Topic
:
การสแกน
การสแกน
(Scaning)
Port Scanning เป็นหนึ่งในเทคนิคที่โด่งดังที่สุดที่ผู้โจมตีใช้ในการค้นหาบริการ Service ที่พวกเขาจะสามารถเจาะผ่านเข้าไปยังระบบๆได้ โดยปกติแล้วทุก ๆ ระบบที่ต่อเข้าสู่ระบบ LAN หรือระบบอินเทอร์เน็ตจะเปิด service อยู่บน port ที่เปิดเป็นตัวเลขต่างๆสำหรับการทำ Port Scanning นั้น ผู้โจมตีจะสามารถค้นหาข้อมูลได้มากมายจากระบบของเป้าหมาย ได้แก่ บริการอะไรบ้างที่กำลังรันอยู่ ผู้ใช้คนไหนเป็นเจ้าของบริการเหล่านั้น สนับสนุนการล็อกอินด้วย anonymous (แบบไม่ประสงค์ออกนาม)หรือไม่ และบริการด้านเครือข่ายมีการทำ authentication หรือไม่ การทำ Port Scanning ทำได้โดยการส่งข้อความหนึ่งไปยังแต่ละพอร์ต ณ เวลาหนึ่ง ๆ ผลลัพธ์ที่ตอบสนองออกมาจะแสดงให้เห็นว่าพอร์ตนั้น ๆ ถูกใช้อยู่หรือไม่และสามารถทดสอบดูเพื่อหาจุดอ่อนต่อไปได้หรือไม่ Port Scanners มีความสำคัญต่อผู้ชำนาญด้านความปลอดภัยของเครือข่ายมากเพราะว่ามันสามารถเปิดเผยจุดอ่อนด้านความปลอดภัยที่มีความเป็นไปได้ของระบบเป้าหมาย
ถึงแม้ว่า Port Scans สามารถเกิดขึ้นกับระบบของคุณ แต่ก็สามารถตรวจจับได้และก็สามารถใช้เครื่องมือที่เหมาะสมมาจำกัดจำนวนของข้อมูลเกี่ยวกับบริการที่เปิดได้ ทุกๆระบบที่เปิด สู่สาธารณะจะมีพอร์ตหลายพอร์ตที่เปิดและพร้อมให้ใช้งานได้ (ต้องรู้ว่าแต่ละ port ที่เิปิดนั้นคือบริการอะไร) ซึ่งตรงนี้คุณต้องทำการกำหนดสิทธิ์ต่างในแต่ละ port และจำกัดจำนวนพอร์ตที่จะเปิดให้แก่ผู้ใช้ที่ได้รับอนุญาตและปฏิเสธการเข้าถึงมายังพอร์ตที่ปิด
เทคนิคต่าง ๆ ของ Port Scan
ก่อนที่คุณจะป้องกัน Port Scans คุณก็จะต้องเข้าใจเสียก่อนว่า Port Scans ทำงานอย่างไร เนื่องจากมีเทคนิคของ Port Scanning อยู่มากมายหลายรูปแบบ ซึ่งมีเครื่องมือ Port Scanning ที่ทำงานโดยอัตโนมัติ เช่น Nmap และ Nessus ที่ผมแนะนำโปรแกรม 2 ตัวนี้ก็เราะว่าโปรแกรม 2 ตัวนี้มีความยืดหยุ่นในการแสกนสูง สามารถกำหนดรูปแบบการแสกนได้อย่างอิสระ ไม่เหมือนกับโปรแกรมทั่วๆไปที่แสกนได้ไม่กี่อย่างๆ
________________________________________
การ scan ต่อไปนี้เป็นรูปแบบมาตรฐานสำหรับ Nmap และ Nessus
1. Address Resolution Protocol (ARP) scans จะตรวจหาอุปกรณ์ที่ทำงานในเครือข่ายโดยการส่งชุดของ ARP broadcasts และเพิ่มค่าของฟิลด์ที่บรรจุ IP address ของเป้าหมายในแต่ละ broadcast packet การ scan ชนิดนี้จะได้รับผลตอบสนองจากอุปกรณ์ที่มี IP บนเครือข่ายออกมาในรูปแบบของ IP address ของแต่ละอุปกรณ์ การ scan แบบนี้จึงทำการ map out ได้ทั้งเครือข่ายอย่างมีประสิทธิภาพ
2.The Vanilla TCP connect scan เป็นเทคนิคการ scan แบบพื้นฐานและง่ายที่สุด คือจะใช้ connect system call ของระบบปฏิบัติการไปบนระบบเป้าหมายเพื่อเปิดการเชื่อมต่อไปยังทุก ๆ พอร์ตที่เปิดอยู่ การ scan ชนิดนี้สามารถจับได้ง่ายมาก โดยล็อก (log) ต่าง ๆ ของระบบที่เป็นเป้าหมายจะแสดงการร้องขอการเชื่อมต่อ (connection requests ) และข้อความแสดงข้อผิดพลาด (error messages) สำหรับบริการที่ตอบรับการเชื่อมต่อนั้น
3.The TCP SYN (Half Open) scans เทคนิคนี้บางครั้งถูกเรียกว่า half open เพราะว่าระบบที่ทำการโจมตีไม่ได้ปิดการเชื่อมต่อที่ได้เปิดไว้ scanner จะส่ง SYN packet ไปยังเป้าหมายและรอการตอบสนอง ถ้าพอร์ตถูกเปิดไว้เป้าหมายก็จะส่ง SYN/ACK กลับมา แต่ถ้าพอร์ตถูกปิดอยู่ เป้าหมายก็จะส่ง RST กลับมา วิธีการ scan รูปแบบนี้ยากต่อการตรวจจับ ปกติเครื่องที่เป็นเป้าหมายจะทำหน้าที่ปิดการเชื่อมต่อที่เปิดไว้ และส่วนใหญ่จะไม่มีระบบการล็อกที่เหมาะสมในการตรวจจับการ scan ชนิดนี้
4.The TCP FIN scan เทคนิคนี้สามารถที่จะทะลุผ่านไฟล์วอลล์ ส่วนใหญ่, packet filters , cละโปรแกรมตรวจจับการ scan ไปได้โดยไม่ถูกตรวจพบ เพราะระบบที่ทำการโจมตีจะส่ง FIN packets ไปยังระบบของเป้าหมาย สำหรับพอร์ตต่าง ๆ ที่ปิดอยู่จะตอบสนองกลับไปด้วย RST ส่วนพอร์ตที่เปิดจะไม่สนใจ packets เหล่านั้นเลย ดังนั้นเครื่องที่ทำการโจมตีก็จะได้ข้อมูลว่ามันได้รับ RST จากพอร์ตไหนบ้างและไม่ได้ RST จากพอร์ตไหนบ้าง
5.The TCP Reverse Ident scan เป็นเทคนิคที่สามารถตรวจหาชื่อของเจ้าของแต่ละโพรเซสที่เป็นการเชื่อมต่อด้วย TCP บนเครื่องเป้าหมาย การ scan ชนิดนี้จะทำให้ระบบที่ทำการโจมตีสามารถเชื่อมต่อเข้าไปยังพอร์ตที่เปิดอยู่และใช้ ident protocol ในการค้นหาว่าใครเป็นเจ้าของโพรเซสบนเครื่องเป้าหมายได้
6.The TCP XMAS ถูกใช้เพื่อหาพอร์ตบนเครื่องเป้าหมายที่อยู่ในสถานะ listening โดยจะส่ง TCP packet ที่มี flag เป็น URG, PSH และ FIN ใน TCP header ไปยังพอร์ตของเครื่องเป้าหมาย ถ้าพอร์ต TCP ของเครื่องเป้าหมายปิดอยู่ พอร์ตนั้นก็จะส่ง RST กลับมา แต่ถ้าพอร์ตเปิดอยู่ก็จะไม่สนใจ packet นั้นเลย
7.The TCP NULL scan เทคนิคนี้จะส่ง TCP packet ที่มี sequence number แต่ไม่มี flag ออกไปยังเครื่องเป้าหมาย ถ้าพอร์ตปิดอยู่จะส่ง กลับมา RST packet กลับมา แต่ถ้าพอร์ตเปิดอยู่ ก็จะไม่สนใจ packet นั้นเลย
8.The TCP ACK scan เป็นเทคนิคที่ใช้ค้นหาเว็บไซต์ที่เปิดบริการอยู่ แต่ปฏิเสธการตอบสนองต่อ ICMP ping หรือค้นหากฎ (rule) หรือนโยบาย ( policy) ต่าง ๆ ที่ตั้งไว้ที่ไฟล์วอลล์เพื่อตรวจสอบดูว่าไฟล์วอลล์สามารถกรอง packet อย่างง่าย ๆ หรือเทคนิคชั้นสูง โดยการ scan แบบนี้จะใช้ TCP packet ที่มี flag เป็น ACK ส่งไปยังพอร์ตเครื่องปลายทาง ถ้าพอร์ตเปิดอยู่ เครื่องเป้าหมายจะส่ง RST กลับมา แต่ถ้าปิดอยู่ก็จะไม่สนใจ packet นั้น
9.The FTP Bounce Attack ใช้โพรโตคอล ftp สำหรับสร้างการเชื่อมต่อบริการ ftp ของ proxy วิธีการ scan แบบนี้ ผู้โจมตีจะสามารถซ่อนตัวอยู่หลัง ftp server และ scan เป้าหมายอื่น ๆ ได้โดยไม่ถูกตรวจจับ ดังนั้น ftp servers ส่วนใหญ่จะมีการ disable บริการของ ftp เพื่อความปลอดภัยของระบบ
10.The UDP ICMP port scan ใช้โพรโตคอล UDP ในการ scan หาพอร์ตหมายเลขสูง ๆ โดยเฉพาะในระบบ Solaris แต่จะช้าและไม่น่าเชื่อถือ
11.The ICMP ping-sweeping scan จะใช้คำสั่ง ping เพื่อกวาดดูว่ามีระบบไหนที่เปิดใช้งานอยู่ เครือข่ายส่วนใหญ่จึงมีการกรองหรือ disabled
โพรโตคอล ICMP เพื่อความปลอดภัยของระบบ
สำหรับผู้ที่ใช้โปรแกรม nmap ไม่ได้ ให้ติดตั้งโปรแกรม WinPcap 3.1BETA4 ก่อนนะครับ คลิกที่ชื่อโปรแกรม แล้วลองใช้โปรแกรม nmap ต่ออีกทีครับ รับรองใช้ได้แน่ๆ
________________________________________
เทคนิคการ Ping Sweep
ในบทความต่อไปนี้ ผมจะมุ่งประเด็นเกี่ยวกับเรื่องการแสกนว่ามีเรื่องไหนยัง login อยู่หรือกำลังใ้ช้งาน และ port ต่างที่เครื่องเหยื่อไ้ด้เิปิดเอาไว้ จากบทความของผม เวลาุคุณจะต้องสนใจเครื่องของเหยื่อที่ port 139 กับ 445 เท่านั้น เพราะเ็ป็นส่วนจำเป็นในการ Hack Window
คือการ ping ไปยังเครื่องเป้าหมายที่จำนวนมากๆ ในวง Network ที่คุณใช้อยู่ หรือวง lan นั่นเอง (ใน Internet ก็ใช้ได้) โดยแสกนพร้อมๆกัน คล้ายกับการกราดยิง เพื่อตรวจสอบว่าเครื่องปลายทางได้เปิดอยู่หรือไม่ก็ตาม เช่นคุณมี IP x.y.z.6 ตรง x.y.z อาจเป็นตัวเลขใดๆก็ได้ แต่เลข 6 คือเลขชุดหลังของ ip คุณ เวลาคุณแสกนหาให้เขียนลงไปดังนี้ x.y.z.0/24 จากตรงเลข 6 เปลี่ยนเป็น 0/24 หมายความว่าเป็นการแสกน IP ตั้งแต่ x.y.z.1- x.y.z.255
ยกตัวอย่าง
สมมติคุณกำลังต่อเน็ต หรือกำลังใช้คอมอยู่ในวงแลน ให้คุณเิดหน้าต่างดอสขนึ้มา (หรือ Start > Run พิมพ์ cmd.exe) พอหน้าต่างดอสขนึ้มาให้คุณพิมพ์ ipconfig แล้วกด Enter
C:\>ipconfig
Windows 2000 IP Configuration
Ethernet adapter Local Area Connection:
Media State . . . . . . . . . . . : Cable Disconnected
PPP adapter TOT:
Connection-specific DNS Suffix . :
IP Address. . . . . . . . . . . . : 172.16.66.216
Subnet Mask . . . . . . . . . . . : 255.255.255.255
Default Gateway . . . . . . . . . : 172.16.66.216
ให้คุณดูที่ตัวหนังสือสีแดงครับ คือ IP ของคุณเอง จากนั้น IP เครื่องต่างๆที่อยู่ในวงแลนเน็ตของคุณ หรือวงแลนสำนักงานคุณ ก็จะมี IP ประมาณว่า
172.16.66.1 ถึง 172.16.66.225 ครับผม แต่เวลาแสกนถ้าคุณมากำหนดเป็นตัวเลขอาจต้องพิมพ์แบ่งช่วงเอาเอง แต่ถ้าคุณจะแสกน port ทั้งวงแลน คือ แสกนมันทุกเครื่องในวงแลนเลย เวลาคุณกำหนด IP ก็ต้องใ้คำสั่งกำหนด เป็น 172.16.66.0/24
โดยปรกติ ถ้าคุณใช้คำสั่ง ping ธรรมดา จะมีการส่ง ICMP ECHO (Type 8) ออกไปยังเครื่องปลายทางและรอคอย ICMP ECHO_REPLY (Type 0) ส่งกลับมา ถึงแม้ ping จะมีประโยชน์ในการทดสอบว่าเครื่องปลายทางนั้นเปิดอยู่หรือไม่ก็ตาม แต่มันจะเหมาะกับ Network ขนาดเล็กและขนาดกลางเท่านั้น ซึ่งถ้ามาใช้ในใน Network ขนาดใหญ่อย่าง Internet มักจะใช้ได้ไม่มีประสิทธิภาพ โดยใช้ –sP เป็นการ ping scan (กรณีนี้ผมไ้ด้ เอาโปรแกรม nmap มาแตกใส่ไว้ที่ไดร์ฟ C:)
C:>nmap –sP 172.16.66.0/24
คำสั่งนี้จะใช้ได้เมื่อคุณได้อยู่ในวง Network เดียวกับคุณ หรือ วงอื่น ซึ่งจะแสกนวงเดียวกับคุณ IP 172.16.66.0 – 172.16.66.255 หมายถึง คุณต้องมี IP ที่อยู่ระหว่าง 172.16.66.0 – 172.16.66.255 ถึงจะใช้คำสั่งนี้ได้ เช่นคุณมี IP = 172.16.66.216 สังเกตเลขชุดสุดท้ายที่อยู่หลังจุดให้ดีๆ อาจเป็นเลขอะไรก็ได้ จาก 1-255 ถึงจะใช้ 0/24 แทน หรือ
C:>nmap –sP 172.16.66.11-172.16.66.20
คำสั่งนี้จะแสกนเครื่องที่อยู่ในวง Network ที่มี IP ระหว่าง 172.16.66.11 - 172.16.66.20
C:>nmap –sP 172.16.66.* หรือ C:>nmap –sP 172.16.66.0/24
คำสั่งนี้จะแสกนเครื่องที่อยู่ในวง Network ที่มี IP 172.16.66.1 ถึง 172.16.66.255
โดยปรกติ ถ้าคุณใช้คำสั่ง ping ธรรมดา จะมีการส่ง ICMP ECHO (Type 8) ออกไปยังเครื่องปลายทางและรอคอย ICMP ECHO_REPLY (Type 0) ส่งกลับมา ถึงแม้ ping จะมีประโยชน์ในการทดสอบว่าเครื่องปลายทางนั้นเปิดอยู่หรือไม่ก็ตาม แต่มันจะเหมาะกับ Network ขนาดเล็กและขนาดกลางเท่านั้น ซึ่งถ้ามาใช้ในใน Network ขนาดใหญ่อย่าง Internet มักจะใช้ได้ไม่มีประสิทธิภาพ โดยใช้ –sP เป็นการ ping scan เพื่อเป็นการตรวจสอบว่ามีเครื่องใดกำลัง logon อยู่
nmap –sP 203.118.98.0/24
คำสั่งนี้จะใช้ได้เมื่อคุณได้อยู่ในวง Network เดียวกับคุณ หรือ วงอื่น ซึ่งจะแสกนวงเดียวกับคุณ IP 203.118.98.0 – 203.118.98.255 หมายถึง คุณต้องมี IP ที่อยู่ระหว่าง 203.118.98.0 – 203.118.98.255 ถึงจะใช้คำสั่งนี้ได้ เช่นคุณมี IP = 203.118.98. 10 สังเกตเลขชุดสุดท้ายที่อยู่หลังจุดให้ดีๆ อาจเป็นเลขอะไรก็ได้ จาก 1-255 หรือจะใช้ 0/24 แทน หรือ
nmap –sP 203.118.98.11-203.118.98.20
คำสั่งนี้จะแสกนเครื่องที่อยู่ในวง Network ที่มี IP ระหว่าง 203.118.98.11 - 203.118.98.20
nmap –sP 203.118.98.* หรือ C:>nmap –sP 203.118.98.0/24
คำสั่งนี้จะแสกนเครื่องที่อยู่ในวง Network ที่มี IP 203.118.98.1 ถึง 203.118.98.255
(เครื่องมือ nmap นี้ จะเป็นการหาแบบละเอียด เมื่อเทียบกับโปรแกรมอื่น แต่อาจใช้เวลานานกว่า)
เทคนิคการแสกนหลบ เมื่อเครื่องปลายทาง block ICMP
จะเป็นการ Ping Sweep ขั้นสูงที่เรียกว่า TCP Ping scan โดยการใช้พารามิเตอร์ –PT พร้อมกับระบุหมายเลข port ต่างๆเข้าไป ซึ่งการระบุเลข port นั้นจะต้องทราบว่าเครื่องส่วนใหญ่นั้นจะต้องเปิดเอาไว้เพื่อติดต่อสื่อสารกับเครื่องอื่นๆ เช่น http 80 , SMTP 25 , POP 110 , IMAP 143 และอื่นอีกมาก ซึ่งปรกติจะต้องเปิดไว้คือ http 80 ซึ่งอาจทะลุผ่าน firewall ได้ถ้ามีการกำหนด firewall ได้ไม่ดี
nmap –sP –PT 80 203.118.98.0/24
ตรงเลข 80 ที่ผมได้ทำสีไว้เป็นการแสกนผ่านทาง http 80 ซึ่งอาจเปลี่ยนเป็นเลข port อื่นๆได้ตามที่ได้กล่าวมาด้านบนซึ่ง port ต่างๆที่ได้ใส่ไปก็คือการหา service นั่นเอง SMTP 25 , POP 110 , IMAP 143
nmap –sP –PT 25 203.118.98.0/24 เป็นการหาว่าเครื่องในวงแลนคุณเครื่องไหนเปิด SMTP 25
nmap –sP –PT 110 203.118.98.0/24 เป็นการหาว่าเครื่องในวงแลนคุณเครื่องไหนเปิด POP 110
nmap –sP –PT 143 203.118.98.0/24 เป็นการหาว่าเครื่องในวงแลนคุณเครื่องไหนเปิด IMAP 143
เทคนิคการแสกนแบบ TCP FIN scan
เทคนิคนี้สามารถที่จะทะลุผ่านไฟล์วอลล์ ส่วนใหญ่ และมีการเก็บผลลัพธ์ไว้ในไฟล์ text
nmap –sF 203.118.98.0/24 –oN output.txt
จากบรรทัดบน –sF เป็นการแสกนแบบ Stealth FIN รายละเอียดให้ดูรูปประเภทการแสกนที่อยู่ช่วงแรกๆ และพารามิเตอร์ –o เป็นการบันทึกผลลงเป็นไฟล์ ส่วน N หลัง –o ตรง (-oN) หมายถึงให้บันทึกในรูปแบบที่อ่านเข้าใจได้โดยโปรแกรมจะสร้างไฟล์ output.txt หรือถ้าคุณต้องการบันทึกเพื่อจะนำไปใช้กับโปรแกรมอื่นๆ ให้ระบุเป็น พารามิเตอร์ –oM แทน
ผมเหนื่อยแระ ขี้เกียจทำเป็็นหัวข้อ
________________________________________
คุณอาจใช้ Option + Parameter อื่นๆ ผสมผสานกันได้ โดยประยุกต์จากตัวอย่างต่างๆที่ผมได้ทำเป็นตัวอย่างดังที่เห็นอยู่ ซึ่งจะทำให้การใช้งานเครื่องมือนี้ มีประสิทธิภาพมากขึ้น ในการแสกนหาเครื่องเหยื่อ ในโปรแกรม Nmap ได้อย่างลงตัวกับสถานะการณ์ (แต่ต้องหัดเอาเองบ้างนะ) ซึ่งผลจากการแสกนต่างๆนั้นรับรองได้้เลยว่าโปรแกรมอื่นคงทำไม่ได้อย่างโปรแกรมนี้ แต่มันก็ยากในการใช้งาน เพราะ Option ในตัวโปรแกรมช่างเยอะเหลือเกิน จะถอดใจตอนนี้ก็ยังไม่สายนะ ดูชื่อเว็บที่ผมตั้งสิ กรรมกรไซเบอร์ มันก็ต้องออกแรงกันหน่อย และสำหรับคนที่ยังไม่ถอดใจ ผมก็จะมีตัวอย่าง และ Tip เด็ดๆให้อีกเล็กๆน้อยๆ
Nmap มีความสามารถในการหลอก firewall เครื่องปลายทาง โดยการส่งแพ็คเก็ตปลอมจำนวนมากที่ไม่เกี่ยวข้องกับการแสกนเข้าไปในระบบ ด้วยการใช้พารามิเตอร์ –D และขณะเดียวกันก็ทำการแสกนจริงๆไปด้วย และด้วยการเพิ่มความยากในการตรวจจับ สามารถปลอม IP ADDRESS ของ server อื่นที่มีอยู่จริง แต่ถ้า IP ADDRESS ที่ปลอมนั้นไม่มีอยู่จริงๆ การแสกนของคุณจะเป็นการทำ SYN Flood ซึ่งไปเข้าเงื่อนไขการโจมตีระบบด้วย Denial of Service (การทำให้ Network ล่ม คือทำให้การรับส่งข้อมูลใน Network คับคั่งหรือที่เห็นง่ายๆก็คือ เน็ตจะช้า หรือเครื่องอาจหลุดจาก Internet ได้) วิธีดูจากข้างล่างนี้
nmap –sS 203.118.98.110 –D 203.114.234.5
-sS เป็นการแสกนแบบ TCP SYN scan 192.16.81.110 เป็น IP เครื่องเป้าหมายที่คุณจะแสกน และส่วนที่ตามหลัง Option –D คือ IP 203.114.234.5 เป็น IP Server ของอะไรก็ได้เช่น yahoo , sanook ซึ่งจะหา IP นี้ได้โดยการ เปิด ดอส ขึ้นมาแล้วพิมพ์ c:\ping
www.yahoo.com เท่านี้คุณก็จะได้ IP Server จริงๆ ที่จะนำมาใช้ในคำสั่งนี้ แต่ถ้าคุณเอา ไอพีมามั่วๆ จะเป็น เข้าเงื่อนไขการโจมตีระบบด้วย Denial of Service
nmap –O 203.121.148.18
คำสั่งบนนี้ จะเป็นการหาข้อมูลจากเครื่องที่ มี IP 203.121.148.18 ว่ามีการเปิดที่ Port ไหนบ้าง และใช้ระบบปฏิบัติการอะไร แต่การแสกนอาจใช้เวลานาน ถ้าคนที่ใจร้อนอาจหันไปพึ่งโปรแกรมอื่น ผมก็ไม่ว่าอะไรครับ แต่ขอบอก โปรแกรมนี้ แสกนได้แม่นยำกว่าโปรแกรมอื่นอยู่มากทีเดียว
nmap –p80 –O 203.121.148.18
คำสั่งบนนี้ เป็นการใช้ option –p เข้ามาช่วยหา ในกรณีที่เครื่องเหยื่อได้เปิด port 80 เอาไว้
การประยุกต์ใช้งานอื่นๆ
nmap –sS –p 25,80,135-139,455 –n 203.118.98.110
จากคำสั่งบนนี้ เป็นการแสกนไปที่เครื่อง 203.118.98.110 ไปที่ port 25 , port 80 , port 135 , 136 ,137 , 138 ,139 , port 455 ว่าเปิดอยู่หรือไม่
nmap –sS –O 203.118.98.110
จะเห็นว่าคำสั่งนี้ คลอบคลุมกว่า 2 คำสั่งด้านบน ยิ่งถ้าคุณได้เพิ่ม Option –p แล้วใส่ port ที่ต้องการแสกนได้อีกด้วยครับ แต่บางที Option –sS อาจหลบ Firewall ไม่ได้
Option –T 4 เป็นอีก option ที่น่าสนใจเป็นอย่างมาก คุณลองใช้ option ลงไปร่วมกับ option อื่นได้ จะช่วยให้การแสกนนั้นรวดเร็วยิ่งขึ้นครับเช่น
nmap –sS –O –T 4 203.118.98.110
nmap –sP –PT80 –T 4 203.118.98.0/24
การแสกนตรวจประเภท Firewall
nmap –sW 203.118.98.110 และคำสั่ง nmap –sA 203.118.98.110
คำสั่งบนนี้ เป็นการตรวจสอบ Firewall ว่าเป็นประเภทไหน ในเครื่องที่มี IP 203.118.98.110 ทั้ง 2 Option นี้อาจเป็นตัวที่ใช้เจาะเครื่องที่มี firewall ป้องกัน เพื่อที่จะดูว่า จริงๆแล้วเปิด port อะไรบ้าง เพราะเราจะสามารถรู้ ระบบปฏิบัติการในเครื่องที่เราแสกนได้ จาก port ที่ได้เปิด
ในแต่ละเครื่อง ใน Internet คุณไม่สามารถไปดูที่หน้าจอได้ จึงยากต่อการรู้ว่า เครื่องนั้นๆ ใช้วินโดว์หรือ unix หรือ Linux เพราะฉนั้น คุณต้องดู port จากเครื่องเป้าหมาย แต่โปรแกรมแสกนธรรมดา จะไม่สามารถแสกน port ได้จากเครื่องที่ได้ติดตั้ง Firewall (แต่จริงๆ ก็เปิด port อยู่) จึงต้องใช้โปรแกรม nmap แสกน เพราะสามารถหลบ Firewall ได้
Window Port Default ข้างล่างนี้เป็น port มาตรฐาน ที่ Win มักจะเปิด และเราจะรู้ได้ หรือเดาได้ว่าใช้อะไร
Win 98/me 139
Win 2000/xp 139 – 445
Win 2000 Server 53 – 88 - 139 – 445
ส่วน UNIX / LINUX คุณจะเห็นความแตกต่าง port ที่เปิดเองครับ จะไม่เหมือน Window แน่นอนครับ
แล้วจะมีหัวข้อให้ทำการแก้ไขครับ
