Praktični vodič za Nmap (skener mrežne sigurnosti) u Kali Linuxu

U drugom članku o Kali Linuxu govorit će se o mrežnom alatu poznatom kao 'nmap'. Iako nmap nije alat samo za Kali, on je jedan od najkorisnijih alata za mapiranje mreža u Kaliju.

1. Vodič za instalaciju Kali Linuxa za početnike – 1. dio

Nmap, skraćeno od Network Mapper, održava Gordon Lyon (više o g. Lyonu ovdje: http://insecure.org/fyodor /) i koriste ga mnogi profesionalci u oblasti bezbednosti širom sveta.

Uslužni program radi i u Linuxu i u Windowsu i vođen je komandnom linijom (CLI). Međutim, za one koji se malo stišavaju komandne linije, postoji divan grafički frontend za nmap pod nazivom zenmap.

Izričito se preporučuje da pojedinci nauče CLI verziju nmap-a jer pruža mnogo više fleksibilnosti u poređenju sa zenmap grafičkim izdanjem.

Čemu služi nmap? Odlično pitanje. Nmap omogućava administratoru da brzo i temeljno nauči o sistemima na mreži, otuda i naziv Network MAPper ili nmap.

Nmap ima mogućnost da brzo locira žive hostove kao i usluge povezane sa tim hostom. Nmap funkcionalnost se može još više proširiti pomoću Nmap Scripting Engine-a, često skraćenog kao NSE.

Ovaj mehanizam za skriptiranje omogućava administratorima da brzo kreiraju skriptu koja se može koristiti za utvrđivanje da li novootkrivena ranjivost postoji na njihovoj mreži. Mnoge skripte su razvijene i uključene u većinu nmap instalacija.

Reč opreza – nmap obično koriste ljudi sa dobrim i lošim namerama. Treba biti izuzetno oprezan kako biste osigurali da ne koristite nmap protiv sistema za koje dozvola nije eksplicitno navedena u pisanom/pravnom ugovoru. Budite oprezni kada koristite nmap alat.

Zahtjevi sustava

1. Kali Linux (nmap je dostupan u drugim operativnim sistemima i funkcijama sličnim ovom vodiču).

2. Još jedan računar i dozvola za skeniranje tog računara pomoću nmap-a – Ovo se često lako radi sa softverom kao što je VirtualBox i kreiranjem virtuelne mašine.

   1. Za dobru mašinu za vježbanje, pročitajte o Metasploitable 2
   2. Preuzmite za MS2 Metasploitable2
3. Važeća radna veza sa mrežom ili ako koristite virtuelne mašine, važeća interna mrežna veza za dve mašine.

Kali Linux – Rad sa Nmapom

Prvi korak u radu sa nmap-om je da se prijavite na Kali Linux mašinu i ako želite, započnete grafičku sesiju (Ovaj prvi članak u ovoj seriji instalirao je Kali Linux sa XFCE Desktop okruženjem).

Tokom instalacije, instalater bi tražio od korisnika 'root' korisničku lozinku koja će biti potrebna za prijavu. Jednom kada se prijavite na Kali Linux mašinu, koristeći naredbu 'startx ' može se pokrenuti XFCE Desktop Environment – vrijedno je napomenuti da nmap ne zahtijeva desktop okruženje za pokretanje.

startx

Jednom kada se prijavite na XFCE, prozor terminala će se morati otvoriti. Klikom na pozadinu radne površine pojavit će se meni. Navigacija do terminala može se izvršiti na sljedeći način: Aplikacije -> Sistem -> 'Xterm<' ili 'UXterm' ili 'Root Terminal'.

Autor je obožavatelj shell programa pod nazivom „Terminator“, ali se to možda neće pojaviti u zadanoj instalaciji Kali Linuxa. Svi navedeni shell programi će raditi za potrebe nmapa.

Kada se terminal pokrene, nmap zabava može početi. Za ovaj konkretan tutorijal kreirana je privatna mreža sa Kali mašinom i Metasploitable mašinom.

Ovo je učinilo stvari lakšim i sigurnijim jer bi domet privatne mreže osigurao da skeniranja ostanu na sigurnim mašinama i spriječila da neko drugi kompromituje ranjivu Metasploitable mašinu.

Kako pronaći hostove uživo na mojoj mreži?

U ovom primjeru, obje mašine su na privatnoj 192.168.56.0 /24 mreži. Kali mašina ima IP adresu 192.168.56.101, a Metasploitable mašina koju treba skenirati ima IP adresu 192.168.56.102.

Recimo ipak da informacije o IP adresi nisu bile dostupne. Brzo nmap skeniranje može pomoći da se utvrdi šta je uživo na određenoj mreži. Ovo skeniranje je poznato kao skeniranje 'Jednostavne liste', stoga su argumenti -sL proslijeđeni naredbi nmap.

nmap -sL 192.168.56.0/24

Nažalost, ovo početno skeniranje nije vratilo nijedan live host. Ponekad je to faktor u načinu na koji određeni operativni sistemi upravljaju mrežnim prometom skeniranja portova.

Pronađite i pingujte sve hostove uživo na mojoj mreži

Međutim, ne brinite, postoje neki trikovi koje nmap ima na raspolaganju kako biste pokušali pronaći ove mašine. Ovaj sljedeći trik će reći nmapu da jednostavno pokuša pingovati sve adrese u mreži 192.168.56.0/24.

nmap -sn 192.168.56.0/24

Ovaj put nmap vraća neke potencijalne hostove za skeniranje! U ovoj naredbi, -sn onemogućuje nmap zadano ponašanje pokušaja skeniranja porta na host i jednostavno nmap pokušava pingati host.

Pronađite otvorene portove na hostovima

Pokušajmo dopustiti nmap portu da skenira ove specifične hostove i vidimo šta će se pojaviti.

nmap 192.168.56.1,100-102

Vau! Ovog puta nmap je pogodio rudnik zlata. Ovaj konkretan host ima dosta otvorenih mrežnih portova.

Svi ovi portovi ukazuju na neku vrstu usluge slušanja na ovoj mašini. Podsjećajući od ranije, IP adresa 192.168.56.102 je dodijeljena ranjivoj mašini koja se može iskoristiti za metasploitivnost, stoga ima toliko otvorenih portova na ovom hostu.

Imati ovoliko otvorenih portova na većini mašina je vrlo nenormalno pa bi možda bilo pametno istražiti ovu mašinu malo bliže. Administratori bi mogli pronaći fizičku mašinu na mreži i pogledati je lokalno, ali to ne bi bilo zabavno pogotovo kada bi nmap to mogao učiniti umjesto nas mnogo brže!

Pronađite usluge slušanja na portovima na hostovima

Ovo sljedeće skeniranje je skeniranje usluge i često se koristi da se pokuša utvrditi koja usluga možda sluša na određenom portu na stroju.

Nmap će ispitati sve otvorene portove i pokušati da preuzme informacije sa servisa koji rade na svakom portu.

nmap -sV 192.168.56.102

Obratite pažnju da je ovaj put nmap pružio neke prijedloge o tome šta nmap misli da bi moglo biti pokrenuto na ovom određenom portu (označeno u bijelom polju). Takođe, nmap je takođe pokušao da utvrdi informacije o operativnom sistemu koji radi na ovoj mašini kao i njegovo ime hosta (sa velikim uspehom!).

Pregledavanje ovog izlaza trebalo bi da izazove dosta zabrinutosti kod mrežnog administratora. Prvi red tvrdi da VSftpd verzija 2.3.4 radi na ovoj mašini! To je STVARNO stara verzija VSftpd-a.

Pretraživanjem kroz ExploitDB, 2011. godine pronađena je ozbiljna ranjivost za ovu konkretnu verziju (ExploitDB ID – 17491).

Pronađite anonimne FTP prijave na hostovima

Neka nmap pobliže pogleda ovaj konkretan port i vidi šta se može odrediti.

nmap -sC 192.168.56.102 -p 21

Sa ovom komandom, nmap je dobio instrukcije da pokrene svoju zadanu skriptu (-sC) na FTP portu (-p 21) na hostu. Iako to može ili ne mora biti problem, nmap je otkrio da je anonimna FTP prijava dozvoljena na ovom serveru.

Provjerite ranjivosti na hostovima

Ovo upareno sa ranijim saznanjima o tome da VSftd ima staru ranjivost bi trebalo da izazove određenu zabrinutost. Pogledajmo ima li nmap skripte koje pokušavaju provjeriti ranjivost VSftpd.

locate .nse | grep ftp

Obratite pažnju da nmap ima NSE skriptu već izgrađenu za VSftpd backdoor problem! Pokušajmo pokrenuti ovu skriptu protiv ovog hosta i vidjeti šta će se dogoditi, ali prvo bi moglo biti važno znati kako koristiti skriptu.

nmap --script-help=ftp-vsftd-backdoor.nse

Čitajući ovaj opis, jasno je da se ova skripta može koristiti za pokušaj da se vidi da li je ova konkretna mašina ranjiva na problem ExploitDB identifikovan ranije.

Pokrenimo skriptu i vidimo šta se dešava.

nmap --script=ftp-vsftpd-backdoor.nse 192.168.56.102 -p 21

Yikes! Nmapova skripta je vratila neke opasne vijesti. Ova mašina je vjerovatno dobar kandidat za ozbiljnu istragu. To ne znači da je mašina kompromitovana i da se koristi za užasne/užasne stvari, ali bi trebalo da donese neke brige timovima za mrežu/sigurnosnu mrežu.

Nmap ima sposobnost da bude izuzetno selektivan i izuzetno tih. Većina onoga što je do sada urađeno pokušavalo je da nmapov mrežni promet zadrži umjereno tiho, međutim skeniranje mreže u ličnom vlasništvu na ovaj način može biti izuzetno dugotrajno.

Nmap ima mogućnost da uradi mnogo agresivnije skeniranje koje će često dati mnogo istih informacija, ali u jednoj komandi umesto u nekoliko. Pogledajmo rezultat agresivnog skeniranja (Imajte na umu – agresivno skeniranje može pokrenuti sisteme za otkrivanje/prevenciju upada!).

nmap -A 192.168.56.102

Obratite pažnju da je ovaj put, jednom komandom, nmap vratio mnogo informacija koje je ranije vratio o otvorenim portovima, uslugama i konfiguracijama koje su pokrenute na ovom konkretnom računaru. Veliki dio ovih informacija može se koristiti da se odredi kako zaštititi ovaj stroj, kao i da se procijeni koji softver može biti na mreži.

Ovo je bio samo kratak, uži izbor mnogih korisnih stvari koje nmap može koristiti da pronađe na hostu ili mrežnom segmentu. Snažno se poziva da pojedinci nastave eksperimentirati s nmap-om na kontroliran način na mreži koja je u vlasništvu pojedinca (Nemojte vježbati skeniranjem drugih entiteta!).

Postoji službeni vodič za Nmap mrežno skeniranje autora Gordon Lyon, dostupan na Amazonu.