Copyright (C) Open Source Press

Transkript

1 Gordon Fyodor Lyon Nmap Netzwerke scannen, analysieren und absichern

2 Alle in diesem Buch enthaltenen Programme, Darstellungen und Informationen wurden nach bestem Wissen erstellt. Dennoch sind Fehler nicht ganz auszuschließen. Aus diesem Grunde sind die in dem vorliegenden Buch enthaltenen Informationen mit keiner Verpflichtung oder Garantie irgendeiner Art verbunden. Autor(en), Herausgeber, Übersetzer und Verlag übernehmen infolgedessen keine Verantwortung und werden keine daraus folgende Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieser Informationen oder Teilen davon entsteht, auch nicht für die Verletzung von Patentrechten, die daraus resultieren können. Ebenso wenig übernehmen Autor(en) und Verlag die Gewähr dafür, dass die beschriebenen Verfahren usw. frei von Schutzrechten Dritter sind. Die in diesem Werk wiedergegebenen Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. werden ohne Gewährleistung der freien Verwendbarkeit benutzt und können auch ohne besondere Kennzeichnung eingetragene Marken oder Warenzeichen sein und als solche den gesetzlichen Bestimmungen unterliegen. Dieses Werk ist urheberrechtlich geschützt. Alle Rechte, auch die der Übersetzung, des Nachdrucks und der Vervielfältigung des Buches oder Teilen daraus vorbehalten. Kein Teil des Werkes darf ohne schriftliche Genehmigung des Verlags in irgendeiner Form (Druck, Fotokopie, Mikrofilm oder einem anderen Verfahren), auch nicht für Zwecke der Unterrichtsgestaltung, reproduziert oder unter Verwendung elektronischer Systeme verarbeitet, vervielfältigt oder verbreitet werden. Bibliografische Information Der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über abrufbar. Copyright 2009 Open Source Press, München Englische Originalausgabe: Nmap Network Scanning Copyright 2008 by Gordon Fyodor Lyon Übersetzung: Dinu Gherman Lektorat: Franz Mayer Satz: Open Source Press (LATEX) Umschlaggestaltung: Autorenfoto: Jacob Appelbaum ( Gesamtherstellung: Kösel, Krugzell ISBN

3 Vorwort zur deutschen Ausgabe von Nils Magnus Vorwort Einführung in Nmap Nmap-Übersicht und -Demonstration Avatar Online Die Rettung der menschlichen Rasse MadHat im Wunderland Die Phasen eines Nmap-Scans Rechtliche Fragen Sind unerlaubte Port-Scans kriminell? Können Port-Scans die Zielcomputer/-netzwerke zum Absturz bringen? Das Nmap-Copyright Nmaps Vergangenheit und Zukunft Nmap beschaffen, kompilieren, installieren und entfernen Vorbereitungen Testen, ob Nmap schon installiert ist Kommandozeilen- und grafische Schnittstelle Nmap herunterladen Überprüfen der Integrität von Nmap-Downloads Nmap aus dem Subversion(SVN)-Repository herunterladen Kompilierung und Installation aus dem Quellcode unter Unix Anweisungen zur Konfiguration Probleme beim Kompilieren

4 2.3 Linux-Distributionen RPM-basierte Distributionen (Red Hat, Mandrake, SUSE, Fedora) Red Hat, Fedora, Mandrake und Yellow Dog Linux mit Yum aktualisieren Debian Linux und Abkömmlinge wie Ubuntu Andere Linux-Distributionen Windows Windows 2000-Abhängigkeiten Windows-Selbstinstaller Zip-Binärdateien in der Kommandozeile Kompilieren des Quellcodes Nmap auf Windows ausführen Sun Solaris Apple Mac OS X Ausführbarer Installer FreeBSD/OpenBSD/NetBSD Anweisungen für OpenBSD-Binärpakete und Quellcode-Ports Anweisungen für FreeBSD-Binärpakete und Quellcode-Ports Anweisungen für das NetBSD-Binärpaket Amiga, HP-UX, IRIX und weitere Plattformen Nmap entfernen (¹¹ ÜÐÙ Host-Erkennung ( Ping-Scanning ) Ziel-Hosts und -Netzwerke angeben Eingabe aus einer Liste (¹ Ä) Zufällige Auswahl von Zielen (¹ Ê ÒÙÑØ Ö Ø ) Ziele ausklammern ¹¹ ÜÐÙ Ð Ð Ò Ñ ) Praktische Beispiele IP-Adressen einer Organisation finden DNS-Tricks Whois-Abfragen auf IP-Registries

5 3.2.3 Internet-Routing-Information DNS-Auflösung Steuerung der Host-Erkennung List-Scan (¹ Ä) Ping-Scan (¹ È) Ping abschalten (¹ÈÆ) Methoden der Host-Erkennung TCP-SYN-Ping (¹ÈË ÈÓÖØÐ Ø ) TCP-ACK-Ping (¹È ÈÓÖØÐ Ø ) ICMP-Ping-Arten (¹È,¹ÈÈÙÒ ¹ÈÅ) IP-Protokoll-Ping (¹ÈÇ ÈÖÓØÓ ÓÐÐ¹Ä Ø ) ARP-Scan (¹ÈÊ) Standardkombination UDP-Ping (¹ÈÍ ÈÓÖØÐ Ø ) 3.6 Zusammenfassung: Strategien bei der Host-Erkennung Verwandte Optionen Ping-Optionen auswählen und kombinieren Code-Algorithmen bei der Host-Erkennung Port-Scanning Einführung in das Port-Scanning Was genau ist ein Port? Welche sind die meistbenutzten Ports? Was ist Port-Scanning? Warum scannt man Ports? Eine schnelle Anleitung zum Port-Scanning Kommandozeilen-Schalter Auswahl von Scan-Methoden Auswahl der zu scannenden Ports Optionen zum Timing Optionen für Ausgabeformat und Ausführlichkeit Optionen zur Umgehung von Firewalls und IDS Angabe von Zielen Sonstige Optionen

6 4.4 Scannen mit IPv6 (¹ ) Szenario: Ein großes Netzwerk nach einem bestimmten offenen TCP-Port scannen Problem Lösung Diskussion Methoden und Algorithmen des Port-Scannings TCP-SYN-(Stealth-)Scan (¹ Ë) TCP-Connect-Scan (¹ Ì) UDP-Scan (¹ Í) Unterscheidung von offenen und gefilterten UDP-Ports Beschleunigung des UDP-Scans TCP FIN-, NULL- und Xmas-Scans (¹,¹ Æ ¹ ) Benutzerdefinierte Scan-Typen mit¹¹ Ò Ð Benutzerdefinierter SYN/FIN-Scan PSH-Scan TCP-ACK-Scan (¹ ) TCP-Window-Scan (¹ Ï) TCP-Maimon-Scan (¹ Å) TCP-Idle-Scan (¹ Á) Idle-Scan, Schritt für Schritt Einen fuktionierenden Zombie-Host für Idle-Scans finden Ausführung eines Idle-Scans Implementation des Idle-Scan-Algorithmus IP-Protokoll-Scan (¹ Ç) TCP-FTP-Bounce-Scan (¹ ) Scan-Code und -Algorithmen Überwachung des Netzwerkzustands Host- und Port-Parallelisierung Schätzung der Umlaufzeit Steuerung bei Überlastung Zeitmessung mit Testpaketen

7 Ableitung des Timings von benachbarten Hosts Adaptives erneutes Senden Scan-Verzögerung Die Nmap-Performance optimieren Methoden zur Verkürzung der Scan-Zeit Nicht-kritische Tests weglassen Zeitparameter optimieren UDP-Scans trennen und optimieren Nmap aktualisieren Mehrere Nmap-Instanzen nebenläufig ausführen Von einem günstigen Ort im Netzwerk scannen Verfügbare Bandbreite oder CPU-Leistung erhöhen Bewältigungsstrategien bei langen Scans Mehrstufige Ansätze benutzen Scan-Zeit schätzen und einplanen Daten und Strategien zur Port-Auswahl Zeiteinstellungen auf unterer Ebene Templates für die Zeiteinstellung (¹Ì) IP-Adressen in 46 Stunden scannen Versionserkennung bei Diensten und Anwendungen Anwendung und Beispiele Beschreibung des Verfahrens Mogeleien und Rückgriffe Auswahl und Seltenheit von Testpaketen Demonstration der Methode Postprozessoren Integration der Nmap Scripting Engine RPC-Holzhammer Bemerkungen zum SSL-Postprozessor ÜÐÙ -Anweisung Dateiformat vonòñ Ô¹ ÖÚ ¹ÔÖÓ ÈÖÓ -Anweisung

8 7.5.3Ñ Ø -Anweisung Ó ØÑ Ø -Anweisung ÔÓÖØ - und ÐÔÓÖØ -Anweisung ØÓØ ÐÛ ØÑ -Anweisung Ö Ö ØÝ-Anweisung ÐÐ -Anweisung Alle zusammen Beiträge von der Community Dienst-Fingerprints beitragen Datenbankkorrekturen beitragen Neue Testpakete einreichen Szenario: Finde alle Server, auf denen eine unsichere oder unübliche Version einer Anwendung läuft Problem Lösung Diskussion Szenario: Versionserkennung hacken und anpassen Problem Lösung Diskussion Erkennung entfernter Betriebssysteme Gründe für die Betriebssystemerkennung Bestimmung der Verwundbarkeit des Ziel-Hosts Maßgeschneiderte Exploits entwickeln Netzwerk-Inventarisierung und -Betreuung Anwendung und Beispiele Von Nmap unterstützte TCP/IP-Fingerprinting-Methoden Gesendete Testpakete Antwort-Tests Fingerprint-Methoden, die Nmap vermeidet Passives Fingerprinting Exploit-Chronologie Zeiten bei erneuten Übertragungen

9 8.4.4 IP-Fragmentierung Muster offener Ports Verstehen eines Nmap-Fingerprints Decodierung des Formats von Subject-Fingerprints Decodierung des Referenz-Fingerprint-Formats Algorithmen für die Betriebssystem-Übereinstimmung Umgang mit falsch und nicht-identifizierten Hosts Wenn Nmap falsch rät Wenn Nmap keine Übereinstimmung findet und einen Fingerprint ausgibt Eigene Modifikationen in der nmap-os-db-datenbank Szenario: Bösartige Wireless Access Points in einem Firmennetzwerk erkennen Das Problem Lösung WAP-Eigenschaften Nmap Scripting Engine Anwendungen und Beispiele Script-Kategorien Kommandozeilen-Argumente Argumente für Scripts Beispielanwendungen Das Script-Format Das Ö ÔØ ÓÒ-Feld Das Ø ÓÖ -Feld Das ÙØ ÓÖ-Feld DasÐ Ò -Feld DasÖÙÒÐ Ú Ð-Feld Port- und Host-Regeln Aktion Die Script-Sprache Die Basis der Sprache Lua NSE-Scripts NSE-Bibliotheken

10 9.5.1 Liste aller Bibliotheken C-Module zu Nselib hinzufügen Die Nmap-API An ein Script übergebene Information Netzwerk-I/O-API Thread-Mutexe Ausnahmebehandlung Die Registry Anleitung zum Schreiben von Scripts Der Kopf Die Regel Der Mechanismus Script-Dokumentation schreiben (NSEDoc) NSE-Dokumentations-Tags Versionserkennung mit NSE Beispiel-Script: Ò ÖºÒ Implementationsdetails Die Initialisierungsphase Vergleich von Scripts mit Zielen Die Script-Ausführung Firewalls und Intrusion-Detection-Systeme erkennen und unterwandern Warum würden anständige Experten (White Hats) so etwas tun? Firewall-Regeln ermitteln Der Standard-SYN-Scan ACK-Scan IP-ID-Tricks UDP-Versions-Scans Umgehung von Firewall-Regeln Exotische Scan-Flags Manipulation des Quell-Ports IPv6-Angriffe IP-ID-Idle-Scans

11 Mehrfache Ping-Testpakete Fragmentierung Proxies MAC-Adressen vortäuschen Source Routing FTP Bounce-Scan Einen alternativen Weg nehmen Ein praktisches reales Beispiel einer Firewall-Unterwanderung Unterwanderung von Intrusion-Detection-Systemen Erkennung von Intrusion-Detection-Systemen Intrusion-Detection-Systemen ausweichen Intrusion-Detection-Systeme täuschen DoS-Angriffe auf reaktive Systeme Intrusion-Detection-Systeme ausbeuten Intrusion-Detection-Systeme ignorieren Paketfälschungen von Firewalls und IDS erkennen Nach TTL-Konsistenz suchen Nach IP-ID- und Sequenznummer-Konsistenz suchen Der Trick mit fehlerhaften TCP-Prüfsummen Umlaufzeiten Genaue Analyse von Paket-Headern und -inhalten Ungewöhnliche Netzwerk-Uniformität Verteidigung gegen Nmap Scannen, Ports schließen und Schwachstellen reparieren Nmap mit Firewalls blockieren und verlangsamen Nmap-Scans erkennen Clevere Tricks Dienste auf obskuren Ports verbergen Portknocking Honeypots und Honeynets Betriebssysteme vortäuschen Teergruben

12 Reaktive Erkennung von Port-Scans Rüstungswettlauf Die Zenmap-GUI Der Zweck einer GUI für Nmap Scannen Profiles Scan-Gruppierung Scan-Ergebnisse interpretieren Scan-Ergebnisreiter Sortieren nach Host Sortieren nach Dienst Scan-Ergebnisse speichern und laden Die Datenbank der zuletzt durchgeführten Scans In der Netzwerk-Topologie surfen Übersicht des Reiters Topology Legende Steuerelemente Tastenkürzel Der Host-Viewer Der Nmap Command Constructor Wizard Der Profil-Editor Ein neues Profil erstellen Ein Profil bearbeiten Ein neues Profil von einem alten ableiten In gespeicherten Ergebnissen suchen Ergebnisse vergleichen Zenmap in Ihrer Sprache Neue Übersetzungen erstellen Von Zenmap benutzte Dateien Das ausführbare ProgrammÒÑ Ô Systemkonfigurationsdateien Benutzerspezifische Konfigurationsdateien Ausgabedateien

13 12.12 Beschreibung von zenmap.conf Abschnitte in zenmap.conf Kommandozeilenoptionen Übersicht Optionsübersicht Fehlerausgabe Geschichte Ausgabeformate Kommandozeilen-Flags Die Ausgabeart steuern Die Ausführlichkeit der Ausgabe steuern Debugging-Ausgabe einschalten Fehlermeldungen und Warnungen behandeln Paketverfolgung einschalten Abgebrochene Scans fortsetzen Interaktive Ausgabe Normale Ausgabe (¹ÓÆ) $cript-kiddi3-vußgvb3 (¹ÓË) XML-Ausgabe (¹Ó ) XML-Ausgabe benutzen XML-Ausgabe mit Perl manipulieren Ausgabe in eine Datenbank HTML-Berichte erstellen Einen dauerhaften HTML-Bericht speichern Grepbare Ausgabe (¹Ó ) Felder in der grepbaren Ausgabe Grepbare Ausgabe auf der Kommandozeile parsen Nmap-Datendateien verstehen und anpassen Liste bekannter Ports: nmap-services Versions-Scanning-DB: nmap-service-probes SunRPC-Nummern: nmap-rpc Betriebssystemerkennungs-DB: nmap-os-db

14 14.5 Herstellerpräfixe für MAC-Adressen: nmap-mac-prefixes Liste der IP-Protokollnummern: nmap-protocols Scripting-bezogene Dateien Angepasste Datendateien benutzen Nmap-Referenz Übersicht der Optionen Angabe von Zielen Host-Erkennung Grundlagen von Port-Scans Port-Scanning-Methoden Port-Angabe und Scan-Reihenfolge Dienst- und Versionserkennung Betriebssystemerkennung Nmap Scripting Engine (NSE) Timing und Performance Firewall-/IDS-Umgehung und -Täuschung Ausgabe Verschiedene Optionen Laufzeit-Interaktion Beispiele Fehler Autor Anhang 597 A TCP/IP-Referenz 599 B Rechtliche Hinweise 603 C DTD der Nmap-XML-Ausgabe