nmap con sW solo da el número de puertos abiertos pero nmap con -sW más -sV da un resultado diferente que dice open y tcpwrappeds

Question

nmap con sW solo da el número de puertos abiertos pero nmap con -sW más -sV da un resultado diferente que dice open y tcpwrappeds

#1 de Iszi (1 votos)

0

He ejecutado nmap en una IP que es la siguiente

nmap -sW -PN <IP> 
result Host is up (0.0011s latency).
PORT      STATE SERVICE
1/tcp     open  tcpmux
3/tcp     open  compressnet
4/tcp     open  unknown
6/tcp     open  unknown
7/tcp     open  echo
9/tcp     open  discard
13/tcp    open  daytime
17/tcp    open  qotd
19/tcp    open  chargen
20/tcp    open  ftp-data
21/tcp    open  ftp
22/tcp    open  ssh
23/tcp    open  telnet
24/tcp    open  priv-mail
25/tcp    open  smtp
26/tcp    open  rsftp
30/tcp    open  unknown
32/tcp    open  unknown
33/tcp    open  dsp
37/tcp    open  time
42/tcp    open  nameserver
43/tcp    open  whois
49/tcp    open  tacacs
53/tcp    open  domain
70/tcp    open  gopher

pero cuando ejecuto nmap con

nmap -sW -PN -sV <ip>
PORT      STATE SERVICE    VERSION
1/tcp     open  tcpwrapped
3/tcp     open  tcpwrapped
4/tcp     open  tcpwrapped
6/tcp     open  tcpwrapped
7/tcp     open  tcpwrapped
9/tcp     open  tcpwrapped
13/tcp    open  tcpwrapped
17/tcp    open  tcpwrapped
19/tcp    open  tcpwrapped
20/tcp    open  tcpwrapped
21/tcp    open  tcpwrapped
22/tcp    open  tcpwrapped
23/tcp    open  tcpwrapped
24/tcp    open  tcpwrapped
25/tcp    open  tcpwrapped
26/tcp    open  tcpwrapped
30/tcp    open  tcpwrapped
32/tcp    open  tcpwrapped
33/tcp    open  tcpwrapped

Me sale el resultado anterior. En un enlace leí que "cuando se muestra una gran cantidad de puertos como tcpwrapped, es poco probable que representen servicios reales, por lo que el comportamiento probablemente signifique que otra cosa, como un equilibrador de carga o un firewall, está interceptando las solicitudes de conexión. "Entonces, ¿qué debo inferir de los 2 resultados anteriores? ¿Están abiertos los puertos en el host O es que el firewall / loadbalancer está interceptando el tráfico?

nmap network-scanners

pregunta Lalitha 16.08.2016 - 12:52

fuente

1 respuesta

Lea otras preguntas en las etiquetas nmap network-scanners

¿Cuáles son las desventajas de un sistema de archivos encriptado parcial? ¿Qué daño puede causar un archivo .iso malicioso sin ejecutarlo explícitamente?

score 1 · Answer 1

Nmap sin -sV (u otras opciones que incluyen el servicio / detección de versión) no hace ningún esfuerzo para determinar qué tipo de servicio se está ejecutando realmente en un puerto. En su lugar, simplemente realiza una búsqueda en una lista de asignaciones de puertos / servicios comunes para presentar un candidato más probable para el tipo de servicio que se ejecutaría en los puertos incluidos en el informe.

Esto es lo que está viendo con nmap -sW (para los fines de esta discusión, el -PN es irrelevante). Nmap le proporciona una lista de todos los puertos que Windows Scan cree que están abiertos y le indica qué tipo de servicios escuchan comúnmente en cada puerto.

Sin embargo, debe tener en cuenta que nmap -sW puede ser poco confiable contra objetivos que no admiten la funcionalidad para la cual está diseñado para explotar. (Y los objetivos que admiten esa funcionalidad son generalmente raros). Esto se menciona en Técnicas de exploración de puertos de Nmap , y parece ser ejemplificada por sus resultados. (Al menos, las pequeñas porciones que has pegado arriba, supongo que están truncadas).

La siguiente información se copia de la documentación de Nmap a la que hice referencia anteriormente. El énfasis es mío.

-sW (exploración de la ventana TCP)
   [...]
  Este escaneo se basa en un detalle de implementación de una minoría de sistemas en Internet, por lo que no siempre puede confiar en él . Los sistemas que no lo admiten generalmente devolverán todos los puertos cerrados. Por supuesto, es posible que la máquina realmente no tenga puertos abiertos. Si la mayoría de los puertos escaneados se cierran pero se filtran algunos números de puertos comunes (como 22, 25, 53), es muy probable que el sistema sea susceptible. Ocasionalmente, los sistemas incluso mostrarán el comportamiento opuesto exacto. Si su escaneo muestra 1,000 puertos abiertos y tres puertos cerrados o filtrados, entonces esos tres pueden ser los verdaderamente abiertos.

Con servicio & Detección de versión habilitada (por ejemplo: nmap -sW -sV en sus ejemplos), Nmap realiza algunas comprobaciones adicionales para estar más seguro de los estados de respuesta de los puertos y para determinar el tipo y la versión de la aplicación que está alojada en los puertos abiertos. Estas comprobaciones adicionales son las que permiten a Nmap proporcionar la determinación "tcpwrapped", en lugar de simplemente suponer que un puerto que responde está ejecutando el servicio que comúnmente se establece de manera predeterminada en ese número.

Si se muestra algún puerto más allá de la salida que ha pegado anteriormente, que no informa "tcpwrapped" en su escaneo de nmap -sW -sV , es probable que esos sean los únicos puertos que vale la pena investigar más en el destino. Sin embargo, para obtener resultados más precisos, debería utilizar una técnica de escaneo de puertos diferente.