Aprendendo com o nmap

ArticleCategory: [Choose a category for your article]

AuthorImage:[Here we need a little image form you]

TranslationInfo:[]

original in es Danilo Lujambio
es to en Iván Rojas Aguilar
es to en Javier Palacios

en to en:Lorne Bailey

en to pt:Bruno Sousa

AboutTheAuthor:[A small biography about the author]

Abstract:[Here you write a little summary]

ArticleIllustration:[This is the title picture for your article]

ArticleBody:[The article body]

Porque s�o os scanners t�o importantes para a seguran�a das redes ? Basicamente, porque s�o utilit�rios essenciais para aqueles que querem atacar um sistema. A prepara��o de um ataque podia assemelhar-se a algo do g�nero :

• Fazer um scan � m�quina ou rede, observar os servi�os oferecidos, qual o sistema operativo que os fornece e trabalhar nalguma vulnerab�lidade conhecida deles.
• Fazer um scan a uma m�quina ou rede qualquer, procurar por um servi�o ou sistema operativo (incluindo a verifica��o da vers�o) com alguma vulnerab�lidade conhecida.

Para um administrador de sistema preocupado com a seguran�a do sistema � importante fazer um scan � sua pr�pria rede, procurar vulnerab�lidades antes que outros o fa�am e n�o com t�o boas inten��es.

Existem v�rios utilit�rios de scan para este fim, mas o artigo s� focar� o nmap. O nmap � entre todos o scanner e utilit�rio de seguran�a mais completo.

O Nmap permite ao administrador de sistema fazer um scan �s redes para saber quais os servidores activos e os servi�os que ofere�em. Para este fim, o nmap oferece v�rias t�cnicas de scan. O artigo focar� um n�mero limitado delas, revendo (talvez ensinando ?) alguns aspectos do protocolo TCP.

A estrat�gia deste artigo ser� a de mostrar como utilizar o nmap, como habitualmente � utilizado, para obter informa��o acerca de sistemas e em paralelo, como encontrar rastos de scan no lado do alvo.

O nmap pode ser obtido a partir de www.insecure.org. Ap�s o download fa�a :

tar zxvf nmap-2.30BETA17.tgz
cd ...../nmap-2.30BETA17/
./configure
make
make install

O output do nmap �, habitualmente, uma lista "interessante" de portos (activos) na m�quina de destino, scanada. Estas portas fornecem o nome dos servi�os, o seu estado e o protocolo.

Scanando o TCP, o aperto de m�o do TCP (op��o -sT)

A forma mais simples de fazer scan com o nmap � feia com a op��o -sT. � baseada no m�todo de estabelecimento de uma liga��o no protocolo TCP, conhecida como o aperto de m�o. A sequ�ncia [1] � descrita em baixo

1. O servidor tem de estar preparado para receber uma conex�o (utilizando, habitualmente as fun��es sockd, bind e listen)
2. O cliente inicia uma liga��o activa - uma chamada ao connect(). Isto envia um segmento SYN ao servidor para informar acerca do n�mero de sequ�ncia inicial dos dados que o cliente enviar� durante a liga��o. O segmento SYN cont�m, usualmente um cabe�alho IP - um cabe�alho TCP e talvez algumas op��es TCP.
3. O servidor deve conhecer o SYN, enviando um ACK e um SYN com o seu n�mero de sequ�ncia (com o mesmo pacote TCP).
4. O cliente deve conhecer o SYN do servidor com um ACK

Este modo de scan tem duas vantagens:

• � r�pido ( o nmap incorpora, inclusive, op��es que v�o analisar para ser mais r�pido em liga��es lentas)
• Privil�gios especiais n�o s�o requeridos na m�quina que lan�a o scan

Seguiremos o procedimento utilizado pela op��o do nmap -sT, correndo o tcpdump na m�quina de destino, o nmap � executado na m�quina 192.168.255.50 e aponta na direc��o da m�quina house2.xxx.xxx.xxx atrav�s de uma rede Ethernet.

Esta execu��o permitiu ao nmap detectar o porto 110(pop3) da m�quina house2 est� activo naquela m�quina.

Como referido anteriormente, este modo de scan � f�cil de detectar, usando as impress�es deixadas no ficheiro /var/log/messages (contudo isto depende do modo como o syslog.conf foi configurado) a liga��o vista nas linhas 5 e 8 produziu:

May 6 08:24:01 house2 in.pop3d[205]: connect
from [email protected]

Fazendo Scan usando segmentos SYN (meio abertos, op��o -sS)

Este tipo de scan � feito pelo nmap atrav�s da op��o -sS. A t�cnica � utilizada para abrir uma "meia liga��o": enviamos um segmento SYN e se � recebido um ACK ent�o detect�mos uma porta activa na m�quina de destino e enviamos um RESET para fechar a liga��o devidamente. Se recebermos um RST em vez de um ACK, ent�o a porta scanada n�o est� activa. Este modo de scan tem o sen�o que s�o requeridos privil�gios root para ser executado. Mas a vantagem � que � dif�cil de detectar na m�quina � qual se faz o scan.

Fa�amos uma an�lise das ac��es feitas pelo nmap com esta op��o, analisando-o com o tcpdump (com numera��o de linhas, para facilitar a descri��o).

Este scan na m�quina host2 n�o deixou nenhum rasto no ficheiro /var/log/messages, como mencionado anteriormente.

Scanando utilizando segmentos FIN

Este tipo de scan � baseado no facto de que portas inactivas na m�quina de destino respondem a um pacote FIN com um pacote RST. Por outro lado, portas activas, simplesmente, ignora este pacote. Assim, a lista de portas interessantes � obtida observando-se as quais n�o responderam. M�quinas correndo sistemas operativos Window$ n�o podem ser "scanadas" com este m�todo, visto n�o terem implementa��es standard do protocolo TCP.

Existem tr�s formas de operar com o nmap em situa��es semelhantes. com as op��es -sF, -sX e -sN. Analisaremos depois o comportamento da op��o -sF, efectuando uma an�lise semelhante �s sec��es anteriores.

Nas linhas 1 e 2 os segmentos FIN entregues (note no F depois do 864 na linha 1) � observado na m�quina de destino que responde com um pacote RST (note no R na linha 2 depois do 35600). O nmap conclui que a porta 864 na house2 n�o est� activa.

As linhas 3 e 4 tomam o pop3 como exemplo. Na linha 3, vemos um segmento FIN enviado, o qual n�o obt�m resposta da house2. A linha 4 foi uma surpresa, sendo provavelmente uma medida tomada pelo nmap para verificar o estado daquele porta, enviando outro segmento FIN, para assegurar que a porta n�o est� a responder. Em ambos os casos, a house2 ignorou os pacotes, mostrando ao nmap que a porta pop3 est� activa.

Funcionalidade do tcpdump que pode ajudar

Na sec��o acerca do "scan de aperto de m�o", vimos que as rastos que um scan pode deixar atr�s, e nas �ltimas sec��es vimos que as op��es de scan -sS e -sF n�o deixam impress�es digitais. Podemos utilizar o tcpdump para detectar este tipo de scan numa m�quina conectada a uma rede suscept�vel a ataques. O contra do tcpdump � que gera um enorme monte de informa��o e levanta dificuldades com o seu arquivo e an�lise. Algumas express�es s�o mostradas aqui e reagem como filtros para que a informa��o seja mais pequena e simples de analisar.

Para tornar as express�es de f�cil compreens�o, mostramos em baixo o formato de um pacote TCP [2].

TCP (RFC 793)

0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|          Source Port          |        Destination Port       |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                         Sequence Number                       |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                      Acknowledgement Number                   |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|Offset |  Reserver |U|A|P|R|S|F|             Window            |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|           Checksum            |         Urgent Pointer        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                  Options                      |    Padding    |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                              Data                             |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

Vimos que o 13.� byte � onde as flags que identificam o tipo de pacote (SYN, FIN, etc) residem. Com este conhecimento e com o operador (&) podem construir-se m�scaras para detectar os bits activos, construindo express�es do tipo :
tcpdump ' tcp[13] & 7 != 0 and dst 192.168.255.20 ' > /tmp/out7

que filtram os pacotes de entrada com os bits R,S ou F activos a m�scara (a m�scara � 00000111) com 192.168.255.20 como m�quina destino (obviamente que este endere�o IP ser� pesquisado pela m�quina).

Usando

tcpdump ' tcp[13] & 1 != 0 and dst 192.168.255.20 ' > /tmp/out1

Obteremos os pacotes com o bit activo F (a m�scara � 00000001). Podia ser �til para detectar a op��o de scan do nmap -sF e com

tcpdump ' tcp[13] & 2 != 0 and dst 192.168.255.20 ' > /tmp/out2

obteremos somente os pacotes com o bit SYN activo, sendo �til para detectar scan com a op��o -sS.

Para o �ltimo tipo descrito (com a op��o -sS) existem programas espec�ficos para o detectar [3].

Conclus�o

Programas como o nmap s�o muito �teis para melhorar a seguran�a do sistema ao olhar para as redes atrav�s dos olhos de um poss�vel pirata. Mostramos as opera��es de uma pequena parte das op��es, mas espero que o ajude a compreender um pouco mais a ideia de um scanner de rede.

Bibliografia

[1] W. Richard Stevens Unix Network Programming Volume 1
[2] RFC 793
[3] ver documenta��o do nmap