Nmap - культовый сканер, без которого не может обойтись практически ни один хакер, поэтому тема расширения его возможностей, я думаю, интересует многих. Использовать в паре с Nmap другие инструменты - обычная практика. В статье речь пойдет о том, как легко автоматизировать работу Nmap со своими любимыми инструментами. Удобнее же «нажать одну кнопку» и получить результат, чем постоянно проделывать одну и ту же последовательность действий. Использование скриптов в Nmap может помочь хакерам более автоматизированно взламывать системы, а сисадминам проверять системы на наличие дефолтных дыр и своевременно их устранять.
Уверена, что большинство читателей журнала «Хакер» знают, что такое Nmap, и наверняка не раз использовали его для исследования сети и сбора информации. Для тех же, кто подзабыл или не знает, на всякий случай напомню:
Как уже было сказано, сегодня мы будем заниматься расширением функционала Nmap за счет написания собственных скриптов. Любой взлом/пентест обычно начинается с разведки и сбора данных. Одним из первых проверяется наличие на исследуемом хосте открытых портов и идентификация работающих сервисов. Лучшего инструмента для сбора такой информации, чем Nmap, пожалуй, нет. Следующим шагом после сканирования обычно бывает либо поиск сплоита под найденный уязвимый сервис, либо подбор пары логин:пароль с помощью метода грубой силы.
Допустим, ты активно используешь брутфорсер THC-Hydra для подбора паролей нескольких сервисов (например, HTTP-Basic, SSH, MySQL). В таком случае приходится натравливать гидру на каждый сервис отдельно, нужно запоминать особенности сервисов и необходимые для запуска гидры флаги. А если появится необходимость брутить намного больше, чем пять сервисов?.. Почему бы не автоматизировать это?
Поэтому давай напишем простенький скрипт, который будет автоматизировать процесс запуска Hydra для подбора логинов/паролей к одному сервису (например, PostgreSQL). Для этого нам понадобятся следующие инструменты:
Если у тебя еще не установлен Nmap и/или Hydra, немедленно исправь это:
$ sudo apt-get install nmap hydra
О’кей, начнем. Скрипты для Nmap представляют собой обычные текстовые файлы с расширением *.nse . Поэтому открывай свой любимый текстовый редактор и создавай новый файл. Я буду использовать Vim:
$ vim hydra.nse
Перед тем как перейти к написанию, надо сказать, что все скрипты имеют определенную структуру. Помимо самого кода, автоматизирующего те или иные действия, в нем присутствует описание скрипта (для чего предназначен и как использовать), информация об авторе, лицензии, зависимость от других скриптов, категории, к которым относится скрипт, и так далее. Давай подробней рассмотрим каждую из этих частей.
Данный раздел содержит описание скрипта, комментарии автора, пример отображения результата выполнения скрипта на экран, дополнительные возможности.
Для нашего скрипта, подбирающего логины/пароли к PostgeSQL, описание будет выглядеть следующим образом:
Description = [[
Brute force all services running on a target host. The results are returned in a table with each path, detected method, login and/or password.
]]
---
-- @usage
-- nmap --script hydra [--script-args "lpath=
Комментарий; -- - многострочный комментарий; @usage, @output, @args - пример вызова скрипта, вывода результата на экран, необходимые аргументы при вызове.
Выше в @usage мы видим формат запуска скрипта. В данном случае указано только имя скрипта (hydra). Это становится возможным, если скрипт положить в директорию /
При написании NSE-скрипта можно указать его категорию (или несколько категорий). Это бывает полезно, когда пользователь Nmap хочет использовать не конкретный скрипт, а набор скриптов, находящихся в одной категории. Примеры некоторых категорий:
Например, если необходимо запустить все скрипты из категории auth, то команда будет выглядеть следующим образом:
$ nmap --script=auth example.com
В таком случае скрипты этой категории будут по очереди запускаться для указанного хоста. Наш скрипт относится к категории brute. Добавим следующую строку в файл:
Categories = {"brute"}
Каждый скрипт содержит информацию об его авторе. В моем случае:
Author = "Olga Barinova"
Nmap приветствует все разработки пользователей и призывает делиться ими, в том числе NSE-скриптами. При указании лицензии ты подтверждаешь право делиться скриптом с сообществом. Стандартная лицензия Nmap выглядит следующим образом:
License = "Same as Nmap--See http://nmap.org/book/man-legal.html"
Добавим также и эту строку в наш скрипт.
Эта область содержит названия NSE-скриптов, которые должны быть выполнены перед началом работы данного скрипта для получения необходимой информации. Например,
Dependencies = {"smb-brute"}.
В нашем случае такая возможность не понадобится, поэтому добавлять dependencies мы не будем.
Nmap должен знать, для каких сервисов и на каких портах запускать скрипт. Для этого есть специальные правила:
Для формирования таких правил есть библиотеки. В нашем скрипте необходимо только указать номер порта (5432) и имя сервиса (postgresql), и тогда он будет работать лишь для данного порта и сервиса. Существует довольно популярная библиотека shortport , встроенная в NSE, в которую включены различные методы. Мы будем использовать метод
Port_or_service (ports, services, protos, states)
где ports - номера портов, services - имена сервисов, protos - имена протоколов (например, udp), states - состояния.
Этот метод возвращает true в том случае, если в данный момент анализируется сервис, находящийся на одном из портов из списка ports или соответствующий какому-нибудь сервису из списка services , кроме того, проверяется протокол и состояние на соответствие, иначе возвращается false .
Чтобы наш скрипт работал с PostgreSQL, нужно добавить номер порта и название сервиса:
Portrule = shortport.port_or_service({5432}, {"postgresql"})
Отвлечемся на секунду от структуры скрипта и рассмотрим, как происходит подключение внешних библиотек, к функциональности которых нам потребуется обращаться.
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», увеличит личную накопительную скидку и позволит накапливать профессиональный рейтинг Xakep Score!
ПреамбулаИнформация по скриптам Nmap (на английском):
Скрыто от гостей
Самая последня версия документации по Nmap (на английском):Скрыто от гостей
Официальная книга по Nmap от создателей Nmap (на английском):Скрыто от гостей
nmap - Утилита для исследования сети и сканер портов
Nmap (“Network Mapper”) это утилита с открытым исходным кодом для исследования сети и проверки безопасности. Она была разработана для быстрого сканирования больших сетей, хотя прекрасно справляется и с единичными целями. Nmap использует сырые IP пакеты оригинальными способами, чтобы определить какие хосты доступны в сети, какие службы (название приложения и версию) они предлагают, какие операционные системы (и версии ОС) они используют, какие типы пакетных фильтров/брандмауэров используются и еще дюжины других характеристик. В тот время как Nmap обычно используется для проверки безопасности, многие сетевые и системные администраторы находят ее полезной для обычных задач, таких как контролирование структуры сети, управление расписаниями запуска служб и учет времени работы хоста или службы.
Выходные данные Nmap это список просканированных целей с дополнительной информацией по каждой в зависимости от заданных опций. Ключевой информацией является “таблица важных портов”. Эта таблица содержит номер порта, протокол, имя службы и состояние. Состояние может иметь значение open (открыт), filtered (фильтруется), closed (закрыт) или unfiltered (не фильтруется). Открыт означает, что приложение на целевой машине готово для установки соединения/принятия пакетов на этот порт. Фильтруется означает, что брандмауэр, сетевой фильт или какая-то другая помеха в сети блокирует порт, и Nmap не может установить открыт этот порт или закрыт. Закрытые порты не связаны ни с каким приложение, так что они могут быть открыты в любой момент. Порты расцениваются как не фильтрованные, когда они отвечают на запросы Nmap, но Nmap не может определить открыты они или закрыты. Nmap выдает комбинации открыт|фильтруется и закрыт|фильтруется, когда не может определить, какое из этих двух состояний описывает порт. Эта таблица также может предоставлять детали о версии программного обеспечения, если это было запрошено. Когда осуществляется сканирование по IP протоколу (-sO), Nmap предоставляет информацию о поддерживаемых IP протоколах, а не об открытых портах.
В дополнение к таблице важных портов Nmap может предоставлять дальнейшую информацию о целях: преобразованные DNS имена, предположение о используемой операционной системе, типы устройств и MAC адреса.
Типичное сканирование с использованием Nmap показано в Примере 1. Единственные аргументы, использованные в этом примере это -A, для определения версии ОС, сканирования с использованием скриптов и трассировки; -T4 для более быстрого выполнения; затем два целевых хоста.
Пример 1. Типичный пример сканирования с помощью Nmap:
# nmap -A -T4 scanme.nmap.org playground Starting Nmap (https://nmap.org/) Interesting ports on scanme.nmap.org (64.13.134.52): (The 1663 ports scanned but not shown below are in state: filtered) PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 3.9p1 (protocol 1.99) 53/tcp open domain 70/tcp closed gopher 80/tcp open http Apache httpd 2.0.52 ((Fedora)) 113/tcp closed auth Device type: general purpose Running: Linux 2.4.X|2.5.X|2.6.X OS details: Linux 2.4.7 - 2.6.11, Linux 2.6.0 - 2.6.11 Interesting ports on playground.nmap.org (192.168.0.40): (The 1659 ports scanned but not shown below are in state: closed) PORT STATE SERVICE VERSION 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn 389/tcp open ldap? 445/tcp open microsoft-ds Microsoft Windows XP microsoft-ds 1002/tcp open windows-icfw? 1025/tcp open msrpc Microsoft Windows RPC 1720/tcp open H.323/Q.931 CompTek AquaGateKeeper 5800/tcp open vnc-http RealVNC 4.0 (Resolution 400x250; VNC port: 5900) 5900/tcp open vnc VNC (protocol 3.8) MAC Address: 00:A0:CC:63:85:4B (Lite-on Communications) Device type: general purpose Running: Microsoft Windows NT/2K/XP OS details: Microsoft Windows XP Pro RC1+ through final release Service Info: OSs: Windows, Windows XP Nmap finished: 2 IP addresses (2 hosts up) scanned in 88.392 seconds
Сводка опцийИспользование:
nmap [Тип(ы) сканирования] [Опции] {заданные_цели}
ОПРЕДЕЛЕНИЕ ЦЕЛИ СКАНИРОВАНИЯ:
Может работать с именами хостов, IP адресами, сетями и т.д.
Например: scanme.nmap.org, microsoft.com/24, 192.168.0.1; 10.0.0-255.1-254
-iL <ввести_имя_файла>: Импорт из списка хостов/сетей
-iR <количество хостов>: Выбор случайных целей
–exclude
–excludefile <файл_с_исключениями>: Исключить список из файла
РАЗЛИЧНЫЕ ПРИЕМЫ СКАНИРОВАНИЯ:SL: Сканирование с целью составления списка – просто составить список целей для сканирования
-sn: Пинг сканирование – просто определить, работает ли хост
-Pn: Расценивать все хосты как работающие – пропустить обнаружение хостов
-PS/PA/PU/PY[список_портов]: TCP SYN/ACK, UDP или SCTP пингование заданных хостов
-PE/PP/PM: Пингование с использованием ICMP эхо запросов, запросов временной метки и сетевой маски
-PO[список_протоколов]: Пингование с использованием IP протокола
-n/-R: Никогда не производить DNS разрешение/Всегда производить разрешение [по умолчанию: иногда]
–dns-servers <сервер1[,сервер2],…>: Задать собственные DNS сервера
–system-dns: Использовать системный DNS преобразователь
–traceroute: Провести трассировку (проследить путь) до каждого хоста
ОПРЕДЕЛЕНИЕ ПОРТОВ И ПОРЯДКА СКАНИРОВАНИЯ:SS/sT/sA/sW/sM: TCP SYN/с использованием системного вызова Connect()/ACK/Window/Maimon сканирования
-sU: UDP сканирование
-sN/sF/sX: TCP Null, FIN и Xmas сканирования
–scanflags <флаги>: Задать собственные TCP флаги
-sI <зомби_хост[:порт]>: "Ленивое" (Idle) сканирование
-sY/sZ: SCTP INIT/COOKIE-ECHO сканирование
-sO: Сканирование IP протокола
-b: FTP bounce сканирование
ОПРЕДЕЛЕНИЕ СЛУЖБ И ИХ ВЕРСИЙ:P <диапазон_портов>: Сканирование только определенных портов
Пример: -p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080,S:9
-F: Быстрое сканирование – Сканирование ограниченного количества портов
-r: Сканировать порты последовательно – не использовать случайный порядок портов
–top-ports <количество_портов>: Сканировать <количество_портов> наиболее распространенных портов
–port-ratio <рейтинг>: Сканировать порты с рейтингом большим чем <рейтинг>
СКАНИРОВАНИЕ С ИПОЛЬЗОВАНИЕМ СКРИПТОВ:SV: Исследовать открытые порты для определения информации о службе/версии
–version-intensity <уровень>: Устанавливать от 0 (легкое) до 9 (пробовать все запросы)
–version-light: Ограничиться наиболее легкими запросами (интенсивность 2)
–version-all: Использовать каждый единичный запрос (интенсивность 9)
–version-trace: Выводить подробную информацию о процессе сканирования (для отладки)
ОПРЕДЕЛЕНИЕ ОС:SC: эквивалентно опции –script=default
–script=: это разделенный запятыми список директорий, файлов скриптов или категорий скриптов
–script-args=<имя1=значение1,[имя2=значение2,…]>: Передача аргументов скриптам
–script-args-file=filename: Передача NSE скриптам аргументов в файле
–script-trace: Выводить все полученные и отправленные данные
–script-updatedb: Обновить базу данных скриптов
–script-help=: Показ помощи о скриптах. разделённый запятой список скриптов или список категорий скриптов.
ОПЦИИ УПРАВЛЕНИЯ ВРЕМЕНЕМ И ПРОИЗВОДИТЕЛЬНОСТЬЮ:O: Активировать функцию определения ОС
–osscan-limit: Использовать функцию определения ОС только для "перспективных" хостов
–osscan-guess: Угадать результаты определения ОС
ОБХОД БРАНДМАУЭРОВ/IDS:Опции, принимающие аргумент <время>, задаются в миллисекундах, пока вы не добавите "s" (секунды), "m" (минуты), или "h" (часы) к значению (напр. 30m).
-T<0-5>: Установить шаблон настроек управления временем (больше – быстрее)
–min-hostgroup/max-hostgroup <кол_хостов>: Установить размер групп для параллельного сканирования
–min-parallelism/max-parallelism <кол_хостов>: Регулирует распараллеливание запросов
–min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <время>: Регулирует время ожидания ответа на запрос
–max-retries <количество_попыток>: Задает максимальное количество повторных передач запроса
–host-timeout <время>: Прекращает сканирование медленных целей
–scan-delay/–max-scan-delay <время>: Регулирует задержку между запросами
–min-rate <число>: Посылать запросы с интенсивностью не меньше чем <число> в секунду
–max-rate <число>: Посылать запросы с интенсивностью не больше чем <число> в секунду
ВЫВОД РЕЗУЛЬТАТОВ:F; –mtu <значение>: Фрагментировать пакеты (опционально с заданным значениме MTU)
-D <фикт_хост1,фикт_хост2[,ME],…>: Маскировка сканирования с помощью фиктивных хостов
-S: Изменить исходный адрес
-e <интерфейс>: Использовать конкретный интерфейс
-g/–source-port <номер_порта>: Использовать заданный номер порта
–proxies: Ретранслировать соединения через прокси HTTP/SOCKS4
–data-length <число>: Добавить произвольные данные к посылаемым пакетам
–ip-options <опции>: Посылать пакет с заданным ip опциями
–ttl <значение>: Установить IP поле time-to-live (время жизни)
–spoof-mac: Задать собственный MAC адрес
–badsum: Посылать пакеты с фиктивными TCP/UDP/SCTP контрольными суммами
РАЗЛИЧНЫЕ ОПЦИИ:ON/-oX/-oS/-oG Выводить результаты нормального, XML, s|
-oA <базовове_имя_файла>: Использовать сразу три основных формата вывода
-v: Увеличить уровень вербальности (задать дважды или более для увеличения эффекта)
-d: Увеличить или установить уровень отладки (до 9)
–reason: Показать причину нахождения порта в определённом состоянии
–open: Показывать только открытые (или возможно открытые) порты
–packet-trace: Отслеживание принятых и переданных пакетов
–iflist: Вывести список интерфейсов и роутеров (для отладки)
–log-errors: Записывать ошибки/предупреждения в выходной файл нормального режима
–append-output: Добавлять в конец, а не перезаписывать выходные файлы
–resume <имя_файла>: Продолжить прерванное сканирование
–stylesheet <путь/URL>: Устанавливает XSL таблицу стилей для преобразования XML вывода в HTML
–webxml: Загружает таблицу стилей с Nmap.Org
–no-stylesheet: Убрать объявление XSL таблицы стилей из XML
ИНТЕРАКТИВНЫЕ КОМАНДЫ:6: Включить IPv6 сканирование
-A: Активировать функции определения ОС и версии, сканирование с использованием скриптов и трассировку
–datadir <имя_директории>: Определяет место расположения файлов Nmap
–send-eth/–send-ip: Использовать сырой уровень ethernet/IP
–privileged: Подразумевать, что у пользователя есть все привилегии
–unprivileged: Подразумевать, что у пользователя нет привилегий для использования сырых сокетов
-V: Вывести номер версии
-h: Вывести эту страницу помощи
ПРИМЕРЫ:СПРАВКА: Не будет работать с “sudo nmap”, поэтому используйте “sudo –i”
Во время работы вы можете делать запросы в nmap следующими ключами:
? Показать эту информацию
v/V увеличить/уменьшить вербальность
d/D увеличить/уменьшить отладку
p/P включить/отключить трассировку пакетов
и другие ключи, которые будут напечатаны в статусе
В командной строке Nmap все, что не является опцией (или аргументом опции), рассматривается как цель сканирования. В простейшем случае для сканирования используется IP адрес или сетевое имя целевой машины.
Иногда необходимо просканировать целую сеть. Для этого Nmap поддерживает CIDR адресацию. Вы можете добавить /<кол-во бит> к IP адресу или сетевому имени и Nmap просканирует каждый IP адрес, для которого первые <кол-во бит> такие же как и у заданного хоста. Например, 192.168.10.0/24 просканирует 256 хостов между 192.168.10.0 (бинарное: 11000000 10101000 00001010 00000000) и 192.168.10.255 (бинарное: 11000000 10101000 00001010 11111111) включительно. 192.168.10.40/24 сделает абсолютно то же самое. Зная, что IP адрес scanme.nmap.org 64.13.134.52, при записи типа scanme.nmap.org/16 будет произведено сканирование 65,536 IP адресов между 64.13.0.0 и 64.13.255.255. Наименьшее допустимое значение /0, при котором будет просканирован весь Интернет. Наибольшее значение /32, при котором будет просканирован только заданный хост или IP адрес, т.к. все адресные биты заблокированы.
CIDR нотация коротка, однако не всегда достаточно гибка. Например, вы хотите просканировать 192.168.0.0/16, но пропустить все IP-ки оканчивающиеся на.0 или.255, т.к. обычно это широковещательные адреса. Nmap может осуществить такое сканирование путем задания диапазонов в октетах. Вместо определния обычного IP адреса, вы можете определить для каждого октета либо разделенный запятыми список чисел, либо диапазон. Например, 192.168.0-255.1-254 пропустит все адреса в диапазоне оканчивающиеся на.0 и.255. Диапазоны не обязательно задавать только в последних октетах: при записи 0-255.0-255.13.37 будет произведено сканирование всех адресов в Интернете оканчивающихся на 13.37. Такой тип сканирования может быть полезен для обозрения просторов Интернета и различных исследований.
IPv6 адреса могут быть определны только в форме, полностью соответствующей правильной форме записи IPv6 адресов. CIDR и использование диапазонов в октетах не применимо к IPv6 адресам, т.к. они редко используются.
Вы можете передавать в командной строке Nmap различные варианты определения целей, не обязательно одного типа. Команда nmap scanme.nmap.org 192.168.0.0/16 10.0.0,1,3-7.0-255 сделает то, что вы ожидаете.
Цели сканирования обычно задаются в командной строке, и существуют различные опции контроля выбора целей:
IL <имя_файла> (Ввод из списка)
Считывает цели из <имя_файла>. Хотя передача большого списка хостов для сканирования является обычным явлением, это не удобно. Например, ваш DHCP сервер передают вам список из 10,000 используемых им на данный момент адресов, и вы хотите его просканировать. Или, возможно, вы хотите просканировать все IP адреса, кроме переданных им, чтобы выявить несанкционированное использование статических IP адресов. Просто сгенерируйте список хостов для сканирования и передайте имя файла в Nmap как аргумент для -iL опции. Записи в файле могут находиться в любой приемлимой для Nmap форме (IP адреса, сетевые имена, CIDR, IPv6, или диапазоны в октетах). Каждая запись должна быть отделена пробелом или несколькими, символами табуляции или символами перехода на новую строку. Вы можете передать в качестве аргумента дефис(-) как имя файла, если хотите, чтобы Nmap считывала список хостов из стандартного ввода, а не из файла.
IR <кол-во хостов> (Выбирает произвольные цели)
Для сканирования в пределах всего Интернета или каких-либо исследований, вам, возможно, понадобится выбрать цели произвольно. Аргумент <кол-во хостов> определяет сколько необходимо сгенерировать IP адресов. Неподходящие IP адреса, такие как частные, широковещательные или нелокализованные диапазоны адресов автоматически пропускаются. Аргумент 0 может быть передан для бесконечного сканирования. Имейте в виду, что некоторым системным администраторам может не понравиться неразрешенное сканирование их сетей и они могут пожаловаться. Используйте эту опцию на свой страх и риск! Если в дождливый денек вам будет скучно, попробуйте команду nmap -sS -PS80 -iR 0 -p 80 для сканирования произвольных веб-серверов.
–exclude <хост1>[,<хост2>[,…]] (Исключить хосты/сети)
Определяет разделенный запятыми список целей, которые необходимо исключить из сканирования, даже если они являются частью заданного вами диапазона сканирования. Передаваемый список использует стандартный синтаксис Nmap, поэтому может содержать сетевые имена, CIDR адресацию, диапазоны в октетах и т.д. Эта опция может быть полезна, если сеть, которую вы хотите просканировать, содержит сервера или системы, негативно реагирующие на сканирование портов, или подсети, администрируемые другими людьми.
–excludefile <имя_файла> (Исключить список из файла)
Эта опция делает то же самое, что и –exclude, за исключением того, что цели для исключения находятся в разделенном пробелами, символами табуляции или символами перехода на новую строку <файле>, а не в командной строке.
Для многих из нас, чьи рабочие задачи хотя бы некоторое время были тесно связаны с информационной безопасностью, Nmap давно стал привычным и полезным инструментом. Он также незаменим, как теплое одеяло холодной зимней ночью. За тем лишь исключением, что Nmap — это чертовски эффективное одеяло.
Nmap — это популярный и мощный кроссплатформенный сканер сетевой безопасности, запускаемый из командной строки, с помощью которого вы можете чрезвычайно эффективно провести исследование любой сети. Он также может помочь вам получить обзор систем, которые подключились к вашей сети; вы можете использовать его, чтобы узнать IP-адреса всех «живых» хостов, сканировать открытые порты и сервисы, запущенные на этих хостах, а также многое-многое другое.
Без сомнения, Nmap является самым универсальным сканером портов из существующих ныне. Да, вы можете найти более быстрые сканнеры, но нет ни одного настолько полезного и попросту незаменимого для решения многих-многих ваших задач. И подавляющее большинство профессионалов в области информационной безопасности безапелляционно согласятся с этим утверждением.
Однако гораздо меньше людей знает, что одной из самых интересных особенностей Nmap является возможность использовать скрипты NSE, которые обеспечат вашему любимому инструменту сетевой безопасности еще большую гибкость и эффективность. С их помощью вы сможете делать то, чего даже от такого очень продвинутого сканера портов, как Nmap, вы никак не ожидали получить.
Давайте более детально посмотрим на скрипты NSE, и, возможно, их потенциал сможет приятно вас удивить.
Другими словами, помимо стандартной проверки открытых портов сканером Nmap, вы, задействовав NSE, имеете возможность получить также расширенную информацию о сервисах, запущенных на нем. Так, например, с помощью скриптов NSE вы можете провести более глубокий анализ ваших сетевых сервисов и увидеть, насколько правильно они сконфигурированы, какая информация доступна, не используются ли слабые учетные данные и т. д. Фактически, скрипты NSE превращают Nmap в гибкую платформу для взаимодействия с сетевыми сервисами.
Команда разработчиков сканера портов Nmap задумывала и создавала скриптовый движок прежде всего для решения таких задач, как:
Это область основного практического применения Nmap. Некоторые скрипты призваны облегчить, оптимизировать и ускорить работу вашего любимого сканера портов. Некоторые примеры их использования включают в себя выполнение таких задач, как:
Система Nmap для определения версий сервисов и приложений способна распознать тысячи различных сервисов с помощью зондов и сопоставления сигнатур регулярных выражений, но и она не всемогуща. К примеру, идентификация сервиса Skype v2 требует два независимо работающих друг от друга зонда, чьи возможности по определению версий не отличаются высокой гибкостью. Также Nmap способен распознать часть SNMP-сервисов, если попытается перебрать несколько сотен community имен методом грубой силы. Для решения обеих вышеприведенных задач не слишком удобно использовать стандартные методы определения версий Nmap, но обе они легко выполняются с помощью NSE. По этой причине система определения версий сейчас вызывает по умолчанию NSE для решения задачи определения версии при обработки некоторых сложных сервисов.
Когда обнаруживается новая уязвимость, она становится общеизвестной, и специалистам по сетевой безопасности нужно срочно просканировать свои сети, чтобы быстро идентифицировать уязвимые системы, до того, как это сделают за них плохие парни. Хотя Nmap и не является полноценным сканером уязвимостей, мощный потенциал NSE позволяет ему осуществлять проверки уязвимостей даже с учетом очень жестких требований. К примеру, когда ошибка Heartbleed в криптографическом программном обеспечении OpenSSL поставила под угрозу сотни тысяч систем по всему миру, разработчики Nmap отреагировали написанием скрипта ssl-heartbleed detection в течение двух дней.
Многие киберзлоумышленники, а также некоторые автоматические черви оставляют бэкдоры, чтобы на будущее обеспечить себе лазейку для осуществления более легкого проникновения в вашу систему. Часть из этих бэкдоров можно обнаружить с помощью стандартной процедуры определения версий Nmap на основе сопоставления сигнатур регулярных выражений, но для надежного обнаружения многих более сложных червей и бэкдоров требуются расширенные возможности NSE. В частности, NSE применяется для обнаружения бэкдора DoublePulsar, использующего уязвимость в реализации протокола SMB, бэкдор-версий для IRC-сервера UnrealIRCd, а также FTP-серверов vsftpd и ProFTPd.
Реализованный на основе скриптового языка общего назначения, NSE может быть даже использован для создания эксплойтов, которые помогут вам обнаружить уязвимости еще до того, как информация об их существовании станет общедоступной. Такая возможность добавления пользовательских скриптовых эксплойтов может быть чрезвычайна полезна некоторым людям (прежде всего тестерам проникновения). Однако, полноценной платформой для создания сигнатур и эксплойтов, наподобие Metasploit, NSE все же не является.
В настоящее время существует 598 скриптов NSE, которые вы можете найти в папке «scripts» — поддиректории основного каталога Nmap. Для большей производительности все скрипты проиндексированы в базе данных «scripts/script.db», где указано, к какой категории или категориям принадлежит каждый скрипт.
В зависимости от целевого применения, а также для упрощения их использования, скрипты NSE сгруппированы по разным категориям. В настоящее время определены следующие категории скриптов NSE: auth, broadcast, brute, default. discovery, dos, exploit, external, fuzzer, intrusive, malware, safe, version и vuln (имена категорий не чувствительны к регистру). Ниже приведено более детальное представление каждой категории:
Скрипты, в зависимости от их функциональной направленности, а также фазы сканирования, в ходе которой они выполняются, разделены на четыре типа (некоторые скрипты могут поддерживать сразу несколько типов операций):
Примечание : многие скрипты могут запускаться как prerule script, так и как postrule script. В этих случаях рекомендуется использовать функциональность prerule во избежание несогласованности.
Вечный параноик, Антон Кочуков.
См. также:
Ниже вы найдете 20 базовых примеров использования команды Nmap .
Вы узнаете, как использовать Nmap из командной строки в Linux для поиска активных хостов в сети и сканирования открытых портов.
Вы увидите, как удаленно определить операционную систему с помощью отпечатков стека TCP/IP и как узнать версию программного обеспечения запущенного на удаленном сервере.
Я так-же покажу как с помощью Nmap осуществить скрытое сканирование , как определить фаервол и как подменить MAC адрес .
Сканировать Отдельный IP Адрес :
$ nmap 192.168.1.1
Сканировать сервер по Имени Хоста :
$ nmap server.сайт
Увеличить Уровень Детализации результатов сканирования:
$ nmap -v server..сайт
Сканировать Множество IP Адресов :
$ nmap 192.168.1.1 192.168.1.2 192.168.1.3 $ namp 192.168.1.1,2,3
Сканировать Подсеть :
$ nmap 192.168.1.0/24 $ nmap 192.168.1.*
Сканировать Диапазон IP Адресов (192.168.1.0 — 192.168.1.200):
$ nmap 192.168.1.0-200
Дельный Совет: Сканируйте сеть с помощью одной лишь команды ping ! Вычислите все активные компьютеры!
Сканировать сеть в поиске Активных Хостов :
$ nmap -sn 192.168.1.0/24
Сканирование списка хостов/сетей из Файла :
$ nmap -iL input.txt
Формат файла:
# Записи могут быть представлены в любом из форматов, с которыми работает # Nmap из командной строки (IP адреса, имена хостов, CIDR, IPv6, или октетные # диапазоны). Записи должны разделятся одним или более пробелами, табуляциями # или переходами на новую строку. $ cat input.txt server.сайт 192.168.1.0/24 192.168.2.1,2,3 192.168.3.0-200
Исключить Цели из сканирования Nmap-ом:
$ nmap 192.168.1.0/24 --exclude 192.168.1.1 $ nmap 192.168.1.0/24 --exclude 192.168.1.1 192.168.1.5 $ nmap 192.168.1.0/24 --exclude 192.168.1.1,2,3
Исключить Список хостов, взятых из файла:
$ nmap 192.168.1.0/24 --excludefile exclude.txt
Формат файла с исключенными хостами аналогичен приведенному выше.
Сканировать Один Порт :
$ nmap -p 80 192.168.1.1
Сканировать Несколько Портов :
$ nmap -p 80,443 192.168.1.1
Сканировать Диапазон Портов :
$ nmap -p 80-1000 192.168.1.1
Сканировать Все Порты :
$ nmap -p "*" 192.168.1.1
Сканировать несколько самых Распространенных Портов :
$ nmap --top-ports 5 192.168.1.1 $ nmap --top-ports 10 192.168.1.1
Определить какие IP Протоколы (TCP, UDP, ICMP, и т.д.) поддерживает сканируемый хост:
$ nmap -sO 192.168.1.1
Сканировать все TCP Порты :
$ nmap -sT 192.168.1.1
Сканировать определенные TCP Порты :
$ nmap -p T:80 192.168.1.1
Сканировать все UDP Порты :
$ nmap -sU 192.168.1.1
Сканировать определенные UDP Порты :
$ nmap -p U:53 192.168.1.1
Объединение сканирования разных портов:
$ nmap -p U:53,79,113,T:21-25,80,443,8080 192.168.1.1
Активировать Быстрый Режим сканирования:
$ nmap -F 192.168.1.1
* Сканирует меньшее кол-во портов, чем при обыкновенном сканировании.
Показать Причину , по которой Nmap считает что порт находится в определенном состоянии:
$ nmap --reason 192.168.1.1
Показать Только Открытые Порты (либо возможно открытые):
$ nmap --open 192.168.1.1
Nmap посылает серию TCP и UDP пакетов на удаленный хост и изучает ответы.
После проведения множества тестов, Nmap сравнивает результаты со своей базой данных и, при нахождении соответствий, выводит информацию об ОС.
Включить Определение ОС :
$ nmap -O 192.168.1.1
Включить Определение Версии Сервисов :
$ nmap -sV 192.168.1.1
* Определяет версии программ, запущенных на удаленном сервере.
Узнать, защищен ли компьютер какими-либо Пакетными Фильтрами или Фаерволом :
$ nmap -sA 192.168.1.1
Подменить MAC Адреса :
$ nmap --spoof-mac 00:11:22:33:44:55 192.168.1.1
Подменить MAC Адрес Случайным MAC-ом :
$ nmap --spoof-mac 0 192.168.1.1
Когда сканируется система отвечающая требованиям RFC, любой пакет, не содержащий установленного бита SYN, RST или ACK, повлечет за собой отправку RST в ответ в случае, если порт закрыт, или не повлечет никакого ответа, если порт открыт.
Т.к. ни один из этих битов не установлен, то любая комбинация трех оставшихся (FIN, PSH и URG) будет являться правильной.
TCP Null сканирование:
$ nmap -sN 192.168.1.1
* Не устанавливаются никакие биты (Флагов в TCP заголовоке 0).
TCP Fin сканирование:
$ nmap -sF 192.168.1.1
* Устанавливается только TCP FIN бит.
TCP Xmas сканирование:
$ nmap -sX 192.168.1.1
* Устанавливаются FIN, PSH и URG флаги (пакет светится как новогодняя елка).
Дельный Совет: Сохраняйте анонимность во время сканирования портов! Используйте Nmap + Tor + ProxyChains ! Безопасное и простое тестирование на проникновение!
TCP SYN сканирование:
$ nmap -sS 192.168.0.1
* Известное как сканированием с использованием полуоткрытых соединений, так как не отрывает полных TCP соединений.
Не пинговать хосты перед сканированием:
$ nmap -Pn 192.168.1.1
Дельный Совет: Необходимо усилить безопасность в Linux? Шифруйте DNS трафик для защиты от спуфинга!
Никогда не производить обратное преобразование DNS имен для каждого обнаруженного активного IP адреса.
There are four types of NSE scripts, namely:
Then these scripts are grouped under various categories including those for authentication (auth ), discovering of hosts (broadcast ), brute force attacks to guess authentication credentials (brute ), discovering more about a network (discovery ), causing a denial of service (dos ), exploiting some vulnerability (exploit ), etc. A number of scripts belong to the default category.
Note : Before we move any further, you should take a note of these key points:
To see the location of all available NSE scripts, run the on the terminal, like this:
$ locate *.nse /usr/share/nmap/scripts/acarsd-info.nse /usr/share/nmap/scripts/address-info.nse /usr/share/nmap/scripts/afp-brute.nse /usr/share/nmap/scripts/afp-ls.nse /usr/share/nmap/scripts/afp-path-vuln.nse /usr/share/nmap/scripts/afp-serverinfo.nse /usr/share/nmap/scripts/afp-showmount.nse /usr/share/nmap/scripts/ajp-auth.nse /usr/share/nmap/scripts/ajp-brute.nse /usr/share/nmap/scripts/ajp-headers.nse /usr/share/nmap/scripts/ajp-methods.nse /usr/share/nmap/scripts/ajp-request.nse /usr/share/nmap/scripts/allseeingeye-info.nse /usr/share/nmap/scripts/amqp-info.nse /usr/share/nmap/scripts/asn-query.nse ...NSE scripts are loaded using the --script flag, which also allows you to run your own scripts by providing categories, script file names, or the name of directories where your scripts are located.
The syntax for enabling scripts is as follows:
$ namp -sC target #load default scripts OR $ nmap --script filename|category|directory|expression,... target
You can view a description of a script with the --script-help option. Additionally, you can pass arguments to some scripts via the --script-args and --script-args-file options, the later is used to provide a filename rather than a command line arg.
To perform a scan with most of the default scripts, use the -sC flag or alternatively use --script=default as shown.
$ nmap -sC scanme.nmap.org OR $ nmap --script=default scanme.nmap.org OR $ nmap --script default scanme.nmap.org
To use a script for the appropriate purpose, you can first of all get a brief description of what it actually does, for instance http-headers .
$ nmap --script-help http-headers scanme.nmap.org
You can select or load scripts to perform a scan in different methods explained below.
Once you know what a script does, you can perform a scan using it. You can use one script or enter a comma-separated list of script names. The command below will enable you view the HTTP headers configured on the web server at the target host.
$ nmap --script http-headers scanme.nmap.org
Scan HTTP Headers
Starting Nmap 7.01 (https://nmap.org) at 2017-11-15 10:39 IST Nmap scan report for scanme.nmap.org (45.33.32.156) Host is up (0.27s latency). Not shown: 996 closed ports PORT STATE SERVICE 22/tcp open ssh 80/tcp open http | http-headers: | Date: Wed, 15 Nov 2017 05:10:04 GMT | Server: Apache/2.4.7 (Ubuntu) | Accept-Ranges: bytes | Vary: Accept-Encoding | Connection: close | Content-Type: text/html | |_ (Request type: HEAD) 179/tcp filtered bgp 31337/tcp open Elite Nmap done: 1 IP address (1 host up) scanned in 20.96 seconds
You can also load scripts from one category or from a comma-separated list of categories. In this example, we are using all scripts in the default and broadcast category to carry out a scan on the host 192.168.56.1 .
$ nmap --script default,broadcast 192.168.56.1
This is useful when you want to select scripts with a given name pattern. For example to load all scripts with names starting with ssh , run the command below on the terminal:
$ nmap --script "ssh-*" 192.168.56.1
You can also select scripts using boolean expressions which you can build using the and , or , and not operators. And names in a Boolean expression may be a category, a filename from script.db , or all.
The following command will load scripts from the default or broadcast categories.
$ nmap --script "default or broadcast" 192.168.56.10
Which is equivalent to:
$ nmap --script default,broadcast 192.168.56.10
To load all scripts omitting those in the vuln category, run this command on the terminal.
$ nmap --script "not vuln" 192.168.56.10
The next command looks a little complicated but it is easy to understand, it selects scripts in the default, or broadcast categories, leaving out those with names starting with ssh-:
$ nmap --script "(default or broadcast) and not ssh-*" 192.168.56.10
Importantly, it is possible to combine categories, script names, a directory containing your custom scripts or a boolean expression to load scripts, like this:
$ nmap --script broadcast,vuln,ssh-auth-methods,/path/to/custom/scripts 192.168.56.10
Below is an example showing how to pass arguments to scripts with the –script-args option:
$ nmap --script mysql-audit --script-args "mysql-audit.username="root", \ mysql-audit.password="password_here", mysql-audit.filename="nselib/data/mysql-cis.audit""
To pass a port number, use the -p nmap option:
$ nmap -p 3306 --script mysql-audit --script-args "mysql-audit.username="root", \ mysql-audit.password="password_here" , mysql-audit.filename="nselib/data/mysql-cis.audit""
This above command runs an audit of the MySQL database server security configuration against parts of the CIS MySQL v1.0.2 benchmark. You can as well create your own useful custom audit files for other MySQL audits.
That’s it for now. You can find more information in the nmap man page or check out NSE Usage .
To get started with writing your own NSE scripts, check out this guide: https://nmap.org/book/nse-tutorial.html
Nmap is a really powerful and useful tool that every system or network administrator needs in his/her security arsenal – NSE simply adds more efficiency to it.
In this article, we introduced you to the Nmap Script Engine , and looked at how to find and use the various available scripts under different categories. If you have any questions, do not hesitate to write back to us via the comment form below.