Nmap Bölüm 1: Nmap ile Makine Keşfi

Selamlar dostlar,
Bugun sizlere elimden geldiğince Nmap hakkında fikir vermeye çalışıcam.
Nedir bu Nmap? Yenilir mi ? İçilir mi? Ne işe yarar gibi..


Nmap , bir ağ tarama aracıdır, ulaşabildiğiniz herhangi bir ağda bulununan cihazları, bu cihazlar üzerinde çalışan işletim sistemi versiyonlarını, hangi servislerin ayakta oldugunu, önünde firewall/Ips tarzı cihazların var olup olmadıgı gibi bilgileri edinebiliriz.

Nasıl kullanılır, nereden elde edilir ?
Nmap'i kendi sayfası olan http://nmap.org/ adresinden elde edebilirsiniz,
Linux, Windows, Mac için desteği mevcut olan bu aracın, grafik arayüzü oldugu gibi, komut satırındanda kullanabiliyorsunuz. Ben bugun Nmap'i komut satırından kullanarak bir kaç ufak bilgi vermeye calışıcam.

Nmap'in az öncede bahsettiğimiz gibi bir yıgın özelliği, haliylede bir yığın parametresi var.
Bugun temel parametre kullanımlarına değineceğim.

Nmap ile Makine keşfi:

nmap -sL www.google.com

Starting Nmap 5.21 ( http://nmap.org ) at 2010-11-27 14:58 GTB Standard Time
Nmap scan report for www.google.com (74.125.43.106)
Hostname www.google.com resolves to 6 IPs. Only scanned 74.125.43.106
rDNS record for 74.125.43.106: bw-in-f106.1e100.net
Nmap done: 1 IP address (0 hosts up) scanned in 0.15 seconds

Görüldüğü gibi , komut satırında çalıştırılan nmap uygulaması "-sL" parametresi ile beraber kullanıldıgında , www.google.com adresi için kaç IP adresi bulundugunu ve hangi IP adresinin taranacagı bilgisini gösterir.

nmap -sP www.google.com

Starting Nmap 5.21 ( http://nmap.org ) at 2010-11-27 15:02 GTB Standard Time
Nmap scan report for www.google.com (74.125.43.106)
Host is up (0.18s latency).
Hostname www.google.com resolves to 6 IPs. Only scanned 74.125.43.106
rDNS record for 74.125.43.106: bw-in-f106.1e100.net
Nmap done: 1 IP address (1 host up) scanned in 1.05 seconds

Nmap'i "-sP" parametresiyle çalıştırırsanız www.google.com (74.125.43.106) adresi için ping isteklerinde bulunulur. Ancak bu istekler bilgimiz ICMP Echo ve Reply paketlerinden farklı çalışmaktadırlar.
Normal bir ICMP ping isteği kabaca şu şekilde çalışır;

192.168.2.1 ==> www.google.com ICMP Echo Paketi yollanır.
www.google.com ==> 192.168.2.1 ICMP Reply paketi gönderilir.

Nmap "-sP" parametresindeyse işlem şu şekildedir ;

192.168.2.1 ==> www.google.com ICMP Time Stamp paketi yollanır.
www.google.com ==> 192.168.2.1 Adresine SynAck paketleri gelir.

Bu iki çıktı arasındaki farka bakarsak, Nmap "-sP" parametresi sanki HTTPS istekleri yapmış gibi ping isteklerinde bulunur, www.google.com adresi yanıt olarak SynAck döner.


nmap -PN www.google.com

Starting Nmap 5.21 ( http://nmap.org ) at 2010-11-27 16:32 GTB Standard Time
Nmap scan report for www.google.com (74.125.43.99)
Host is up (0.063s latency).
Hostname www.google.com resolves to 6 IPs. Only scanned 74.125.43.99
rDNS record for 74.125.43.99: bw-in-f99.1e100.net
Not shown: 997 filtered ports
PORT STATE SERVICE
80/tcp open http
113/tcp closed auth
443/tcp open https

Nmap done: 1 IP address (1 host up) scanned in 7.74 seconds

"-PN" parametresi, taranan adresi üzerindeki bütün servislerin açık oldugunu varsayar ve, bütün portlar üzerine TCP Syn istekleri gönderir, Ayakta olupta yanıt veren servisler, SynAck paketlerini cevap olarak geri yollarlar böylece hangi servislerin yanıt verebilir durumda oldugunu görürüz. Yukarıda bu servisler "open " olarak gösterilmiştir,
Yanında "close" yazan servis ise, bir firewall / ips sistemi tarafından TCP Reset paketi döndürülen servislerdir.

Temel olarak Nmap ile makine keşfi nasıl yapılır, alınan sonuçlar nasıl değerlendirilmelidir değinmeye çalıştım.
İlerleyen zamanlarda Nmap ile Firewall, IPS/IDS cihazlarını atlatarak tarama yaptırma, TCP bayraklarını kullanarak farklı tipte paketler yollayıp gelen cevapları analiz etme üzerinde durmaya calisicam.
Simdilik iyi hafta sonları dilerim :)