Question comportement différent: "sudo nmap" vs juste "nmap"?


J'essaie de faire un simple scan de port avec nmap:

$ nmap 192.168.56.101

Starting Nmap 6.47 ( http://nmap.org ) at 2015-03-10 19:30 IST
Nmap scan report for 192.168.56.101
Host is up (0.0048s latency).
Not shown: 998 closed ports
PORT      STATE SERVICE
5555/tcp  open  freeciv
24800/tcp open  unknown

Nmap done: 1 IP address (1 host up) scanned in 0.10 seconds

Mais lorsque je tente la même chose avec sudo, il échoue en prétendant que l'hôte est en panne:

$ sudo nmap 192.168.56.101

Starting Nmap 6.47 ( http://nmap.org ) at 2015-03-10 19:30 IST
Note: Host seems down. If it is really up, but blocking our ping probes, try -Pn
Nmap done: 1 IP address (0 hosts up) scanned in 0.48 seconds



REMARQUE:
Je suis sur OS X Yosemite.
GNU bash, version 3.2.57 (1) -release (x86_64-apple-darwin14)

Je vous remercie.


4
2018-03-10 17:38


origine


S'il vous plaît inclure la sortie pour ces commandes avec le -d option, ainsi que la sortie de nmap --version et si vous avez installé via le .dmg package, via Macports, ou d'une autre manière. Merci! - bonsaiviking


Réponses:


J'ai remarqué le même comportement sur mon Mac. C'est vraiment étrange.

Il semble que NMAp avec des privilèges sudo obtienne des informations du cache ARP. Ainsi, si vous numérisez un périphérique déconnecté du réseau mais qui se trouve toujours dans le cache ARP (le cache est mis à jour après 2 ou 3 minutes sur mon ordinateur), il apparaîtra comme étant en ligne pour NMAP.

De la page de manuel NMAP:

Si aucune option de découverte d’hôte n’est donnée, Nmap envoie un écho ICMP          demande, un paquet TCP SYN au port 443, un paquet TCP ACK au port 80, et          une requête d'horodatage ICMP. (Pour IPv6, la demande d’horodatage ICMP est          omis car il ne fait pas partie d'ICMPv6.) Ces valeurs par défaut sont          équivalent aux options -PE -PS443 -PA80 -PP. Les exceptions à cette          sont l'ARP (pour IPv4) et la découverte de voisin. (pour IPv6) scans qui          sont utilisés pour toutes les cibles sur un réseau Ethernet local. Pour les non privilégiés          Utilisateurs du shell Unix, les sondes par défaut sont un paquet SYN pour les ports 80 et          443 en utilisant l'appel système connect.. Cette découverte de l'hôte est souvent          suffisant lors de l'analyse des réseaux locaux, mais un ensemble plus complet          des sondes de découverte est recommandé pour l'audit de sécurité.


3
2017-08-25 21:32





Par défaut, une analyse non privilégiée utilise -sT (TCP Connect) alors que les privilèges (root) utilisent -sS (TCP SYN Stealth).

TCP Connect (-sT) Connect scan utilise l'appel système du même nom pour analyser les machines, plutôt que de compter sur des paquets bruts, comme la plupart des autres méthodes. Il est généralement utilisé par les utilisateurs Unix non privilégiés et contre les cibles 1Pv6 car le scan SYN ne fonctionne pas dans ces cas.

TCP SYN Stealth (-sS) C'est de loin le type de scan le plus populaire, car il est le moyen le plus rapide d’analyser les ports du protocole TCP le plus utilisé. Il est plus furtif que l'analyse par connexion et fonctionne contre toutes les piles TCP fonctionnelles (contrairement à certaines analyses spéciales telles que l'analyse FIN).

1) Pour comprendre ce qui se passe avec votre machine, je vous suggère d’utiliser le mode extra-verbeux (-vv) ou --packet-trace pour voir ce qui se passe.

$ sudo nmap --packet-trace -vv 192.168.56.101

2) Une autre approche consisterait à forcer une analyse non privilégiée en tant qu'utilisateur privilégié à l'aide des commandes suivantes et à voir le résultat.

$ sudo nmap -sT -vv 192.168.56.101
$ sudo nmap --unprivileged -vv 192.168.56.101

3) Enfin, la raison pour laquelle nmap arrête l'analyse est que IMCP Type 8 (echo a.k.a ping) ne retourne pas un ICMP Type 0 (réponse d'écho). Cette commande ignore ping et continue à analyser:

$ sudo nmap -PN 192.168.56.101

Pouvez-vous s'il vous plaît essayer ces commandes et publier la sortie?


6
2017-08-27 00:55





Fondamentalement, par défaut:

  • UNE privilégié l'utilisateur exécute un -sS (scan TCP SYN).
    Ce type d'analyse nécessite Privilèges bruts socket / paquet brut.
  • Un sans privilèges l'utilisateur exécute un -sT (analyse de connexion TCP).
    Ce type d'analyse ne nécessite pas de privilèges bruts socket / paquet brut.

Adapté des documents officiels de Nmap:


TECHNIQUES DE BALAYAGE DE PORT
Most of the scan types are uniquement disponible pour les utilisateurs privilégiés. This is because they are able to envoyer et recevoir des paquets bruts, which requires accès root on Systèmes Unix. Using an compte administrateur on les fenêtres is recommended, though Nmap sometimes works for unprivileged users on that platform when WinPcap has already been loaded into the OS. Requiring racine     privilèges was a serious limitation when Nmap was released in 1997, as many users only had access to shared shell accounts. Now, the world is different. Computers are cheaper, far more people have always-on direct Internet access, and desktop Systèmes Unix (y compris Linux et Mac OS X) are prevalent. A les fenêtres version of Nmap is now available, allowing it to run on even more desktops. For all these reasons, users have less need to run Nmap from limited shared shell accounts. C'est une chance, car les options privilégiées rendent Nmap beaucoup plus     puissant et flexible.


1
2017-12-10 22:47