De tool die hiervoor wordt gebruikt heet Nmap. Nmap begint met het verzenden van bewerkte pakketten naar het beoogde systeem. Het zal dan de reactie van het systeem zien, inclusief welk besturingssysteem wordt uitgevoerd en welke poorten en services open zijn. Maar helaas zal noch een goede firewall, noch een sterk netwerkinbraakdetectiesysteem dergelijke soorten scans gemakkelijk detecteren en blokkeren.
We zullen enkele van de beste methoden bespreken om onopvallende scans uit te voeren zonder te worden gedetecteerd of geblokkeerd. In dit proces zijn de volgende stappen opgenomen:
- Scannen met het TCP Connect-protocol
- Scannen met de SYN-vlag
- Alternatieve scans
- Onder de drempel vallen
1. Scannen met het TCP-protocol
Begin eerst met het scannen van het netwerk met behulp van het TCP-verbindingsprotocol. Het TCP-protocol is een effectieve en betrouwbare scan omdat het de verbinding van het doelsysteem zal openen. Onthoud dat de -P0 Hiervoor wordt een schakelaar gebruikt. De -P0 switch beperkt de ping van Nmap die standaard wordt verzonden en blokkeert ook verschillende firewalls.
$sudo nmap -NS -P0192.168.1.115
Uit de bovenstaande afbeelding kunt u zien dat het meest effectieve en betrouwbare rapport over de open poorten wordt geretourneerd. Een van de belangrijkste problemen bij deze scan is dat de verbinding langs de TCP wordt ingeschakeld, wat een drieweg-handshake is voor het doelsysteem. Deze gebeurtenis kan worden vastgelegd door Windows-beveiliging. Als de hack toevallig succesvol is, zal het voor de systeembeheerder gemakkelijk zijn om te weten wie de hack heeft uitgevoerd, omdat uw IP-adres aan het doelsysteem wordt onthuld.
2. Scannen met de SYN-vlag
Het belangrijkste voordeel van het gebruik van de TCP-scan is dat de verbinding wordt ingeschakeld door het systeem eenvoudiger, betrouwbaarder en onopvallender te maken. Ook kan de SYN-vlagset worden gebruikt samen met het TCP-protocol, dat nooit zal worden gelogd vanwege de onvolledige drieweg-handshake. Dit kan door het volgende te gebruiken:
$sudo nmap -sS -P0192.168.1.115
Merk op dat de uitvoer een lijst met open poorten is, omdat deze vrij betrouwbaar is met de TCP-connect-scan. In de logbestanden laat het geen spoor achter. De tijd die nodig was om deze scan uit te voeren, was volgens Nmap slechts 0,42 seconden.
3. Alternatieve scans
U kunt de UDP-scan ook proberen met behulp van het UBP-protocol dat afhankelijk is van het systeem. U kunt ook de Null-scan uitvoeren, een TCP zonder vlaggen; en de Xmas-scan, een TCP-pakket met de vlaggenset P, U en F. Al deze scans leveren echter onbetrouwbare resultaten op.
$sudo nmap -zijn -P010.0.2.15 
4. Zak onder de drempel
Het firewall- of netwerkinbraakdetectiesysteem waarschuwt de beheerder over de scan omdat deze scans niet worden geregistreerd. Bijna elk detectiesysteem voor netwerkintrusie en de nieuwste firewall zullen dergelijke soorten scans detecteren en blokkeren door het waarschuwingsbericht te verzenden. Als het netwerkinbraakdetectiesysteem of de firewall de scan blokkeert, zal het het IP-adres en onze scan detecteren door het te identificeren.
SNORT is een beroemd, populair netwerkinbraakdetectiesysteem. SNORT bestaat uit de handtekeningen die zijn gebouwd op de regelset voor het detecteren van scans van Nmap. De netwerkset heeft een minimumdrempel omdat deze elke dag een groter aantal poorten zal passeren. Het standaarddrempelniveau in SNORT is 15 poorten per seconde. Daarom wordt onze scan niet gedetecteerd als we onder de drempelwaarde scannen. Om de netwerkinbraakdetectiesystemen en firewalls beter te vermijden, is het noodzakelijk om over alle kennis te beschikken.
Gelukkig is het mogelijk om met behulp van Nmap met verschillende snelheden te scannen. Standaard bestaat Nmap uit zes snelheden. Deze snelheden kunnen worden gewijzigd met behulp van de -T schakelaar, samen met de naam of het nummer van de snelheid. De volgende zes snelheden zijn:
paranoïde0, stiekem1, beleefd2, normaal3, agressief4, gestoord5De paranoïde en stiekeme snelheden zijn het langzaamst en beide liggen onder de drempel van SNORT voor verschillende poortscans. Gebruik de volgende opdracht om met de stiekeme snelheid naar beneden te scannen:
$nmap -sS -P0 -Tstiekeme 192.168.1.115 
Hier vaart de scan langs het netwerkinbraakdetectiesysteem en de firewall zonder te worden gedetecteerd. De sleutel is om geduld te behouden tijdens dit proces. Sommige scans, zoals de stiekeme snelheidsscan, duren 5 uur per IP-adres, terwijl de standaardscan slechts 0,42 seconden duurt.
Conclusie
Dit artikel liet je zien hoe je een stealth-scan uitvoert met behulp van de Nmap (Network Mapper) tool in Kali Linux. Het artikel liet je ook zien hoe je met verschillende stealth-aanvallen in Nmap kunt werken.