Nmap informa del estado de un puerto tanto abierto como cerrado

Question

Nmap informa del estado de un puerto tanto abierto como cerrado

#1 de dkaragasidis (1 votos)
#2 de Mark (0 votos)

0

Si no defino ningún rango (o si el rango es grande como cientos de puertos), Nmap está devolviendo los puertos abiertos. Sin embargo, si pongo un rango menor o simplemente escaneo un puerto específico, dice que está cerrado.

Por ejemplo:

nmap -sV
1110/tcp  open     nfsd-status?
1111/tcp  open     lmsocialserver?
1112/tcp  open     msql?
1113/tcp  open     ltp-deepspace?
1117/tcp  open     ardus-mtrns?
1119/tcp  open     bnetgame?


nmap -sV -p 1110-1120
1110/tcp closed nfsd-status
1111/tcp closed lmsocialserver
1112/tcp closed msql
1113/tcp closed ltp-deepspace
1114/tcp closed mini-sql
1115/tcp closed unknown
1116/tcp closed ardus-cntl
1117/tcp closed ardus-mtrns
1118/tcp closed sacred
1119/tcp closed bnetgame
1120/tcp closed unknown

nmap

pregunta yzT 31.05.2014 - 19:45

fuente

2 respuestas

Lea otras preguntas en las etiquetas nmap

¿Qué tan comprometido debo asumir que es mi computadora? Comprendiendo la criptografía prácticamente [cerrado]

score 1 · Answer 1

No está proporcionando mucha información sobre el host de destino. ¿Es un host propio y configurado? ¿O es esto una exploración de un host de terceros?

Suponiendo que sea un host de terceros, sugeriría que la razón por la que observa este tipo de comportamiento es porque este host está detrás de algún tipo de sistema de prevención de intrusos en la red o firewall con estado que implementa Golpeo del puerto .

Cuando realiza exploraciones de nmap sin especificar explícitamente el rango de puertos, las exploraciones de nmap por defecto son los 1000 puertos más comunes. Durante esta exploración, nmap accidentalmente * se conecta a la secuencia correcta de puertos para desencadenar un "golpe", lo que resulta en una modificación dinámica de las reglas del firewall para permitir conexiones a los puertos que mencionó.

Cuando especifique explícitamente el rango de puertos, el "protocolo secreto" de conectarse a una secuencia de puertos específica nunca ocurre y el firewall continúa eliminando el tráfico destinado a esos puertos.

Dado el hecho de que observa este comportamiento tanto con los 1000 puertos principales como con otros rangos grandes arbitrarios, supondría que el "knock" es una colección y no una secuencia de puertos, en otras palabras, el orden de las conexiones a esos puertos no importa.

[*] Esto podría no ser completamente accidental si este host es parte de algún desafío de seguridad de la red o un honeypot. Es muy improbable que alguien despliegue dicho mecanismo sin molestarse en probarlo con las herramientas de escaneo de seguridad / red convencionales.

score 0 · Answer 2

Una posibilidad es que haya activado un IDS u otro sistema de protección activa. El escaneo predeterminado de Nmap tiene una firma bastante distintiva, y si la red que está escaneando lo detecta, es posible que haya sido bloqueado en el firewall entre el primer y segundo escaneo (o incluso durante las últimas partes del primer escaneo).