Nmap mostrando ident fechado de 113 / tcp para cada IP

Question

Estou tentando encontrar um endereço IP gratuito em uma rede que não usa DHCP. Eu decidi executar uma varredura intensa usando o Nmap de 10.0.5.0 a 10.0.5.255. (Eu sei que esta não é a melhor maneira de encontrar um endereço IP não utilizado, mas é bom o suficiente para este cenário. Estou aberto a sugestões, no entanto.) Eu estou em uma sub-rede diferente, e eu não tenho 100% de certeza minha varredura está passando (firewalls, NAT, etc).

Todo endereço IP está me mostrando que a porta 113 / tcp está fechada, incluindo IPs não utilizados / hosts mortos. Isso está tornando meus resultados feios e difíceis de entender.

• Existe uma maneira de pular a varredura dessa porta no Nmap?
• Por que isso é mostrado mesmo em hosts mortos?

Answer 1

Is there a way to skip scanning this port in Nmap?

Sim. Veja aqui (repostado aqui por conveniência) :

You can use comma as a separator to separate two different ranges of port. For ex. in your case you can give the following

$ nmap 24.0.0.0/24 -p 1-79,81-65535

Hence this way we omitted port scanning on port 80.

Why is this shown even on dead hosts?

Em algum lugar na sua cadeia de roteamento, você pode ter um roteador / proxy forçado / firewall com monitoração de estado que faz algum tipo de inspeção de pacote e retorna uma resposta real ao seu host tentando informar que a porta está bloqueada. Pode nem mesmo verificar o IP antes de enviar esta resposta.

Em suma, você não pode presumir que qualquer resposta recebida da rede tenha se originado do ponto de extremidade que você solicitou, a menos que você use criptografia strong. Qualquer "homem no meio" pode enviar um pedido falso, seja para dizer "você não tem permissão para fazer isso!" ou apenas algum erro de configuração. O caso real de por que isso está acontecendo seria extremamente específico para sua configuração de hardware / software, assim como seu ISP, etc. - basicamente tudo relacionado à sua configuração de rede.

    

Answer 2

O 113 / tcp é a porta para o ident service , que foi usado uma vez para identificar o usuário por trás de uma conexão TCP específica. Como o ident é executado como um servidor, não está acessível por trás de um dispositivo NAT. Sem qualquer configuração adicional, uma solicitação ident chegando a um cliente por trás de um dispositivo NAT cairia e a solicitação expiraria. Isso pode resultar em longos atrasos de conexão, enquanto um servidor remoto tenta identificar um cliente por trás de um dispositivo NAT que não pode ser alcançado.

Em vez de perder todo esse tempo com solicitações de identificações expiradas, muitos dispositivos NAT, firewalls e outros dispositivos de rede simplesmente retornam um TCP RST para todas as conexões de entrada para a porta 113. Isso permite que solicitações ident sejam encerradas rapidamente e todos podem continue com sua vida.

Para pular uma porta específica, você pode fornecer um intervalo de portas válidas, omitindo essa porta. Nesse caso: -p 1-112,114-1024 examinaria todas as portas de 1 a 1024, omitindo 113. Por enquanto, você pode especificar mais portas do que deseja e, em seguida, limitá-las às portas abertas com mais frequência X com %código%. Essa interação entre --top-ports X e --top-ports é documentada ambiguamente e pode mudar no futuro .