Nmap che riporta lo stato di una porta sia aperta che chiusa

Question

Nmap che riporta lo stato di una porta sia aperta che chiusa

#1 da (1 voti)
#2 da (0 voti)

0

Se non definisco alcun intervallo (o se l'intervallo è grande come centinaia di porte), Nmap sta restituendo le porte come aperte. Tuttavia, se inserisco un intervallo più piccolo o eseguo la scansione di una porta specifica, è chiuso.

Ad esempio:

nmap -sV
1110/tcp  open     nfsd-status?
1111/tcp  open     lmsocialserver?
1112/tcp  open     msql?
1113/tcp  open     ltp-deepspace?
1117/tcp  open     ardus-mtrns?
1119/tcp  open     bnetgame?


nmap -sV -p 1110-1120
1110/tcp closed nfsd-status
1111/tcp closed lmsocialserver
1112/tcp closed msql
1113/tcp closed ltp-deepspace
1114/tcp closed mini-sql
1115/tcp closed unknown
1116/tcp closed ardus-cntl
1117/tcp closed ardus-mtrns
1118/tcp closed sacred
1119/tcp closed bnetgame
1120/tcp closed unknown

nmap

posta yzT 31.05.2014 - 19:45

fonte

2 risposte

Leggi altre domande sui tag nmap

Guida per l'iniezione MSSQL [chiusa] L'utilizzo di Gmail in Cina ha attivato molti SMS a due fattori

score 1 · Answer 1

Non stai fornendo molte informazioni sull'host di destinazione. È un host che possiedi e ti sei configurato? Oppure si tratta di una scansione di un host di terze parti?

Supponendo che sia un host di terze parti, suggerirei che la ragione per cui osservi questo tipo di comportamento è perché questo host è dietro una sorta di Intrusion Prevetion System di rete o firewall stateful che implementa Port Knocking .

Quando si eseguono scansioni nmap senza specificare esplicitamente l'intervallo di porte, nmap esegue la scansione per impostazione predefinita delle 1000 porte più comuni. Durante questa scansione, nmap accidentalmente * si collega alla giusta sequenza di porte per innescare un "knock", il che comporta una modifica dinamica delle regole del firewall per consentire le connessioni alle porte che hai citato.

Quando specifichi esplicitamente l'intervallo di porte, l'"handshake segreto" di connessione a una specifica sequenza di porte non avviene mai e il firewall continua a far cadere il traffico destinato a quelle porte.

Dato il fatto che si osservi tale comportamento sia con le migliori 1000 porte comuni che con altri intervalli arbitrari di grandi dimensioni, suppongo che "knock" sia una collezione e non una sequenza di porte: in altre parole, l'ordine delle connessioni a tali porte non ha importanza.

[*] Questo potrebbe non essere del tutto casuale se questo host fa parte di una sfida di sicurezza della rete o di un honeypot. È altamente improbabile che qualcuno possa implementare questo meccanismo senza preoccuparsi di testarlo con strumenti di scansione di rete / sicurezza tradizionali.

score 0 · Answer 2

Una possibilità è che tu abbia attivato un IDS o un altro sistema di protezione attivo. La scansione predefinita di Nmap ha una firma abbastanza distintiva, e se la rete che stai scansionando la rileva, potresti essere stato bloccato al firewall tra la prima e la seconda scansione (o anche durante le parti successive della prima scansione).