nmap -sV dando resultados inconsistentes

Question

Estou examinando duas redes (das quais uma que conheço muito bem e a outra é gerenciada por outra pessoa e a informação é escassa). O objetivo é verificar a conformidade (presença de um ouvinte AV nas máquinas) através de um nmap -sV -p9999 <network> (versão simplificada, o completo configura a saída XML, etc.).

Na rede, sei que os resultados estão limpos: -sV retorna informações consistentes, de acordo com o que é esperado (se o AV estiver lá - uma determinada string, se não estiver lá - outra string ou uma porta fechada) .

Na outra rede, no entanto, é muito diferente, já que a maioria dos resultados apontam para uma porta 9999 aberta (OK até agora), mas sem uma informação <service> .

Os AVs (e consequentemente os serviços) em todas as máquinas devem ser os mesmos (portanto, a mesma resposta esperada para uma análise de serviço).

Você tem alguma idéia sobre o que poderia bloquear as sondas (mas não as varreduras SYN)? A porta não é de firewall (o estado é "aberto") então talvez um HIPS?

Obrigado por qualquer sugestão.

    

Answer 1

A opção -sV envia alguns testes para determinar qual serviço e qual versão está sendo executada. Receber um estado 'aberto' sem serviço significa:

• Nenhuma impressão digital foi devolvida.
• O nmap não teve tempo para fazer essas análises.

Eu sugeriria usar -vv para gerar saída detalhada, ou --version-trace.

Se você estiver usando tempo agressivo, tente sem nenhuma configuração de desempenho (não -T4, não -A, não-timeout de host, etc ...), caso contrário, o nmap pode simplesmente pular a 'detecção de versão'.