גילוי מחשבים לפני סריקת פורטים - Nmap Dicovery
פרקי ההרצאה: גילוי מחשבים לפני סריקת פורטים - Nmap Dicovery
תמלול ההרצאה: גילוי מחשבים לפני סריקת פורטים - Nmap Dicovery
הטקסט המלא של הדקות הראשונות בהרצאה «גילוי מחשבים לפני סריקת פורטים - Nmap Dicovery» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בהרצאה הזו נבין איך Nmap מחליט איזה מחשב חי או מת אצל מי לסרוק פורטים ואצל מי לא לסרוק פורטים שימו לב, הוא לא זורק פורטים במחשבים שהוא החליט שהם לא פעילים הוא קודם כל רוצה לבנות רשימה של מחשבים שהם אקטיב, שהם פעילים, כדי לא לבזבז זמן על סריקת פורט במחשב שבכלל
לא פעיל. למה? כי יכול להיות שיש לי 16 מיליון כתובות IP ברשת, 10.0.0.0 עם סאבנט מאסק של 8 ביטים 255 פעם אחת מייצר 16 מיליון כתובות פנימיות ברשת וגם אם יש לי 4 מחשבים הוא לכאורה אמור לסרוק 16 מיליון כתובות תחשבו כמה זמן זה לסרוק 16 מיליון כתובות IP מיותרות אז לפני שהוא מתחיל לסרוק פורטים כמו
שביקשנו ממנו הוא קודם כל בונה רשימה של מחשבים שהם אקטיב ורק מי שפעיל ומי שחי יקבל סריקת פורט. עכשיו השאלה, איך נחליט מי חי ומי לא? לפי מה אנחנו בודקים את זה?
אם אנחנו ברשת מקומית אנחנו יכולים לעשות ARP, פשוט לבדוק ברמה של מ"כים של כתובות פיזיות איזה מחשב קיים ואיזה לא. אבל אם אנחנו ברשת שהיא מרוחקת, זאת אומרת צורכים מחשב מרוחק, אז הוא יעשה ICMP, הוא יעשה פינגים.
יכול להיות שבמחשב המרוחק פינגים סגורים בפיירוול אז הוא מנסה גם 443 וגם פורט 80. זאת אומרת הוא מנסה שלושה דברים ברשת מרוחקת או פינגים או 443 שזה HTTPS או HTTP פורט 80. אם שלושת אלו לא עונים לו כי אין לו אתר ווב והוא לא עונה לפינגים ה-NMAP לא יסרוק את המחשב הוא יחליט שהמחשב הזה מת לא קיים ולא ינסה לבדוק לו את הפורטים שלו.
כדי להתגבר על הבעיה הזאת יש לנו פה כל מיני אופציות נוספות. לדוגמה, לדלג על השלב הזה. בכלל, אני יכול לדלג עליו, ואם אני מדלג עליו אז הוא יסרוק כל כתובת IP גם אם היא לא עונה לו לפינג.
וזה מאוד מאוד חשוב לדעת. למה? כי יכול להיות מצב ש-NWAP החליט שאם אין פינג ברשת מרוחקת ואין אתר ווב אז הוא לא סורק.
בואו נראה את כל זה קורה בפועל. נתחיל מזה שנפעיל ווייר שארק בשביל לראות מה קורה על הכבל, אני אוהב לעקוב אחריו. נתחיל להזין על הכבל רשת שלנו, הנה התחלנו להזין לפאקטים.
נפתח טרמינל, נעבור למצב רוט ונעשה סריקה של פורט 998 ו-999 בטווח בין 100 ל-150. שימו לב שאני מבקש לסרוק רק פורט 998 ו-999, רק שני פורטים.
מה אני אקבל? לפני שהוא סורק פורטים, שימו לב מה הוא עושה, הוא כותב לי פה למעלה initialize הרפינג הוא מתחיל בארפ לבדוק מי חי ומי מת זורק 50 מחשבים על ידי ארפ תוך שנייה וחצי הוא מסיים את זה ומחליט ששני מחשבים הם עונים לו ומנסה על שני המחשבים האלו לעשות dns לגלות
מה השם שלהם לפי הIP אחרי שהוא מנסה לעשות ארפ ומנסה לעשות dns רק אחרי זה הוא מתחיל לעשות בדיקה של סין בדיקה של פורטים עצמם בוא נראה את כל זה קורה נעצור פה את התפיסה הזאת אנחנו נעלה למעלה אנחנו רואים פה שהוא מתחיל את הסריקה מ-101 ברצף בפרוטוקול ארפ עושה עושה עושה עושה פתאום הנה מישהו עונה לו פה בארפ אתם רואים הוא מקבל
תשובה ממחשב 129 הוא קיבל תשובה הוא החזיר לו אני קיים וזה אני וגם עוד מחשב החזיר לו תשובה 147 אז הוא קיבל תשובות מ-129 ו-147 ואז הוא מנסה ב-DNS לקבל PTR זה אומר להפוך את ה-IP לשם השם יכול לתת לי הרבה ערך לדוגמה קוראים למחשב Firewall 1 או Firewall 2 אז אני אגיד שזה Firewall או DC1 אז אני אגיד שזה DC הוא מנסה את ה-IP להפוך לשם ולתת לי
את זה גם בדוח ורק אחרי שהוא מסיים את ה-ARP והוא החליט מי זמין ומי לא זמין רק אז הוא מנסה לעשות 999 ו-998 רק לשתי כתובות IP 129 ו-147 שימו לב הוא מנסה לבדוק פורטים רק במחשבים שהוא החליט שהם זמינים ראיתם נתתי לו טווח גדול של כתובות IP והוא בודק פורטים רק בשני אלו אחרי שהוא עשה ארפ והחליט מי חי
ומי מת בוא נראה מה יקרה כשאני אתן לו רשת מרוחקת זאת אומרת אני מתחיל עוד פעם תפיסה אבל הפעם אני רוצה לעשות על רשת שאיל של גוגל.
זאת אומרת, אני עושה את אותן הפקודות. דרך אגב, תראו מה קורה פה. הוא כותב לי פה ששני פורטים סגורים כי הם לא ענו לו, כן? זאת אומרת, הוא ניסה לפתוח תקשורת והם לא ענו לו, אז הוא החליט שהפורטים סגורים.
גם ב-129 וגם ב-147. ננקה את המסך, נרשום עוד פעם את הפקודה הזאת, אבל הפעם לכתובת תשע תשע אחד עד תשע שזה כתובות באינטרנט זה לא אצלי ברשת זה איפשהו באינטרנט לפני שאני מתחיל אני רוצה לאפס את הקפצ'ור את התפיסה שלי הנה הכל ריק ואני מתחיל והוא סורק בוא נראה מה הוא עושה ומדווח לי שפורט תשע תשע שמונה פתוח או סגור קודם כל אני רואה שהוא
החליט שכל המחשבים עובדים כל התשע כתובות כולם עונים לו אם כל התשע מחשבים עונים לו זה אומר שיש לנו פה בעיה לא ייתכן מצב שכולם כולם זמינים בואו נראה מה קרה פה על כבל רשת, נעצור אותו.
נעלה למעלה, אנחנו רואים בגלל שזאת רשת מרוחקת הוא לא עושה ארפ, הוא עושה פינגים. כי אי אפשר לעשות ארפ מעבר לראוטר אז הוא עושה פינגים, בודק פינגים ומחליט מי זמין מי לא זמין.
אבל פינג יכול להיות כבוי ולכן הוא לא מסתפק בפינגים. דרך אגב, אתם רואים רק 999 ענה לו. אתם רואים רק 999 ענה לו. זאת אומרת מכל הפינגים שהוא עשה שרת אחד כן זמין אבל השרתים האחרים לא ענו לו לפינג הוא אומר טוב יכול להיות שהפינג קבעו אצלהם אבל הם עדיין פעילים אז אני אנסה פורט 80 אתם רואים הוא מנסה בכל הכתובות IP את הפורט 80 ב-995 996 פורט 80 הוא גם מנסה בכל הכתובות
IP פורט 443 ככה הוא מחליט פינג פורט 80 ופורט 443 מי זמין ברשת מרוחקת ואז אם הוא יקבל תשובה הוא יבין שהמחשב זמין ואני רואה פה שהוא מקבל תשובה 995 עונה לו ב-RESET ו-996 עונה לו גם ב-RESET זה אומר מאפסים את הקונקשן של TCP את השיחה ברמת TCP מערכת ההפעלה מאפסת ואני
רואה שגם 992 שולח לו RESSET אני רואה שיש לו הרבה פאקטים של RESSET פה מאפסים לו כל הכתובות IP מחזירים לו RESSET עכשיו בגלל שהוא עושה דברים במקביל אז הפלטים פה הם כל הזמן חוזרים לא לפי הסדר, כי הוא עושה הכל במקביל ולא ברור מי יחזור ראשון, מי יחזור שני.
אז לכן זה לא נראה מסודר. פתאום תשובה אחת מגיעה לפני תשובה אחרת. על מה שחשוב לנו לראות שהוא קודם כל עושה פינג, אחרי זה 80, אחרי זה 443, אני רואה פה ריסטים יפוסיים.
אחרי שהוא החליט מי חי ומי מת, ואני רואה שהוא החליט שכולם חיים בגלל שהוא קיבל ריסטים, ולדעתי זו טעות, לא יודע של מי,