Cómo omitir tcpwrapped con escaneo nmap

Question

Cómo omitir tcpwrapped con escaneo nmap

#1 de bonsaiviking (77 votos)
#2 de schroeder (6 votos)
#3 de rook (2 votos)
#4 de random65537 (0 votos)
#5 de mark (0 votos)
#6 de Capt (0 votos)
#7 de GUE5T (-2 votos)

20

Tenía una tarea de escaneo y me enfrenté al siguiente resultado

Host is up (0.032s latency).
Scanned at 2012-10-25 16:06:38 AST for 856s
PORT      STATE SERVICE    VERSION
1/tcp     open  tcpwrapped
3/tcp     open  tcpwrapped
4/tcp     open  tcpwrapped
.
.
19/tcp    open  tcpwrapped
20/tcp    open  tcpwrapped
21/tcp    open  tcpwrapped
22/tcp    open  tcpwrapped
23/tcp    open  tcpwrapped
.
.
64623/tcp open  tcpwrapped
64680/tcp open  tcpwrapped
65000/tcp open  tcpwrapped
65129/tcp open  tcpwrapped
65389/tcp open  tcpwrapped

La metodología de escaneo fue

nmap -n -vv -A x.x.x.x --min-parallelism=50 --max-parallelism=150 -PN -T2 -oA x.x.x.x

Estoy seguro de que este es un juego de firewall o equilibrador de carga. Probé de muchas maneras, como cambiar el puerto de origen, la IP de origen, la fragmentación, etc.

¿Tiene alguna idea / sugerencia para omitir este caso?
por otro lado, ¿Sabes cómo hacerlo en la política de firewall (en cualquier firewall)? Gracias

firewalls nmap

pregunta KING SABRI 31.10.2012 - 00:43

fuente

7 respuestas

Lea otras preguntas en las etiquetas firewalls nmap

¿Qué tan seguro es el código hash de Java ()? ¿Por qué Firefox afirma que mi conexión a Google es insegura?

score 77 · Answer 1

" tcpwrapped " se refiere a tcpwrapper , un programa de control de acceso a la red basado en host en Unix y Linux. Cuando Nmap etiqueta algo tcpwrapped , significa que el comportamiento del puerto es consistente con uno que está protegido por tcpwrapper. Específicamente, significa que se completó un protocolo de enlace TCP completo, pero el host remoto cerró la conexión sin recibir ningún dato.

Es importante tener en cuenta que tcpwrapper protege programas , no los puertos. Esto significa que una respuesta tcpwrapped válida (no falsa-positiva) indica que hay un servicio de red real disponible, pero no está en la lista de hosts permitidos para hablar con él. Cuando se muestra una cantidad tan grande de puertos como tcpwrapped , es poco probable que representen servicios reales, por lo que el comportamiento probablemente signifique algo más.

Lo que probablemente está viendo es un dispositivo de seguridad de red como un firewall o IPS. Muchos de estos están configurados para responder a los puertos de TCP, incluso para las direcciones IP que no están asignadas a ellos. Este comportamiento puede ralentizar la exploración de un puerto y nublar los resultados con falsos positivos.

EDITAR: Como esta publicación se marcó como plagio y se eliminó, me gustaría señalar que la fuente asumida ( esta página en SecWiki.org ) también fue escrito por mí. Esta respuesta de Security.StackExchange (31 de octubre de 2013) es anterior a esa página (12 de noviembre de 2013) por casi dos semanas.

score 6 · Answer 2

Está intentando intentar mapear las reglas del firewall. Las herramientas de 'Firewalking' podrían ayudar con esto, pero no tengo muchas esperanzas.

Intenta reducir la velocidad. Está utilizando T2, que es muy rápido y es posible que obtenga resultados extraños.
Intente no usar -A, pero especifique el conmutador -sV directamente
Intente buscar oportunidades de 'detonación de puertos'
Intente usar un creador de paquetes, como scapy o hping3 para profundizar en el tráfico que envía e intente identificar qué puede pasar.

score 2 · Answer 3

2

Podrías intentar usar nmap -sV que capturará el encabezado y la información de la versión. Todos los puertos TCP seguirán abiertos (obviamente, no hay nada que puedas hacer al respecto), pero podrías grep y encontrar banners interesantes e ir desde allí.

respondido por el rook 31.10.2012 - 00:54

fuente

score 0 · Answer 4

0

Esta publicación describe tcpwrapped como algo común con los hosts de Windows. Más allá de eso no estoy muy seguro.

respondido por el random65537 31.10.2012 - 01:46

fuente

score 0 · Answer 5

enlace es un buen artículo rápido sobre tcpwrapped. Es probable que sea un cortafuegos que no le guste su IP, por lo que simplemente está cayendo en su conexión. A menos que pueda averiguar qué IPs le gustan o engañarlas para que piensen que es una IP de LAN (no sé si eso es posible), entonces no creo que pueda averiguar cuáles son esos puertos. También puede probar ncat para conectarse directamente a tye ports y ver si responden a algún protocolo (haga un par de archivos de texto que tengan solicitudes típicas de "hola" para cada proto, como "GET / HTTP / 1.0" o lo que sea) y luego puerto xxxx ncat < httpget.txt

POR FAVOR, ASEGÚRESE DE QUE ESTÁ AUTORIZADO PARA ACCEDER A ESTA RED ANTES DE INTENTARLO.

score 0 · Answer 6

Estuve luchando con este problema durante una semana y la única respuesta que obtuve fue la siguiente: ¡no hay nada que evitar! Ahora me di cuenta de que en realidad no hay nada que pasar. Cuando se escanea, se completa un protocolo de enlace TCP, pero la aplicación detrás de ese puerto cerrará la conexión. Así que intente conectarse al puerto con nc:

nc -v <IP> <port>

Verás que puedes conectarte con el puerto.

score -2 · Answer 7

-2

Prueba esto:

nmap -sS -Pn -sV IPaddress

Recuerde el -Pn , y la velocidad también es necesaria.

respondido por el GUE5T 01.09.2016 - 14:28

fuente