Представлен (http://seclists.org/nmap-announce/2017/3) релиз сканера сетевой безопасности Nmap 7.50 (https://nmap.org/), предназначенного для проведения аудита сети и выявления активных сетевых сервисов. В состав новой версии включено (https://nmap.org/changelog.html#7.50) 14 новых NSE-скриптов для обеспечения автоматизации различных действий с Nmap и добавлено более 300 новых сигнатур для определения операционных систем, сетевых приложений и протоколов.Добавлено 323 идентификатора (http://seclists.org/nmap-dev/2017/q2/140) версий приложений/сервисов и 14 новых идентификаторов протоколов. В том числе добавленлено определение apachemq, Yandex Clickhouse, dtls, slmp, Modbus, bro, Drawpile, JMON, NoMachine Network Server, LibreOffice Impress Remote Server и Apache ZooKeeper, а также различных криптовалют, систем домашней автоматизации и TV-приставок. Добавлено 8 новых сигнатур для определения компонентов инфраструктуры Apache Hadoop. Расширена база инженерных учётных записей, добавлены предустановленные логины для APC
Management Card и старых моделей NetScreen ScreenOS. Число определяемых протоколов доведено до 1193, версий ОС до 5336, приложений и сервисов до 11418.
Расширены возможности движка Nmap Scripting Engine (NSE), предназначенного для обеспечения автоматизации различных действий с Nmap. Модульная структура NSE позволяет автоматизировать решение широкого спектра сетевых задач, от формирования запросов для получения информации о конфигурации сетевых приложений, до выявления наличия определённых уязвимостей и реализации расширенных техник обнаружения хостов.Новые NSE-скрипты:
- broadcast-ospf2-discover - определяет маршрутизаторы OSPF 2, имеется поддержка аутентификации OSPFv2;
- cics-info - проверяет системы IBM TN3270 на предмет поддержки транзакционных сервисов CICS и извлекает полезную информацию;
- cics-user-brute - перебирает имена пользоватлей CICS на системах IBM TN3270;
- http-cookie-flags - проверяет сессионные HTTP cookies на наличие флагов HTTPOnly и Secure;
- http-security-headers - проверяет заголовки ответа HTTP на предмет соответствия требованиями безопасности OWASP Secure Headers Project;- http-vuln-cve2017-5638 - определяет наличие уязвимости (https://www.opennet.ru/opennews/art.shtml?num=46167) в Apache Struts 2;
- http-vuln-cve2017-5689 - определяет наличие уязвимости (https://www.opennet.ru/opennews/art.shtml?num=46482) в системах с поддержкой Intel AMT (Active Management Technology) (INTEL-SA-00075);
- http-vuln-cve2017-1001000 - определяет наличие уязвимости (https://www.opennet.ru/opennews/art.shtml?num=46499) в Wordpress 4.7.0 и 4.7.1;
- impress-remote-discover - пытается подключиться к серверу презентаций LibreOffice Impress и извлечь доступную информацию. Для подключения требуется PIN и скрипт предоставляет средства для его подбора;
- smb-double-pulsar-backdoor - выявляет наличие бэкдора Double Pulsar в Windows;
- smb-vuln-cve-2017-7494 - определяет наличие уязвимости (https://www.opennet.ru/opennews/art.shtml?num=46591) Sambacry (CVE 2017-7494) в Samba с открытыми на запись разделами;- smb-vuln-ms17-010 - выявляет критическую уязвимость в Windows
(ms17-010), эксплуатируемую вредоносным ПО Wannacry;- tls-ticketbleed - выявляет наличие уязвимости Ticketbleed
(CVE-2016-9244) в устройствах F5 BIG-IP;- vmware-version - запрашивает информацию о версии через VMWare SOAP API.
Продолжена работа над библиотекой Npcap (https://nmap.org/npcap/), развиваемой для платформы Windows в качестве замены WinPcap и использующей современный Windows API для организации захвата пакетов. Npcap демонстрирует более высокую производительность и лучшую совместимость, в том числе поддерживает Windows 10. В Npcap добавлена поддержка захвата и подстановки пакетов на loopback-интерфейсе, raw-сниффинга в беспроводных сетях и некоторых других возможностей, для выполнения которых требуется наличие полномочий администратора. Добавлена поддержка TLS SNI на платформе Windows.
URL: http://seclists.org/nmap-announce/2017/3
Новость: http://www.opennet.ru/opennews/art.shtml?num=46696
У меня одного он, при установке в систему, пол репа Debian вместе с шахматами и стюардессами тянет?
А вообще штука годная.
У тебя и других, пользующихся debian и его клонами без отключения установки по умолчанию recommends. Конкретно nmap тянет в качестве обязательных либы, большая часть которых и так скорее всего есть в системе, а вот качестве рекомендуемого тянет ndiff, а тот хочет питончика, ну а там уже пошло-поехало.
> У тебя и других, пользующихся debian и его клонами без отключения установки
> по умолчанию recommends. Конкретно nmap тянет в качестве обязательных либы, большая
> часть которых и так скорее всего есть в системе, а вот
> качестве рекомендуемого тянет ndiff, а тот хочет питончика, ну а там
> уже пошло-поехало.ОК. С recommends сейчас разберусь. А то поставишь netinst, красота! А тут nmap и два гига (горе-злощастье) в придачу.
А в чём проблема? Если это не сервисы/задачи крона, то жрут только место на диске.
Или Вы на двухгиговую флешку ставите? :)
Иногда хочется думать, что имеешь в системе только нужное и контролируешь установку пакетов, хотя это не всегда правда. Опять же, меньше софта - меньше проблем.
>У меня одного он,
> с шахматами и стюардессами тянет?Да. Только ты путаешь и смешиваешь "сьюты" debian-а и спрашиваешь об этом в несвязанной с этим новости.
~~ http://www.opennet.ru/openforum/vsluhforumID1/83635.html#1 # s/linc6/libc6/
> А вообще штука годная.
> У меня одного он, при установке в систему, пол репа Debian вместе
> с шахматами и стюардессами тянет?
> А вообще штука годная.
% pkg info -d nmap
nmap-7.40_1:
pcre-8.40
Так как опеннет скатился ... надо разжёвывать что это _не_ демьян :-)
И добавлять, что это зависимости за пределами базового набора софта, который BSDшники называют собственно ОСью. Соответственно в мире линукса зависимостей несколько больше.
Объясните начинающему диванному кулхацкеру. Как просканить среднестатистический никомуненужный сайт (с 1.5 посетителями в день), если как я понял:1. Любой провайдер это запрещает.
2. Любой VPN - тоже. И подозреваю что VPS тоже.
Ну серьезно, как люди это делают?
> Объясните начинающему диванному кулхацкеру. Как просканить среднестатистический никомуненужныйИз макдоналдса (только кепку натяни пониже). Или с любого динамического адреса с опцией "-T paranoid", в надежде, что никто не будет детектировать сканинование и никому не нужно тебя отслеживать.
Любого динамического? Т.е. из дома чтоль?
> 1. Любой провайдер это запрещает.Мой не запрещает.
> 2. Любой VPN - тоже. И подозреваю что VPS тоже.
Аналогично. Было бы странное, если бы мне мой VPN и тем более VPS что-то запрещал. Как там с публичными и бесплатными я не в курсе.
> 1. Любой провайдер это запрещает.У любого нормального провайдера терабайты трафика и ему без разницы 100 SYN пакетов ты послал или 1000. Он реагирует на жалобы, а не запрещает.
> Ну серьезно, как люди это делают?подписывают с владельцем сайта бумажный контракт, оговаривающий "все что сделано предъявителем сего - сделано для блага Франции и по моему приказу".
В случае вляпывания в антивандальные триггеры оператора - тычут ему в нос, пока саппорт чешет репу - за интернетом бегают в макдак.Но, если ты будешь все делать аккуратно, сайт именно очередное ненужно, и жаловаться никто не придет - шансов вляпаться у тебя около нуля.
мы реагируем на _массовые_ сканы, или на жалобы abuse, на очередного неуловимого джо и очередной ненужносайт затрахаешься ресурсы переводить.
> 1. Любой провайдер это запрещает.Большая часть провайдеров этого не запрещает, но при инцидентах будут разбираться.
Если провайдер крупный, то там будут и логи, и технологии. Тебя вычислят быстро в случае чего.Но. Не у всех провайдеров есть инфраструктура, не все логируют. Особенно в мелких ISP (второго, третьего уровней). Я кучу таких видел и скажу тебе, что во многих конторах просто нет банально логирования. Я лично работал в парочке ISP в РФ и в Украине где дают динамический IP на каждую сессию по DSL и при это ни черта не логируют и нет никакого оборудования для этого. Сейчас я в Казахстане и могу сказать, что и тут такое встречается (со слов коллег).
А вообще "супирхакиры" всегда сканируют со вторых, третьих, десятых подконтрольных машин. Подключают под это дело ботнеты и взломанные дедики (dedicated). Только дилетанты будут что-то там ломать, сидя в своей собственной квартире. Как вариант, можно купить дедики на форумах, где барыги банчат целыми подсетями.
Или вот пример из практики. У меня знакомый года два назад был ярым дефейсером. Обычно он юзал взломанный вай-фай. Он просто ездил по городу с ноутбуком и взламывал уязвимые точки (это могли быть квартиры, магазины, выставки, рестораны, организации и тп.), к ним он подключался, а оттуда уже вытворял всякие плохие вещи. Это, пожалуй, один из самых безопасных способов для взломщика (но и кучу людей ты подставишь при этом, разумеется). Но надо перебивать маки, ибо есть прецеденты, когда таких умельцев просто пробивали по базе проданных ноутбуков, где фигурировал мак, а там уже дело техники - какой магазин, какой покупатель и тп.
>по базе проданных ноутбуковКупил с рук на рынке и через полгода-год занимаешься своими делами. Продавец тебя даже не вспомнит.
тут речь идет скорее о программной смене MAC адреса, т.е. чтобы подлинный MAC адрес не светился в логах подключения к точке доступа. софт по смене MAC адреса есть под каждую операционку (либо через драйвер адаптера сменить). так что не имеет смысла специально покупать что-то с рук. хотя, конечно, береженого бог бережет.
С каких пор сканить стало незаконно?
Вот этих 95.173.128.90 поскань. </вредный_совет>
>Ну серьезно, как люди это делают?Прежде всего прочитать книгу о построении сетей. И больше у тебя никогда не возникнут подобные вопросы.
Я ложу болт и сканирую что надо. Брат пока жив :-)
А ты отчаянный парень...
Почему именно "сайт"? Ты сканируешь сетевой интерфейс. В большинстве случаев это просто чей-то комп в сети. Ты запретил сканирование своего компа?
И чем он лучше zmap, который по заявлению создателей сканит в сотни раз быстрее?И по какой причине nmap нельзя переписать до скорости zmap?
> И чем он лучше zmap, который по заявлению создателей сканит в сотни
> раз быстрее?
> И по какой причине nmap нельзя переписать до скорости zmap?«Чем F1 лучше камаза? Давайте камаз на F1 переделаем». Слишком толсто.
zmap быстрее сканит сотни серверов за счет паралеллизации операций. А nmap все-таки предназначен для сканирования небольшого количества хостов, а чаще всего вообще одного. Можешь для сравнения посмотреть на openssh и pssh
> И чем он лучше zmap, который по заявлению создателей сканит в сотни
> раз быстрее?Тем, что nmap - это швейцарский нож, а zmap - мачете. Nmap позволяет проводить чрезвычайно тонкое сканирование и поддерживает скрипты, а zmap - тупо долбит по портам.
> И по какой причине nmap нельзя переписать до скорости zmap?
Nmap - stateful сканер, zmap - stateless. Хотя есть zgrab, который работает через zmap. Вот он stateful.