host interfaces and routes (for debugging)
--log-errors: Log errors/warnings to the normal-format output file
--append-output: Append to rather than clobber specified output files
--resume <filename>: Resume an aborted scan
--stylesheet <path/URL>: XSL stylesheet to transform XML output to HTML
--webxml: Reference stylesheet from Nmap.Org for more portable XML
--no-stylesheet: Prevent associating of XSL stylesheet w/XML output
MISC:
-6: Enable IPv6 scanning
-A: Enables OS detection and Version detection, Script scanning and Traceroute
--datadir <dirname>: Specify custom Nmap data file location
--send-eth/--send-ip: Send using raw ethernet frames or IP packets
--privileged: Assume that the user is fully privileged
--unprivileged: Assume the user lacks raw socket privileges
-V: Print version number
-h: Print this help summary page.
EXAMPLES:
nmap -v -A scanme.nmap.org
nmap -v -sP 192.168.0.0/16 10.0.0.0/8
nmap -v -iR 10000 -PN -p 80
SEE THE MAN PAGE (https://nmap.org/book/man.html) FOR MORE OPTIONS AND EXAMPLES
ANGABE VON ZIELEN
Nmap betrachtet alles in der Kommandozeile, was keine Option (oder ein
Argument einer Option) ist, als Bezeichnung eines Zielhosts. Der
einfachste Fall ist die Beschreibung einer IP-Zieladresse oder eines
Zielhostnamens zum Scannen.
Manchmal möchten Sie ein ganzes Netzwerk benachbarter Hosts scannen.
Dafür unterstützt Nmap Adressen im CIDR-Stil.. Sie können /numbits an
eine IPv4-Adresse oder einen Hostnamen anfügen, und Nmap wird alle
IP-Adressen scannen, bei denen die ersten numbits mit denen der
gegebenen IP oder des gegebenen Hostnamens übereinstimmen. Zum Beispiel
würde 192.168.10.0/24 die 256 Hosts zwischen 192.168.10.0 (binär:
11000000 10101000 00001010 00000000) und 192.168.10.255 (binär:
11000000 10101000 00001010 11111111, inklusive) scannen.
192.168.10.40/24 würde genau dieselben Ziele scannen. Dadurch, dass der
Host scanme.nmap.org. die IP-Adresse 64.13.134.52 hat, würde die Angabe
scanme.nmap.org/16 die 65.536 IP-Adressen zwischen 64.13.0.0 und
64.13.255.255 scannen. Der kleinste erlaubte Wert ist /0, der das
gesamte Internet scannt. Der größte Wert ist /32 und scannt lediglich
den Host mit angegebenem Namen oder IP-Adresse, da alle Adressen-Bits
festgelegt sind.
Die CIDR-Notation ist kurz, aber nicht immer flexibel genug. Vielleicht
möchten Sie z.B. 192.168.0.0/16 scannen, aber IPs auslassen, die mit .0
oder .255 enden, weil sie als Unternetzwerk und Broadcast-Adressen
benutzt werden können. Nmap unterstützt das in Form einer
Oktett-Bereichsadressierung. Statt eine normale IP-Adresse anzugeben,
können Sie eine mit Kommata getrennte Liste von Zahlen oder Bereichen
für jedes Oktett angeben. Zum Beispiel überspringt 192.168.0-255.1-254
alle Adressen im Bereich, die mit .0 oder .255 enden, und
192.168.3-5,7.1 scannt die vier Adressen 192.168.3.1, 192.168.4.1,
192.168.5.1 und 192.168.7.1. Beide Bereichsgrenzen können weggelassen
werden, die Standardwerte sind 0 für die linke und 255 für die rechte
Grenze. Wenn Sie allein - benutzen, ist das identisch mit 0-255, aber
denken Sie daran, im ersten Oktett 0- zu benutzen, damit die Zielangabe
nicht wie eine Kommandozeilenoption aussieht. Diese Bereiche müssen
nicht auf die endgültigen Oktetts beschränkt sein: die Angabe
0-255.0-255.13.37 führt einen internetweiten Scan über alle IP-Adressen
aus, die mit 13.37 enden. Diese Art von breiter Abtastung kann bei
Internet-Umfragen und -Forschungen hilfreich sein.
IPv6-Adressen können nur durch ihre vollständige IPv6-Adresse oder
ihren Hostnamen angegeben werden. CIDR und Oktettbereiche werden für
IPv6 nicht unterstützt, weil sie selten nützlich sind.
Nmap akzeptiert in der Kommandozeile mehrere Host-Angaben, die auch
nicht vom selben Typ sein müssen. Der Befehl nmap scanme.nmap.org
192.168.0.0/8 10.0.0,1,3-7.- macht also das, was Sie erwarten würden.
Auch wenn Ziele normalerweise in der Kommandozeile angegeben werden,
gibt es auch die folgenden Optionen, um die Zielauswahl zu steuern:
-iL inputfilename (Eingabe aus einer Liste) .
Eine sehr lange Liste von Hosts in der Kommandozeile anzugeben ist
oft sehr umständlich, kommt aber sehr häufig vor. Ihr DHCP-Server
z.B. exportiert vielleicht eine Liste von 10.000 aktuellen
Adresszuweisungen (engl. leases), die Sie scannen möchten. Oder
vielleicht möchten Sie alle IP-Adressen außer denjenigen scannen,
um Hosts zu finden, die unautorisierte statische IP-Adressen
benutzen. Erzeugen Sie einfach die Liste der zu scannenden Hosts
und übergeben Sie deren Dateinamen als Argument zur Option -iL an
Nmap. Die Einträge dürfen alle Formate haben, die Nmap auf der
Kommandozeile akzeptiert (IP-Adresse, Hostname, CIDR, IPv6 oder
Oktettbereiche). Alle Einträge müssen durch ein oder mehrere
Leerzeichen, Tabulatoren oder Zeilenumbrüche getrennt sein. Wenn
Sie einen Bindestrich (-) als Dateinamen angeben, liest Nmap die
Hosts von der Standardeingabe statt aus einer normalen Datei.
-iR num hosts (zufällige Auswahl von Zielen) .
Für internetweite Umfragen und andere Forschungsaktivitäten möchten
Sie Ziele vielleicht zufällig auswählen. Das kann man mit der
Option -iR, die als Argument die Anzahl der zu erzeugenden IPs
annimmt. Nmap lässt automatisch bestimmte unerwünschte IPs aus, wie
solche in privaten, Multicast- oder unbesetzten Adressbereichen.
Für einen endlosen Scan kann man das Argument 0 angeben. Denken Sie
aber daran, dass manche Netzwerkadministratoren sich gegen
unautorisierte Scans ihrer Netzwerke sträuben. Lesen Sie „“
sorgfältig, bevor Sie -iR benutzen.
Falls Sie mal an einem regnerischen Tag wirklich Langeweile haben,
probieren Sie einmal den Befehl nmap -sS -PS80 -iR 0 -p 80. aus, um
zufällig Webserver zu finden, auf denen Sie herumstöbern können.
--exclude host1[,host2[,...]] (Ziele ausklammern) .
Gibt eine mit Kommata getrennte Liste von Zielen an, die vom Scan
ausgeschlossen sein sollen, selbst wenn sie in den angegebenen
Netzwerkbereich fallen. Die übergebene Liste benutzt die normale
Nmap-Syntax und kann folglich Hostnamen, CIDR-Netzblöcke,
Oktettbereiche usw. enthalten. Das kann nützlich sein, wenn das zu
scannende Netzwerk hochkritische Server und Systeme enthält, die
man nicht anfassen darf, weil sie bekanntermaßen ungünstig auf
Port-Scans reagieren, oder Unternetze, die von anderen Leuten
administriert werden.
--excludefile exclude_file (Liste aus Datei ausklammern) .
Das bietet dieselbe Funktionalität wie die Option --exclude, mit
dem Unterschied, dass die ausgeklammerten Ziele in der mit
Zeilenumbrüchen, Leerzeichen oder Tabulatoren getrennten Datei
exclude_file statt auf der Kommandozeile angegeben werden.
HOST-ERKENNUNG
Einer der allerersten Schritte bei jeder Netzwerkerkundung ist die
Reduktion einer (manchmal riesigen) Menge von IP-Bereichen auf eine
Liste aktiver oder interessanter Hosts. Wenn man für alle einzelnen
IP-Adressen alle Ports scannt, so ist das nicht nur langsam, sondern
normalerweise auch unnötig. Was einen Host interessant macht, hängt
natürlich stark vom Zweck der Untersuchung ab. Netzwerkadministratoren
interessieren sich vielleicht nur für Hosts, auf denen ein bestimmter
Dienst läuft, während Sicherheitsprüfer sich vielleicht für alle Geräte
interessieren, die eine IP-Adresse haben. Ein Administrator benötigt
vielleicht nur einen ICMP-Ping, um Hosts in seinem internen Netzwerk zu
finden, während ein externer Penetrationstester vielleicht Dutzende
ganz verschiedener Tests einsetzen wird, um zu versuchen, die
Firewall-Beschränkungen zu umgehen.
Da die Anforderungen bei der Host-Erkennung so verschieden sind, bietet
Nmap eine breite Palette von Optionen zur Anpassung der eingesetzten
Verfahren. Trotz seines Namens geht ein Ping-Scan weit über die
einfachen ICMP Echo-Request-Pakete hinaus, die mit dem allgegenwärtigen
Werkzeug ping verbunden sind. Man kann den Ping-Schritt völlig
auslassen, indem man einen List-Scan (-sL) benutzt, Ping ausschaltet
(-PN) oder beliebige Kombinationen von Multi Port TCP-SYN/ACK, UDP- und
ICMP-Testanfragen auf ein Netzwerk loslässt. Der Zweck dieser Anfragen
ist der, Antworten hervorzurufen, die zeigen, dass eine IP-Adresse
tatsächlich aktiv ist (d.h. von einem Host oder Gerät im Netzwerk
benutzt wird). In vielen Netzwerken ist nur ein kleiner Prozentsatz von
IP-Adressen zu einem bestimmten Zeitpunkt aktiv. Das gilt besonders für
einen privaten Adressraum wie 10.0.0.0/8. Dieses Netzwerk enthält 16,8
Millionen IPs, aber ich habe auch Firmen gesehen, die es mit weniger
als tausend Rechnern benutzen. Mit der Host-Erkennung kann man diese
spärlichen Rechnerinseln in einem Meer von IP-Adressen finden.
Falls keine Optionen für die Host-Erkennung angegeben werden, sendet
Nmap ein TCP-ACK-Paket an Port 80 und ein ICMP Echo-Request an alle
Zielrechner. Eine Ausnahme ist, dass bei allen Zielen in einem lokalen
Ethernet-Netzwerk ein ARP-Scan benutzt wird. Für unprivilegierte
Unix-Shell-Benutzer wird mit dem connect-Systemaufruf ein SYN-Paket
statt eines ACK gesendet.. Diese Standardeinstellungen sind äquivalent
zu den Optionen -PA -PE. Diese Host-Erkennung ist oft ausreichend, wenn
man lokale Netzwerke scannt, aber für Sicherheitsüberprüfungen
empfiehlt sich eine umfangreichere Menge von Erkennungstestpaketen.
Die Optionen -P* (die Ping-Typen auswählen) lassen sich kombinieren.
Sie können Ihre Chancen steigern, bei strengen Firewalls durchzukommen,
indem Sie viele Testpaketarten mit verschiedenen TCP-Ports/-Flags und
ICMP-Codes senden. Beachten Sie auch, dass die ARP-Erkennung (-PR). bei
Zielen in einem lokalen Ethernet-Netzwerk standardmäßig erfolgt, selbst
dann, wenn Sie andere -P*-Optionen angeben, weil sie fast immer
schneller und effizienter ist.
Standardmäßig führt Nmap eine Host-Erkennung und dann einen Port-Scan
auf jedem Host aus, den es als online erkennt. Das gilt auch dann, wenn
Sie nicht standardmäßige Host-Erkennungstypen wie UDP-Testpakete (-PU)
angeben. Lesen Sie über die Option -sP nach, um zu lernen, wie man nur
eine Host-Erkennung durchführt, oder über -PN, um die Host-Erkennung zu
überspringen und einen Port-Scan aller Zielhosts durchzuführen.
Folgende Optionen steuern die Host-Erkennung:
-sL (List-Scan) .
Ein List-Scan ist eine degenerierte Form der Host-Erkennung, die
einfach jeden Host im angegebenen Netzwerk (bzw. den Netzwerken)
auflistet, ohne Pakete an die Ziel-Hosts zu senden. Standardmäßig
führt Nmap immer noch eine Reverse-DNS-Auflösung der Hosts durch,
um deren Namen zu lernen. Es ist oft erstaunlich, wie viel
nützliche Informationen einfache Hostnamen verraten. Zum Beispiel
ist fw.chi der Name einer Firewall einer Firma in Chicago. Nmap
gibt am Ende auch die gesamte Anzahl der IP-Adressen aus. Ein
List-Scan ist eine gute Plausibilitätsprüfung, um sicherzustellen,
dass Sie saubere IP-Adressen für Ihre Ziele haben. Falls die Hosts
Domainnamen enthalten, die Ihnen nichts sagen, lohnt sich eine
weitere Untersuchung, um zu verhindern, dass Sie das Netzwerk der
falschen Firma scannen.
Da die Idee einfach die ist, eine Liste der Zielhosts auszugeben,
lassen sich Optionen für eine höhere Funktionalität wie z.B.
Port-Scanning, Betriebssystemerkennung oder Ping-Scanning damit
nicht kombinieren. Falls Sie einen Ping-Scan abschalten und
trotzdem solch höhere Funktionalität durchführen möchten, lesen Sie
bei der Option -PN weiter.
-sP (Ping-Scan) .
Diese Option verlangt, dass Nmap nur einen Ping-Scan
(Host-Erkennung) durchführt und dann die verfügbaren Hosts ausgibt,
die auf den Scan geantwortet haben. Darüber hinaus werden keine
weiteren Tests (z.B. Port-Scans oder Betriebssystemerkennung)
durchgeführt, außer bei Host-Scripts mit der Nmap Scripting Engine
und traceroute-Tests, sofern Sie diese Optionen angegeben haben.
Das ist eine Stufe aufdringlicher als ein List-Scan und kann oft
für dieselben Zwecke benutzt werden. Sie führt schnell eine
schwache Aufklärung des Zielnetzwerks durch, ohne viel
Aufmerksamkeit zu erregen. Für Angreifer ist es wertvoller, zu
wissen, wie viele Hosts verfügbar sind, als die Liste aller IPs und
Hostnamen aus einem List-Scan zu kennen.
Für Systemadministratoren ist diese Option oft ebenfalls wertvoll.
Mit ihr kann man sehr leicht die verfügbaren Rechner in einem
Netzwerk zählen oder die Server-Verfügbarkeit überwachen. So etwas
nennt man oft auch einen Ping-Sweep, und es ist zuverlässiger als
ein Pinging auf die Broadcast-Adresse, weil viele Hosts auf
Broadcast-Anfragen nicht antworten.
Die Option -sP sendet standardmäßig einen ICMP Echo-Request und ein
TCP-ACK-Paket an Port 80. Bei Ausführung ohne Sonderrechte wird nur
ein SYN-Paket (mit einem connect-Aufruf) an Port 80 an das Ziel
gesendet. Wenn ein Benutzer mit Sonderrechten versucht, Ziele in
einem lokalen Ethernet-Netzwerk zu scannen, werden ARP-Requests
verwendet, es sei denn, die Option --send-ip wird angegeben. Die
Option -sP kann mit allen Erkennungsmethoden (die Optionen -P*,
außer -PN) kombiniert werden, um eine höhere Flexibilität zu
erhalten. Falls zwischen dem Ausgangs-Host, auf dem Nmap läuft, und
dem Zielnetzwerk strenge Firewalls installiert sind, empfehlen sich
diese fortgeschrittenen Methoden. Ansonsten könnten Hosts übersehen
werden, wenn die Firewall Testanfragen oder Antworten darauf
verwirft
-PN (Ping abschalten) .
Eine weitere Möglichkeit ist die, die Erkennungsphase von Nmap
völlig auszulassen. Normalerweise bestimmt Nmap in dieser Phase
aktive Rechner, die es anschließend stärker scannt. Standardmäßig
führt Nmap heftigere Tests wie Port-Scans, Versions- oder
Betriebssystemerkennung bei Hosts durch, die es bereits als aktiv
eingestuft hat. Das Ausschalten der Host-Erkennung mit der Option
-PN bewirkt, dass Nmap versucht, die gewünschten Scan-Funktionen
auf allen angegebenen Ziel-IP-Adresssen durchzuführen. Wenn also
ein Zieladressraum der Größe Klasse B (/16) auf der Kommandozeile
angegeben wird, werden alle 65.536 IP-Adressen gescannt. Eine
richtige Host-Erkennung wird wie bei einem List-Scan übersprungen,
aber statt anzuhalten und die Zielliste auszugeben, fährt Nmap mit
der Durchführung der gewünschten Funktionen fort, so als ob jede
Ziel-IP aktiv wäre. Bei Rechnern im lokalen Ethernet-Netzwerk wird
ein ARP-Scan weiterhin ausgeführt (es sei denn, es wird --send-ip
angegeben), da Nmap MAC-Adressen braucht, um Zielhosts weiter zu
scannen. Diese Option lautete früher einaml P0 (mit einer Null),
wurde dann aber umbenannt, um Verwirrung mit der Option PO von
Protokoll-Pings (benutzt den Buchstaben O) zu vermeiden.
-PS port list (TCP-SYN-Ping) .
Diese Option sendet ein leeres TCP-Paket mit gesetztem SYN-Flag.
Der vorgegebene Zielport ist 80 (lässt sich zum Zeitpunkt des
Kompilierens durch Ändern von DEFAULT_TCP_PROBE_PORT_SPEC. in
nmap.h konfigurieren),. aber man kann einen alternativen Port als
Parameter angeben. Die Syntax ist dieselbe wie bei -p, mit dem
Unterschied, dass Porttypenbezeichner wie T: nicht erlaubt sind.
Beispiele hierfür sind -PS22 und -PS22-25,80,113,1050,35000.
Beachten Sie, dass es kein Leerzeichen zwischen -PS und der
Port-Liste geben darf. Falls mehrere Tests angegeben werden, werden
sie parallel durchgeführt.
Das SYN-Flag bedeutet für das entfernte System, dass Sie versuchen,
eine Verbindung herzustellen. Normalerweise wird der Zielport
geschlossen sein, und es wird ein RST-(Reset-)Paket
zurückgeschickt. Falls der Port offen ist, führt das Ziel den
zweiten Schritt eines TCP-three-way-handshake durch, indem es mit
einem SYN/ACK-TCP-Paket antwortet. Der Rechner, auf dem Nmap läuft,
bricht dann die entstehende Verbindung ab, indem er mit einem RST
antwortet, statt ein ACK-Paket zu senden, mit dem der three-way
handshake komplett und eine vollständige Verbindung hergestellt
wäre. Das RST-Paket wird als Antwort auf das unerwartete SYN/ACK
vom Betriebssystem-Kernel des Rechners gesendet, auf dem Nmap
läuft, nicht von Nmap selbst.
Für Nmap ist es egal, ob der Port offen oder geschlossen ist. Aus
beiden Antworten, ob RST oder SYN/ACK, schließt Nmap, dass der Host
verfügbar ist und antwortet.
Auf Unix-Rechnern kann im Allgemeinen nur der mit Sonderrechten
ausgestattete Benutzer root. rohe TCP-Pakete senden und empfangen..
Bei normalen Benutzern kommt automatisch eine Umgehungslösung zum
Tragen,. bei der für alle Zielports der connect-Systemaufruf
verwendet wird. Das bewirkt, dass an den Zielhost ein SYN-Paket
gesendet wird, mit der Absicht, eine Verbindung herzustellen. Falls
connect schnell ein erfolgreiches Ergebnis oder einen
ECONNREFUSED-Fehler zurückgibt, muss der darunterliegende TCP-Stack
ein SYN/ACK oder RST empfangen haben, und der Host wird als
verfügbar vermerkt. Falls der Verbindungsversuch hängenbleibt, bis
eine Zeitbeschränkung erreicht ist, wird der Host als inaktiv
vermerkt. Diese Behelfslösung wird auch bei IPv6-Verbindungen
verwendet, da Nmap den Bau roher IPv6-Pakete noch nicht
unterstützt..
-PA port list (TCP-ACK-Ping) .
Der TCP-ACK-Ping ist ziemlich ähnlich zum SYN-Ping. Der Unterschied
ist der, dass das TCP-ACK-Flag statt dem SYN-Flag gesetzt wird, was
Sie sich bestimmt schon gedacht haben. Ein solches ACK-Paket
erweckt den Eindruck, es wolle Daten auf einer bestehenden
TCP-Vebindung bestätigen, während eine solche Verbindung gar nicht
existiert. Entfernte Hosts sollten darauf immer mit einem RST-Paket
antworten, wobei sie ihre Existenz verraten.
Die Option -PA benutzt denselben Standard-Port wie der SYN-Test
(80) und nimmt ebenfalls eine Liste von Zielports im selben Format
an. Falls ein unprivilegierter Benutzer das ausprobiert oder falls
ein IPv6-Ziel angegeben wird, wird die bereits erwähnte
Behelfslösung mit connect eingesetzt. Diese ist nicht perfekt, da
connect tatsächlich ein SYN-Paket statt eines ACK sendet.
Der Grund für die Existenz sowohl von SYN- als auch ACK-Ping-Tests
liegt darin, die Chancen für die Umgehung von Firewalls zu erhöhen.
Viele Administratoren konfigurieren Router und andere einfache
Firewalls so, dass sie eingehende SYN-Pakete blockieren, außer bei
solchen für öffentliche Dienste wie bei der Website oder dem
Mailserver der Firma. Das verhindert weitere eingehende
Verbindungen zur Organisation, während es den Benutzern freie
Verbindungen ins Internet erlaubt. Dieser zustandslose Ansatz
benötigt wenige Ressourcen in der Firewall bzw. im Router und wird
von Hardware- und Software-Filtern weithin unterstützt. Die
Firewall-Software Netfilter/iptables. in Linux bietet die
komfortable Option --syn, um diesen zustandslosen Ansatz zu
implementieren. Wenn solche Firewall-Regeln vorhanden sind, werden
SYN-Ping-Tests (-PS), die an geschlossene Zielports gesendet
werden, sehr wahrscheinlich blockiert. In solchen Fällen greift der
ACK-Test, da er diese Regeln einfach kappt.
Eine weitere häufige Art von Firewalls verwendet zustandsbehaftete
Regeln, die unerwartete Pakete verwerfen. Dieses Merkmal konnte man
zuerst bei hochwertigen Firewalls finden, es hat sich aber mit der
Zeit deutlich verbreitet. In Linux unterstützt das
Netfilter/iptables-System das mit der Option --state, die Pakete
nach einem Verbindungszustand kategorisiert. In solchen Fällen hat
der SYN-Test eine wesentlich bessere Chance auf Erfolg, da
unerwartete ACK-Pakete im Allgemeinen als fehlerhaft erkannt und
verworfen werden. Eine Lösung aus diesem Dilemma besteht darin, mit
-PS und -PA SYN- und ACK-Testpakete zu senden.
-PU port list (UDP-Ping) .
Eine weitere Möglichkeit bei der Host-Erkennung ist der UDP-Ping,
bei dem ein leeres (außer bei Angabe von --data-length) UDP-Paket
an die angegebenen Ports gesendet wird. Die Portliste hat dasselbe
Format wie bei den weiter oben beschriebenen Optionen -PS und -PA.
Falls keine Ports angegeben werden, ist die Standardeinstellung
31338. Dieser Wert kann zum Zeitpunkt des Kompilierens dürch
Änderung von DEFAULT_UDP_PROBE_PORT_SPEC. in nmap.h konfiguriert
werden.. Es wird absichtlich ein sehr unwahrscheinlicher Port
verwendet, weil bei dieser bestimmten Art des Scannens das Senden
an offene Ports oft unerwünscht ist.
Trifft der UDP-Test beim Zielrechner auf einen geschlossenen Port,
so sollte dieser ein ICMP-Paket zurückschicken, das besagt, dass
der Port nicht erreichbar ist. Daraus schließt Nmap, dass der
Rechner läuft und verfügbar ist. Viele weitere Arten von
ICMP-Fehlern, z.B. bei unerreichbaren Hosts/Netzwerken oder
überschrittener TTL (Time To Live), sind Zeichen für einen
abgeschalteten oder unerreichbaren Host. Auch eine ausbleibende
Antwort wird so interpretiert. Falls ein offener Port erreicht
wird, ignorieren die meisten Dienste das leere Paket einfach und
geben keine Antwort zurück. Deswegen wird als Standardport 31338
benutzt, bei dem es sehr unwahrscheinlich ist, dass er benutzt
wird. Einige Dienste, wie z.B. das Character Generator-Protokoll
(chargen), antworten auf ein leeres UDP-Paket und enthüllen damit
Nmap gegenüber, dass der Rechner zugänglich ist.
Der Hauptvorteil dieses Scan-Typs liegt darin, dass er Firewalls
und Filter umgeht, die nur TCP überprüfen. Ich hatte z.B. einmal
ein BEFW11S4, einen Wireless-Breitband-Router von Linksys. Die
externe Schnittstelle dieses Geräts filterte standardmäßig alle
TCP-Ports, aber UDP-Tests entlockten ihm weiterhin Meldungen über
unerreichbare Ports und verrieten damit das Gerät.
-PE; -PP; -PM (ICMP-Ping-Arten) .
Zusätzlich zu den genannten ungewöhnlichen TCP- und
UDP-Host-Erkennungsarten kann Nmap auch Standardpakete senden, wie
sie das allgegenwärtige Programm ping sendet. Nmap sendet ein ICMP
Typ-8-Paket (Echo-Request) an die Ziel-IP-Adressen und erwartet
eine Typ-0-Antwort (Echo-Reply) vom verfügbaren Host.. Zum
Leidwesen von Netzwerkerkundern blockieren viele Hosts und
Firewalls heute diese Pakete, statt, wie in RFC 1122[1] verlangt,
darauf zu antworten. Aus diesem Grund sind ICMP-Scans allein bei
unbekannten Zielen über das Internet selten zuverlässig genug. Aber
für Systemadministratoren, die ein internes Netzwerk überwachen,
kann das ein praktischer und wirksamer Ansatz sein. Benutzen Sie
die Option -PE, um dieses Verhalten mit Echo-Requests
einzuschalten.
Auch wenn ein Echo-Request die Standard-ICMP-Ping-Abfrage ist, hört
Nmap hier nicht auf. Der ICMP-Standard (RFC 792[2]) spezifiziert
auch Anfragepakete für Zeitstempel, Information und Adressmaske mit
den jeweiligen Codes 13, 15 und 17. Während diese Anfragen
angeblich den Zweck haben, an Informationen wie Address Mask und
Timestamp zu gelangen, können sie auch leicht für die
Host-Erkennung benutzt werden. Im Moment implementiert Nmap keine
Information-Request-Pakete, da sie nicht weit verbreitet sind (RFC
1122 besteht darauf, dass „ein Host diese Nachrichten NICHT
implementieren SOLLTE“). Anfragen nach Timestamp und Address Mask
können jeweils mit den Optionen -PP und -PM gesendet werden. Eine
Timestamp-Antwort (ICMP-Code 14) oder Address-Mask-Antwort (Code
18) enthüllt, dass der Host greifbar ist. Diese beiden Abfragen
können wertvoll sein, wenn Administratoren ausdrücklich
Echo-Request-Pakete blockieren, aber vergessen, dass man für den
gleichen Zweck auch andere ICMP-Abfragen benutzen kann.
-PO protocol list (IP-Protokoll-Ping) .
Die neueste Möglichkeit der Host-Erkennung ist ein
IP-Protokoll-Ping, der IP-Pakete sendet, in deren IP-Header die
angegebene Protokollnummer gesetzt ist. Die Protokoll-Liste hat
dasselbe Format wie Portlisten bei den weiter oben vorgestellten
Optionen der TCP- und UDP-Host-Erkennung. Ohne Angabe von
Protokollen werden standardmäßig mehrere IP-Pakete für ICMP
(Protokoll 1), IGMP (Protokoll 2) und IP-in-IP (Protokoll 4)
gesendet. Die Standardprotokolle können zum Zeitpunkt des
Kompilierens durch Veränderung von DEFAULT_PROTO_PROBE_PORT_SPEC.
in nmap.h konfiguriert werden. Beachten Sie, dass für ICMP, IGMP,
TCP (Protokoll 6) und UDP (Protokoll 17) die Pakete mit den
richtigen Protokoll-Headern gesendet werden, während andere
Protokolle ohne weitere Daten über den IP-Header hinaus gesendet
werden (es sei denn, die Option --data-length wird angegeben).
Diese Methode der Host-Erkennung sucht nach Antworten, die entweder
dasselbe Protokoll wie der Test haben, oder Meldungen, dass das
ICMP-Protokoll nicht erreichbar ist, was bedeutet, dass das
gegebene Protokoll vom Zielhost nicht unterstützt wird. Beide
Antworten bedeuten, dass der Zielhost am Leben ist.
-PR (ARP-Ping) .
Eines der häufigsten Einsatzszenarien für Nmap ist das Scannen
eines Ethernet-LANs. In den meisten LANs, besonders jenen, die
durch RFC 1918[3] erteilte private Adressbereiche verwenden, wird
der Großteil der IP-Adressen meistens nicht genutzt. Wenn Nmap
versucht, ein rohes IP-Paket wie z.B. ein ICMP Echo-Request zu
senden, muss das Betriebssystem die der Ziel-IP entsprechende
Hardware-Zieladresse (ARP) bestimmen, damit es den Ethernet-Frame
korrekt adressieren kann. Das ist oft langsam und problematisch, da
Betriebssysteme nicht in der Erwartung geschrieben wurden, dass sie
in kurzer Zeit Millionen von ARP-Anfragen bei nicht erreichbaren
Hosts durchführen müssen.
Beim ARP-Scan ist Nmap mit seinen optimierten Algorithmen zuständig
für ARP-Anfragen. Und wenn es eine Antwort erhält, muss sich Nmap
nicht einmal um die IP-basierten Ping-Pakete kümmern, da es bereits
weiß, dass der Host aktiv ist. Das macht den ARP-Scan viel
schneller und zuverlässiger als IP-basierte Scans. Deswegen wird er
standardmäßig ausgeführt, wenn Ethernet-Hosts gescannt werden, bei
denen Nmap bemerkt, dass sie sich in einem lokalen
Ethernet-Netzwerk befinden. Selbst wenn verschiedene Ping-Arten
(wie z.B. -PE oder -PS) angegeben werden, benutzt Nmap stattdessen
ARP bei allen Zielen, die im selben LAN sind. Wenn Sie einen
ARP-Scan auf gar keinen Fall durchführen möchten, geben Sie
--send-ip an.
--traceroute (Traceroutes zum Host) .
Traceroutes werden nach einem Scan mit Hilfe der Information aus
den Scan-Ergebnissen durchgeführt, um den wahrscheinlichsten Port
und das wahrscheinlichste Protokoll zu bestimmen, die zum Ziel
führen. Es funktioniert mit allen Scan-Arten außer Connect-Scans
(-sT) und Idle-Scans (-sI). Alle Traces benutzen Nmaps dynamisches
Timing-Modell und werden parallel durchgeführt.
Traceroute funktioniert dadurch, dass es Pakete mit kurzer TTL
(Time To Live) sendet und damit versucht, ICMP
Time-Exceeded-Nachrichten von Sprungstellen zwischen dem Scanner
und dem Zielhost hervorzurufen. Standardimplementationen von
Traceroute fangen mit einer TTL von 1 an und inkrementieren die
TTL, bis der Zielhost erreicht ist. Nmaps Traceroute fängt mit
einer hohen TTL an und verringert sie, bis sie Null erreicht. Durch
dieses umgekehrte Vorgehen kann Nmap clevere Caching-Algorithmen
benutzen, um Traces über mehrere Hosts zu beschleunigen. Im
Durchschnitt sendet Nmap je nach Netzwerkbedingungen 5–10 Pakete
weniger pro Host. Wenn ein einziges Unternetz gescannt wird (z.B.
192.168.0.0/24), muss Nmap an die meisten Hosts eventuell nur ein
einziges Paket senden.
-n (keine DNS-Auflösung) .
Weist Nmap an, niemals eine Reverse-DNS-Auflösung. bei den
gefundenen aktiven IP-Adressen durchzuführen. Da DNS selbst mit
Nmaps eingebautem parallelen Stub-Resolver langsam sein kann, kann
diese Option die Scan-Zeiten dramatisch reduzieren.
-R (DNS-Auflösung für alle Ziele) .
Weist Nmap an, immer eine Reverse-DNS-Auflösung bei den
Ziel-IP-Adressen durchzuführen. Normalerweise wird Reverse-DNS nur
bei anwortenden Hosts (die online sind) durchgeführt.
--system-dns (verwendet DNS-Auflösung des Systems) .
Standardmäßig löst Nmap IP-Adressen auf, indem es Anfragen direkt
an die auf Ihrem Host konfigurierten Nameserver schickt und dann
auf Antworten wartet. Um die Performance zu erhöhen, werden viele
Anfragen (oftmals Dutzende) parallel ausgeführt. Wenn Sie diese
Option angeben, verwenden Sie stattdessen die Auflösungsmethode
Ihres Systems (zu jedem Zeitpunkt nur eine IP mit dem Aufruf
getnameinfo call). Das ist langsam und selten nützlich, es sei
denn, Sie finden einen Fehler bei der parallelen Auflösung in Nmap
(bitte teilen Sie uns das mit). Bei IPv6-Scans wird immer die
Auflösungsmethode des Systems verwendet.
--dns-servers server1[,server2[,...]] (Server, die für
Reverse-DNS-Anfragen benutzt werden) .
Standardmäßig bestimmt Nmap Ihre DNS-Server (für die
rDNS-Auflösung) aus Ihrer Datei resolv.conf (Unix) oder der
Registry (Win32). Mit dieser Option können Sie alternative Server
dazu angeben. Diese Option bleibt unbeachtet, falls Sie
--system-dns oder einen IPv6-Scan benutzen. Oft ist es schneller,
mehrere DNS-Server zu benutzen, besonders dann, wenn Sie für Ihren
Ziel-IP-Raum maßgebende Server benutzen. Diese Option kann auch die
Heimlichkeit erhöhen, da Ihre Anfragen von fast jedem rekursiven
DNS-Server im Internet abprallen können.
Diese Option ist auch beim Scannen privater Netzwerke praktisch.
Manchmal bieten nur einige wenige Nameserver saubere
rDNS-Information, und Sie wissen vielleicht nicht einmal, wo sie
sind. Sie können das Netzwerk auf Port 53 scannen (vielleicht mit
Versionserkennung), dann Nmap-List-Scans versuchen (-sL) und dabei
mit der Option --dns-servers immer nur einen Nameserver angeben,
bis Sie einen finden, der funktioniert.
GRUNDLAGEN VON PORT-SCANS
Nmap hat über die Jahre an Funktionalität zugelegt, aber angefangen hat
es als effizienter Port-Scanner, und das ist weiterhin seine
Kernfunktion. Der einfache Befehl nmap target scannt die am häufigsten
verwendeten 1000 TCP-Ports auf dem Host target und klassifiziert jeden
Port in einen der Zustände offen, geschlossen, gefiltert, ungefiltert,
offen|gefiltert oder geschlossen|gefiltert.
Diese Zustände sind keine echten Eigenschaften eines Ports selbst,
sondern beschreiben, wie Nmap ihn sieht. Ein Nmap-Scan z.B., bei dem
Ausgangs- und Zielnetzwerk identisch sind, könnte Port 135/tcp als
offen anzeigen, während ein Scan zur selben Zeit mit denselben Optionen
über das Internet diesen Port als gefiltert anzeigen könnte.
Die sechs von Nmap erkannten Port-Zustände
Ein Programm ist bereit, TCP-Verbindungen oder UDP-Pakete auf
diesem Port anzunehmen. Beim Port-Scanning ist es oftmals das Ziel,
solche Ports zu finden. Sicherheitsbewusste Leute wissen, dass
jeder offene Port eine breite Einfahrtstrasse für Angriffe
darstellt. Angreifer und Penetrationstester wollen offene Ports
ausbeuten (engl. exploit), während Administratoren versuchen, sie
zu schließen oder mit Firewalls zu schützen, ohne legitime Benutzer
zu behindern. Offene Ports sind auch für Scans von Interesse, bei
denen es nicht um Sicherheit geht, weil sie Dienste anzeigen, die
im Netzwerk benutzt werden können.
Ein geschlossener Port ist erreichbar (er empfängt und antwortet
auf Nmap-Testpakete), aber es gibt kein Programm, das ihn abhört.
Er kann von Nutzen sein, um zu zeigen, dass ein Host online ist und
eine IP-Adresse benutzt (Host-Erkennung oder Ping-Scanning), sowie
als Teil der Betriebssystemerkennung. Weil geschlossene Ports
erreichbar sind, sind sie es wert, gescannt zu werden, falls sie
später einmal geöffnet werden sollten. Administratoren möchten
solche Ports vielleicht mit einer Firewall blockieren, damit sie im
Zustand gefiltert erscheinen, der als Nächstes beschrieben wird.
Nmap kann nicht feststellen, ob der Port offen ist, weil eine
Paketfilterung verhindert, dass seine Testpakete den Port
erreichen. Die Filterung könnte durch dafür vorgesehene
Firewall-Geräte, Router-Regeln oder hostbasierte Firewall-Software
erfolgen. Weil sie so wenig Information bringen, sind diese Ports
für Angreifer frustrierend. Manchmal antworten sie mit
ICMP-Fehlermeldungen wie Typ 3, Code 13 (Destination Unreachable:
Communication Administratively Prohibited), aber Filter, die
Testpakete ohne Antwort einfach verwerfen, kommen wesentlich
häufiger vor. Das zwingt Nmap zu mehreren wiederholten Versuchen,
um auszuschließen, dass das Testpaket wegen einer
Netzwerküberlastung statt durch eine Filterung verworfen wurde.
Diese Art der Filterung verlangsamt einen Scan dramatisch.
Der Zustand ungefiltert bedeutet, dass ein Port zugänglich ist,
aber Nmap nicht feststellen kann, ob er offen oder geschlossen ist.
Nur der ACK-Scan, der benutzt wird, um Firewall-Regelwerke zu
bestimmen, klassifiziert Ports in diesen Zustand. Um festzustellen,
ob ein ungefilterter Port offen ist, kann es hilfreich sein, ihn
mit anderen Scan-Methoden wie Window-Scan, SYN-Scan oder FIN-Scan
zu scannen.
Nmap klassifiziert einen Port in diesen Zustand, wenn es nicht
feststellen kann, ob der Port offen oder gefiltert ist. Das kommt
bei Scan-Methoden vor, in denen offene Ports keine Antwort geben.
Das Fehlen einer Antwort könnte auch bedeuten, dass ein Paketfilter
das Testpaket verworfen hat oder dass keine Antwort provoziert
werden konnte. Deswegen weiß Nmap nicht sicher, ob der Port offen
ist oder gefiltert wird. Ports werden von den UDP-, IP-Protokoll-,
FIN-, NULL- und Xmas-Scans auf diese Weise klassifiziert.
Dieser Zustand wird benutzt, wenn Nmap nicht feststellen kann, ob
ein Port geschlossen ist oder gefiltert wird. Er wird nur vom
IP-ID-Idle-Scan benutzt.
PORT-SCANNING-METHODEN
Als Hobby-Automechaniker kann ich mich stundenlang damit herumquälen,
meine einfachsten Werkzeuge (Hammer, Klebeband, Schraubenschlüssel
etc.) an mein Problem anzupassen. Wenn ich dann kläglich versage und
meine alte Blechkiste zu einem echten Mechaniker schleppe, fischt er
immer so lange in einer riesigen Werkzeugkiste herum, bis er das
perfekte Ding gefunden hat, mit dem sich die Aufgabe fast von allein
löst. Bei der Kunst des Port-Scannings ist es ähnlich. Experten kennen
Dutzende von Scan-Methoden und wählen für jede Aufgabe die geeignete
(oder eine Kombination von mehreren) aus. Auf der anderen Seite
versuchen unerfahrene Benutzer und Script-Kiddies,. jedes Problem mit
dem standardmäßigen SYN-Scan zu lösen. Da Nmap gratis ist, ist Unwissen
das einzige Hindernis auf dem Weg zur Meisterschaft im Port-Scanning.
Das ist bestimmt besser als in der Autowelt, wo man eventuell sehr viel
Können haben muss, um festzustellen, dass man einen
Federbein-Kompressor benötigt, und dann immer noch Tausende dafür
bezahlen muss.
Die meisten Scan-Typen stehen nur privilegierten Benutzern zur
Verfügung,. und zwar deswegen, weil sie rohe IP-Pakete. senden und
empfangen, wofür auf Unix-Systemen root-Rechte benötigt werden. Auf
Windows empfiehlt sich ein Administrator-Account, wenngleich auf dieser
Plattform Nmap manchmal auch für unprivilegierte Benutzer funktioniert,
sofern WinPcap bereits in das Betriebssystem geladen wurde. Als Nmap
1997 veröffentlicht wurde, war die Voraussetzung von root-Rechten eine
ernsthafte Beschränkung, da viele Benutzer nur Zugriff zu
Shell-Accounts hatten. Die Welt von heute ist anders. Computer sind
billiger, wesentlich mehr Menschen verfügen über einen immer
verfügbaren direkten Internet-Zugang, und Desktop-Unix-Systeme
(inklusive Linux und Mac OS X) sind weit verbreitet. Eine
Windows-Version von Nmap ist nun auch verfügbar, wodurch es nun auf
noch mehr Rechnern laufen kann. Aus all diesen Gründen sind Benutzer
nur noch selten gezwungen, Nmap von einem beschränkten Shell-Account
aus einzusetzen. Das ist erfreulich, denn die privilegierten Optionen
machen Nmap wesentlich mächtiger und flexibler.
Auch wenn Nmap versucht, genaue Ergebnisse zu produzieren, sollten Sie
nicht vergessen, dass all seine Erkenntnisse auf Paketen basieren, die
von den Zielrechnern (oder den Firewalls davor) zurückkommen. Solche
Hosts können unzuverlässig sein und eine Antwort senden, die Nmap
verwirren oder täuschen soll. Wesentlich häufiger sind Hosts, die nicht
RFC-konform sind und auf Testpakete von Nmap nicht so antworten, wie
sie sollten. FIN-, NULL- und Xmas-Scans sind für dieses Problem
besonders anfällig. Solche Probleme sind spezifisch für bestimmte
Scan-Methoden und werden daher in den jeweiligen Abschnitten erörtert.
Dieser Abschnitt dokumentiert die etwa ein Dutzend von Nmap
unterstützten Port-Scan-Methoden. Es darf immer nur eine Methode allein
benutzt werden, mit der Ausnahme von UDP-Scans (-sU), die sich mit
allen anderen TCP-Scan-Methoden kombinieren lassen. Hier eine
Gedächtnisstütze: Optionen für Port-Scan-Methoden haben die Form -sC,
wobei C ein bedeutender Buchstabe im Scan-Namen ist, normalerweise der
erste. Die eine Ausnahme hiervon ist der als veraltet betrachtete
FTP-Bounce-Scan (-b). Nmap führt standardmäßig einen SYN-Scan durch,
ersetzt diesen aber mit einem Connect-Scan, falls der Benutzer nicht
die nötigen Rechte hat, um rohe Pakete (benötigen unter Unix
root-Rechte) zu senden, oder falls er IPv6-Ziele angegeben hat. Von den
in diesem Abschnitt aufgelisteten Scans dürfen Benutzer ohne
Sonderrechte nur den Connect- und FTP-Bounce-Scan ausführen.
-sS (TCP-SYN-Scan) .
Der SYN-Scan ist aus gutem Grund die Standardeinstellung und die
beliebteste Scan-Methode. Er kann schnell durchgeführt werden und
scannt dabei Tausende von Ports pro Sekunde, wenn das Netzwerk
schnell ist und nicht von einer intrusiven Firewall behindert wird.
Der SYN-Scan ist relativ unauffällig, da er TCP-Verbindungen
niemals abschließt. Außerdem funktioniert er auch bei allen
konformen TCP-Stacks und ist unabhängig von spezifischen Eigenarten
von Plattformen, wie es bei den FIN-/NULL-/Xmas-, Maimon- und
Idle-Scans in Nmap der Fall ist. Er erlaubt auch eine klare,
zuverlässige Unterscheidung zwischen den Zuständen offen,
geschlossen und gefiltert.
Diese Methode wird oft als halboffenes Scannen bezeichnet, weil
keine vollständige TCP-Verbindung hergestellt wird. Sie senden ein
SYN-Paket, als ob Sie eine echte Verbindung herstellen würden, und
warten dann auf eine Antwort. Ein SYN/ACK zeigt, dass jemand auf
dem Port lauscht (dass er offen ist), während ein RST (Reset)
anzeigt, dass niemand darauf lauscht. Falls nach mehreren erneuten
Übertragungen keine Antwort erhalten wird, wird der Port als
gefiltert markiert. Der Port wird auch dann als gefiltert markiert,
wenn ein ICMP Unreachable-Fehler (Typ 3, Code 1, 2, 3, 9, 10 oder
13) empfangen wird.
-sT (TCP-Connect-Scan) .
Der TCP-Connect-Scan ist der standardmäßig eingestellte
TCP-Scan-Typ, falls der SYN-Scan nicht möglich ist. Das ist dann
der Fall, wenn der Benutzer kein Recht hat, rohe Pakete zu senden,
oder wenn er IPv6-Netzwerke scannt. Statt rohe Pakete zu schreiben,
wie es die meisten anderen Scan-Typen machen, bittet Nmap das
darunterliegende Betriebssystem, eine Verbindung mit dem
Zielrechner und -port herzustellen, indem es einen Systemaufruf
namens connect benutzt. Das ist derselbe Systemaufruf auf höherer
Ebene, den Webbrowser, P2P-Clients und die meisten anderen
netzwerkfähigen Anwendungen benutzen, um eine Verbindung
herzustellen. Er ist Teil einer Programmierschnittstelle, die unter
dem Namen Berkeley Sockets-API bekannt ist. Statt Antworten in Form
roher Pakete von der Leitung zu lesen, benutzt Nmap diese API, um
zu jedem Verbindungsversuch eine Statusinformation zu erhalten.
Wenn der SYN-Scan verfügbar ist, ist er normalerweise die bessere
Wahl. Nmap hat weniger Einfluss auf den connect-Systemaufruf als
auf rohe Pakete, wodurch es weniger effizient wird. Der
Systemaufruf beendet Verbindungen zu offenen Ziel-Ports
vollständig, statt sie in halboffenen Zustand zurückzusetzen, wie
es der SYN-Scan macht. Das dauert nicht nur länger und erfordert
mehr Pakete, um an dieselbe Information zu gelangen, sondern es ist
sehr viel wahrscheinlicher, dass die Zielrechner die Verbindung
protokollieren. Ein anständiges IDS wird beides mitbekommen, aber
die meisten Rechner verfügen nicht über ein solches Alarmsystem.
Viele Dienste auf Ihrem durchschnittlichen Unix-System fügen eine
Notiz ins syslog hinzu und manchmal eine kryptische Fehlermeldung,
wenn Nmap eine Verbindung herstellt und sofort wieder schließt,
ohne Daten zu senden. Ganz armselige Dienste stürzen auch ab, wenn
so etwas passiert, was aber eher selten ist. Ein Administrator, der
in seinen Protokollen einen Haufen Verbindungsversuche von einem
einzelnen System aus sieht, sollte wissen, dass er Ziel eines
Connect-Scans wurde.
-sU (UDP-Scan) .
Obwohl die meisten bekannten Dienste im Internet über das
TCP-Protokoll laufen, sind UDP[4]-Dienste weitverbreitet. Drei der
häufigsten sind DNS, SNMP und DHCP (auf den registrierten Ports 53,
161/162 und 67/68). Weil UDP-Scans im Allgemeinen langsamer und
schwieriger als TCP-Scans sind, werden diese Ports von manchen
Sicherheitsprüfern einfach ignoriert. Das ist ein Fehler, denn
ausbeutbare UDP-Dienste sind recht häufig, und Angreifer ignorieren
bestimmt nicht das ganze Protokoll. Zum Glück kann Nmap helfen,
diese UDP-Ports zu inventarisieren.
Ein UDP-Scan wird mit der Option -sU aktiviert. Er kann mit einem
TCP-Scan-Typ wie einem SYN-Scan (-sS) kombiniert werden, um beide
Protokolle im gleichen Durchlauf zu prüfen.
Beim UDP-Scan wird ein leerer UDP-Header (ohne Daten) an alle
Ziel-Ports geschickt. Falls ein ICMP Port-unreachable-Fehler (Typ
3, Code 3) zurückkommt, ist der Port geschlossen. Andere ICMP
Unreachable-Fehler (Typ 3, Codes 1, 2, 9, 10 oder 13) markieren den
Port als filtered. Gelegentlich wird ein Dienst mit einem UDP-Paket
antworten, was beweist, das er offen ist. Falls nach einigen
erneuten Übertragungen keine Antwort erhalten wird, wird der Port
als offen|gefiltert klassifiziert. Das heißt, der Port könnte offen
sein, oder aber es gibt Paketfilter, die die Kommunikation
blockieren. Man kann eine Versionserkennung (-sV) benutzen, um bei
der Unterscheidung der wirklich offenen von den geschlossenen Ports
zu helfen.
Eine große Herausforderung beim UDP-Scanning ist Geschwindigkeit.
Offene und gefilterte Ports antworten nur selten, wodurch Nmap
Zeitbeschränkungen überschreitet und seine Anfragen erneut sendet,
für den Fall, dass das Testpaket oder die Antwort verloren ging.
Geschlossene Ports sind oftmals ein noch größeres Problem. Sie
senden normalerweise eine ICMP Port-unreachable-Fehlermeldung
zurück. Aber anders als die RST-Pakete, die von geschlossenen
TCP-Ports als Antwort auf einen SYN- oder Connect-Scan geschickt
werden, beschränken viele Hosts standardmäßig die Rate. der ICMP
Port-unreachable-Nachrichten. Linux und Solaris sind dabei
besonders streng. Der Linux-Kernel 2.4.20 z.B. beschränkt
Destination-unreachable-Nachrichten auf eine pro Sekunde (in
net/ipv4/icmp.c).
Nmap erkennt eine Ratenbeschränkung und verlangsamt seinen Betrieb
entsprechend, um zu vermeiden, dass das Netzwerk mit nutzlosen
Paketen überflutet wird, die vom Zielrechner verworfen werden.
Unglücklicherweise führt eine Beschränkung wie in Linux auf ein
Paket pro Sekunde dazu, dass ein Scan von 65.536 Ports über 18
Stunden dauert. Um Ihre UDP-Scans zu beschleunigen, können Sie z.B.
mehr Hosts parallel scannen, zuerst nur einen schnellen Scan der
beliebten Ports durchführen, von hinter der Firewall scannen und
die Option --host-timeout benutzen, um langsame Hosts auszulassen.
-sN; -sF; -sX (TCP-NULL-, FIN- und -Xmas-Scans) .
Diese drei Scan-Typen (noch mehr sind mit der im nächsten Abschnitt
beschriebenen Option --scanflags möglich) beuten ein subtiles
Schlupfloch im TCP RFC[5] aus, um zwischen offenen und
geschlossenen Ports zu unterscheiden. Seite 65 von RFC 793 besagt:
„Falls der Zustand des [Ziel-] Ports GESCHLOSSEN ist ... bewirkt
ein eingehendes Segment, in dem sich kein RST befindet, dass ein
RST als Antwort gesendet wird.“ Die nächste Seite beschreibt dann
Pakete, die ohne gesetztes SYN-, RST- oder ACK-Bit an offene Ports
geschickt werden, und dort heißt es weiter: „Es ist
unwahrscheinlich, dass Sie hierhin kommen, aber wenn doch, dann
verwerfen Sie das Segment und springen Sie zurück.“
Beim Scannen von Systemen, die konform zu diesem RFC-Text sind,
führt jedes Paket, das kein SYN-, RST- oder ACK-Bit enthält, dazu,
dass ein RST zurückgegeben wird, wenn der Port geschlossen ist,
bzw. zu gar keiner Antwort, falls der Port offen ist. Solange
keines dieser drei Bits gesetzt ist, sind alle Kombinationen der
anderen drei (FIN, PSH und URG) okay. Das nutzt Nmap mit drei
Scan-Typen aus:
Null-Scan (-sN)
Setzt keinerlei Bits (der TCP-Flag-Header ist 0).
FIN-Scan (-sF)
Setzt nur das TCP-FIN-Bit.
Xmas-Scan (-sX)
Setzt die FIN-, PSH- und URG-Flags und beleuchtet das Paket wie
einen Weihnachtsbaum (engl. Xmas).
Diese drei Scan-Typen haben exakt dasselbe Verhalten und
unterscheiden sich nur in den TCP-Flags ihrer Testpakete. Wenn ein
RST-Paket empfangen wird, wird der Port als geschlossen betrachtet,
während keine Antwort bedeutet, dass er offen|gefiltert ist. Der
Port wird als gefiltert markiert, falls ein ICMP Unreachable-Fehler
(Type 3, Code 1, 2, 3, 9, 10 oder 13) empfangen wird.
Der Schlüsselvorteil dieser Scan-Arten ist, dass sie sich an
bestimmten zustandslosen Firewalls und paketfilternden Routern
vorbeschleichen können. Ein weiterer Vorteil ist, dass diese
Scan-Arten ncoh ein wenig unauffälliger sind als ein SYN-Scan. Aber
verlassen Sie sich nicht darauf – die meisten modernen IDS-Produkte
können so konfiguriert werden, dass sie diese Scans erkennen. Der
große Nachteil ist, dass nicht alle Systeme sich ganz genau an RFC
793 halten. Eine Reihe von Systemen sendet RST-Antworten auf die
Testpakete, unabhängig davon, ob der Port offen ist oder nicht. Das
bewirkt, dass alle Ports als geschlossen markiert werden.
Hauptvertreter der Betriebssysteme, die das machen, sind Microsoft
Windows, viele Cisco-Geräte, BSDI und IBM OS/400. Aber auf den
meisten Unix-basierten Systemen funktioniert dieser Scan. Ein
weiterer Nachteil dieser Scans ist, dass sie keine Unterscheidung
zwischen offenen und bestimmten gefilterten Ports machen, sondern
lediglich das Ergebnis offen|gefiltert ausgeben.
-sA (TCP-ACK-Scan) .
Dieser Scan unterscheidet sich insofern von den bisher hier
vorgestellten, als er nie offene (oder auch nur offene|gefilterte)
Ports bestimmt. Er wird dazu benutzt, Firewall-Regeln zu bestimmen,
festzustellen, ob sie zustandsbehaftet sind oder nicht, und welche
Ports gefiltert werden.
Beim Testpaket eines ACK-Scans wird nur das ACK-Flag gesetzt (es
sei denn, Sie benutzen --scanflags). Beim Scannen ungefilterter
Systeme werden sowohl offene als auch geschlossene Ports ein
RST-Paket zurückgeben. Nmap markiert sie dann als ungefiltert, d.h.
sie werden vom ACK-Paket erreicht, aber es kann nicht bestimmt
werden, ob sie offen oder geschlossen sind. Ports, die nicht
antworten oder bestimmte ICMP-Fehlermeldungen zurückgeben (Type 3,
Code 1, 2, 3, 9, 10 oder 13), werden als gefiltert markiert.
-sW (TCP-Window-Scan) .
Der Window-Scan ist genau derselbe wie der ACK-Scan, nur dass er
ein Implementationsdetail bestimmter Systeme zur Unterscheidung
zwischen offenen und geschlossenen Ports nutzt, statt bei jedem
erhaltenen RST immer nur ungefiltert anzugeben. Das geschieht durch
Analyse der TCP-Fenstergröße der zurückgegebenen RST-Pakete. Auf
manchen Systemen benutzen offene Ports eine positive Fenstergröße
(sogar für RST-Pakete), während geschlossene eine Fenstergröße von
Null haben. Statt einen Port immer als ungefiltert aufzulisten,
wenn von dort ein RST zurückkommt, listet der Window-Scan den Port
als offen oder geschlossen auf, je nachdem, ob die TCP-Fenstergröße
in diesem Reset jeweils positiv oder Null ist.
Dieser Scan baut auf einem Implementationsdetail einer Minderheit
von Systemen im Internet auf, d.h. Sie können sich nicht immer
darauf verlassen. Systeme, die es nicht unterstützen, werden
normalerweise alle Ports als geschlossen zurückgeben. Natürlich ist
es möglich, dass auf dem Rechner wirklich keine offenen Ports sind.
Falls die meisten gescannten Ports geschlossen, aber einige Ports
mit geläufigen Nummern (wie 22, 25 und 53) gefiltert sind, dann ist
das System sehr wahrscheinlich anfällig. Gelegentlich zeigen
Systeme auch genau das gegenteilige Verhalten. Falls Ihr Scan 1000
offene und drei geschlossene oder gefilterte Ports anzeigt, dann
könnten jene drei sehr wohl die wirklich wahren offenen Ports sein.
-sM (TCP-Maimon-Scan) .
Der Maimon-Scan wurde nach seinem Erfinder, Uriel Maimon,. benannt.
Er hat diese Methode im Phrack-Magazin, Ausgabe #49 (November
1996),. beschrieben. Zwei Ausgaben später war diese Methode in Nmap
enthalten. Sie macht genau das Gleiche wie der NULL-, FIN- und
Xmas-Scan, außer, dass sie ein FIN/ACK-Testpaket verwendet. Laut
RFC 793[5] (TCP) sollte als Antwort auf solch ein Paket ein
RST-Paket erzeugt werden, egal ob der Port offen oder geschlossen
ist. Allerdings hatte Uriel bemerkt, dass viele von BSD abgeleitete
Systeme das Paket einfach verwerfen, wenn der Port offen ist.
--scanflags (Benutzerdefinierter TCP-Scan) .
Wirklich fortgeschrittene Nmap-Benutzer brauchen sich nicht auf die
vorgefertigten Scan-Typen zu beschränken. Mit der Option
--scanflags können Sie Ihren eigenen Scan entwerfen, für den Sie
beliebige TCP-Flags angeben können.. Lassen Sie Ihrer Kreativität
freien Lauf und umgehen Sie Intrusion-Detection-Systeme,. deren
Hersteller einfach die Nmap-Manpage durchgeblättert und spezifische
Regeln dafür angegeben haben!
Das Argument für --scanflags kann ein numerischer Flag-Wert wie
z.B. 9 (PSH und FIN) sein, aber symbolische Namen sind einfacher zu
benutzen. Erstellen Sie einfach eine beliebige Kombination von URG,
ACK, PSH, RST, SYN und FIN. So setzt z.B. --scanflags
URGACKPSHRSTSYNFIN alle Flags, auch wenn das beim Scannen nicht
besonders hilfreich ist. Die Reihenfolge, in der Sie diese Flags
angeben, spielt keine Rolle.
Zusätzlich zu den gewünschten Flags können Sie einen TCP-Scan-Typen
(z.B. -sA oder -sF) angeben. Dieser Basistyp sagt Nmap, wie es die
Antworten interpretieren soll. Ein SYN-Scan z.B. betrachtet das
Fehlen einer Antwort als einen Hinweis auf einen gefilterten Port,
während ein FIN-Scan das als einen Hinweis auf
einenoffen|gefilterten Port ansieht. Nmap verhält sich genauso wie
beim Scan-Basistyp, nur mit dem Unterschied, dass es die von Ihnen
angegebenen TCP-Flags benutzt. Ohne Angabe eines Basistyps wird ein
SYN-Scan benutzt.
-sI zombie host[:probeport] (Idle-Scan) .
Diese fortgechrittene Scan-Methode ermöglicht einen wirklich
blinden TCP-Port-Scan des Ziels, d.h. es werden keine Pakete von
Ihrer wahren IP-Adresse an das Ziel gesendet. Stattdessen wird mit
einem Angriff auf einem parallelen Kanal eine vorhersagbare
Erzeugung von Folgen von IP-Fragmentation-IDs auf dem Zombie-Host
ausgebeutet, um an Information über offene Ports auf dem Ziel zu
gelangen. IDS-Systeme zeigen als Urheber des Scans den
Zombie-Rechner an, den Sie angeben (der aktiv sein und einige
bestimmte Bedingungen erfüllen muss). Da dieser faszinierende
Scan-Typ zu komplex ist, um ihn in diesem Handbuch vollständig zu
beschreiben, habe ich einen Artikel mit vollständigen Details dazu
geschrieben und unter https://nmap.org/book/idlescan.html
veröffentlicht.
Dieser Scan-Typ ist nicht nur extrem unauffällig (wegen seiner
Blindheit), sondern erlaubt auch, IP-basierte Vetrauensbeziehungen
zwischen Rechnern festzustellen. Die Portliste zeigt offene Ports
aus der Sicht des Zombie-Hosts an. Also können Sie versuchen, ein
Ziel mit verschiedenen Zombies zu scannen, von denen Sie denken,
dass sie vertrauenswürdig sind. (über Router-/Paketfilterregeln).
Wenn Sie einen bestimmten Port auf dem Zombie auf IP-ID-Änderungen
testen möchten, können Sie einen Doppelpunkt gefolgt von einer
Portnummer an den Zombie-Host hinzufügen. Sonst benutzt Nmap den
Port, den es standardmäßig bei TCP-Pings benutzt (80).
-sO (IP-Protokoll-Scan) .
Der IP-Protokoll-Scan ermöglicht die Bestimmung der IP-Protokolle
(TCP, ICMP, IGMP etc.), die von Zielrechnern unterstützt werden.
Rein technisch ist das kein Port-Scan, da er über Nummern von
IP-Protokollen statt TCP- oder UDP-Ports vorgeht. Dennoch benutzt
er die Option -p für die Auswahl der zu scannenden
Protokollnummern, gibt seine Ergebnisse im normalen
Port-Tabellenformat aus und benutzt sogar dieselbe grundlegende
Scan-Engine wie die echten Port-Scanning-Methoden. Damit ist er
einem Port-Scan ähnlich genug, um an dieser Stelle beschrieben zu
werden.
Abgesehen davon, dass er schon als solcher nützlich ist, zeigt der
Protokoll-Scan die Macht von Open-Source-Software. Auch wenn die
grundlegende Idee recht simpel ist, hatte ich nicht daran gedacht,
ihn hinzuzufügen, und bekam auch keine Anfragen nach einer solchen
Funktionalität. Dann, im Sommer 2000, hatte Gerhard Rieger. die
Idee, schrieb einen exzellenten Patch als Implementation und
sendete ihn an die Mailingliste nmap-hackers.. Diesen Patch habe
ich in den Nmap-Baum aufgenommen und einen Tag später eine neue
Version veröffentlicht. Es gibt nur wenig kommerzielle Software,
deren Benutzer so enthusiastisch sind, dass sie eigene
Verbesserungen dafür entwerfen und beitragen!
Der Protokoll-Scan funktioniert auf ähnliche Weise wie der
UDP-Scan. Statt über das Portnummernfeld eines UDP-Pakets zu
iterieren, sendet er IP-Paketheader und iteriert über das acht Bit
große IP-Protokollfeld. Die Header sind normalerweise leer,
enthalten keine Daten und nicht einmal den richtigen Header für das
behauptete Protokoll. Die drei Ausnahmen davon sind TCP, UDP und
ICMP. Für diese werden richtige Protokoll-Header verwendet, da
manche Systeme sie sonst nicht versenden und weil Nmap bereits über
die Funktionen verfügt, um sie zu erzeugen. Statt Nachrichten der
Art ICMP Port unreachable sucht der Protokoll-Scan nach ICMP
Protocol unreachable. Falls Nmap zu irgendeinem Protokoll eine
Antwort vom Zielhost erhält, markiert es das Protokoll als offen.
Bei einem ICMP Protocol-unreachable-Fehler (Typ 3, Code 2) wird das
Protokoll als geschlossen markiert. Bei anderen ICMP
Unreachable-Fehlern (Typ 3, Code 1, 3, 9, 10 oder 13) wird das
Protokoll als gefiltert markiert (auch wenn sie gleichzeitig
beweisen, dass ICMP offen ist). Falls nach einigen erneuten
Übertragungen keine Antwort erhalten wird, wird das Protokoll als
offen|gefiltert markiert.
-b FTP relay host (FTP-Bounce-Scan) .
Eine interessante Eigenschaft des FTP-Protokolls (RFC 959[6]) ist
dessen Unterstützung sogenannter Proxy-FTP-Verbindungen. Damit kann
sich ein Benutzer mit einem FTP-Server verbinden und dann
verlangen, dass Dateien an einen Server einer dritten Partei
gesendet werden. Solch eine Eigenschaft ist auf vielen Ebenen
sturmreif für Missbrauch, weswegen die meisten Server sie nicht
mehr unterstützen. Ein solcher Missbrauch, den diese Eigenschaft
ermöglicht, ist, den FTP-Server für Port-Scans anderer Hosts zu
benutzen. Bitten Sie den FTP-Server einfach, eine Datei
nacheinander an alle interessanten Ports eines Zielhosts zu senden.
Die Fehlermeldung wird beschreiben, ob der Port offen ist oder
nicht. Das ist ein guter Weg, Firewalls zu umgehen, weil FTP-Server
von Organisationen oft an Orten platziert sind, von denen aus sie
besseren Zugriff auf weitere interne Hosts haben, als es jeder alte
Internet-Host hätte. Nmap unterstützt den FTP-Bounce-Scan mit der
Option -b. Sie erwartet ein Argument der Form
username:password@server:port. Dabei ist Server der Name oder die
IP-Adresse eines anfälligen FTP-Servers. Wie bei einer normalen URL
können Sie username:password auch weglassen, wobei dann eine
anonyme Anmeldung erfolgt (username: anonymous password:-wwwuser@).
Die Portnummer (samt Doppelpunkt davor) können Sie ebenfalls
weglassen, wobei dann auf server der Standard-FTP-Port (21) benutzt
wird.
Als Nmap 1997 veröffentlicht wurde, war diese Schwachstelle weit
verbreitet, wurde seitdem aber größtenteils behoben. Aber da es
immer noch anfällige Server gibt, lohnt sich ein Versuch, falls
alles andere versagt. Wenn Sie eine Firewall umgehen möchten,
scannen Sie das Zielnetzwerk nach einem offenen Port 21 (oder sogar
nach beliebigen FTP-Diensten, falls Sie alle Ports mit
Versionserkennung scannen können), und probieren Sie dann für jeden
einen Bounce-Scan aus. Nmap wird Ihnen sagen, ob der Host
angreifbar ist oder nicht. Versuchen Sie lediglich, Ihre Spuren zu
verwischen, dann brauchen Sie sich nicht (und tatsächlich sollten
Sie das nicht einmal) auf Hosts im Zielnetzwerk zu beschränken.
Bevor Sie anfangen, zufällige Internet-Adressen nach anfälligen
FTP-Servern zu scannen, bedenken Sie, dass Sysadmins keinen
Gefallen daran finden werden, dass Sie ihre Server auf diese Weise
missbrauchen.
PORT-ANGABE UND SCAN-REIHENFOLGE
Zusätzlich zu all den bisher erläuterten Scan-Methoden bietet Nmap
Optionen, mit denen man angibt, welche Ports gescannt werden und ob die
Scan-Reihenfolge randomisiert oder sequentiell ist. Nmap scannt
standardmäßig für jedes Protokoll die 1000 meistbenutzten Ports.
-p port ranges (scannt nur angegebene Ports) .
Diese Option gibt an, welche Ports Sie scannen möchten, und
überschreibt die Voreinstellung. Einzelne Portnummern sind okay,
ebenso wie mit einem Bindestrich getrennte Bereiche (z.B. 1-1023).
Anfangs- und/oder Endwerte eines Bereichs können weggelassen werden
und werden von Nmap dann mit jeweils 1 bzw. 65535 ersetzt. So
können Sie mit -p- alle Ports von 1 bis 65535 scannen. Es ist
erlaubt, den Port Null. zu scannen, wenn Sie ihn explizit angeben.
Bei IP-Protokoll-Scans (-sO) gibt diese Option die Protokollnummern
an, die Sie scannen möchten (0–255).
Wenn Sie sowohl TCP- als auch UDP-Ports scannen, können Sie ein
bestimmtes Protokoll angeben, indem Sie den Portnummern ein T: bzw.
U: voranstellen. Dieser Kennzeichner gilt so lange, bis Sie einen
anderen angeben. Zum Beispiel werden bei dem Argument -p
U:53,111,137,T:21-25,80,139,8080 die UDP-Ports 53, 111 und 137
sowie die angegebenen TCP-Ports gescannt. Beachten Sie, dass Sie
-sU und mindestens einen TCP-Scan-Typ (z.B. -sS, -sF oder -sT)
angeben müssen, um sowohl UDP als auch TCP zu scannen. Falls kein
Protokollkennzeichner angegeben ist, werden die Portnummern zu
allen Protokolllisten hinzugefügt. Ports können auch mit dem Namen
angegeben werden, der für diesen Port in nmap-services definiert
ist. Sie können bei diesen Namen sogar die Joker * und ? verwenden.
Um z.B. FTP und alle Ports zu scannen, deren Namen mit „http“
anfangen, benutzen Sie -p ftp,http*. Passen Sie auf eine eventuelle
Erweiterung durch die Shell auf und setzen Sie das Argument von -p
in Anführungszeichen, wenn Sie unsicher sind.
Port-Bereiche können in eckigen Klammern angegeben werden, um Ports
innerhalb dieses Bereiches anzugeben, die in nmap-services
vorkommen. Zum Beispiel scannt Folgendes alle Ports in
nmap-services kleiner oder gleich 1024: -p [-1024]. Passen Sie auf
eine eventuelle Erweiterung durch die Shell auf und setzen Sie das
Argument von -p in Anführungszeichen, wenn Sie unsicher sind.
-F (schneller (beschränkter Port-) Scan) .
Gibt an, dass Sie weniger Ports scannen möchten, als standardmäßig
vorgesehen. Normalerweise scannt Nmap die 1000 am häufigsten
vorkommenden Ports bei jedem gescannten Protokoll. Mit -F werden
diese auf 100 beschränkt.
Nmap benötigt die Datei nmap-services mit Informationen zur
Häufigkeit, um zu wissen, welche Ports am häufigsten benutzt
werden. Wenn keine Angaben über die Port-Häufigkeit verfügbar sind,
vielleicht weil eine benutzerdefinierte nmap-services-Datei
verwendet wird, dann bedeutet -F, dass nur Ports gescannt werden,
die in der Dienstedatei mit Namen vorkommen (normalerweise scannt
Nmap alle benannten Ports plus die Ports 1–1024).
-r (Ports nicht randomisieren) .
Standardmäßig randomisiert Nmap die Reihenfolge der gescannten
Ports (bis auf einige allgemein zugängliche Ports, die aus
Effizienzgründen vorgezogen werden). Diese Randomisierung ist
normalerweise erwünscht, aber Sie können stattdessen auch -r für
einen sequentiellen Port-Scan angeben.
--port-ratio <decimal number between 0 and 1>
Scannt alle Ports in der Datei nmap-services mit einem größeren
Bruchteil als die Zahl, die als Argument angegeben wird.
--top-ports <integer of 1 or greater>
Scannt die N Ports mit dem höchsten Bruchteil in der Datei
nmap-services.
DIENST- UND VERSIONSERKENNUNG
Lassen Sie Nmap auf einen entfernten Rechner los, und Sie erfahren z.B.
dass die Ports 25/tcp, 80/tcp und 53/udp offen sind. Dank der über 2200
bekannten Dienste in seiner Datenbank in nmap-services. würde Nmap noch
ausgeben, dass diese Ports wahrscheinlich jeweils zu einem Mailserver
(SMTP), Webserver (HTTP) und Nameserver (DNS) gehören. Normalerweise
sind diese Angaben genau — die überwiegende Mehrheit an Daemons, die
den TCP-Port 25 abhören, sind tatsächlich Mailserver. Allerdings
sollten Sie nicht Ihre Sicherheit darauf verwetten! Manche Leute können
nicht nur Dienste auf seltsamen Ports betreiben, sondern tun es auch..
Selbst wenn Nmap recht hat und auf dem Server im obigen Beispiel SMTP-,
HTTP- und DNS-Server laufen, ist das nicht besonders viel an
Information. Bei der Beurteilung der Angreifbarkeit (oder auch nur beim
Erstellen einfacher Netzwerkinventare) Ihrer Firmen oder Kunden möchten
Sie auch wissen, welche Mail- und DNS-Server und welche Versionen davon
laufen. Eine genaue Versionsnummer hilft enorm bei der Bestimmung der
Exploits, für die ein Server anfällig ist. Die Versionserkennung hilft
Ihnen, an diese Information heranzukommen.
Nachdem TCP- und/oder UDP-Ports mit einer der anderen Scan-Methoden
entdeckt wurden, fragt die Versionserkennung diese Ports ab, um mehr
darüber zu erfahren, was tatsächlich darauf läuft. Die Datenbank in
nmap-service-probes. enthält Testpakete für die Abfrage verschiedenster
Dienste und Ausdrücke für den Vergleich und das Parsen der Antworten.
Nmap versucht, das Dienstprotokoll zu bestimmen (z.B. FTP, SSH, Telnet,
HTTP), aber auch Anwendungsnamen (z.B. ISC BIND, Apache httpd, Solaris
telnetd), Versionsnummer, Hostnamen, Gerätetyp (z.B. Drucker, Router),
die Betriebssystemfamilie (z.B. Windows, Linux) und manchmal
verschiedene Details: etwa ob ein X-Server Verbindungen annimmt, die
SSH-Protokollversion oder der KaZaA-Benutzername. Natürlich bieten die
meisten Dienste nicht all diese Information. Falls Nmap mit
OpenSSL-Unterstützung kompiliert wurde, verbindet es sich mit
SSL-Servern, um den hinter dieser Verschlüsselungsebene. lauschenden
Dienst zu ermitteln. Wenn RPC-Dienste erkannt werden, wird automatisch
Nmaps RPC-Holzhammer. (-sR). benutzt, um die RPC-Programm- und
Versionsnummern zu bestimmen. Manche UDP-Ports bleiben im Zustand
offen|gefiltert, nachdem ein UDP-Port-Scan nicht bestimmen konnte, ob
der Port offen oder gefiltert ist. Die Versionserkennung versucht,
diesen Ports eine Antwort zu entlocken (genauso wie bei offenen Ports)
und den Zustand auf offen zu ändern, wenn das gelingt.
Offene|gefilterte TCP-Ports werden genauso behandelt. Beachten Sie,
dass die Nmap-Option -A unter anderem auch die Versionserkennung
einschaltet. A paper documenting the workings, usage, and customization
of version detection is available at https://nmap.org/book/vscan.html.
Wenn Nmap Antworten von einem Dienst erhält, aber keine
Übereinstimmungen dafür in seiner Datenbank finden kann, gibt es einen
speziellen Fingerprint und eine URL aus, damit Sie diese Antwort
einsenden können, falls Sie genau wissen, was auf diesem Port läuft.
Bitte nehmen Sie sich ein paar Minuten Zeit, um sie einzusenden, damit
Ihr Fund für alle ein Gewinn sein kann. Dank dieser Beiträge hat Nmap
über 3000 Musterübereinstimmungen für über 350 Protokolle wie SMTP,
FTP, HTTP usw..
Die Versionserkennung wird mit den folgenden Optionen aktiviert und
gesteuert:
-sV (Versionserkennung) .
Aktiviert die Versionserkennung wie oben beschrieben. Alternativ
dazu können Sie -A benutzen, was unter anderem auch die
Versionserkennung aktiviert.
--allports (keine Ports von der Versionserkennung ausschließen) .
Standardmäßig schließt Nmaps Versionserkennung den TCP-Port 9100
aus, weil manche Drucker einfach alles ausdrucken, was an diesen
Port gesendet wird, was zu Dutzenden von Seiten mit
HTTP-GET-Requests, binären SSL-Session-Requests usw. führen würde.
Dieses Verhalten kann man ändern, indem man die Exclude-Anweisung
in nmap-service-probes verändert oder entfernt, oder Sie geben
--allports an, um alle Port zu scannen, unabhängig von einer
Exclude-Anweisung.
--version-intensity intensity (Intensität des Versions-Scans setzen) .
Bei einem Versions-Scan (-sV) sendet Nmap eine Reihe von
Testpaketen, die alle über einen zugeordneten Seltenheitswert
zwischen eins und neun verfügen. Die Testpakete mit kleineren
Werten sind bei einer großen Zahl verbreiteter Dienste
wirkungsvoll, während die mit höheren Werten seltener nützlich
sind. Die Intensitätsstufe gibt an, welche Testpakete angewendet
werden sollten. Je höher die Zahl, desto wahrscheinlicher wird der
Dienst richtig identifiziert. Allerdings brauchen Scans mit hoher
Intensität mehr Zeit. Diese Intensität muss zwischen 0 und 9
liegen. Die Standardeinstellung ist 7. Wenn ein Testpaket mit der
ports-Anweisung in nmap-service-probes für den Zielport registriert
ist, wird dieses Testpaket ausprobiert, unabhängig von der
Intensitätsstufe. Das garantiert, dass die DNS-Testpakete bei jedem
offenen Port 53 immer benutzt werden, das SSL-Testpaket bei Port
443 usw.
--version-light (leichten Modus setzen) .
Das ist ein Alias für --version-intensity 2 aus
Bequemlichkeitsgründen. Dieser leichte Modus macht die
Versionserkennung wesentlich schneller, identifiziert die Dienste
aber mit geringerer Wahrscheinlichkeit.
--version-all (benutze alle Testpakete) .
Das ist ein Alias für --version-intensity 9, der garantiert, dass
jedes einzelne Testpaket bei jedem Port ausprobiert wird.
--version-trace (verfolge Aktivität des Versions-Scans) .
Das bewirkt, dass Nmap umfangreiche Debugging-Information darüber
ausgibt, was die Versionserkennung gerade macht. Das ist eine
Untermenge dessen, was Sie mit --packet-trace erhalten.
-sR (RPC-Scan) .
Diese Methode funktioniert zusammen mit den verschiedenen
Port-Scan-Methoden von Nmap. Sie nimmt alle offenen TCP-/UDP-Ports
und überflutet sie mit NULL-Befehlen für das SunRPC-Programm, in
dem Versuch, festzustellen, ob es RPC-Ports sind, und wenn ja,
welches Programm und welche Versionsnummer darauf läuft. Dadurch
können Sie quasi dieselbe Information herausfinden wie mit rpcinfo
-p, selbst wenn der Portmapper des Ziels hinter einer Firewall
liegt (oder von TCP-Wrappern geschützt wird). Köder funktionieren
im Moment nicht mit dem RPC-Scan.. Das wird automatisch als Teil
einer Versionserkennung aktiviert (-sV), wenn Sie diese verlangen.
Da die Versionserkennung das enthält und wesentlich umfangreicher
ist, wird -sR selten benötigt.
BETRIEBSSYSTEM-ERKENNUNG
Eines der bekanntesten Merkmale von Nmap ist dessen Erkennung
entfernter Betriebssysteme mit TCP/IP-Stack-Fingerprinting. Nmap sendet
eine Reihe von TCP- und UDP-Paketen an den entfernten Host und
untersucht praktisch jedes Bit in der Antwort. Nach der Durchführung
Dutzender von Tests, wie z.B. einer TCP-ISN-Abtastung, Unterstützung
und Reihenfolge von TCP-Optionen, IP-ID-Abtastung und Prüfung der
initialen Fenstergröße, vergleicht Nmap die Ergebnisse mit seiner
Datenbank in nmap-os-db. von über eintausend bekannten
Betriebssystem-Fingerprints und gibt die Details zum Betriebssystem
aus, wenn es eine Übereinstimmung gefunden hat. Jeder Fingerprint
enthält eine formlose Beschreibung des Betriebssystems und eine
Klassifikation, aus der der Herstellername (z.B. Sun), das eigentliche
Betriebssystem (z.B. Solaris), dessen Generation (z.B. 10) und der
Gerätetyp (allgemein, Router, Switch, Spielkonsole usw.) hervorgeht.
Falls Nmap das Betriebssystem eines Rechner nicht erraten kann und die
Umstände günstig sind (z.B. wenn mindestens ein offener und ein
geschlossener Port gefunden wurde), präsentiert Nmap eine URL, unter
der Sie den Fingerprint einsenden können, wenn Sie (ganz sicher)
wissen, welches Betriebssystem auf dem Rechner läuft. Dadurch erweitern
Sie den Pool der Betriebssysteme, die Nmap kennt, wodurch es für alle
Benutzer genauer wird.
Die Betriebssystem-Erkennung verwendet einige weitere Tests, die
Informationen benutzen, die während des Vorgangs ohnehin gesammelt
werden. Eine davon ist die Klassifikation der Vorhersagbarkeit der
TCP-Sequenznummern. Sie gibt ungefähr an, wie schwer es ist, eine
gefälschte TCP-Verbindung zum entfernten Host aufzubauen. Sie ist
hilfreich zur Ausbeutung von Vertrauensbeziehungen auf Basis von
Quell-IPs (rlogin, Firewall-Filter usw.) oder zum Verbergen des
Ursprungs eines Angriffs. Diese Art von Täuschung wird kaum noch
praktiziert, aber viele Rechner sind nach wie vor anfällig dafür. Die
eigentliche Maßzahl basiert auf statistischen Abtastungen und kann
schwanken. Im Allgemeinen ist es besser, die englische Bezeichnung wie
z.B. „worthy challenge“ oder „trivial joke“ zu benutzen. Das wird nur
in der normalen Ausgabe im ausführlichen Modus (-v) ausgegeben. Wenn
dieser Modus zusammen mit -O aktiviert ist, wird auch die
IP-ID-Sequenzerzeugung berichtet. Die meisten Rechner finden sich in
der Klasse „incremental“, d.h. sie inkrementieren das ID-Feld im
IP-Header für jedes von ihnen gesendete Paket. Dadurch werden sie
anfällig für diverse avancierte Angriffe mittels Täuschung und Sammlung
von Informationen.
Eine weitere zusätzliche Information, die die Betriebssystem-Erkennung
aktiviert, ist eine Schätzung der Betriebszeit des Zielhosts. Dabei
wird die TCP-Timestamp-Option (RFC 1323[7]) benutzt, um zu raten, wann
ein Rechner das letzte Mal neu gestartet wurde. Wenn der
Timestamp-Zähler nicht bei null gestartet wurde oder der Zähler
überläuft und wieder von vorn zählt, kann diese Schätzung ungenau
werden, weshalb sie nur im ausführlichen Modus ausgegeben wird.
A paper documenting the workings, usage, and customization of OS
detection is available at https://nmap.org/book/osdetect.html.
Eingeschaltet und gesteuert wird die Betriebssystem-Erkennung mit den
folgenden Optionen:
-O (Betriebssystem-Erkennung aktivieren) .
Aktiviert die Betriebssystem-Erkennung wie oben beschrieben.
Alternativ dazu können Sie -A benutzen, um eine
Betriebssystem-Erkennung zusammen mit anderen Dingen einzuschalten.
--osscan-limit (Betriebssystem-Erkennung auf vielversprechende Ziele
beschränken) .
Die Betriebssystem-Erkennung ist wesentlich effektiver, wenn
mindestens ein offener und ein geschlossener TCP-Port gefunden
werden. Wenn Sie diese Option angeben, versucht Nmap eine
Betriebssystem-Erkennung gar nicht erst bei Hosts, die dieses
Kriterium nicht erfüllen. Das kann viel Zeit sparen, besonders bei
Scans mit -PN auf vielen Hosts. Diese Option gilt nur, wenn eine
Betriebssystem-Erkennung mit -O oder -A verlangt wird.
--osscan-guess; --fuzzy (Ergebnisse der Betriebssystem-Erkennung raten)
.
Falls Nmap keine perfekte Übereinstimmung mit einem Betriebssystem
finden kann, präsentiert es manchmal mögliche Kandidaten, die dem
sehr nahe kommen. Damit Nmap das standardmäßig macht, muss die
Übereinstimmung sehr hoch sein. Diese beiden (äquivalenten)
Optionen lassen Nmap aggressiver schätzen. Dann gibt Nmap auch
unvollkommene Übereinstimmungen aus, zusammen mit einem
Vertrauensgrad (in Prozent).
--max-os-tries (setzt die maximale Anzahl der Versuche für eine
Betriebssystem-Erkennung bei einem Ziel) .
Wenn Nmap eine Betriebssystem-Erkennung auf einem Ziel durchführt
und dafür keine perfekte Übereinstimmung findet, macht es
normalerweise einen weiteren Versuch. Standardmäßig macht Nmap fünf
Versuche, wenn die Bedingungen zum Einsenden eines
Betriebssystem-Fingerprints günstig sind, und zwei, wenn sie es
nicht sind. Die Angabe eines kleineren Wertes für --max-os-tries
(z.B. 1) beschleunigt Nmap, auch wenn Sie Versuche auslassen, bei
denen das Betriebssystem möglicherweise erkannt werden könnte.
Alternativ dazu kann ein hoher Wert gesetzt werden, um bei
günstigen Bedinungen noch mehr Versuche zu erlauben. Das macht man
aber selten, außer um bessere Fingerprints zu erzeugen, die man
einsenden kann, um sie in Nmaps Betriebssystem-Datenbank zu
integrieren.
NMAP SCRIPTING ENGINE (NSE)
Die Nmap Scripting Engine (NSE) ist eines der mächtigsten und
flexibelsten Merkmale von Nmap. Mit ihr können Benutzer einfache
Scripts schreiben und weitergeben (geschrieben in der
Programmiersprache Lua[8].
Zu den Aufgaben, die wir bei der Konzeption dieses Systems anvisierten,
gehören die Netzwerkerkennung, eine ausgefeiltere Versionserkennung
sowie eine Verwundbarkeitserkennung. NSE kann aber sogar bei der
Ausbeutung von Schwachstellen benutzt werden.
Um diese verschiedenen Anwendungen widerzuspiegeln und um die Auswahl
des richtigen Scripts zu vereinfachen, verfügen alle Scripts über ein
Kategorie-Feld. Im Moment sind folgende Kategorien definiert: safe,
intrusive, malware, version, discovery, vuln, auth und default. Sie
alle werden at https://nmap.org/book/nse-usage.html#nse-categories.
Die Nmap Scripting Engine wird detailliert at
https://nmap.org/book/nse.html beschrieben und wird mit den folgenden
Optionen gesteuert:
-sC .
Führt einen Script-Scan mit dem Standardsatz an Scripts durch. Das
ist äquivalent zu --script=default. Manche der Scripts in dieser
Kategorie werden als aufdringlich betrachtet und sollten nicht ohne
Genehmigung auf einem Zielnetzwerk ausgeführt werden.
--script script-categories|directory|filename|all.
Führt einen Script-Scan (wie z.B. -sC) durch und benutzt dabei die
mit Kommata getrennte Liste von Script-Kategorien, individuellen
Scripts oder Script-Verzeichnissen statt des Standardsatzes. Zuerst
versucht Nmap, die Argumente als Kategorien zu interpretieren, dann
(wenn das nicht gelingt) als Datei- oder Verzeichnisnamen. Ein
Script oder Verzeichnis von Scripts kann als absoluter oder
relativer Pfad angegeben werden. Absolute Pfade werden unverändert
benutzt. Relative Pfade werden an den folgenden Orten gesucht, bis
sie gefunden werden:. $NMAPDIR/;. (wird unter Windows nicht
durchsucht);. scripts/-Unterverzeichnis ausprobiert.
Falls ein Verzeichnis angegeben und gefunden wird, lädt Nmap alle
NSE-Scripts (alle Dateinamen, die mit .nse enden) aus diesem
Verzeichnis. Dateinamen ohne die Endung nse werden ignoriert. Nmap
sucht keine Unterverzeichnisse rekursiv durch, um Scripts zu
finden. Wenn individuelle Dateinamen angegeben werden, dann muss
deren Dateierweiterung nicht nse lauten.
Nmap-Scripts werden standardmäßig in einem scripts-Unterverzeichnis
des Nmap-Datenverzeichnisses gespeichert (see
https://nmap.org/book/data-files.html). Aus Effizienzgründen werden
Scripts in einer Datenbank indiziert, die in scripts/script.db..
gespeichert ist und für jedes Script auflistet, in welche Kategorie
bzw. Kategorien es gehört. Um alle Scripts in der
Nmap-Script-Datenbank auszuführen, geben Sie das Argument all an.
Die Scripts werden nicht in einer Sandbox ausgeführt und können Ihr
System somit versehentlich oder böswillig beschädigen oder in Ihre
Privatsphäre eindringen. Sie sollten Scripts von Dritten nur dann
ausführen, wenn Sie deren Autoren vertrauen oder sie selbst
eingehend studiert haben.
--script-args name1=value1,name2={name3=value3},name4=value4 .
Hiermit können Sie Argumente für NSE-Scripts angeben. Argumente
werden als name=value-Paare angegeben. Die Argumente werden
verarbeitet und in einer Lua-Tabelle gespeichert, auf die alle
Scripts Zugriff haben. Die Namen werden als Strings (die
alphanumerische Werte sein müssen) in argument-table als Schlüssel
gespeichert. Die Werte sind ihrerseits entweder Strings oder
Tabellen (innerhalb von ‘{’ und ‘}’). Sie könnten z.B. diese mit
Kommmata getrennten Argumente angeben:
user=bar,pass=foo,whois={whodb=nofollow+ripe}. String-Argumente
werden potenziell von mehreren Scripts benutzt, während
Untertabellen normalerweise nur von einem Script benutzt werden. In
Scripts, die eine Untertabelle annehmen, wird diese Untertabelle
normalerweise nach dem Script benannt (in diesem Fall z.B. whois).
--script-trace .
Diese Option macht das, was --packet-trace macht, aber eine
ISO-Ebene höher. Wenn diese Option angegeben wird, wird die gesamte
ein- und ausgehende Kommunikation von Scripts ausgegeben. Die
angezeigte Information enthält das Kommunikationsprotokoll, Quell-
und Zieladressen sowie die übertragenen Daten. Falls mehr als fünf
Prozent der übertragenen Daten nicht druckbar sind, werden sie
stattdessen als Hexadezimal-Auszug ausgegeben. Auch die Angabe von
--packet-trace schaltet diese Mitverfolgung von Scripts ein.
--script-updatedb .
Diese Option aktualisiert die Script-Datenbank in
scripts/script.db, die von Nmap benutzt wird, um die verfügbaren
Standard-Scripts und Kategorien zu bestimmen. Man muss die
Datenbank nur dann aktualisieren, wenn man NSE-Scripts in das
Standardverzeichnis scripts hinzufügt oder von dort entfernt, oder
wenn man die Kategorie eines Scripts ändert. Diese Option wird ohne
Argumente benutzt: nmap --script-updatedb.
TIMING UND PERFORMANCE
Bei der Entwicklung von Nmap hatte dessen Performance immer eine der
höchsten Prioritäten. Ein Standardscan (nmap hostname) eines Hosts in
meinem lokalen Netzwerk dauert eine Fünftelsekunde. In dieser Zeit kann
man kaum blinzeln, aber wenn man Hunderte oder Tausende von Rechnern
scannt, dann kommt einiges zusammen. Außerdem können bestimmte
Scan-Optionen wie UDP-Scanning und eine Versionserkennung die
Scan-Zeiten erheblich erhöhen. Das Gleiche gilt für bestimmte
Firewall-Konfigurationen und besonders für die Beschränkung der
Antwortrate. Auch wenn Nmap parallel arbeitet und viele ausgefeilte
Algorithmen benutzt, um diese Scans zu beschleunigen, hat doch der
Benutzer die letzte Kontrolle darüber, was Nmap genau macht. Experten
erstellen ihre Nmap-Befehle sehr sorgfältig, um in einer beschränkten
Zeit genau die gewünschte Information zu bekommen.
Um die Scan-Zeiten zu verbessern, kann man z.B. nicht-kritische Tests
weglassen und auf die neueste Version von Nmap aktualisieren
(Performance-Verbesserungen werden häufig gemacht). Auch die
Optimierung von Timing-Parametern kann einen großen Unterschied
ausmachen. Diese Optionen werden im Folgenden beschrieben.
Manche Optionen erwarten einen time-Parameter. Dieser wird
standardmäßig in Millisekunden angegeben, aber Sie können ‘s’, ‘m’ oder
‘h’ an den Wert anhängen, um Sekunden, Minuten oder Stunden anzugeben.
Das heißt, bei --host-timeout haben die Argumente 900000, 900s und 15m
alle denselben Effekt.
--min-hostgroup numhosts; --max-hostgroup numhosts (Größe der parallel
gescannten Gruppen anpassen) .
Nmap hat die Fähigkeit, Port-Scans oder Versions-Scans von mehreren
Hosts parallel durchzuführen. Das macht Nmap, indem es den
Ziel-IP-Adressraum in Gruppen aufteilt und dann jeweils eine Gruppe
scannt. Im Allgemeinen sind größere Gruppen effizienter. Der
Nachteil daran ist, dass die Host-Ergebnisse erst dann ausgegeben
werden können, wenn die gesamte Gruppe fertig ist. Wenn Nmap mit
einer Gruppengröße von 50 anfängt, würde der Benutzer erst dann
Ergebnisse sehen (bis auf die Aktualisierungen im ausführlichen
Modus), wenn die ersten 50 Hosts abgearbeitet sind.
Diesen Konflikt löst Nmap standardmäßig mit einem Kompromissansatz.
Es fängt mit einer kleinen Gruppengröße von etwa fünf an, damit die
ersten Ergebnisse schnell kommen, und erhöht dann die Gruppengröße
bis auf etwa 1024. Die genau vorgegebenen Zahlen hängen von den
benutzten Optionen ab. Aus Effizienzgründen benutzt Nmap größere
Gruppen bei UDP-Scans oder bei TCP-Scans über wenige Ports.
Falls mit --max-hostgroup eine maximale Gruppengröße angegeben
wird, wird Nmap diese nie überschreiten. Und wenn Sie mit
--min-hostgroup eine minimale Größe angeben, versucht Nmap, die
Gruppengröße oberhalb dieses Wertes zu belassen. Falls es auf einer
gegebenen Schnittstelle nicht genug Zielhosts gibt, um dieses
Minimum zu erfüllen, muss Nmap einen kleineren Wert benutzen. Es
können auch beide gesetzt werden, um die Gruppengröße in einem
bestimmten Bereich zu belassen, aber das ist selten gewünscht.
Diese Optionen haben während der Host-Entdeckungsphase eines Scans
keinen Effekt. Dazu gehören einfache Ping-Scans (-sP). Die
Host-Entdeckung funktioniert immer in großen Gruppen von Hosts, um
die Geschwindigkeit und Genauigkeit zu verbessern.
Der Hauptnutzen dieser Optionen liegt darin, eine hohe minimale
Gruppengröße anzugeben, damit der gesamte Scan schneller läuft.
Häufig wird 256 gewählt, um ein Netzwerk in Brocken der Größe von
Klasse C zu scannen. Bei einem Scan mit vielen Ports bringt eine
größere Zahl vermutlich keine Vorteile. Bei Scans über nur wenige
Ports können Gruppengrößen von 2048 oder mehr hilfreich sein.
--min-parallelism numprobes; --max-parallelism numprobes (Parallelität
von Testpaketen anpassen) .
Diese Optionen steuern die Gesamtanzahl an Testpaketen, die für
eine Host-Gruppe anstehen dürfen. Sie werden beim Port-Scanning und
bei der Host-Entdeckung benutzt. Abhängig von der
Netzwerk-Performance berechnet Nmap standardmäßig eine immer
wechselnde ideale Parallelität. Falls Pakete verworfen werden,
verlangsamt sich Nmap und erlaubt weniger unerledigte Testpakete.
Die ideale Anzahl von Testpaketen steigt mit den zunehmenden
Möglichkeiten des Netzwerks. Diese Optionen setzen minimale oder
maximale Schranken für diese Variable. Standardmäßig kann die
ideale Parallelität auf eins sinken, wenn sich das Netzwerk als
unzuverlässig herausstellt, und im Idealfall kann sie auf mehrere
hundert steigen.
Meistens setzt man --min-parallelism auf eine Zahl größer als eins,
um Scans von langsamen Hosts oder Netzwerken zu beschleunigen. Aber
das Spielen mit dieser Option kann gefährlich sein, weil die
Genaugkeit leiden kann, wenn man einen zu großen Wert setzt. Dabei
verringert sich auch Nmaps Möglichkeit, die Parallelität je nach
Netzwerkbedingungen dynamisch anzupassen. Ein Wert von zehn mag
vernünftig sein, auch wenn ich nur als letzter Ausweg an diesem
Wert drehe.
Die Option --max-parallelism wird manchmal auf eins gesetzt, um zu
verhindern, dass Nmap mehr als ein Testpaket auf einmal an Hosts
sendet. In Kombination mit --scan-delay (wird später behandelt)
kann das nützlich sein, auch wenn Letzteres diesen Zweck gut genug
allein erfüllt.
--min-rtt-timeout time, --max-rtt-timeout time, --initial-rtt-timeout
time (Timeouts von Testpaketen anpassen) .
Nmap verwaltet einen laufenden Timeout-Wert, der bestimmt, wie
lange es auf eine Antwort zu einem Testpaket wartet, bevor es
aufgibt oder das Paket erneut sendet. Dieser wird auf der Grundlage
der Antwortzeiten bei früheren Testpaketen berechnet.
Falls die Netzwerk-Latenzzeit sich als groß genug und variabel
erweist, kann dieser Timeout bis auf mehrere Sekunden wachsen. Er
beginnt auch bei einem konservativen (hohen) Wert und kann diesen
eine Weile behalten, wenn Nmap Hosts scannt, die nicht antworten.
Werden Werte für --max-rtt-timeout und --initial-rtt-timeout
angegeben, die kleiner als deren Standardwerte sind, so kann die
Scan-Zeit erheblich verkürzt werden. Das gilt besonders für
pinglose (-PN) Scans und solche von stark gefilterten Netzwerken.
Aber verlangen Sie nicht zu viel. Der Scan kann am Ende länger
brauchen, wenn Sie einen so kleinen Wert angeben, dass bei vielen
Testpaketen der Timeout erreicht wird und sie erneut gesendet
werden, während die Antwort unterwegs ist.
Falls alle Hosts in einem lokalen Netzwerk sind, sind 100
Millisekunden ein vernünftig aggressiver Wert für
--max-rtt-timeout. Falls ein Routing ins Spiel kommt, pingen Sie
zuerst einen Host im Netzwerk, sei es mit einem ICMP-Ping oder mit
einem Programm zur Erstellung benutzerdefinierter Pakete wie
hping2,. das eine höhere Chance hat, durch eine Firewall zu kommen.
Betrachten Sie dann die maximale Umlaufzeit bei circa zehn Paketen.
Diese möchten Sie vielleicht für --initial-rtt-timeout verdoppeln
und für --max-rtt-timeout verdrei- oder vervierfachen. Im
Allgemeinen setze ich die maximale RTT nicht unter 100 ms, egal,
welche Ping-Zeiten ich habe. Und ich gehe auch nicht über 1000 ms.
Die Option --min-rtt-timeout wird selten benutzt, könnte aber
nützlich sein, wenn ein Netzwerk so unzuverlässig ist, dass selbst
Nmaps Standardeinstellung zu aggressiv ist. Da Nmap das Timeout nur
dann auf das Minimum reduziert, wenn das Netzwerk zuverlässig
scheint, sollte ein Bedarf hierfür eher ungewöhnlich sein und
sollte als Fehler auf der nmap-dev-Mailingliste. berichtet werden.
--max-retries numtries (gibt die maximale Anzahl erneuter Sendeversuche
bei Port-Scan-Testpaketen an) .
Falls Nmap keine Antwort auf ein Testpaket eines Port-Scans erhält,
könnte das heißen, dass der Port gefiltert ist. Oder aber das
Testpaket oder die Antwort darauf ging im Netzwerk verloren. Es ist
auch möglich, dass der Zielhost eine Ratenbeschränkung aktiviert
hat, die die Antwort temporär blockiert hat. Also versucht es Nmap
erneut, indem es das ursprüngliche Paket noch einmal sendet. Falls
Nmap eine mangelnde Netzwerkzuverlässigkeit feststellt, führt es
eventuell viele weitere Wiederholungen durch, bevor es bei einem
Port aufgibt. Das verbessert zwar die Genauigkeit, verlängert aber
auch die Scan-Zeiten. Wenn es auf die Performance ankommt, kann man
die Scans durch eine Beschränkung der Anzahl dieser Wiederholungen
beschleunigen. Sie können sogar --max-retries 0 angeben, um sie
ganz zu verbieten, auch wenn sich das nur in Situationen wie
formlosen Überprüfungen empfiehlt, bei denen einige verpasste Ports
oder Hosts nicht so wichtig sind.
Der Standardwert (ohne -T-Template) sind bis zu zehn
Wiederholungen. Falls das Netzwerk zuverlässig zu sein scheint und
die Zielhosts keine Ratenbeschränkung haben, führt Nmap
normalerweise nur eine Wiederholung durch. Daher sind die meisten
Scans gar nicht betroffen, wenn man --max-retries z.B. auf den
kleinen Wert drei verringert. Solche Werte können Scans von
langsamen (ratenbeschränkten) Hosts aber erheblich beschleunigen.
Wenn Nmap frühzeitig bei Ports aufgibt, verlieren Sie eventuell
einiges an Information, aber das kann vorteilhafter sein, als ein
Timeout von --host-timeout zu erreichen und alle Informationen über
das Ziel zu verlieren.
--host-timeout time (bei langsamen Zielhosts aufgeben) .
Bei manchen Hosts braucht es einfach lange, sie zu scannen. Das
kann an leistungsschwacher oder unzuverlässiger Netzwerk-Hardware
oder -Software, an einer Paketratenbeschränkung oder einer
restriktiven Firewall liegen. Die langsamsten paar Prozent der
gescannten Hosts können einen Großteil der Scan-Zeit verbrauchen.
Dann ist es manchmal das Beste, die Verluste abzuschneiden und
diese Hosts erst einmal wegzulassen. Geben Sie --host-timeout mit
der gewünschten maximalen Wartezeit an. Sie können z.B. 30m
angeben, um sicherzustellen, dass Nmap nicht mehr als eine halbe
Stunde verschwendet, indem es auf einen einzelnen Host wartet.
Beachten Sie, dass Nmap während dieser halben Stunde auch andere
Hosts scannen kann, d.h. es ist keine komplette Zeitverschwendung.
Ein Host, der das Timeout erreicht, wird übersprungen. Für diesen
Host werden keine Ergebnisse der Port-Tabelle, Betriebssystem- oder
Versionserkennung ausgegeben.
--scan-delay time; --max-scan-delay time (Verzögerung zwischen
Testpaketen anpassen) .
Diese Option bewirkt, dass Nmap mindestens die angegebene Zeit
zwischen zwei Testpaketen an einen Host wartet. Das ist besonders
bei einer Ratenbeschränkung. sinnvoll. Solaris-Rechner (und viele
andere auch) antworten auf UDP-Scan-Testpakete normalerweise nur
mit einer ICMP-Nachricht pro Sekunde. Wenn Nmap mehr sendet, ist
das Verschwendung. Mit einem --scan-delay von 1s bleibt Nmap bei
dieser langsamen Rate. Nmap versucht eine Ratenbeschränkung zu
erkennen und die Scan-Verzögerung entsprechend anzupassen, aber es
schadet nicht, sie explizit anzugeben, falls Sie schon wissen,
welche Rate am besten funktioniert.
Wenn Nmap die Scan-Verzögerung nach oben anpasst, um mit der
Ratenbeschränkung klarzukommen, verlangsamt sich der Scan
dramatisch. Die Option --max-scan-delay gibt die größte Verzögerung
an, die Nmap erlaubt. Ein kleiner Wert für --max-scan-delay kann
Nmap beschleunigen, ist aber riskant. Ein zu kleiner Wert kann zu
verschwenderischen wiederholten Sendungen führen und möglicherweise
zu verpassten Ports, wenn das Ziel eine strenge Ratenbeschränkung
implementiert.
Ein weiterer Einsatz von --scan-delay liegt bei der Umgehung
schwellwertbasierter Intrusion-Detection- und -Prevention-Systeme
(IDS/IPS)..
--min-rate number; --max-rate number (direkte Steuerung der Scan-Rate)
.
Nmaps dynamisches Timing findet sehr gut die passende
Scan-Geschwindigkeit. Aber manchmal kennen Sie vielleicht die
passende Scan-Rate für ein Netzwerk, oder vielleicht müssen Sie
garantieren, dass ein Scan bis zu einem bestimmten Zeitpunkt fertig
wird. Oder Sie müssen Nmap vielleicht davon abhalten, zu schnell zu
scannen. Für diese Situationen sind die Optionen --min-rate und
--max-rate vorgesehen.
Bei der Option --min-rate versucht Nmap sein Bestes, um Pakete so
schnell wie die damit angegebene Rate zu senden oder noch
schneller. Das Argument ist eine positive Fießkommazahl, die die
Paketrate in Paketen pro Sekunde angibt. Die Angabe --min-rate 300
bedeutet z.B., dass Nmap eine Rate von 300 Paketen pro Sekunde oder
höher einzuhalten versucht. Die Angabe einer Minimalrate hält Nmap
nicht davon ab, bei günstigen Bedingungen schneller zu werden.
Umgekehrt beschränkt --max-rate die Senderate auf das angegebene
Maximum. Bei --max-rate 100 wird sie auf 100 Pakete pro Sekunde bei
einem schnellen Netzwerk beschränkt. Und bei --max-rate 0.1 wird
der Scan auf ein Paket pro zehn Sekunden verlangsamt. Mit
--min-rate und --max-rate gleichzeitig können Sie die Rate in einem
bestimmten Bereich halten.
Diese beiden Optionen sind global und betreffen den gesamten Scan,
nicht nur einzelne Hosts. Sie betreffen nur Port-Scans und
Host-Entdeckungs-Scans. Andere Merkmale wie die
Betriebssystemerkennung implementieren ihr eigenes Timing.
Unter zwei Bedingungen kann die tatsächliche Scan-Rate unter das
verlangte Minimum fallen. Die erste ist, wenn das Minimum schneller
als die schnellste Rate ist, mit der Nmap senden kann, was
hardwareabhängig ist. In diesem Fall sendet Nmap Pakete einfach so
schnell wie möglich, aber Sie sollten wissen, dass solch hohe Raten
sehr wahrscheinlich einen Verlust an Genauigkeit bedeuten. Die
zweite Bedingung ist, wenn Nmap nichts zu senden hat, z.B. am Ende
eines Scans, nachdem die letzten Testpakete gesendet wurden und
Nmap darauf wartet, dass sie einen Timeout verursachen oder
beantwortet werden. Eine sinkende Scan-Rate am Ende eines Scans
oder zwischen Gruppen von Hosts ist normal. Die Senderate kann
temporär das Maximum übersteigen, um unvorhergesehene Verzögerungen
auszugleichen, aber im Durchschnitt bleibt die Rate bei oder unter
dem Maximum.
Eine minimale Rate sollte man mit Vorsicht angeben. Scans, die
schneller sind, als das Netzwerk erlaubt, können zu einem Verlust
von Genauigkeit führen. In manchen Fällen kann die Wahl eines
schnelleren Scans dazu führen, dass er länger braucht als bei einer
kleineren Rate. Das liegt daran, dass Nmaps Algorithmen für die
adaptive retransmission die von einer zu hohen Scan-Rate
verursachte Netzwerküberlastung erkennen und die Anzahl der
Wiederholungen erhöhen, um die Genauigkeit zu verbessern. Das
heißt, selbst wenn Pakete mit höherer Rate gesendet werden, werden
mehr Pakete insgesamt gesendet. Begrenzen Sie diese Anzahl von
Wiederholungen nach oben mit der Option --max-retries, wenn Sie
eine obere Grenze für die gesamte Scan-Zeit setzen müssen.
--defeat-rst-ratelimit .
Viele Hosts haben lange eine Ratenbeschränkung. benutzt, um die
Anzahl der von ihnen gesendeten ICMP-Fehlermeldungen (z.B.
Port-Unreachable-Fehler) zu reduzieren. Manche Systeme wenden nun
ähnliche Ratenbeschränkungen auf die von ihnen erzeugten
RST-(Reset-)Pakete an. Das kann Nmap dramatisch verlangsamen, weil
es sein Timing an diese Ratenbeschränkungen anpasst. Mit der Option
--defeat-rst-ratelimit können Sie Nmap sagen, dass es diese
Ratenbeschränkungen ignorieren soll (z.B. bei Port-Scans wie dem
SYN-Scan, die nicht-antwortende Ports nicht als offen behandeln).
Diese Option kann die Genauigkeit reduzieren, da einige Ports nicht
zu antworten scheinen, weil Nmap nicht lange genug auf eine
ratenbeschränkte RST-Antwort gewartet hat. Bei einem SYN-Scan führt
die ausbleibende Antwort dazu, dass für den Port der Zustand
gefiltert und geschlossen markiert wird, den wir sehen, wenn
RST-Pakete empfangen werden. Diese Option ist nützlich, wenn Sie
sich nur für offene Ports interessieren und eine Unterscheidung
zwischen geschlossenen und gefilterten Ports die zusätzliche Zeit
nicht wert ist.
-T paranoid|sneaky|polite|normal|aggressive|insane (setzt ein
Timing-Template) .
Auch wenn die feinkörnigen Timing-Einstellungen im letzten
Abschnitt mächtig und effektiv sind, finden manche Leute sie
verwirrend. Außerdem kann die Wahl der passenden Werte manchmal
mehr Zeit erfordern als der Scan, den Sie damit optimieren möchten.
Deswegen bietet Nmap auch einen einfacheren Ansatz mit sechs
Timing-Templates. Diese können Sie mit der Option -T und ihrer
Nummer (0–5) oder mit ihrem Namen angeben. Diese Template-Namen
lauten: paranoid (0), sneaky (1), polite (2), normal (3),
aggressive (4) und insane (5). Die ersten beiden sind für die
Umgehung von IDS gedacht. Der Polite-Modus verlangsamt den Scan,
damit er weniger Bandbreite und Ressourcen auf dem Zielrechner
verbraucht. Der Normal-Modus ist der Standardwert, d.h. -T3 macht
gar nichts. Der Aggressive-Modus beschleunigt Scans, indem er davon
ausgeht, dass Sie sich in einem einigermaßen schnellen und
zuverlässigen Netzwerk befinden. Und schließlich geht der
Insane-Modus. davon aus, dass sie sich in einem außergewöhnlich
schnellen Netzwerk befinden bzw. gewillt sind, für mehr
Geschwindigkeit auf etwas Genauigkeit zu verzichten.
Mit diesen Templates können Benutzer angeben, wie aggressiv sie
vorgehen möchten, und trotzdem Nmap die Wahl der genauen Zeitwerte
überlassen. Diese Templates führen außerdem auch kleine
Geschwindigkeitsanpassungen aus, für die es zur Zeit keine
feinkörnigen Einstellungsoptionen gibt. Zum Beispiel verbietet
-T4,. dass die dynamische Scan-Verzögerung bei TCP-Ports über 10 ms
ansteigt, und -T5 begrenzt diesen Wert auf 5 ms. Templates könen
auch in Kombination mit feinkörnigen Einstellungen benutzt werden,
wobei die feinkörnigeren Optionen die entsprechenden allgemeinen
Werte aus den Templates überschreiben. Ich empfehle den Einsatz von
-T4 beim Scannen halbwegs moderner und zuverlässiger Netzwerke.
Wenn Sie diese Option angeben, auch dann, wenn Sie zusätzliche
feinkörnige Einstellungen benutzen, profitieren Sie von den
weiteren kleinen Optimierungen, die damit verbunden sind.
Falls Sie eine anständige Breitband- oder Ethernet-Verbindung
haben, würde ich empfehlen, immer -T4 zu benutzen. Manche Leute
lieben -T5, was für meinen Geschmack aber zu aggressiv ist.
Manchmal geben Leute -T2 an, weil sie denken, dadurch würden Hosts
weniger abstürzen, oder weil sie sich selbst im Allgemeinen für
höflich halten. Oft realisieren sie einfach nicht, wie langsam -T
polite. tatsächlich ist. Ein solcher Scan kann zehnmal mehr Zeit
benötigen als ein Standard-Scan. Rechnerabstürze und
Bandbreitenprobleme kommen mit den standardmäßigen Timing-Optionen
(-T3) selten vor, weswegen ich das normalerweise vorsichtigen
Scannern empfehle. Auf die Versionserkennung zu verzichten ist weit
wirksamer bei der Reduktion dieser Probleme als das Herumprobieren
mit Zeiteinstellungen.
Zwar sind -T0. und -T1. vielleicht hilfreich bei der Vermeidung von
IDS-Alarmen, benötigen aber außergewöhnlich viel Zeit beim Scannen
von Tausenden von Rechnern oder Ports. Für einen derart langen Scan
möchten Sie vielleicht doch lieber die genau benötigten Zeitwerte
angeben, statt sich auf die vorgefertigten Werte von -T0 und -T1 zu
verlassen.
Die Haupteffekte von T0 sind die Serialisierung des Scans, bei der
immer nur ein Port gescannt wird, und eine Wartezeit von fünf
Minuten zwischen zwei Testpaketen. T1 und T2 sind ähnlich, warten
aber jeweils nur 15 bzw. 0,4 Sekunden zwischen zwei Testpaketen. T3
ist die Standardeinstellung in Nmap, die eine Parallelisierung.
beinhaltet. -T4 macht das Äquivalent von --max-rtt-timeout 1250
--initial-rtt-timeout 500 --max-retries 6 und setzt die maximale
TCP-Scan-Verzögerung auf 10 Millisekunden. T5 macht das Äquivalent
von --max-rtt-timeout 300 --min-rtt-timeout 50
--initial-rtt-timeout 250 --max-retries 2 --host-timeout 15m und
setzt die maximale TCP-Scan-Verzögerung auf 5 ms.
FIREWALL-/IDS-UMGEHUNG UND -TÄUSCHUNG
Viele Internet-Pioniere hatten die Vision eines globalen, offenen
Netzwerks, in dem ein universeller IP-Adressraum virtuelle Verbindungen
zwischen zwei beliebigen Knoten erlaubt. Dadurch können Hosts als
echte, gleichberechtigte Partner agieren und Information untereinander
senden und empfangen. Die Menschen könnten von ihrer Arbeitsstelle auf
all ihre Systeme daheim zugreifen, die Einstellungen der Klimaanlage
ändern oder die Türen für verfrühte Gäste aufsperren. Diese Vision
einer universellen Konnektivität wurde durch eine Verknappung im
Adressraum und Sicherheitsbedenken abgewürgt. In den frühen 1990er
Jahren begannen Organisationen mit der Aufstellung von Firewalls mit
dem ausdrücklichen Zweck einer Reduktion der Konnektivität. Riesige
Netzwerke wurden mit Anwendungs-Proxies, NAT (Network Address
Translation)-Geräten und Paketfiltern vom ungefilterten Internet
abgeriegelt. Der ungehinderte Fluss von Informationen hat einer
strengen Regulierung von zugelassenen Kommunikationskanälen und der
darüber ausgetauschten Inhalte Platz gemacht.
Netzwerkhindernisse wie Firewalls können die Analyse eines Netzwerks
außerordentlich schwer machen. Und leichter wird es nicht werden, da
das Verhindern von Ausspähungen oft ein Schlüsselziel beim Einsatz
dieser Geräte ist. Trotzdem bietet Nmap viele Eigenschaften, um beim
Verständnis dieser komplexen Netzwerke zu helfen und um zu überprüfen,
dass diese Filter arbeiten wie gewünscht. Es bietet sogar Mechanismen
zur Umgehung schlechter Abwehrstrategien. Eine der besten Methoden,
Ihre Lage in puncto Netzwerksicherheit zu verstehen, ist die, sie
anzugreifen. Versetzen Sie sich selbst in die Denkweise eines
Angreifers und wenden Sie Verfahren aus diesem Kapitel gegen Ihr
Netzwerk an. Starten Sie einen FTP-Bounce-Scan, Idle-Scan,
Fragmentierungsangriff, oder versuchen Sie durch einen Ihrer eigenen
Proxies zu tunneln.
Zusätzlich zur Beschränkung der Netzwerkaktivität überwachen Firmen
ihren Datenverkehr immer mehr mit Intrusion-Detection-Systemen (IDS).
Alle wichtigen IDS werden mit Regeln ausgeliefert, die entworfen
wurden, um Nmap-Scans zu erkennen, weil Scans manchmal Vorboten von
Angriffen sind. Viele dieser Produkte haben sich in
Intrusion-Prevention-Systeme (IPS). verwandelt, die für böswillig
gehaltenen Datenverkehr aktiv blockieren. Dummerweise ist es für
Netzwerkadministratoren und IDS-Hersteller eine sehr schwierige
Aufgabe, böswillige Absichten durch die Analyse von Paketdaten
zuverlässig zu erkennen. Angreifer mit Geduld, Geschick und der Hilfe
bestimmter Nmap-Optionen können meist unerkannt an einem IDS
vorbeikommen. Währenddessen müssen Administratoren mit riesigen Mengen
falscher positiver Ergebnisse kämpfen, bei denen eine nicht böswillige
Aktivität fehldiagnostiziert wird und Alarm schlägt oder blockiert
wird.
Ab und zu schlagen Leute vor, dass Nmap keine Eigenschaften für die
Umgehung von Firewallregeln oder IDS enthalten sollte. Ihr Argument
ist, dass diese Eigenschaften genauso wahrscheinlich von Angreifern
missbraucht werden wie von Administratoren, die die Sicherheit
verbessern. Das Problem bei dieser Logik ist, dass diese Methoden
trotzdem von Angreifern benutzt würden, die einfach andere Werkzeuge
finden oder die Funktionalität in Nmap einbauen würden. Zugleich wäre
es für Administratoren sehr viel schwerer, ihren Job zu machen. Das
Aufstellen nur moderner, gepatchter FTP-Server ist eine wesentlich
bessere Verteidigung als der Versuch, die Verbreitung von Werkzeugen zu
verhindern, die einen FTP-Bounce-Angriff implementieren.
Es gibt keine Wunderlösung (oder Nmap-Option) zur Erkennung und
Umgehung von Firewalls und IDS-Systemen. Es braucht Kompetenz und
Erfahrung. Eine Anleitung dazu würde den Rahmen dieses
Referenz-Handbuches sprengen, das nur die wichtigsten Optionen
auflistet und beschreibt, was sie machen.
-f (Pakete fragmentieren); --mtu (benutzt angegebene MTU) .
Die Option -f bewirkt, dass der gewünschte Scan (inklusive
Ping-Scans) winzig fragmentierte IP-Pakete benutzt. Die Idee dabei
ist, den TCP-Header über mehrere Pakete aufzuteilen, um es
Paketfiltern, Intrusion-Detection-Systemen und anderen Ärgernissen
schwerer zu machen, Ihre Aktivitäten zu durchschauen. Seien Sie
dabei vorsichtig! Manche Programme haben Mühe, mit diesen winzigen
Paketen umzugehen. Ein Sniffer alter Schule namens Sniffit ist beim
Erhalt des ersten Fragments sofort mit einem
Segmentation-Fault-Fehler abgestürzt. Wenn Sie diese Option einmal
angeben, spaltet Nmap die Pakete in acht Bytes oder weniger nach
dem IP-Header auf. Das heißt, ein 20 Byte langer TCP-Header würde
in drei Pakete aufgeteilt, zwei mit acht Bytes des TCP-Headers und
eines mit den restlichen vier. Natürlich hat jedes Fragment auch
einen IP-Header. Geben Sie erneut -f an, um 16 Bytes pro Fragment
zu benutzen (was die Anzahl der Fragmente verkleinert).. Oder Sie
geben eine eigene Offset-Größe mit der Option --mtu (für engl.
maximum transmission unit) an. Wenn Sie --mtu angeben, sollten Sie
nicht auch -f angeben. Das Offset muss ein Vielfaches von acht
sein. Zwar kommen fragmentierte Pakete nicht durch Paketfilter und
Firewalls durch, die alle IP-Fragmente in eine Warteschlange
stellen, wie z.B. die Option CONFIG_IP_ALWAYS_DEFRAG im
Linux-Kernel, aber einige Netzwerke können sich den damit
verbundenen Performance-Einbruch nicht leisten und lassen sie
folglich deaktiviert. Andere können sie nicht aktivieren, weil die
Fragmente auf verschiedenen Routen in ihre Netzwerke kommen
könnten. Manche Quellsysteme defragmentieren hinausgehende Pakete
im Kernel. Ein Beispiel dafür ist Linux mit dem Verbindungsmodul
iptables.. Führen Sie einen Scan aus, während ein Sniffer wie z.B.
Wireshark. läuft, um sicherzustellen, dass die gesendeten Pakete
fragmentiert sind. Falls Ihr Host-Betriebssystem Probleme macht,
probieren Sie die Option --send-eth. aus, um die IP-Schicht zu
umgehen und rohe Ethernet-Rahmen zu schicken.
Eine Fragmentierung wird von Nmap nur für rohe Pakete unterstützt,
die man mit TCP- und UDP-Port-Scans (außer beim Connect-Scan und
FTP-Bounce-Scan) und der Betriebssystemerkennung benutzen kann.
Merkmale wie die Versionserkennung und die Nmap Scripting Engine
unterstützen im Allgemeinen keine Fragmentierung, weil sie sich auf
den TCP-Stack Ihres Hosts verlassen, um mit anderen Zielen zu
kommunizieren.
-D decoy1[,decoy2][,ME][,...] (verdeckt einen Scan mit Ködern) .
Führt einen Decoy-Scan durch, was für den entfernten Host den
Anschein erweckt, dass der oder die Hosts, die Sie als Köder
angeben, das Zielnetzwerk ebenfalls scannen. Deren IDS kann also
5–10 Port-Scans von eindeutigen IP-Adressen verzeichnen, aber es
weiß nicht, welche IP sie gescannt hat und welche unschuldige Köder
waren. Das kann man zwar bekämpfen, indem man Router-Pfade
mitverfolgt, Antworten verwirft oder weitere aktive Mechanismen
anwendet, aber im Allgemeinen ist es eine wirksame Methode zum
Verbergen Ihrer IP-Adresse.
Trennen Sie alle Köder mit Kommata voneinander, wobei Sie optional
ME. als einen der Köder angeben können, um die Position Ihrer
echten IP-Adresse zu bestimmen. Falls Sie ME an sechster Stelle
oder später setzen, zeigen einige verbreitete Port-Scan-Detektoren
(wie z.B. der hervorragende Scanlogd. von Solar Designer. ME
angeben, setzt es Nmap an eine zufällig gewählte Position. Sie
können auch RND. benutzen, um eine zufällige, nicht-reservierte
IP-Adresse zu erzeugen, oder RND:number, um number Adressen zu
erzeugen.
Beachten Sie, dass die Hosts, die Sie als Köder benutzen,
eingeschaltet sein sollten, sonst könnten Sie versehentlich einen
SYN-Flood-Angriff auf Ihre Ziele auslösen. Außerdem lässt sich der
scannende Host sehr einfach bestimmen, wenn nur einer davon im
Netzwerk eingeschaltet ist. Vielleicht möchten Sie IP-Adressen
statt -Namen benutzen (damit die Köder-Netzwerke Sie nicht in ihren
Nameserver-Protokollen sehen).
Köder werden sowohl im initialen Ping-Scan (mit ICMP, SYN, ACK oder
was auch immer) als auch während der eigentlichen Port-Scan-Phase
benutzt. Auch bei der Erkennung entfernter Betriebssysteme (-O)
werden Köder benutzt. Bei der Versionserkennung oder beim
TCP-Connect-Scan funktionieren Köder jedoch nicht. Falls eine
Scan-Verzögerung stattfindet, wird sie zwischen zwei Stapeln
vorgetäuschter Testpakete erzwungen, nicht zwischen einzelnen
Testpaketen. Weil Köder stapelweise auf einmal gesendet werden,
können sie vorübergehend die Beschränkungen der
Überlastungssteuerung verletzen.
Man sollte hierbei noch erwähnen, dass beim Einsatz von zu vielen
Ködern Ihr Scan sich verlangsamen und sogar ungenauer werden kann.
Manche ISPs filtern außerdem Ihre vorgetäuschten Pakete, aber viele
beschränken solche vorgetäuschten IP-Pakete in keinster Weise.
-S IP_Address (Quelladresse vortäuschen) .
Unter gewissen Umständen kann Nmap eventuell Ihre Quelladresse
nicht bestimmen (wenn dem so ist, dann sagt Ihnen Nmap Bescheid).
Benutzen Sie in diesem Fall -S mit der IP-Adresse der
Schnittstelle, über die Sie die Pakete senden möchten.
Eine weitere mögliche Anwendung dieses Flags ist eine Vortäuschung
des Scans, um die Ziele glauben zu machen, dass jemand anderes sie
scannt. Stellen Sie sich eine Firma vor, die wiederholt von einem
Mitbewerber gescannt wird! Bei dieser Art von Anwendung werden im
Allgemeinen die Optionen -e und -PN benötigt. Beachten Sie, dass
Sie normalerweise Antwortpakete zurückbekommen (sie werden an die
IP adressiert, die Sie vortäuschen), d.h. Nmap kann keinen
sinnvollen Bericht produzieren.
-e interface (angegebene Schnittstelle benutzen) .
Sagt Nmap, auf welcher Schnittstelle es Pakete senden und empfangen
soll. Nmap sollte das automatisch erkennen können, sagt Ihnen aber
Bescheid, wenn nicht.
--source-port portnumber; -g portnumber (Quell-Portnummer vortäuschen)
.
Eine Fehlkonfiguration, die überraschend häufig vorkommt, ist es,
dem Netzwerkverkehr allein auf Basis der Quell-Portnummer zu
vertrauen. Wie das zustande kommt, kann man leicht verstehen. Ein
Administrator setzt eine glänzende neue Firewall auf und wird
sofort mit Beschwerden von undankbaren Benutzern überflutet, deren
Anwendungen nicht mehr laufen. Vor allem DNS könnte einen Aussetzer
haben, weil die UDP-DNS-Antworten von externen Servern nicht länger
ins Netzwerk hineinkommen. Ein weiteres häufiges Beispiel ist FTP.
Bei aktiven FTP-Übertragungen versucht der entfernte Server, eine
Verbindung zurück zum Client herzustellen, um die gewünschte Datei
zu übertragen.
Für diese Probleme existieren sichere Lösungen, oftmals in Form von
Proxies auf Anwendungsebene oder Protokoll-parsenden
Firewall-Modulen. Leider gibt es auch einfachere, unsichere
Lösungen. Viele Administratoren haben beobachtet, dass
DNS-Antworten von Port 53 und aktive FTP-Antworten von Port 20
kommen, und sind in die Falle getappt, eingehenden Datenverkehr nur
von diesen Ports zu erlauben. Oft gehen sie davon aus, dass kein
Angreifer solche Firewall-Lecks bemerken und ausbeuten würde. In
anderen Fällen betrachten das Administratoren als kurzfristige
Überbrückungsmaßnahme, bis sie eine sicherere Lösung implementieren
können. Und dann vergessen sie diese Sicherheitsaktualisierung.
Aber nicht nur überarbeitete Netzwerkadministratoren tappen in
diese Falle. Zahlreiche Produkte wurden mit diesen unsicheren
Regeln ausgeliefert. Sogar Microsoft hat sich schuldig gmacht. Die
IPsec-Filter, die mit Windows 2000 und Windows XP ausgeliefert
wurden, enthalten eine implizite Regel, die jeden TCP- oder
UDP-Datenverkehr von Port 88 (Kerberos) erlaubt. Ein weiterer
bekannter Fall sind Versionen der Zone Alarm Personal-Firewall bis
2.1.25, die alle empfangenen UDP-Pakete vom Quell-Port 53 (DNS)
oder 67 (DHCP) erlauben.
Nmap bietet die Optionen -g und --source-port (sind äquivalent), um
diese Schwächen auszunutzen. Geben Sie einfach eine Portnummer an,
und Nmap wird, wenn möglich, Pakete von diesem Port senden. Damit
es richtig funktioniert, muss Nmap für bestimmte
Betriebssystemerkennungstests verschiedene Portnummern benutzen,
und DNS-Anfragen ignorieren das --source-port-Flag, weil Nmap sich
bei ihnen auf System-Bibliotheken verlässt. Die meisten TCP-Scans,
inklusive dem SYN-Scan, unterstützen die Option vollständig, ebenso
wie der UDP-Scan.
--data-length number (Zufallsdaten an gesendete Pakete anfügen) .
Normalerweise sendet Nmap minimale Pakete, die nur einen Header
enthalten. Daher haben seine TCP-Pakete im Allgemeinen nur 40 Bytes
und die ICMP Echo-Requests nur 28. Mit dieser Option sagen Sie
Nmap, dass es die angegebene Anzahl von zufälligen Bytes an die
meisten gesendeten Pakete hinzufügen soll. Pakete für die
Betriebssystemerkennung (-O) sind davon nicht betroffen,. weil dort
aus Genauigkeitsgründen konsistente Pakete verlangt werden, aber
die meisten Ping- und Port-Scan-Pakete unterstützen das. Das kann
den Scan etwas verlangsamen, aber auch etwas unauffälliger machen.
--ip-options S|R [route]|L [route]|T|U ... ; --ip-options hex string
(sendet Pakete mit angegebenen IP-Optionen) .
Laut IP-Protokoll[9] können in den Paket-Headern mehrere Optionen
enthalten sein. Anders als die allgegenwärtigen TCP-Optionen sieht
man IP-Optionen aus Gründen der praktischen Anwendbarkeit und
Sicherheit nur selten. Tatsächlich blockieren die meisten
Internet-Router die gefährlichsten Optionen wie Source Routing
sogar. Dennoch können diese Optionen in manchen Fällen nützlich
sein, um die Netzwerk-Route zu Zielrechnern zu bestimmen und zu
manipulieren. Sie können z.B. vielleicht die Option Record Route
dazu benutzen, einen Pfad zum Ziel sogar dann zu bestimmen, wenn
traditionellere, traceroute-artige Ansätze versagen. Oder wenn Ihre
Pakete von einer bestimmten Firewall verworfen werden, können Sie
mit den Optionen Strict oder Loose Source Routing möglicherweise
eine andere Route angeben.
Die meisten Möglichkeiten bei der Angabe von IP-Optionen hat man,
wenn man einfach Werte als Argumente für --ip-options angibt.
Stellen Sie vor jede Hex-Zahl ein \x und zwei Ziffern. Einzelne
Zeichen können Sie wiederholen, indem Sie ihnen ein Sternchen und
dann die Anzahl der Wiederholungen nachstellen. So ist z.B.
\x01\x07\x04\x00*36\x01 ein Hex-String mit 36 NUL-Bytes.
Nmap bietet auch einen verkürzten Mechanismus für die Angabe von
Optionen. Geben Sie einfach die Buchstaben R, T oder U an, um
jeweils Record Route,. Record Timestamp. oder beide Optionen
gemeinsam anzugeben. Loose oder Strict Source Routing. kann man mit
L bzw. S, gefolgt von einem Leerzeichen und einer mit Leerzeichen
getrennten Liste von IP-Adressen angeben.
Wenn Sie die Optionen in den gesendeten und empfangenen Paketen
sehen möchten, geben Sie --packet-trace an. Mehr Informationen und
Beispiele zum Einsatz von IP-Optionen mit Nmap finden Sie unter
http://seclists.org/nmap-dev/2006/q3/0052.html.
--ttl value (setzt IP-Time-to-live-Feld) .
Setzt bei IPv4 das Time-to-live-Feld in gesendeten Paketen auf den
angegebenen Wert.
--randomize-hosts (randomisiert Reihenfolge der Zielhosts) .
Verlangt von Nmap, dass es alle Gruppen von bis zu 16.384 Hosts
durcheinanderwürfelt, bevor es sie scannt. Das kann den Scan für
verschiedene Netzwerk-Überwachungssysteme weniger offensichtlich
machen, besonders dann, wenn Sie ihn mit einer langsamen
Timing-Option kombinieren. Wenn Sie größere Gruppen randomisieren
möchten, müssen Sie PING_GROUP_SZ. in nmap.h. erhöhen und neu
kompilieren. Eine alternative Lösung ist es, die Liste der Ziel-IPs
mit einem List-Scan (-sL -n -oN filename) zu erzeugen, dann z.B.
mit einem Perl-Script zu randomisieren, um sie schließlich als
Ganzes mit -iL. an Nmap zu übergeben.
--spoof-mac MAC address, prefix, or vendor name (MAC-Adresse
vortäuschen) .
Verlangt von Nmap, dass es in allen gesendeten rohen
Ethernet-Rahmen die angegebene MAC-Adresse. benutzt. Diese Option
impliziert --send-eth,. um sicherzustellen, dass Nmap tatsächlich
Pakete auf Ethernet-Ebene sendet. Die MAC-Adresse kann in mehreren
Formaten angegeben werden. Wenn es einfach die Zahl 0 ist, wählt
Nmap eine völlig zufällige MAC-Adresse für diese Sitzung. Falls der
angegebene String aus einer geraden Anzahl von Hexadezimalziffern
besteht (in dem Paare optional mit Doppelpunkten getrennt sein
können), benutzt Nmap diese als MAC. Werden weniger als 12
Hexadezimalziffern angegeben, dann füllt Nmap die restlichen sechs
Bytes mit zufälligen Werten. Falls das Argument weder null noch ein
Hex-String ist, schaut Nmap in nmap-mac-prefixes nach, um einen
Herstellernamen zu finden, der den angegebenen String enthält
(unabhängig von der Schreibweise). Wird eine Übereinstimmung
gefunden, benutzt Nmap die OUI dieses Herstellers (einen drei Byte
langen Präfix). und füllt die verbleibenden drei Bytes mit
Zufallswerten. Gültige Beispiele für Argumente von --spoof-mac sind
Apple, 0, 01:02:03:04:05:06, deadbeefcafe, 0020F2 und Cisco. Diese
Option betrifft nur Scans mit rohen Paketen wie den SYN-Scan oder
die Betriebssystemerkennung, keine verbindungsorientierten Merkmale
wie die Versionserkennung oder die Nmap Scripting Engine.
--badsum (sendet Pakete mit falschen TCP/UDP-Prüfsummen) .
Verlangt von Nmap, bei den an Zielhosts gesendeten Paketen
ungültige TCP- oder UDP-Prüfsummen zu benutzen. Da so gut wie alle
Host-IP-Stacks solche Pakete verwerfen, kommen eventuelle Antworten
sehr wahrscheinlich von einer Firewall oder einem IDS, das sich
nicht die Mühe macht, die Prüfsumme zu überprüfen. Mehr Details zu
dieser Methode finden Sie unter https://nmap.org/p60-12.html.
AUSGABE
Alle Sicherheitswerkzeuge sind nur so gut wie die Ausgabe, die sie
erzeugen. Komplexe Tests und Algorithmen haben einen geringen Wert,
wenn sie nicht auf übersichtliche und verständliche Weise dargestellt
werden. Da Nmap auf vielfältige Weise von verschiedenen Leuten und
anderer Software benutzt wird, kann kein Format allein es allen recht
machen. Daher bietet Nmap mehrere Formate, darunter den interaktiven
Modus, den Menschen direkt lesen können, und XML, das von Software
leicht geparst werden kann.
Zusätzlich zu verschiedenen Ausgabeformaten bietet Nmap Optionen zur
Steuerung der Ausführlichkeit dieser Ausgabe sowie Debugging-Meldungen.
Die Ausgaben können an die Standardausgabe oder an benannte Dateien
gehen, die Nmap überschreiben bzw. an die es seine Ausgabe anfügen
kann. Mit den Ausgabedateien können außerdem abgebrochene Scans
fortgesetzt werden.
Nmap erzeugt seine Ausgabe in fünf verschiedenen Formaten. Das
Standardformat heißt interaktive Ausgabe. und wird an die
Standardausgabe (stdout). gesendet. Es gibt auch die normale Ausgabe,.
die ähnlich zur interaktiven Ausgabe ist, außer dass sie weniger
Laufzeitinformation und Warnungen ausgibt, weil man davon ausgeht, dass
sie erst nach Abschluss des Scans analysiert wird und nicht, während er
noch läuft.
Die XML-Ausgabe. ist eines der wichtigsten Ausgabeformate, da sie
einfach nach HTML konvertiert, von Programmen wie Nmap-GUIs geparst
oder in Datenbanken importiert werden kann.
Die zwei verbleibenden Ausgabeformate sind die einfache grepbare
Ausgabe,. in der die meiste Information über einen Zielhost in einer
einzigen Zeile enthalten ist, und sCRiPt KiDDi3 0utPUt. für Benutzer,
die sich selbst als |<-r4d sehen.
Die interaktive Ausgabe ist standardmäßig vorgegeben und verfügt über
keine eigenen Kommandozeilenoptionen, aber die anderen vier Formate
benutzen dieselbe Syntax. Sie erwarten ein Argument, den Namen der
Datei, in der die Ergebnisse gespeichert werden sollen. Es können
mehrere Formate angegeben werden, aber jedes nur einmal. Vielleicht
möchten Sie z.B. eine normale Ausgabe für eine eigene Untersuchung
speichern und eine XML-Ausgabe desselben Scans für eine
programmbasierte Analyse. Das erreichen Sie mit den Optionen -oX
myscan.xml -oN myscan.nmap. Auch wenn in diesem Kapitel der Kürze wegen
einfache Namen wie myscan.xml benutzt werden, empfehlen sich im
Allgemeinen aussagekräftigere Namen. Welche Namen Sie wählen, ist
Geschmackssache, aber ich benutze lange Namen, die das Scandatum und
ein oder zwei Worte über den Scan enthalten, in einem Verzeichnis, das
den Namen der gescannten Firma enthält.
Auch wenn diese Optionen Ergebnisse in Dateien speichern, gibt Nmap
weiterhin die interaktive Ausgabe wie üblich auf die Standardausgabe
aus. Zum Beispiel speichert der Befehl nmap -oX myscan.xml target XML
in myscan.xml und füllt die Standardausgabe mit demselben interaktiven
Ergebnis, wie es auch ohne Angabe von -oX der Fall wäre. Das können Sie
ändern, indem Sie ein Minuszeichen als Argument für eines der Formate
angeben. Dann schaltet Nmap die interaktive Ausgabe ab und gibt
stattdessen Ergebnisse im gewünschten Format auf den
Standardausgabestrom aus. Das heißt, der Befehl nmap -oX - target
schreibt nur die XML-Ausgabe auf die Standardausgabe.. Ernste Fehler
werden weiterhin auf den normalen Standardfehlerstrom, stderr,.
ausgegeben.
Anders als bei anderen Nmap-Argumenten ist das Leerzeichen zwischen dem
Options-Flag für eine Ausgabedatei (z.B. -oX) und dem Dateinamen oder
Minuszeichen obligatorisch. Falls Sie die Leerzeichen weglassen und
Argumente wie z.B. -oG- oder -oXscan.xml angeben, erzeugt Nmap aus
Gründen der Rückwärtskompatibilität Ausgabedateien im normalen Format,
die jeweils die Namen G- und Xscan.xml haben.
All diese Argumente unterstützen strftime-ähnliche. Umwandlungen im
Dateinamen. %H, %M, %S, %m, %d, %y und %Y sind alle exakt gleich wie in
strftime. %T entspricht %H%M%S, %R entspricht %H%M und %D entspricht
%m%d%y. Ein %, dem ein anderes Zeichen folgt, ergibt nur genau dieses
Zeichen (%% ergibt ein Prozentzeichen). Also erzeugt -oX
'scan-%T-%D.xml' eine XML-Datei in der Form scan-144840-121307.xml.
Nmap bietet auch Optionen zur Steuerung der Scan-Ausführlichkeit und
Optionen, um an Ausgabedateien anzuhängen, statt sie zu überschreiben.
All diese Optionen werden unten beschrieben.
Nmap-Ausgabeformate
-oN filespec (normale Ausgabe) .
Verlangt, dass eine normale Ausgabe in der angegebenen Datei
gespeichert wird. Wie oben erwähnt, unterscheidet sich das leicht
von der interaktiven Ausgabe.
-oX filespec (XML-Ausgabe) .
Verlangt, dass eine XML-Ausgabe in der angegebenen Datei
gespeichert wird. Nmap fügt eine DTD (Document Type Definition)
hinzu, mit der XML-Parser Nmaps XML-Ausgabe validieren können.
Diese ist vor allem für die Benutzung durch Programme gedacht, kann
aber auch Menschen bei der Interpretation von Nmaps XML-Ausgabe
helfen. Die DTD definiert die gültigen Elemente des Formats und
zählt an vielen Stellen die dafür erlaubten Attribute und Werte
auf. Die neueste Version ist immer unter
https://nmap.org/data/nmap.dtd verfügbar.
XML bietet ein stabiles Format, das man mit Software leicht parsen
kann. Solche XML-Parser sind für alle wichtigen Programmiersprachen
wie C/C++, Perl, Python und Java gratis verfügbar. Manche Leute
haben sogar Anbindungen für die meisten dieser Sprachen
geschrieben, um speziell die Ausgabe und Ausführung von Nmap zu
steuern. Beispiele sind Nmap::Scanner[10]. und Nmap::Parser[11].
für Perl in CPAN. In fast allen Fällen, in denen eine
nicht-triviale Anwendung eine Schnittstelle zu Nmap benutzt, ist
XML das bevorzugte Format.
Die XML-Ausgabe verweist auf ein XSL-Stylesheet, mit dem man die
Ergebnisse als HTML formatieren kann. Am einfachsten benutzt man
das, indem man einfach die XML-Ausgabe in einem Webbrowser wie
Firefox oder IE lädt. Standardmäßig funktioniert das nur auf dem
Rechner, auf dem Sie Nmap ausgeführt haben (oder auf einem, der
ähnlich konfiguriert ist), weil der Pfad zu nmap.xsl darin
festkodiert ist. Um portable XML-Dateien zu erzeugen, die auf allen
mit dem Web verbundenen Rechnern als HTML angezeigt werden, können
Sie die Optionen --webxml oder --stylesheet benutzen.
-oS filespec (ScRipT KIdd|3-Ausgabe) .
Die Script-Kiddie-Ausgabe ist ähnlich zur interaktiven Ausgabe, mit
dem Unterschied, dass sie nachbearbeitet ist, um die 'l33t HaXXorZ
besser anzusprechen! Vorher haben sie wegen dessen konsistent
richtiger Schreibweise und Buchstabierung auf Nmap herabgesehen.
Humorlose Menschen sollten wissen, dass diese Option sich über
Script Kiddies lustig macht, bevor sie mich dafür angreifen, dass
ich „ihnen helfe“.
-oG filespec (grepbare Ausgabe) .
Dieses Ausgabeformat wird zum Schluss beschrieben, weil es als
überholt gilt. Das XML-Ausgabeformat ist wesentlich
leistungsstärker und für erfahrene Benutzer fast genauso bequem.
XML ist eim Standard, für den Dutzende hervorragender Parser
verfügbar sind, während die grepbare Ausgabe nur mein eigener
einfacher Hack ist. XML ist erweiterbar und kann neue
Nmap-Eigenschaften unterstützen, die ich beim grepbaren Format aus
Platzgründen oft weglassen muss.
Dessen ungeachtet ist die grepbare Ausgabe immer noch recht
beliebt. Es ist ein einfaches Format, das pro Zeile einen Host
auflistet und das mit Unix-Standardwerkzeugen wie grep, awk, cut,
sed, diff und auch mit Perl auf triviale Weise durchsucht und
geparst werden kann. Selbst ich benutze es für einmalige schnelle
Tests in der Kommandozeile. Zum Beispiel kann man alle Hosts, auf
denen der SSH-Port offen ist oder auf denen Solaris läuft, auf
einfache Weise mit einem grep bestimmen, das die Hosts findet,
umgeleitet in einen awk- oder cut-Befehl, der die gewünschten
Felder ausgibt.
Die grepbare Ausgabe besteht aus Kommentaren (Zeilen, die mit einem
# anfangen). sowie aus Zielzeilen. Eine Zielzeile enthält eine
Kombination aus sechs benannten Feldern, durch Tabulatoren
getrennt, gefolgt von einem Doppelpunkt. Diese Felder lauten Host,
Ports, Protocols, Ignored State, OS, Seq Index, IP ID und Status.
Das wichtigste dieser Felder ist im Allgemeinen Ports, das Details
zu einem interessanten Port enthält. Es ist eine mit Kommata
getrennte Liste von Port-Einträgen, wobei jeder Eintrag einen
interessanten Port darstellt und aus sieben mit Schrägstrichen (/)
getrennten Unterfeldern besteht. Diese Unterfelder lauten: Port
number, State, Protocol, Owner, Service, SunRPC info und Version
info.
Wie bei der XML-Ausgabe kann diese Manpage auch hier nicht das
vollständige Format dokumentieren. Eine detailliertere Betrachtung
des grepbaren Ausgabeformats in Nmap finden Sie from
https://nmap.org/book/output-formats-grepable-output.html.
-oA basename (Ausgabe in allen Formaten) .
Aus Gründen der Bequemlichkeit können Sie Scan-Ergebnisse mit -oA
basename gleichzeitig in normalem, in XML- und in grepbarem Format
speichern. Sie werden jeweils in basename.nmap, basename.xml und
basename.gnmap, gespeichert. Wie in den meisten Programmen können
Sie vor den Dateinamen ein Präfix mit einem Verzeichnispfad darin
setzen, z.B. ~/nmaplogs/foocorp/ unter Unix oder c:\hacking\sco
unter Windows.
Optionen für Ausführlichkeit und Debugging
-v (größere Ausführlichkeit) .
Erhöht die Ausführlichkeit, d.h. Nmap gibt mehr Informationen über
den laufenden Scan aus. Offene Ports werden angezeigt, direkt
nachdem sie gefunden werden, und es werden Schätzungen für die
Dauer bis zur Fertigstellung angegeben, falls Nmap meint, dass ein
Scan mehr als ein paar Minuten benötigt. Noch mehr Information
erhalten Sie, wenn Sie diese Option zweimal oder noch öfter
angeben.
Die meisten Änderungen betreffen nur die interaktive Ausgabe,
manche betreffen auch die normale und die Script-Kiddie-Ausgabe.
Die anderen Ausgabearten sind für die Weiterverarbeitung durch
Maschinen gedacht, d.h. Nmap kann in diesen Formaten standardmäßig
alle Details angeben, ohne einen menschlichen Leser zu ermüden.
Allerdings gibt es in den anderen Modi einige Änderungen, bei denen
die Ausgabegröße durch Weglassen einiger Details erheblich
reduziert werden kann. Zum Beispiel wird eine Kommentarzeile in der
grepbaren Ausgabe, die eine Liste aller gescannten Ports enthält,
nur im wortreichen Modus ausgegeben, weil sie ziemlich lang werden
kann.
-d [level] (erhöhe oder setze Debugging-Stufe) .
Wenn nicht einmal der wortreiche Modus genug Daten für Sie liefert,
können Sie beim Debugging noch wesentlich mehr davon bekommen! Wie
bei der Ausführlichkeits-Option (-v) wird auch das Debugging mit
einem Kommandozeilen-Flag eingeschaltet (-d), und die Debug-Stufe
kann durch eine mehrfache Angabe gesteigert werden.. Alternativ
dazu können Sie eine Debug-Stufe auch als Argument an -d übergeben.
So setzt z.B. -d9 die Stufe neun. Das ist die höchste verfügbare
Stufe, die Tausende von Zeilen produziert, sofern Sie keinen sehr
einfachen Scan mit sehr wenigen Ports und Zielen ausführen.
Eine Debugging-Ausgabe ist sinnvoll, wenn Sie einen Fehler in Nmap
vermuten oder wenn Sie einfach verwirrt darüber sind, was und warum
Nmap etwas genau macht. Da dieses Merkmal überwiegend für
Entwickler gedacht ist, sind Debug-Zeilen nicht immer
selbsterklärend. Vielleicht bekommen Sie etwas wie: Timeout vals:
srtt: -1 rttvar: -1 to: 1000000 delta 14987 ==> srtt: 14987 rttvar:
14987 to: 100000. Wenn Sie eine Zeile nicht verstehen, ist Ihre
einzige Zuflucht, sie zu ignorieren, im Quellcode nachzuschauen
oder Hilfe auf der Entwicklerliste (nmap-dev).. zu erfragen. Manche
Einträge sind selbsterklärend, aber je höher die Debug-Stufe ist,
desto obskurer werden die Meldungen.
--reason (Gründe für Host- und Portzustände) .
Gibt die Gründe an, warum ein Port auf einen bestimmten Zustand
gesetzt wurde und warum ein Host als ein- oder ausgeschaltet
betrachtet wird. Diese Option zeigt die Paketart an, die einen
Port- oder Hostzustand ermittelt hat, z.B. ein RST-Paket von einem
geschlossenen Port oder ein Echo Reply von einem eingeschalteten
Host. Die Information, die Nmap angeben kann, hängt von der Art des
Scans oder Pings ab. Der SYN-Scan und der SYN-Ping (-sS und -PS)
sind sehr detailliert, aber der TCP-Connect-Scan (-sT) wird durch
die Implementierung des connect-Systemaufrufs beschränkt. Dieses
Merkmal wird automatisch von der Debug-Option (-d). aktiviert, und
die Ergebnisse werden auch dann in XML-Protokolldateien
gespeichert, wenn diese Option gar nicht angegeben wird.
--stats-every time (periodische Timing-Statistik ausgeben) .
Gibt periodisch eine Timing-Statusmeldung nach einem Intervall der
Länge time aus. Dabei kann diese Zeitangabe beschrieben werden, wie
in „TIMING UND PERFORMANCE“ dargestellt, d.h. Sie können z.B.
--stats-every 10s benutzen, um alle 10 Sekunden eine
Statusaktualisierung zu erhalten. Diese erscheint in der
interaktiven Ausgabe (auf dem Bildschirm) und in der XML-Ausgabe.
--packet-trace (gesendete und empfangene Pakete und Daten mitverfolgen)
.
Bewirkt, dass Nmap für jedes gesendete oder empfangene Paket eine
Zusammenfassung ausgibt. Das wird bei der Fehlersuche oft gemacht,
ist aber auch eine willkommene Methode für Neulinge, um genau zu
verstehen, was Nmap unter der Oberfläche macht. Um zu verhindern,
dass Tausende von Zeilen ausgegeben werden, möchten Sie vielleicht
eine beschränkte Anzahl zu scannender Ports angeben, z.B. mit
-p20-30. Wenn Sie nur wissen möchten, was im
Versionserkennungssubsystem vor sich geht, benutzen Sie stattdessen
--version-trace. Wenn Sie nur an einer Script-Mitverfolgung
interessiert sind, geben Sie --script-trace an. Mit --packet-trace
erhalten Sie all das zusammen.
--open (zeige nur offene (oder möglicherweise offene) Ports an) .
Manchmal interessieren Sie sich nur für Ports, mit denen Sie
tatsächlich eine Verbindung herstellen können (offene Ports), und
wollen Ihre Ergebnisse nicht mit anderen Ports überhäufen, die
geschlossen, gefiltert und geschlossen|gefiltert sind. Die Ausgabe
wird normalerweise nach dem Scan mit Werkzeugen wie grep, awk und
Perl angepasst, aber dieses Merkmal wurde auf überwältigend
vielfachen Wunsch hinzugefügt. Geben Sie --open an, um nur offene,
offene|gefilterte und ungefilterte Ports zu sehen. Diese drei Ports
werden ganz wie gewöhnlich behandelt, d.h. dass offen|gefiltert und
ungefiltert in Zählungen zusammengefasst werden, wenn es eine sehr
große Anzahl davon gibt.
--iflist (liste Schnittstellen und Routen auf) .
Gibt die Liste der Schnittstellen und Systemrouten aus, die Nmap
entdeckt hat. Das ist hilfreich bei der Fehlersuche bei
Routing-Problemen oder fehlerhaften Gerätebeschreibungen (z.B. wenn
Nmap eine PPP-Verbindung als Ethernet behandelt).
--log-errors (protokolliere Fehler/Warnungen in eine Datei im normalen
Ausgabeformat) .
Von Nmap ausgegebene Warnungen und Fehlermeldungen gehen
normalerweise nur auf den Bildschirm (interaktive Ausgabe), was die
Ordnung aller Ausgabedateien im normalen Format (üblicherweise mit
-oN angegeben) nicht stört. Wenn Sie diese Meldungen in den
angegebenen normalen Ausgabedateien wirklich sehen möchten, können
Sie diese Option benutzen. Diese ist dann hilfreich, wenn Sie die
interaktive Ausgabe nicht übersehen oder wenn Sie Fehler beim
Debugging speichern möchten. Die Fehlermeldungen und Warnungen
werden auch im interaktiven Modus weiterhin erscheinen. Bei den
meisten Fehlern bezüglich schlechter Kommandozeilenargumente wird
das nicht funktionieren, da Nmap seine Ausgabedateien eventuell
noch nicht initialisiert hat. Außerdem benutzen einige
Nmap-Fehlermeldungen und -Warnungen ein anderes System, das diese
Option noch nicht unterstützt.
Eine Alternative zu --log-errors ist die Umleitung der interaktiven
Ausgabe (inklusive des Standardfehlerstroms) in eine Datei. Die
meisten Unix-Shells machen einem diesen Ansatz leicht, aber auf
Windows kann er schwierig sein.
Weitere Ausgabeoptionen
--append-output (an Ausgabedateien hinzufügen, statt sie zu
überschreiben) .
Wenn Sie einen Dateinamen für ein Ausgabeformat wie z.B. -oX oder
-oN angeben, wird diese Datei standardmäßig überschrieben. Wenn Sie
deren Inhalt lieber behalten und die neuen Ergebnisse anhängen
möchten, benutzen Sie die Option --append-output. Dann wird bei
allen angegebenen Ausgabedateinamen dieses Nmap-Aufrufs an die
Dateien angehängt, statt sie zu überschreiben. Mit XML-Scandaten
(-oX) funktioniert das nicht so gut, da die erzeugte Datei im
Allgemeinen nicht mehr sauber geparst wird, es sei denn, Sie
reparieren sie von Hand.
--resume filename (abgebrochenen Scan fortsetzen) .
Manche umfangreichen Nmap-Läufe benötigen sehr viel Zeit – in der
Größenordnung von Tagen. Solche Scans laufen nicht immer bis zum
Ende. Vielleicht gibt es Beschränkungen, die verhindern, dass man
Nmap während der normalen Arbeitszeit ausführen kann, das Netzwerk
könnte abstürzen, der Rechner, auf dem Nmap läuft, könnte einen
geplanten oder ungeplanten Neustart erleben oder Nmap selbst könnte
abstürzen. Der Administrator, der Nmap ausführt, könnte es auch aus
irgendeinem anderen Grund abbrechen, indem er ctrl-C eingibt. Und
den ganzen Scan von vorne neu zu starten, ist eventuell nicht
wünschenswert. Wenn ein normales (-oN) oder ein grepbares (-oG)
Protokoll geführt wurde, kann der Benutzer Nmap jedoch bitten, den
Scan bei dem Ziel fortzusetzen, an dem es beim Abbruch gearbeitet
hat. Geben Sie einfach die Option --resume an und übergeben Sie die
normale/grepbare Ausgabedatei als Argument. Andere Argumente sind
nicht erlaubt, da Nmap die Ausgabedatei parst, um dieselben
Argumente zu benutzen, die zuvor benutzt wurden. Rufen Sie Nmap
einfach als nmap --resume logfilename auf. Nmap fügt neue
Ergebnisse dann an die Datendateien an, die im vorherigen Lauf
angegeben wurden. Diese Fortsetzung funktioniert nicht aus
XML-Ausgabedateien, weil es schwierig wäre, die zwei Läufe in einer
gültigen XML-Datei zu kombinieren.
--stylesheet path or URL (setze XSL-Stylesheet, um eine XML-Ausgabe zu
transformieren) .
Die Nmap-Distribution enthält ein XSL-Stylesheet. namens nmap.xsl.
zum Betrachten oder Übersetzen einer XML-Ausgabe nach HTML. Die
XML-Ausgabe enthält eine xml-stylesheet-Anweisung, die auf nmap.xml
an der Stelle verweist, wo es von Nmap ursprünglich installiert
wurde (oder im aktuellen Arbeitsverzeichnis unter Windows). Laden
Sie einfach Nmaps XML-Ausgabe in einem modernen Webbrowser, und er
sollte nmap.xsl im Dateisystem finden und benutzen, um die
Ergebnisse darzustellen. Wenn Sie ein anderes Stylesheet benutzen
möchten, geben Sie es als Argument für --stylesheet an. Dabei
müssen Sie den vollständigen Pfadnamen oder die URL angeben. Sehr
häufig wird --stylesheet https://nmap.org/data/nmap.xsl benutzt.
Das sagt einem Browser, dass er die neueste Version des Stylesheets
von Nmap.Org laden soll. Die Option --webxml macht dasselbe,
verlangt aber weniger Tipparbeit und Merkfähigkeit. Wenn man das
XSL von Nmap.Org lädt, wird es einfacher, die Ergebnisse auf einem
Rechner anzuschauen, auf dem kein Nmap (und folglich auch kein
nmap.xsl) installiert ist. Daher ist die URL oft nützlicher, doch
aus Datenschutzgründen wird standardmäßig das nmap.xsl im lokalen
Dateisystem benutzt.
--webxml (lade Stylesheet von Nmap.Org) .
Diese bequeme Option ist nur ein Alias für --stylesheet
https://nmap.org/data/nmap.xsl.
--no-stylesheet (lasse XSL-Stylesheet-Deklaration im XML weg) .
Geben Sie diese Option an, wenn Nmap in seiner XML-Ausgabe auf
keinerlei XSL-Stylesheet verweisen soll. Die
xml-stylesheet-Anweisung wird dann weggelassen.
VERSCHIEDENE OPTIONEN
Dieser Abschnitt beschreibt einige wichtige (und weniger wichtige)
Optionen, für die es keinen anderen richtig passenden Ort gibt.
-6 (schaltet IPv6-Scans ein) .
Seit 2002 unterstützt Nmap bei seinen beliebtesten Features IPv6.
Insbesondere das Ping-Scanning (nur für TCP), Connect-Scanning und
die Versionserkennung unterstützen IPv6. Die Befehlssyntax ist die
übliche, nur dass man auch die Option -6 angibt. Natürlich müssen
Sie die IPv6-Syntax angeben, wenn Sie eine Adresse statt eines
Hostnamens angeben. Eine Adresse könnte wie folgt aussehen:
3ffe:7501:4819:2000:210:f3ff:fe03:14d0, d.h. es empfehlen sich
Hostnamen. Die Ausgabe sieht genauso aus wie üblich. Nur die
IPv6-Adresse in der Zeile der „interessanten Ports“ deutet auf
IPv6.
Zwar hat IPv6 die Welt nicht gerade im Sturm erobert, aber in
einigen (besonders asiatischen) Ländern wird es stark eingesetzt,
und von den meisten modernen Betriebssystemen wird es unterstützt.
Um Nmap mit IPv6 zu benutzen, müssen sowohl die Quelle als auch das
Ziel Ihres Scans für IPv6 konfiguriert sein. Falls Ihnen Ihr ISP
(so wie die meisten) keine IPv6-Adressen bereitstellt, gibt es frei
verfügbare sogenannte Tunnel-Broker,. die mit Nmap funktionieren.
Weitere Tunnel-Broker sind in Wikipedia aufgelistet[12]. Ein
weiterer freier Ansatz sind 6to4-Tunnels.
-A (aggressive Scan-Optionen) .
Diese Option schaltet zusätzlich erweiterte und aggressive Optionen
ein. Ich habe noch nicht entschieden, wofür sie genau steht. Im
Moment schaltet sie die Betriebssystemerkennung (-O), die
Versionserkennung (-sV), das Scannen mit Scripts (-sC) und
traceroute (--traceroute) ein. In der Zukunft kommen vielleicht
noch weitere Eigenschaften hinzu. Ziel ist es, einen umfassenden
Satz von Scan-Optionen zu aktivieren, ohne dass man sich viele
Flags merken muss. Weil aber das scriptbasierte Scannen mit dem
Standardsatz als aufdringlich betrachtet wird, sollten Sie -A nicht
ohne Genehmigung auf Zielnetzwerke loslassen. Diese Option
aktiviert nur Eigenschaften, aber keine Optionen für das Timing
(z.B. -T4) oder die Ausführlichkeit (-v), die Sie eventuell auch
benutzen möchten.
--datadir directoryname (gibt benutzerdefinierten Ort für
Nmap-Datendateien an) .
Nmap erhält einige spezielle Daten zur Laufzeit aus Dateien namens
nmap-service-probes, nmap-services, nmap-protocols, nmap-rpc,
nmap-mac-prefixes und nmap-os-db. Falls der Ort einer dieser
Dateien angegeben wurde (mit den Optionen --servicedb oder
--versiondb), wird dieser Ort für diese Datei benutzt. Danach sucht
Nmap diese Dateien im Verzeichnis, das mit der Option --datadir
angegeben wurde (sofern vorhanden). Dateien, die dort nicht
gefunden werden, werden in einem Verzeichnis gesucht, das durch die
Umgebungsvariable NMAPDIR angegeben wird. ~/.nmap. für echte und
effektive UIDs (nur bei POSIX-Systemen) oder der Ort des
ausführbaren Nmap-Programms (nur unter Win32) und dann ein bei der
Kompilierung angegebener Ort wie z.B. /usr/local/share/nmap oder
/usr/share/nmap. Als letzte Rettung sucht Nmap im aktuellen
Arbeitsverzeichnis.
--servicedb services file (gibt benutzerdefinierte Dienstedatei an) .
Verlangt von Nmap, die angegebene Dienstedatei zu benutzen statt
der Datendatei nmap-services, die in Nmap enthalten ist. Bei dieser
Option wird außerdem auch ein schneller Scan (-F) benutzt. Weitere
Details zu Nmaps Datendateien finden Sie in der Beschreibung zu
--datadir.
--versiondb service probes file (gibt benutzerdefinierte Dienstepakete
an) .
Verlangt von Nmap, die angegebene Dienstepaketedatei zu benutzen
statt der Datendatei nmap-service-probes, die in Nmap enthalten
ist. Weitere Details zu Nmaps Datendateien finden Sie in der
Beschreibung zu --datadir.
--send-eth (sendet rohe Ethernet-Pakete) .
Verlangt von Nmap, Pakete auf der rohen
Ethernet-(Datenlink-)Schicht zu schicken, statt auf der höheren
IP-(Netzwerk-)Schicht. Nmap wählt standardmäßig diejenige, die im
Allgemeinen die beste für die gegebene Plattform ist. Rohe Sockets
(IP-Schicht). sind im Allgemeinen auf Unix-Rechnern am
effizientesten, während unter Windows Ethernet-Rahmen benötigt
werden, da Microsoft keine rohen Sockets unterstützt. Trotz dieser
Option benutzt Nmap rohe IP-Pakete unter Unix, wenn es keine andere
Wahl hat (z.B. Verbindungen über etwas anderes als Ethernet).
--send-ip (sendet auf der rohen IP-Schicht) .
Verlangt von Nmap, Pakete über rohe IP-Sockets zu senden, statt
über low-level Ethernet-Rahmen. Diese Option ist das Komplement zur
weiter oben beschriebenen Option --send-eth.
--privileged (nimmt an, dass der Benutzer alle Sonderrechte genießt) .
Sagt Nmap, dass es davon ausgehen soll, dass es über genügend
Rechte verfügt, um über rohe Sockets zu senden, Paket-Sniffing und
ähnliche Operationen zu betreiben, die auf Unix-Rechnern
normalerweise root-Rechte. benötigen. Standardmäßig terminiert
Nmap, wenn solche Operationen verlangt werden, aber geteuid nicht
null ist. --privileged ist nützlich bei Linux-Kernel-Capabilities
und ähnlichen Systemen, die so konfiguriert sein können, dass sie
Benutzern ohne Sonderrechte erlauben, rohe Paket-Scans
durchzuführen. Vergewissern Sie sich, dass Sie diese Option vor
weiteren Optionen angeben, die Sonderrechte benötigen (SYN-Scan,
Betriebssystemerkennung usw.). Als äquivalente Alternative zur
Option --privileged kann die Umgebungsvariable NMAP_PRIVILEGED.
gesetzt werden.
--unprivileged (nimmt an, dass der Benutzer keine Sonderrechte für rohe
Sockets genießt) .
Diese Option ist das Gegenteil von --privileged. Sie sagt Nmap,
dass es den Benutzer so behandeln soll, als genösse er keine
Sonderrechte für rohe Sockets und Sniffing. Das ist nützlich beim
Testen, Debugging oder falls die Möglichkeiten des rohen
Netzwerkzugriffs auf Ihrem Betriebssystem vorübergehend irgendwie
defekt sind. Als äquivalente Alternative zur Option --unprivileged
kann die Umgebungsvariable NMAP_UNPRIVILEGED. gesetzt werden.
--release-memory (gibt Speicher vor Terminierung frei) .
Diese Option ist nur bei der Suche nach Speicherlecks nützlich. Sie
bewirkt, dass Nmap den von ihm belegten Speicher direkt vor seiner
Terminierung freigibt, damit man echte Speicherlecks einfacher
finden kann. Normalerweise macht Nmap das nicht, weil es das
Betriebssystem ohnehin macht, wenn es den Prozess terminiert.
-V; --version (gibt Versionsnummer aus) .
Gibt Nmaps Versionsnummer aus und terminiert.
-h; --help (gibt zusammengefasste Hilfeseite aus) .
Gibt eine kurze Hilfeseite mit den am meisten benutzten Optionen
aus. Sie kommt auch dann, wenn man Nmap ganz ohne Argumente
startet.
LAUFZEIT-INTERAKTION
Während der Ausführung von Nmap wird jeder Tastendruck abgefangen. Das
ermöglicht Ihnen, mit dem Programm zu interagieren, ohne es abzubrechen
und neu zu starten. Bestimmte Spezialtasten ändern Optionen, während
alle anderen Tasten eine Statusmeldung über den Scan ausgeben.
Konvention ist, dass der Ausgabeumfang durch Kleinbuchstaben vergrößert
und durch Großbuchstaben verkleinert wird. Sie können auch ‘?’ drücken,
um eine Hilfe zu erhalten.
v / V
Vergrößert/verkleinert die Ausführlichkeit
d / D
Vergrößert/verkleinert die Debugging-Stufe
p / P
Schaltet Paketverfolgung ein/aus
?
Gibt einen Hilfeschirm zur Laufzeit-Interaktion aus
Alles andere
Gibt eine Statusmeldung wie die folgende aus:
Stats: 0:00:08 elapsed; 111 hosts completed (5 up), 5 undergoing
Service Scan
Service scan Timing: About 28.00% done; ETC: 16:18 (0:00:15
remaining)
BEISPIELE
Hier sind einige Anwendungsbeispiele für Nmap, von einfachen und
routinemäßigen bis zu etwas komplexeren und esoterischen. Um die Sache
etwas konkreter zu machen, werden einige echte IP-Adressen und
Domainnamen benutzt. Diese sollten Sie mit Adressen/Namen aus Ihrem
eigenen Netzwerk ersetzen. Auch wenn ich nicht der Meinung bin, dass
Port-Scans anderer Netzwerke illegal sind oder sein sollten, mögen
manche Netzwerkadministratoren es nicht, wenn ihre Netzwerke unverlangt
gescannt werden, und könnten sich beschweren. Der beste Ansatz ist der,
sich zuerst eine Genehmigung zu verschaffen.
Zu Testzwecken haben Sie die Genehmigung, den Host scanme.nmap.org zu
scannen. Diese Genehmigung gilt nur für das Scannen mit Nmap und nicht
für das Testen von Exploits oder Denial-of-Service-Angriffen. Bitte
führen Sie nicht mehr als ein Dutzend Scans pro Tag auf diesem Host
durch, um die Bandbreite nicht zu erschöpfen. Falls diese freie
Dienstleistung missbraucht wird, wird sie abgeschaltet, und Nmap wird
dann Failed to resolve given hostname/IP: scanme.nmap.org ausgeben.
Diese Genehmigung gilt auch für die Hosts scanme2.nmap.org,
scanme3.nmap.org usw., auch wenn diese Hosts noch nicht existieren.
Diese Option scannt alle reservierten TCP-Ports auf dem Rechner
scanme.nmap.org. Die Option -v schaltet den ausführlichen Modus an.
Startet einen Stealth-SYN-Scan auf allen aktiven Rechnern unter den 256
IPs im Netzwerk der Größe „Klasse C“, in dem Scanme sitzt. Es versucht
auch herauszufinden, welches Betriebssystem auf jedem aktiven Host
läuft. Wegen des SYN-Scans und der Betriebssystemerkennung sind dazu
root-Rechte notwendig.
Startet eine Host-Auflistung und einen TCP-Scan in der ersten Hälfte
von allen 255 möglichen acht-Bit-Unternetzen im Klasse-B-Adressraum
198.116. Dabei wird getestet, ob die Systeme SSH, DNS, POP3 oder IMAP
auf ihren Standardports laufen haben oder irgendetwas auf Port 4564.
Falls einer dieser Ports offen ist, wird eine Versionserkennung
benutzt, um festzustellen, welche Anwendung darauf läuft.
Verlangt von Nmap, 100.000 Hosts zufällig auszuwählen und sie nach
Webservern (Port 80) zu scannen. Eine Host-Auflistung wird mit -PN
unterbunden, weil es Verschwendung ist, zuerst eine Reihe von
Testpaketen zu senden, um festzustellen, ob ein Host aktiv ist, wenn
Sie auf jedem Zielhost ohnehin nur einen Port testen.
Das scannt 4096 IPs nach Webservern (ohne sie anzupingen) und speichert
die Ausgabe im grepbaren und im XML-Format.
DAS NMAP-BUCH
Auch wenn dieser Reference Guide alle wesentlichen Nmap-Optionen genau
beschreibt, kann er nicht vollständig zeigen, wie man diese Features
anwendet, um Aufgaben der realen Welt zu lösen. Zu diesem Zweck haben
wir das Buch Nmap Network Scanning: The Official Nmap Project Guide to
Network Discovery and Security Scanning. Es zeigt, wie man Firewalls
und Intrusion Detection-Systeme unterwandert, die Performance von Nmap
optimiert, und wie man häufige Netzwerkaufgaben mit der Nmap Scripting
Engine automatisiert. Außerdem enthält es Tipps und Anleitungen für
häufige Nmap-Aufgaben wie die Netzwerkinventarisierung,
Penetrationstests, die Erkennung schurkischer Wireless Access Points
und das Verhindern von Wurmausbrüchen im Netzwerk. Dabei zeigt es mit
Beispielen und Diagrammen, wie die Kommunikation auf der Leitung
aussieht. Mehr als die Hälfte des Buches ist online frei verfügbar.
Weitere Informationen finden Sie unter https://nmap.org/book.
Die deutsche Übersetzung dieses Buches von Dinu Gherman ist im Mai 2009
unter dem Titel Nmap: Netzwerke scannen, analysieren und absichern[14]
im Open Source Press[15]-Verlag erschienen.
FEHLER
Wie sein Autor ist auch Nmap selbst nicht perfekt. Aber Sie können
helfen, es zu verbessern, indem Sie Fehlerberichte schicken oder sogar
Patches schreiben. Falls Nmap sich nicht wie erwartet verhält, sollten
Sie zuerst auf die neueste Version aktualisieren, die unter
https://nmap.org verfügbar ist. Wenn das Problem anhält, versuchen Sie
herauszufinden, ob es bereits erkannt und bearbeitet wurde. Suchen Sie
nach der Fehlermeldung auf unserer Suchseite unter
http://insecure.org/search.html oder bei Google. Stöbern Sie in den
nmap-dev-Archiven unter http://seclists.org/.. Lesen Sie auch diese
Manpage vollständig. Wenn Sie keine Lösung finden, schicken Sie einen
Fehlerbericht per E-Mail an <dev@nmap.org>. Beschreiben Sie darin bitte
alles, was Sie über das Problem wissen, inklusive der Nmap-Version und
der Betriebssystemversion, unter der Sie Nmap einsetzen. Berichte von
Problemen und Fragen zur Anwendung von Nmap werden sehr viel
wahrscheinlicher beantwortet, wenn sie an <dev@nmap.org> geschickt
werden statt direkt an Fyodor. Wenn Sie sich erst auf der
nmap-dev-Liste eintragen, bevor Sie Ihre E-Mail schicken, entgeht Ihre
Nachricht auch der Moderation und kommt schneller an. Eintragen können
Sie sich unter https://nmap.org/mailman/listinfo/dev.
Code-Patches zur Behebung von Fehlern sind noch besser als
Fehlerberichte. Eine einfache Anweisung für die Erstellung von
Patch-Dateien mit Ihren Änderungen ist unter
https://nmap.org/data/HACKING verfügbar. Patches können an nmap-dev
(empfohlen) oder direkt an Fyodor geschickt werden.
AUTOR
Fyodor <fyodor@nmap.org> (http://insecure.org)
Über die Jahre haben hunderte von Menschen wertvolle Beiträge zu Nmap
geleistet. Sie sind detailliert in der Datei CHANGELOG. aufgeführt, die
mit dem Nmap-Quellcode verbreitet wird und auch unter
https://nmap.org/changelog.html verfügbar ist.
Sorry, this section has not yet been translated to German. Please see
the English version[16].
FUßNOTEN
1. RFC 1122
http://www.rfc-editor.org/rfc/rfc1122.txt
2. RFC 792
http://www.rfc-editor.org/rfc/rfc792.txt
3. RFC 1918
http://www.rfc-editor.org/rfc/rfc1918.txt
4. UDP
http://www.rfc-editor.org/rfc/rfc768.txt
5. TCP RFC
http://www.rfc-editor.org/rfc/rfc793.txt
6. RFC 959
http://www.rfc-editor.org/rfc/rfc959.txt
7. RFC 1323
http://www.rfc-editor.org/rfc/rfc1323.txt
8. Programmiersprache Lua
http://lua.org
9. IP-Protokoll
http://www.rfc-editor.org/rfc/rfc791.txt
10. Nmap::Scanner
http://sourceforge.net/projects/nmap-scanner/
11. Nmap::Parser
http://nmapparser.wordpress.com/
12. in Wikipedia aufgelistet
http://en.wikipedia.org/wiki/List_of_IPv6_tunnel_brokers
13. Nmap Network Scanning: The Official Nmap Project Guide to Network
Discovery and Security Scanning
https://nmap.org/book/
14. Nmap: Netzwerke scannen, analysieren und absichern
https://www.opensourcepress.de/index.php?26&backPID=178&tt_products=270
15. Open Source Press
http://www.opensourcepress.de
16. English version
https://nmap.org/book/man-legal.html