Nmap reportando resultados incorretos de uma varredura ociosa

Question

Eu tenho um VPS que estava digitalizando para ter certeza de que tudo está sob controle. Uma varredura SYN regular informa que as portas 25 e 80 estão abertas (o que elas devem ser). Quando eu executo uma varredura ociosa , no entanto, eu recebo de volta que todas as 1000 portas varridas estão fechadas | filtradas. Eu tentei a varredura SYN e a varredura ociosa em alguns outros servidores e também tentei zumbis diferentes ao fazer uma varredura ociosa.

Em outro servidor que eu estava testando, ele tinha cerca de 9 portas abertas, mas, novamente, a varredura ociosa mostrou que todas as 1000 portas foram fechadas | filtradas.

Alguma idéia de por que isso está acontecendo? Eu li a documentação sobre a varredura ociosa e entendi que ela não pode determinar a diferença entre uma porta fechada e filtrada devido à maneira como ela funciona, mas como esses servidores têm portas abertas, não entendo por que a varredura ociosa está escolhendo -los como fechados ou filtrados.

    

Answer 1

O nmap Idle Scan é uma criatura muito frágil. A partir das informações de varredura ociosa :

The first step in executing an IP ID idle scan is to find an appropriate zombie. It needs to assign IP ID packets incrementally on a global (rather than per-host it communicates with) basis. It should be idle (hence the scan name), as extraneous traffic will bump up its IP ID sequence, confusing the scan logic. The lower the latency between the attacker and the zombie, and between the zombie and the target, the faster the scan will proceed.

Parece que seu zumbi não é adequado: ele não está ocioso o suficiente, ele usa uma estratégia de "incremento positivo aleatório" para IDs de IP (que também confunde a lógica de varredura) ou atribui IDs de IP com base no host em vez de usar um contador global (assim, seu ID de IP é independente de outro tráfego, o que quebra completamente a lógica de varredura).