TCP SYN -skannaus

TCP SYN -skannaus (-sS)

SYN-skannaus on oletusarvoisesti käytetty ja suosituin skannaustapa hyvästä syystä. Sitä voidaan suorittaa nopeasti ja SYN-skannaus on sekä suhteellisen huomaamaton kuin myös varovainen, koska se ei koskaan täydennä TCP-yhteyksiä. Se toimii myös minkä tahansa yhteensopivan TCP-pinon kanssa riippumatta alustoista. SYN -skannaus vaatii kuitenkin pääkäyttäjäoikeudet, jotta nmap kykenee lähettämään raakoja TCP-paketteja.

Esimerkki SYN -skannauksesta

nmap -sS -p22,80 127.0.0.1

Starting Nmap ( https://nmap.org )
Nmap scan report for 127.0.0.1
PORT    STATE    SERVICE
22/tcp  open     ssh
80/tcp closed   http

Nmap done: 1 IP address (1 host up) scanned in 1.35 seconds

SYN -skannaus toimintalogiikka kun portti on auki

Esimerkki osoittaa, että Nmap alkaa lähettämällä TCP-paketin, jossa SYN-lippu on asetettu porttiin 22. Tämä on ensimmäinen vaihe TCP:n kolmivaiheisessa kättelyssä, jonka kaikki lailliset yhteysyritykset tekevät. Koska kohdeportti on avoin, järjestelmä ottaa toisen askeleen lähettämällä vastauksen, jossa on SYN- ja ACK-liput. Normaalissa yhteydessä kone lähettäisi ACK-paketin, joka tunnustaa SYN/ACK:n. Nmap ei kuitenkaan tarvitse tehdä tätä, koska SYN/ACK-vastaus kertoi jo, että portti on avoin. Jos Nmap täyttäisi yhteyden, sen täytyisi sen jälkeen huolehtia siitä, että se suljetaan. Tämä edellyttää yleensä toista kättelyä, jossa käytetään FIN-paketteja SYN:n sijaan. Joten ACK on huono idea, mutta jotain on silti tehtävä. Jos SYN/ACK jätetään täysin huomiotta, palvelin olettaa sen pudonneen ja jatkaa sen lähettämistä uudelleen. Koska emme halua tehdä täyttä yhteyttä, käytetään RST-pakettia, kuten kaaviossa näytetään. Tämä käskee unohtamaan (nollaamaan) kyseisen yhteysyrityksen.

SYN -skannaus toimintalogiikka kun portti on kiinni

Seuraavassa esimerkissä näytetään, miten Nmap määrittää, että portti 80 on suljettu. Tämä on vieläkin yksinkertaisempaa kuin avoin tilanne. Ensimmäinen vaihe on aina sama - Nmap lähettää SYN -paketin. Mutta sen sijaan, että se vastaanotettaisiin SYN/ACK paketilla, palautetaan RST. Se ratkaisee asian - portti on suljettu. Tämän portin osalta ei tarvita enää kommunikaatiota.

SYN -skannaus toimintalogiikka kun portti on "filtered"

Viimeisessä esimerkissä lähetetään tavalliseen tapaan SYN-pyyntö, mutta Nmap ei saa vastausta. Vastaus voi olla yksinkertaisesti hidas. Aiemmista vastauksista (tai ajastusoletuksista) Nmap tietää, kuinka kauan odottaa vastausta, ja lopulta se luovuttaa, jos vastausta ei tule. Epäreagoiva portti on yleensä suodatettu (estetty palomuurilaitteen toimesta tai ehkä isäntä on poissa päältä), mutta tämä yksi testi ei ole absoluuttinen. Ehkä portti on avoin, mutta tutkintapyyntö tai vastaus on yksinkertaisesti jätetty huomioimatta. Joten Nmap yrittää uudelleen lähettämällä SYN -paketin. Toisen aikakatkaisuajan jälkeen Nmap luopuu ja merkitsee portin suodatetuksi.