運用網絡映射器助力Linux管理與安全
我們將要與您分享的這條技巧關于網絡映射器（Nmap），它是一種開源網絡瀏覽器，它在網絡故障診斷、瀏覽和審計方面都非常理想。這項工具可用來識別網絡中的設備，也可以識別在特定設備上運行的服務。另外，先進的信息，如正在使用的操作系統、特定服務（名字和版本）和網絡濾波器和防火墻也都能識別出來。
用Nmap的服務識別通過現含指紋五千以上的指紋數據庫實現。這個數據庫通過社區允許提交已知指紋來支持。
作為盤點工具的網絡映射器
網絡映射器的常規應用之一是生成基本庫存報告。這對網絡地圖、維護網絡設備和節點一致的更新、還有識別流氓、未授權或遺忘設備都很實用。
盤點的基本掃描利用ping掃描。例如，接下來的掃描顯示了在192.168.1.0/24網絡中可用的主機。-sP指示Nmap進行一次ping掃描，而-n則指示不要進行名稱解析。
nmap -sP -n 192.168.1.0/24 Starting Nmap 4.76 (http://nmap.org) at 2009-05-14 10:18 CDT Host 192.168.1.1 appears to be up. MAC Address: 00:18:3A:A4:43:BA (Westell Technologies) Host 192.168.1.2 appears to be up. Host 192.168.1.3 appears to be up. MAC Address: 00:17:EE:01:95:19 (Motorola CHS) Host 192.168.1.4 appears to be up. MAC Address: 00:16:CB:A3:27:E4 (Apple Computer) Host 192.168.1.5 appears to be up. MAC Address: 00:1E:52:7D:84:7E (Apple) Nmap done: 256 IP addresses (5 hosts up) scanned in 2.17 seconds
這次ping掃描對于快速建立庫存清單非常實用。它也可以是更復雜腳本和程序驗證網絡地址和變化的結構單元。舉例來說，下面的命令報告了從兩個日常掃描輸出到文本文件的網絡中的新主機（192.168.1.5）：
diff monday.scan tuesday.scan | grep "> Host" > Host 192.168.1.5 appears to be up.
指定主機型盤點
看一看決定服務運行的特定主機，你可以使用Nmap。例如，讓我們更近地看看192.168.1.5，它看上去是周一掃描后周二掃描前某個時候被發現的：
nmap -n 192.168.1.5 Starting Nmap 4.76 ( http://nmap.org ) at 2009-05-14 12:44 CDT Interesting ports on 192.168.1.5: Not shown: 984 closed ports PORT STATE SERVICE 22/tcp open ssh 88/tcp open kerberos-sec 111/tcp open rpcbind 139/tcp open netbios-ssn 445/tcp open microsoft-ds 515/tcp open printer 548/tcp open afp 631/tcp open ipp 1021/tcp open unknown 1022/tcp open unknown 1023/tcp open netvenuechat 2049/tcp open nfs 3300/tcp open unknown 5900/tcp open vnc 20221/tcp open unknown 20222/tcp open unknown MAC Address: 00:16:CB:A3:27:E4 (Apple Computer) Nmap done: 1 IP address (1 host up) scanned in 10.46 seconds
它看上去是以ssh為基礎的基于Unix系統，但是MAC地址識別讓這個系統非常像一臺Apple MAC電腦。但是，近看運用Nmap的服務和版本檢測，可以收集更多信息。-sV參數用在這里：
mb3:~ root# nmap -n -sV 192.168.1.5 Starting Nmap 4.76 ( http://nmap.org ) at 2009-05-14 12:47 CDT Interesting ports on 192.168.1.5: Not shown: 984 closed ports PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 5.1 (protocol 1.99) 88/tcp open kerberos-sec Mac OS X kerberos-sec 111/tcp open rpcbind 139/tcp open netbios-ssn Samba smbd 3.X (workgroup: WORKGROUP) 445/tcp open netbios-ssn Samba smbd 3.X (workgroup: WORKGROUP) 515/tcp open printer 548/tcp open afp? 631/tcp open ipp CUPS 1.3 1021/tcp open rpcbind 1022/tcp open rpcbind 1023/tcp open rpcbind 2049/tcp open rpcbind 3300/tcp open unknown? 5900/tcp open vnc VNC (protocol 3.8) 20221/tcp open unknown? 20222/tcp open unknown?
盡管會返回數據，我還是為未識別的數據服務。
如果你知道這個服務/版本，請提交以下指紋到http://www.insecure.org/cgi-bin/servicefp-submit.cgi :
SF-Port548-TCP:V=4.76%I=7%D=5/14%Time=4A0C5929%P=i386-apple-darwin9.4.0%r( SF:SSLSessionReq,172,"\x01\x03\0\0Q\xec\xff\xff\0\0\x01b\0\0\0\0\0\x18\0\" AD9 SF:6FA5112ED039C\0\x04mini"); MAC Address: 00:16:CB:A3:27:E4 (Apple Computer) Service Info: OS: Mac OS X Host script results: | Discover OS Version over NetBIOS and SMB: Unix |_ Discover system time over SMB: 2009-05-14 12:49:02 UTC-5 Service detection performed. Please report any incorrect results athttp://nmap.org/submit/ . Nmap done: 1 IP address (1 host up) scanned in 119.68 seconds
現在管理員知道它是MAC操作系統X，并且它用于使用Samba的Windows文件分享，它最可能通過CUPS分享打印機，并且這個系統是針對遠程管理用虛擬網絡計算配置。
安全的Nmap運用
正如上文所說的，Nmap對管理員來說很實用，它在安全審計方面的能力也很強大。例如，很多公司不允許網絡服務器在用戶網絡中運行（如連接了用戶電腦和筆記本的網絡）。Nmap可以通過運行在知名端口80和443的網絡服務很容易地用于識別所有系統：
nmap -n -p 80,443 192.168.1.0/24 | egrep "ports|open" Interesting ports on 192.168.1.1: 80/tcp open http 443/tcp open https Interesting ports on 192.168.1.2: Interesting ports on 192.168.1.3: Interesting ports on 192.168.1.4: Interesting ports on 192.168.1.5:
另一個有用的特征是識別特定版本來決定系統是否易受某一預報弱點的攻擊。例如，讓我們假設Samba團隊已經預報一項某特定版本Samba的安全事故，你需要辨認所有的Samba版本。下文報告這些Samba版本：
nmap -n -sV -p 139 192.168.1.0/24 | egrep "ports|139" Interesting ports on 192.168.1.1: 139/tcp closed netbios-ssn Interesting ports on 192.168.1.2: 139/tcp closed netbios-ssn Interesting ports on 192.168.1.3: 139/tcp filtered netbios-ssn Interesting ports on 192.168.1.4: 139/tcp open netbios-ssn Samba smbd 3.2 (workgroup: HQ) Interesting ports on 192.168.1.5: 139/tcp open netbios-ssn Samba smbd 2.1 (workgroup: REMOTE)
Interesting ports on 192.168.1.15: 139/tcp open netbios-ssn Samba smbd 3.2 (workgroup: WORKGROUP)
該技巧已經展示了Nmap如何用于網絡盤點掃描、更徹底的盤點和審計、識別未授權服務并協助安全攻擊評估。Nmap是隨時可用的好工具„把它和檢索目標行命令或搜索文件中的特定字符串連結在一起，它會變成有力的報告工具。
