duda salida NMap

[kamsky]

bueno tng¡go alguna dudilla sobre una salida del NMap...

lo primero, es que usé hosts señuelos con la opción -D, bueno, pues no se si será por esto pero el escaneo me duró cerca de media hora...creen que es por el uso de señuelos?¿ tengo que decir que el escaneo fue de tipo Syn y con la detección de OS activada...

la siguiente duda es sobre una opción que hay y que no use por no saber si funciona realmente, es sobre el falseamiento de la IP, esto funciona¿ es decir, si yo pongo la IP de un host activo realmente me hago pasar por el, supongo que no será 100% seguro, ya que si no eso sería la panacea! Cheesy e igual sucede con el falseamiento de la MAC...

Bueno y la ultima duda es la siguiente, les adjunto la salida(CON LOS DATOS REALES EDITADOS):

Citar
Insufficient responses for TCP sequencing (0), OS detection may be less accurateHost lalala.lalala.lala (61.136.130.202) appears to be up ... good.
Interesting ports on webs92.aruba.it (61.136.130.202)):
(The 1669 ports scanned but not shown below are in state: filtered)
PORT STATE SERVICE
20/tcp closed ftp-data
21/tcp open ftp
80/tcp open http
50000/tcp closed iiimsf
50002/tcp closed iiimsf
Device type: firewall|general purpose
Running: Checkpoint IPSO, Microsoft Windows 2003/.NET, Nokia IPSO, OpenBSD 3.X, SonicWall SonicOS
OS details: Nokia IPSO 3.6 running CheckPoint FW-1 NG FP2, Microsoft Windows 2003 Server SP1, Nokia IPSO 3.8.x, OpenBSD 3.5 or 3.6, OpenBSD 3.6 (i386), SonicWall TZ170 Firewall
OS Fingerprint:
T1(Resp=Y%DF=N%W=4000%ACK=S++%Flags=AS%Ops=MNWNNT)
T2(Resp=N)
T3(Resp=N)
T4(Resp=N)
T5(Resp=N)
T6(Resp=N)
T7(Resp=N)
PU(Resp=N)


Nmap finished: 1 IP address (1 host up) scanned in 4631.126 seconds
Raw packets sent: 16491 (728.220KB) | Rcvd: 160 (8234B)

bueno al principio me lista los puertos escaneados exitosos(aunque los 2 ultimos están cerrados y no se de que serán)..sobre el FTP ya le hecharé un vistazo más detenidamente Cheesy para sacar la versión y tal..Cheesy

a continuación me dice que se usa un firewall de proposito general...

y luego ya se supone que me dice el OS usado, de entre todos los listados, creo que me debería fiar solo de lo de Microsoft Windoze 2003 SP1 no?, porque lo demás eso de Nokia, Sony ... no creo...
digo esto aparte de por lo raro de lso demás OS, porque le hice un WHOIS al dominio de la página y me salió esto:
Citar
Web Server: microsoft-iis/5.0
Website Status: Active

asi que lo lógico es que use el MWServer... están de acuerdo conmigo¿¿

finalmente lo de OS Fingerprint, supongo que será la salida de las pruebas usadas para la detección del OS, pero que no se que significan..no?? huh huh huh

bueno, les agradecería sus respuestas, thanks wink

[kamsky]

please help me!

[FIDOKELELE]

OoOooOoOoO
NO ENTIENDOooOoO

[tux]

bueno, pero para que pueda ayudarte primero debes especificar como utilizastes y que parametro pusistes, es decir;

nmap -A -O -n gfdgdfgdf..que mas dir IP

[kamsky]

la instruccion fue: nmap -sS -Dxxx.xxx.xxx.xxx,xxx.xxx.xxx.xxx,xxx.xxx.xxx.xxx -O -vv xxx.xxx.xxx.xxx

las x despues de -D son los host señuelo y las del final la IP sobre la que hice el escaneo

[j8k6f4v9j]

El motivo de que el scan tardase tanto no es el decoy (-D), sino el tipo de scan que hiciste (-sS): SYN

Con respecto a lo del fingerprinting para la detección del sistema operativo, la respuesta que nmap te da es que no tiene suficientes respuestas como para que sea precisa dicha detección. Es decir, que es posible que alguien te la pegue usando un honeypot, diciéndote que es un güindous cuando realmente se trata de otro sistema mucho más seguro, o que realmente se trate del sistema que te indica, pero que no te lo puede asegurar al 100%

Tu otra duda está relacionada con los falseamientos de direcciones MAC e IP. Te puedo asegurar que funcionan a la perfección, para verlo por ti mismo puedes usar un sniffer mientras realizas las pruebas localmente (por si aún no te fías y no estás seguro de esto) y ver toda la información de cada paquete que circula por ti mismo.

Espero haberte aclarado más que liado.

Salu2

[kamsky]

pues is, miuchas gracias...:D

con respecto a lo del OS y el uso de honeypots... no creo, ya que le hice un WHOIS y me sale que tiene el 2003 server, que viene a corroborar la salida del NMap...

en cuanto a lo de lfalseamiento de IP y MAC, pues gracias, porque en algún otro foro me aseguraron lo contrario, que no funcionaba..

thanks

[smaug_]

Ya que estamos, una pequeña duda, con el nmap cual es el escaneo que tarda menos? Yo normalmente uso el sS, y he tenido que esperar hasta 15 minutos para un equipo :S

[j8k6f4v9j]

Pues el que viene por defecto, es decir, sin -sS, que es lo mismo que poner -sP. Y menos aún tarde si limitas el rango de puertos a escanear.

Por ejemplo:

nmap -p 22 localhost

Eso irá como un tiro.

Salu2

[j8k6f4v9j]

en cuanto a lo de lfalseamiento de IP y MAC, pues gracias, porque en algún otro foro me aseguraron lo contrario, que no funcionaba..

Lo mejor es que lo compruebes por ti mismo.

Salu2

[kamsky]

lo haré :D

en cuanto a lo de que escaneo tarda menos... bueno, decir que como tu nombraste:


nmap -p 22 localhost

será instantaneo, pero hay que tner en cuenta que a veces lo más rápido no es lo mejor, me explico, al no especificar un -P0 harás que se haga un ping para verificar que el/los host/s están online, lo que será muy ruidoso, cosa que no suele ser conveniente..:D
por eso es mejor usar si es posible un tipo alternativo de escaneo menos ruidoso como el Syn, que sólo establece la conexión a medias..aunque de todas formas en un IDS bien configurado será instantaneamente detectado...

salu2

[j8k6f4v9j]

lo haré :D

en cuanto a lo de que escaneo tarda menos... bueno, decir que como tu nombraste:


será instantaneo, pero hay que tner en cuenta que a veces lo más rápido no es lo mejor, me explico, al no especificar un -P0 harás que se haga un ping para verificar que el/los host/s están online, lo que será muy ruidoso, cosa que no suele ser conveniente..:D
por eso es mejor usar si es posible un tipo alternativo de escaneo menos ruidoso como el Syn, que sólo establece la conexión a medias..aunque de todas formas en un IDS bien configurado será instantaneamente detectado...

salu2

Totalmente de acuerdo. Además de ruidoso puede también ser poco efectivo. Por ejemplo con el packet filter de mi OpenBSD ( :p ) mi máquina ni siquiera respondería al scan mencionado haciendo parecer que la máquina está caída. Tanto con -P0 como con -sS cantaría como un jilguero (porque no tengo otras reglas, claro :p )

Salu2

[kamsky]

en micaso como un loro! (es que tengo uno en casa :D)

te recomendaría que estudiases los manuales donde se habla de otros tipos de escaneos.. como el FIN, que no son tan exactos, pero tienes más posibilidades de que no sean filtrados..

también el NULL, y to2 esos, pero vamos, como te digo, mirate le manual oficial y ahi seguro que te viene mucho mejor explicado!

salu2

[j8k6f4v9j]

Si nos metemos con las opciones avanzadas de nmap...

http://www.damagedintransit.com/2006/07/04/advanced-nmap-scanning/

http://www.irongeek.com/i.php?page=videos/nmap2

Salu2

[kamsky]

más...

http://insecure.org/nmap/man/es/

[smaug_]

Lo tendre en cuenta, en cuanto vuelva a casa volvere con las pruebas. Que ahora estoy de vacaciones y relax ^^ Solo cojo el pc para entrar aqui :P