Een belangrijke methode om te bepalen welke services precies op uw netwerk worden uitgevoerd, is door een poortscan uit te voeren. Het uitvoeren van een poortscan kan u een nauwkeurig overzicht geven van het aanvalsoppervlak van uw computer en netwerk. In sommige gevallen kan het zijn dat u services uitvoert die u misschien niet had verwacht.
Transmission Control Protocol, of TCP, is een standaard die verbindingen tussen computers via een netwerk mogelijk maakt. TCP gebruikt een drieweg-handshake om een verbinding te openen die dan open blijft totdat er een time-out optreedt of de verbinding wordt verbroken. Dit wil niet zeggen dat de verbinding altijd gegevens verzendt, het betekent alleen dat beide partijen de verbindingsgegevens opslaan en onmiddellijk kunnen doorgaan met het verzenden en ontvangen van gegevens.
Nmap is de standaard tool voor het uitvoeren van poortscanning. Het is voornamelijk ontworpen om op Linux te draaien, maar er zijn ook Windows-versies. Een grafische interface is ook beschikbaar, maar het gebruik van de opdrachtregel is nog steeds de standaard.
Hoe Nmap te gebruiken
Om te testen of je Nmap op een Linux-machine hebt geïnstalleerd, voer je het commando "nmap" uit. Als u een helppagina krijgt, is deze geïnstalleerd en klaar om te worden uitgevoerd. Als u een foutmelding krijgt dat de opdracht "niet gevonden" is, moet u Nmap installeren.
De helppagina is erg compact en toont veel opties die verwarrend kunnen zijn. De basisprincipes die u nodig hebt om TCP-poorten te scannen, zijn relatief eenvoudig. De basisstructuur die u nodig hebt, is "nmap [type scan] [opties] {doelspecificatie}".
Voor het scannen van TCP-poorten wilt u een van de twee scantypen gebruiken, TCP of SYN. Een TCP-scan probeert een volledige verbinding te maken met elke poort, waarmee de drieweg-handshake wordt voltooid. Een SYN-scan misbruikt het protocol enigszins en verzendt nooit het derde bericht van de three-way handshake. SYN-scans zijn vaak minder belastend voor systeembronnen, omdat apparaten niet veel verbindingen tegelijk hoeven te openen omdat de verbindingen nooit volledig tot stand komen, werken ze ook sneller dan TCP-scans, maar ze hebben root nodig rechten. Een TCP-scan wordt gespecificeerd met de vlag "-sT", terwijl een SYN-scan wordt gespecificeerd door "-sS".
Tip: De three-way handshake is de manier waarop een TCP-verbinding wordt geïnitialiseerd, het omvat drie berichten, "SYN, SYN-ACK en ACK" verzonden van client naar server, server naar client en vervolgens van client naar server respectievelijk.
Scanopties specificeren
Het gedeelte met opties is volledig optioneel, maar er zijn een aantal die over het algemeen nuttig kunnen zijn. U kunt meer gedetailleerde scanresultaten inschakelen door de breedsprakigheid te verhogen met "-v", u kunt de breedsprakigheid verder verhogen tot een derde niveau met "-vvv". U kunt besturingssysteemdetectie, versiedetectie, scriptscanning en traceroutes uitvoeren door de vlag "-A" te gebruiken, hoewel dit wat langer duurt.
U kunt IPv4- of IPv6-adressen tegelijk scannen, IPv4 is de standaardinstelling, als u IPv6-adressen wilt scannen, moet u de vlag "-6" gebruiken. Soms voert Nmap een snelle ping-scan uit om te bepalen welke hots actief zijn. Als dit hosts overslaat die u wilt testen, kunt u dit uitschakelen met de vlag "-Pn". Als u een groot bereik opgeeft, kan het lang duren om te scannen. De vlag "-T4" voert de scan sneller uit en zal waarschijnlijk niets missen, het kan langzame netwerken of apparaten overweldigen omdat de verkeersoutput aanzienlijk zal toenemen.
IP-adres en poortbereiken specificeren
Standaard scant Nmap de top 1000 meest gebruikte poorten, u kunt handmatig een poortbereik instellen door de vlag "-p" te gebruiken en vervolgens een bereik zonder spaties op te geven. Poortbereiken kunnen worden gespecificeerd via door komma's gescheiden waarden, koppeltekens of een combinatie van beide. De vlaggen "-p22", "-p1-65535" en "-p21-25,80,139,8080" scannen bijvoorbeeld poort 22, alle poorten tussen 1 en 65535, en poorten 21 tot 25, 80, 239, en 8080 respectievelijk. Het is ook mogelijk om in plaats daarvan de vlag "–top-ports [nummer]" op te geven om de meest voorkomende poorten van [nummer] te scannen. Als u alle poorten wilt specificeren, kunt u de afkorting "-p-" gebruiken.
Tip: Poortnummers variëren tussen 0 en 65535, hoewel 0 technisch gezien niet kan worden gebruikt.
Het laatste dat u hoeft op te geven, zijn de IP-adressen van de apparaten die u wilt testen. Om dit te doen, vermeldt u eenvoudig alle IP-adressen die u wilt scannen, ze moeten worden gescheiden door spaties en kunnen afzonderlijk worden weergegeven, met koppeltekens of via CIDR-notatie. Bijvoorbeeld: "191.168.0.1" scant dat ene IP-adres, "192.168.0.1-5" scant de vijf IP-adressen tussen 102.168.0.1 en 192.168.0.5, ten slotte zou "192.168.0.1/24" alle IP-adressen tussen 192.168.0.1 en 192.168.0.255.
De algemene opdracht zou er ongeveer zo uit moeten zien als de volgende voorbeelden: "nmap -sS -vvv -A -p- 127.0.0.1", "nmap -sS -v -p80,443,8080 192.168.0.1/24", "nmap -sS –toppoorten 10000 -6 ::1”
