Nmap und die Kunst des Portscans
Zusammenfassung
In Ausgabe 51 des Phrack Magazine vom 1. September 1997 veröffentlichte Fyodor den Artikel „The Art of Port Scanning“ und hängte den Quellcode eines neuen Scanners an: Nmap. Der Text erklärt Verfahren wie den TCP-SYN-Scan, FIN-Scans, UDP-Scans und das Scannen über fragmentierte Pakete, um Paketfilter zu umgehen. Aus dem Anhang eines Hacker-Magazins wurde eines der wichtigsten Werkzeuge für Netzwerkadministratoren und Sicherheitsprüfer.
Was der Artikel erklärt
Fyodor erklärt, warum ein Portscan mehr ist als ein Verbindungsaufbau: Der einfache connect()-Scan fällt in jedem Log auf, der SYN-Scan schickt nur das erste Paket des Handshakes und bricht nach der Antwort ab, FIN-Scans nutzen aus, dass geschlossene Ports auf unerwartete Pakete anders reagieren als offene. Dazu kommen UDP-Scans über ICMP-Fehlermeldungen, Ping-Sweeps, Scans über einen FTP-Server als Umweg und das Abfragen des ident-Dienstes.
Gleich am Anfang steht eine Spitze gegen das Bild vom Internet in den Medien: Das Netz bestehe nicht nur aus TCP-Port 80, und wer nur das Web kenne, wisse so viel wie ein durchschnittlicher AOL-Nutzer. Nmap sollte die Probleme anderer Scanner lösen, besonders beim Scannen großer Netze.
Ideen
- Wer sein Netz verteidigen will, muss es so sehen wie ein Angreifer.
- Unterschiedliche Antworten auf ungewöhnliche Pakete verraten viel über ein System.
- Ein offener Port ist eine Kommunikationsmöglichkeit, gewollt oder nicht.
- Freier Quellcode machte aus einem Artikel ein Werkzeug für alle.
Einsichten
- Nmap zeigt, wie Wissen aus der Hacker-Szene zum Standard der Verteidiger wurde: Heute gehört ein Portscan zu jeder Inventur und jedem Sicherheitsaudit.
- Viele der 1997 beschriebenen Tricks wirken bis heute, weil sie auf dem Verhalten von TCP selbst beruhen und nicht auf Fehlern einzelner Programme.
Fakten
- Der SYN-Scan heißt auch halboffener Scan, weil er die Verbindung nie vollständig aufbaut.
- Nmap beherrschte 1997 unter anderem connect()-, SYN-, FIN-, UDP-, Ping- und FTP-Bounce-Scans.
- Der Quellcode war dem Artikel angehängt und frei weitergebbar.
Referenzen
Bemerkungen
- Fyodor ist das Pseudonym von Gordon Lyon, der Nmap bis heute weiterentwickelt.
Empfehlungen
- Nur eigene Netze oder Netze mit schriftlicher Erlaubnis scannen; in Deutschland stellt § 202c StGB schon das Vorbereiten des Ausspähens von Daten unter Strafe.
- Regelmäßig die eigenen öffentlichen Adressen scannen und das Ergebnis mit der Liste der beabsichtigten Dienste vergleichen.
- Firewall-Regeln mit einem SYN- und einem UDP-Scan überprüfen, nicht nur mit einem Ping.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.