Nmap richiede una porta TCP chiusa per eseguire il fingerprinting del sistema operativo?

Question

Nmap richiede una porta TCP chiusa per eseguire il fingerprinting del sistema operativo?

#1 da (2 voti)
#2 da (0 voti)

0

Stavo controllando la sicurezza di un server eseguendo Nmap. L'ultima volta mi dà i seguenti risultati, indicando che il sistema operativo non può essere impresso:

PORT     STATE    SERVICE    VERSION 
21/tcp   filtered ftp
22/tcp   open     ssh        OpenSSH 5.2 
23/tcp   filtered telnet 
25/tcp   filtered smtp 
80/tcp   filtered http 
443/tcp  open     ssl/http   Nginx 
1433/tcp filtered ms-sql-s
3306/tcp filtered mysql
8080/tcp filtered http-proxy 
OS fingerprint not ideal because: Missing a closed TCP port so results incomplete 
No OS matches for host

Ho eseguito la stessa scansione utilizzando la stessa versione di Nmap di recente, tuttavia questa volta segnala alcune possibili previsioni del sistema operativo:

PORT     STATE    SERVICE    VERSION 
21/tcp   filtered ftp
22/tcp   filtered ssh
23/tcp   filtered telnet
25/tcp   filtered smtp
80/tcp   open     http       Nginx
443/tcp  open     ssl/http   Nginx
1433/tcp filtered ms-sql-s
3306/tcp filtered mysql
8080/tcp filtered http-proxy
Device type: storage-misc|general purpose
Running (JUST GUESSING): Microsoft Windows PocketPC/CE|2000|XP|NT (92%)...
OS CPE: cpe:/o:microsoft:windows_ce cpe:/o:microsoft:windows_2000::sp4 ...

Aggressive OS guesses: AT&T U-Verse set-top box (Windows CE 5.0) (92%), Microsoft Windows...
No exact OS matches for host (test conditions non-ideal).

In entrambi i casi, tutte le porte TCP sono filtrate o aperte. Perché Nmap non segnala una porta TCP chiusa mancante nel secondo caso? E si basa su una porta TCP chiusa per eseguire il fingerprinting del sistema operativo?

tcp ports nmap network-scanners os-fingerprinting

posta Question Overflow 19.09.2014 - 12:15

fonte

2 risposte

0

Di seguito è la mia risposta, ho urgenza di non eseguire la scansione da intenti malevoli e la tua domanda è quindi legittima. Non ho alcuna responsabilità per ciò che deduci o quali azioni potrebbero seguire in base a questo post.

In breve, no. NMap si basa su tempi tipici, sequenze e altri identificatori per eseguire il fingerprinting del sistema operativo. È anche facilmente sventato dalle configurazioni di rete intermedie, "modifiche" specifiche dell'host ecc.

Sarebbe utile che tu ci fornisca esattamente i comandi NMap utilizzati per analizzare il server, per favore anonimizza l'indirizzo IP del tuo target. Ci sono più di un flag per avviare il fingerprinting del SO e questi non fanno lo stesso e restituiranno risultati diversi.

Se questa macchina non si trova in una rete gestita, potrebbe esserci un dispositivo di sicurezza tra cui si contrappone il fingerprinting del sistema operativo. L'esecuzione della stessa scansione alcune volte continuerà a fornire impronte digitali del sistema operativo diverse, incluso "nessuna".

risposta data 19.09.2014 - 16:38

fonte

Leggi altre domande sui tag tcp ports nmap network-scanners os-fingerprinting

WireShark mostra solo pacchetti di trasmissione [chiuso] Questa è una dimostrazione che la patch shellshock non funziona?

score 2 · Accepted Answer

Ho già scritto una risposta a un'altra domanda che descrive tutti i motivi per cui un'impronta digitale potrebbe non essere ideale , ma la risposta breve è sì , Nmap richiede una porta TCP chiusa per ottenere la migliore corrispondenza. Ma suppongo che ci siano altre cose che interferiscono con la tua scansione se mostra Nginx in esecuzione su Windows CE.

In base all'output, direi che la prima scansione ha utilizzato -d o -vv , ma la seconda scansione no. La logica in output.cc dice che "Nessuna corrispondenza OS esatta per l'host (test condizioni non ideali). " la riga viene stampata solo se esiste una "ragione", ma l'unica condizione in cui la "ragione" non viene mostrata è se verbose è minore o uguale a 1 e il debug non è attivato.