Reconciliando nmap, saída de fping

1

Estou tentando entender a rede local em que estou. IP público é 23.23.23.23 , digamos. Saída de alguns comandos comuns:

charles@ely:~$ ip addr show
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:26:de:1b brd ff:ff:ff:ff:ff:ff
    inet 192.168.118.216/24 brd 192.168.118.255 scope global eth0
    inet6 fe80::20c:29ff:fe26:de1b/64 scope link 
       valid_lft forever preferred_lft forever


charles@ely:~$ fping -g -a 192.168.118.0 192.168.118.254 2>/dev/null
192.168.118.2
192.168.118.216
192.168.118.1

charles@ely:~$ fping -g -a 23.23.23.0 23.23.23.154 2>/dev/null
23.23.23.1
23.23.23.9
23.23.23.10
23.23.23.33
23.23.23.34
23.23.23.81
23.23.23.82
23.23.23.85
23.23.23.98
23.23.23.99
23.23.23.105
23.23.23.106
23.23.23.109
23.23.23.110
23.23.23.113
23.23.23.121
23.23.23.123
23.23.23.124
23.23.23.129
23.23.23.130
23.23.23.145
23.23.23.153

E o nmap:

charles@ely:~$ nmap -sP 23.23.23.0/24

Starting Nmap 5.21 ( http://nmap.org ) at 2014-01-11 10:04 EST
Nmap scan report for rrcs-23-23-23-34.nyc.noth.noth.com (23.23.23.34)
Host is up (0.20s latency).
Nmap scan report for rrcs-23-23-23-106.nyc.noth.noth.com (23.23.23.106)
Host is up (0.036s latency).
Nmap scan report for rrcs-23-23-23-121.nyc.noth.noth.com (23.23.23.121)
Host is up (0.0094s latency).
Nmap scan report for rrcs-23-23-23-124.nyc.noth.noth.com (23.23.23.124)
Host is up (0.0088s latency).
Nmap scan report for rrcs-23-23-23-130.nyc.noth.noth.com (23.23.23.130)
Host is up (0.034s latency).
Nmap scan report for rrcs-23-23-23-170.nyc.noth.noth.com (23.23.23.170)
Host is up (0.055s latency).
Nmap scan report for rrcs-23-23-23-210.nyc.noth.noth.com (23.23.23.210)
Host is up (0.034s latency).
Nmap scan report for rrcs-23-23-23-214.nyc.noth.noth.com (23.23.23.214)
Host is up (0.087s latency).
Nmap scan report for rrcs-23-23-23-218.nyc.noth.noth.com (23.23.23.218)
Host is up (0.029s latency).
Nmap done: 256 IP addresses (9 hosts up) scanned in 6.60 seconds

Isso depois de fazer um ping de difusão na rede.

Eu pensei que isso daria resultados semelhantes, mas eles estão em todo lugar. Algumas perguntas -

  1. Por que fping -g -a retorna resultados diferentes para o endereço de WAN externo e o IP de LAN local interno? Onde está o meu dispositivo no primeiro caso - o meu dispositivo é 192.168.1.216 ?
  2. Por que fping e nmap retornam resultados tão diferentes em relação a 23.23.23.23 ?

Obrigado.

    
por Charles Pehlivanian 11.01.2014 / 16:12

1 resposta

3

1) o seu pc pertence a uma rede muito pequena, 192.168.118.0/24, que tem apenas um pc extra além do roteador e do seu pc.

2) Quanto à questão 1, quando você escaneia sua LAN, você está escaneando apenas todos os pcs atrás do seu roteador (3, como mostrado pela primeira instância de fping ): em termos técnicos, você estão varrendo todos os endereços privados na sua LAN. Com as outras duas varreduras, você cobriu todos os endereços públicos no intervalo 216.224.142.0/24. Na maioria das redes SOHO (= Small Office e HOme), geralmente há apenas uma conexão com a Internet, compartilhada por todos os PCs na LAN.

Isto significa que os três componentes descobertos pelo primeiro fping , 192.168.118.1, 192.168.118.2 e 192.168.118.216, estão escondidos atrás de apenas um dos 256 endereços em 216.224.142.0/24 ( da informação que você forneceu não é possível deduzir qual delas). Os outros 255 endereços pertencem a outra pessoa.

A resposta à sua primeira pergunta é que as unidades 192.168.118.2 e 192.168.118.216 não estão diretamente na Internet, mas são protegidas por ela pelo roteador 192.168.118.1. Quando o seu roteador recebe, no lado da WAN, um pacote de ping, ele não o deixa passar para o seu PC e para a outra máquina, mas responde (ou não, dependendo de como está configurado) diretamente. Portanto, 192.168.118.2 e 192.168.118.216 nunca verão os pacotes de ping que você gerou com o fping / nmap 216.224.142.0/24.

3) De acordo com a sua segunda pergunta, a razão é que os dois scans tentam fazer coisas diferentes. fping , de acordo com sua página de manual, envia apenas uma solicitação de eco ICMP sincera. nmap , em vez disso (consulte sua página man ) faz o seguinte:

-sn (No port scan)

The default host discovery done with -sn consists of an ICMP echo request, TCP SYN to port 443, TCP ACK to port 80, and an ICMP timestamp request by default. When executed by an unprivileged user, only SYN packets are sent (using a connect call) to ports 80 and 443 on the target. When a privileged user tries to scan targets on a local ethernet network, ARP requests are used unless --send-ip was specified. The -sn option can be combined with any of the discovery probe types (the -P* options, excluding -Pn) for greater flexibility. If any of those probe type and port number options are used, the default probes are overridden. When strict firewalls are in place between the source host running Nmap and the target network, using those advanced techniques is recommended. Otherwise hosts could be missed when the firewall drops probes or their responses.

In previous releases of Nmap, -sn was known as -sP.

Lá você tem sua resposta: Quando executado por um usuário não privilegiado, somente os pacotes SYN são enviados (usando uma chamada de conexão) para as portas 80 e 443 no destino .

Você executou o scan nmap do lado da WAN como um usuário não-privilegiado, assim você não enviou pacotes de eco ICMP. Daí a diferença.

    
por 11.01.2014 / 16:52