Mi piacerebbe sapere come fa uno scanner di vulnerabilità come Nessus a sapere quali servizi sono in esecuzione, una volta scansionate le porte. Non voglio conoscere i passaggi per farlo in Nessus, voglio sapere cos'è Nessus (o qualsiasi altro scanner).
È così che se trova la porta 20 tcp aperta, mostra il servizio ftp? Questo non sarebbe preciso dato che potrei eseguire un servizio http nella porta 20. Qualche idea o sai da qualche parte che posso ottenere queste informazioni?
Grazie!
Dipende molto dal tipo di scansione che stai eseguendo ...
Per impostazione predefinita, le scansioni Nmap segnalano questi servizi effettuando un'ipotesi basata sulla tabella dei servizi nmap . Il file nmap-services è un registro di nomi di porte per il numero e il protocollo corrispondenti. Ogni voce ha un numero che rappresenta la probabilità di trovare quella porta aperta. Questo file era originariamente basato sull'elenco delle porte assegnate IANA all'indirizzo link , sebbene molti altri porti siano stati aggiunti nel corso degli anni .
Il sottosistema di scansione della versione Nmap (-sV) ottiene versioni dell'applicazione e altri dati connettendosi alle porte aperte e interrogandole per ulteriori informazioni utilizzando le sonde che i servizi specifici comprendono. Maggiori informazioni su questo database delle sonde di servizio possono essere trovate qui . Ciò consente a Nmap di fornire una valutazione dettagliata di ciò che è realmente in esecuzione, piuttosto che solo i numeri di porta aperti. Vi è anche il supporto per contributi della comunità - se Nmap riceve i dati da un servizio che non riconosce, viene stampata un'impronta digitale del servizio insieme a un URL di invio. L'output sarà simile a questa:
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.3 (protocol 2.0)
25/tcp open smtp Postfix smtpd
80/tcp open http Apache httpd 2.2.3 ((CentOS))
113/tcp closed auth
443/tcp open ssl/http Apache httpd 2.2.3 ((CentOS))
Service Info: Host: web.insecure.org
È anche possibile eseguire acquisizione di banner sui servizi in esecuzione su varie porte utilizzando scripting engine e facendo uso del banner che afferra sceneggiatura . L'output durante l'utilizzo di banner grabbing includerà effettivamente i banner forniti dai servizi:
21/tcp open ftp
|_ banner: 220 FTP version 1.0\x0D\x0A
È possibile trovare ulteriori dettagli sul rilevamento di applicazioni e versioni qui .
Solitamente uno scanner remoto, come nmap (con le opzioni necessarie), nessus o amap esegue l'enumerazione dei servizi remoti. Praticamente cerca alcuni probe per vedere se scatena una risposta.
Ad esempio, se stai eseguendo HTTP sulla porta 20 / tcp, uno dei trigger che proverà sarà un HEAD / GET HTTP, se la risposta sembra "sufficiente" come una risposta HTTP, assumerà che tu sia in esecuzione HTTP su quella porta.
Leggi altre domande sui tag network-scanners nessus