Como interpretar o resultado do nmap, hospedar-se, mas nenhuma porta é aberta

Question

Eu usei o nmap para mapear uma rede, digitalizando usando o seguinte comando

nmap -v -sS --no-stylesheet -T3 -sU -sV -O -oX <filename.xml> 192.168.69.0/24

Alguns dos hosts retornam com um resultado estranho. O Nmap calcula que eles estão em alta devido a syn-ack . Presumi que isso significava que uma conexão tcp foi feita para uma determinada porta e o processo de handshake de 3 vias foi concluído. No entanto, não há portas listadas como abertas. (no entanto, há portas abertas filtradas, filtradas e fechadas). Alguém pode explicar como eu deveria interpretar isso? Negociar uma conexão tcp com um host não significa que deve haver pelo menos uma porta aberta?

A saída XML para esse host da verificação está abaixo:

<host starttime="1435615239" endtime="1435901758">
  <status state="up" reason="syn-ack" reason_ttl="115"/>
  <address addr="192.168.69.23" addrtype="ipv4"/>
  <hostnames>
    <hostname name="example.com" type="PTR"/>
  </hostnames>
  <ports>
    <extraports state="open|filtered" count="1000">
    <extrareasons reason="no-responses" count="1000"/>
    </extraports>
    <extraports state="filtered" count="996">
    <extrareasons reason="no-responses" count="996"/>
    </extraports>
    <port protocol="tcp" portid="111">
    <state state="closed" reason="reset" reason_ttl="115"/>
    <service name="rpcbind" method="table" conf="3"/>
    </port>
    <!-- more closed ports -->
  </ports>
  <os><!-- ... --></os>
  <times srtt="3165" rttvar="109" to="100000"/>
</host>

    

Answer 1

Nmap reckons they are up due to syn-ack. I assumed this meant that a tcp connection was made to a certain port and the 3-way handshake process was completed.

Na verdade, o Nmap não completa um handshake de 3 vias para a descoberta do host (nem para a varredura TCP SYN com -sS ). Ele envia um pacote TCP SYN bruto para a porta 443 ( entre outras sondas ) e considera o host se recebe qualquer uma de várias respostas diferentes. No seu caso, o alvo enviou uma resposta SYN-ACK, indicando uma porta aberta. Nmap, em seguida, deixa para o sistema operacional do seu escaneador para enviar um pacote RST em resposta, uma vez que o SO não sabe sobre o SYN de saída e não está esperando a resposta do SYN-ACK. Se você tiver seu firewall configurado para DROP pacotes inválidos ou inesperados, o RST nunca será enviado.

Algumas pilhas TCP, especialmente em dispositivos embarcados, não lidam muito bem com anormalidades de TCP. Seu alvo pode estar sentado com uma conexão TCP semiaberta na porta 443, esperando por um pacote RST ou ACK que nunca chega, o que causaria o teste SYN subsequente durante o fase de varredura de porta para falhar ao obter uma resposta.

Isso tudo é adivinhação, no entanto. É tão provável que o alvo tenha algum tipo de firewall de host adaptável que detectou a varredura da porta e começou a derrubar o tráfego do Nmap antes que ele chegasse à porta aberta 443.