Descubrimiento de sistemas

El descubrimiento de sistemas es un tipo de análisis que puede llevar a cabo el comando nmap y lo que pretende, como su propio nombre indica, es encontrar equipos dentro de los objetivos especificados.

Existen varios tipos de análisis de descubrimiento de sistemas:

• Sondeo de lista ( -sL ): Este escaneo se realiza sin enviar ningún tipo de paquetes a los objetivos, simplemente nmap hace una resolución DNS inversa para cada uno de los equipos especificados en los objetivos.

# nmap -sL 8.8.4,8.4,8

Starting Nmap 6.00 ( http://nmap.org ) at 2014-10-13 14:36 CEST
Nmap scan report for google-public-dns-b.google.com (8.8.4.4)
Nmap scan report for 8.8.4.8
Nmap scan report for 8.8.8.4
Nmap scan report for google-public-dns-a.google.com (8.8.8.8)
Nmap done: 4 IP addresses (0 hosts up) scanned in 0.27 seconds

•  Sondeo ping ( -sP ): Este escaneo envía solicitudes echo ICMP y un paquete TCP al puerto 80. Cuando se analizan objetivos en la red local se utilizan solicitudes ARP (-PR) a no ser que se especifique la opción --send-ip.

 # nmap -sP 192.168.1.1-254 

Starting Nmap 6.00 ( http://nmap.org ) at 2014-10-13 14:55 CEST
Nmap scan report for 192.168.1.1
Host is up (0.00026s latency).
MAC Address: 1F:74:CC:75:38:2A (Comtrend)
Nmap scan report for 192.168.1.3
Host is up (0.00026s latency).
MAC Address: 00:0B:CD:9F:49:95 (Hewlett-Packard Company)
Nmap scan report for 192.168.1.52
Host is up.
Nmap done: 254 IP addresses (3 hosts up) scanned in 9.41 seconds

En la red había un dispositivo móvil que no respondía a las solicitudes ARP del comando anterior, y en el escaneo siguiente aparece al utilizar la opción --send-ip.

# nmap -sP 192.168.1.1-254 --send-ip

Starting Nmap 6.00 ( http://nmap.org ) at 2014-10-13 14:55 CEST
Nmap scan report for 192.168.1.1
Host is up (0.00070s latency).
MAC Address: 1F:74:CC:75:38:2A (Comtrend)
Nmap scan report for 192.168.1.3
Host is up (0.00026s latency).
MAC Address: 00:0B:CD:9F:49:95 (Hewlett-Packard Company)
Nmap scan report for 192.168.1.50
Host is up (0.034s latency).
MAC Address: 9B:A4:70:1F:35:DA (Unknown)
Nmap scan report for 192.168.1.52
Host is up.
Nmap done: 254 IP addresses (4 hosts up) scanned in 20.38 seconds

• No realizar ping ( -P0 ): Muchos tipos de análisis funcionan con un escaneo de descubrimiento previo para luego trabajar sólo con las máquinas que se han encontrado activas dentro de los objetivos. Con -P0 no hay descubrimiento y por tanto se analizan todas las IP que representan los objetivos.
• Ping TCP SYN ( -PS[lista de puertos separados por comas y/o guiones] ) : Con este descubrimiento no se envían paquetes ICMP, sino un paquete TCP vacío con la bandera SYN activada, a cada uno de los puertos especificados o al puerto 80 por defecto. El comando nmap espera una respuesta con un paquete RST si el puerto está cerrado o un paquete SYN/ACK si está abierto. El objetivo es saber si el equipo está disponible o no, y no el estado del puerto, por lo que si hay respuesta, el equipo se marca como UP.

# nmap -PS80,21 8.8.8.8

Starting Nmap 6.00 ( http://nmap.org ) at 2014-10-13 15:24 CEST
Note: Host seems down. If it is really up, but blocking our ping probes, try -Pn
Nmap done: 1 IP address (0 hosts up) scanned in 3.06 seconds

• Ping TCP ACK ( -PA[lista de puertos separados por comas y/o guiones] ) : Es similar al descubrimiento anterior con la diferencia de que la bandera activada es la ACK y no la SYN, y esto a sabiendas de que no hay ninguna conexión abierta para que tenga sentido el paquete ACK, pero como lo que se pretende es saber si el equipo responde o no, esto nos vale. Un equipo que recibe un paquete TCP ACK que no se corresponde con ninguna conexión abierta, responde con un paquete RST.
• Ping UDP (-PU[lista de puertos separados por comas y/o guiones] ) : En este escaneo se envía un paquete UDP vacío a cada uno de los puertos especificados, o al 31338 por defecto. Si un objetivo tiene cerrado el puerto escaneado, este devuelve un paquete ICMP de puerto no alcanzable, y es precisamente esto lo que hace saber a nmap que el objetivo existe. Cuando un paquete UDP vacío alcanza un puerto abierto, lo normal es que el equipo lo elimine sin dar ninguna respuesta, por lo que sólo tiene sentido utilizar en este tipo de descubrimiento con puertos extraños que casi seguro estarán cerrados.
• Ping de varios tipos ( -PE, -PP, -PM ) : El objetivo de todos estos análisis como hemos dicho es el de descubrir si el objetivo está activo o no, y para ello se envía un paquete de algún tipo y se espera a que haya respuesta, lo que confirmará únicamente su actividad. Estos tres tipos de escaneo que vemos en este punto lo que hacen es enviar un tipo de paquete ICMP y esperar paquetes ICMP de respuesta:
  • -PE: Se envían ICMP echo request (tipo 8) y se esperan ICMP echo reply (tipo 0).
  • -PP: Se envían ICMP de marca de tiempo (tipo 13) y se esperan ICMP de respuesta de marca de tiempo (tipo 14).
  • -PM: Se envían ICMP de petición de máscara de red (tipo 17) y se esperan ICMP de respuesta de máscara de red (tipo 18).
• Ping ARP ( -PR ) : Con este sondeo se utiliza el protocolo ARP para ver si los objetivos están activos. Sólo tiene sentido, como es lógico, cuando el objetivo está en la misma red local desde la que se lanza nmap, de hecho, es el sondeo por defecto de nmap. También se utiliza ARP para objetivos en la misma red local aún cuando se utilicen distintos tipos de ping (como -PE, -PS, etc.). Si no se quiere hacer un sondeo ARP hay que especificar la opción --send-ip.