web-dev-qa-db-ja.com

nmapがポートが開いていると報告した場合、そのサービスはポートでリッスンしていることを意味しますか？

Thompson TG585v7ルーター/ファイアウォールがあり、そのファイアウォールはLAN内のコンピューターにいくつかのポートをFORWARDX54に設定しています。

これらのポートは1024 through to 2500の範囲にあります

そのX54コンピュータはなくなったので、これらの最終的な宛先ポートで「リッスン」することはありません。

ファイアウォールのパブリックIPを使用してスキャンする場合

nmap -A -p 1000-2500 219.xxx.xxx.xxx

出力

$ Sudo nmap -A -p 1000-2500 219.xxx.xxx.xxx

Starting Nmap 6.40 ( http://nmap.org ) at 2015-02-21 13:14 NZDT
Nmap scan report for dsldevice.lan (219.xxx.xxx.xxx)
Host is up (0.011s latency).
Not shown: 1500 filtered ports
PORT     STATE SERVICE VERSION
1723/tcp open  pptp    THOMSON (Firmware: 1)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: broadband router
Running: Thomson embedded
OS CPE: cpe:/h:thomson:st_585 cpe:/h:thomson:st_536i
OS details: Thomson ST 585 or ST 536i ADSL modem
Network Distance: 1 hop
Service Info: Host: SpeedTouch

他の完全に機能するポート（この場合は1723）が開いており、サービスが待機していることを報告しますが、存在しないマシンに転送されるこれらのポートは表示しません。

ですから、私の質問は、nmapがポートが「開いている」と報告した場合、both以下が正しいことを意味しますか？

  1. ファイアウォールは指定されたポートで接続を受け入れています
  2. 反対側でリッスンするマシン/サービスがあります
firewallsnmap
4
Michael Coleman

実行している種類のSYNスキャンの場合、nmapは「オープン」TCPポートをSYNパケットが送信されたポートとして定義しますby nmapは、ターゲットシステムからACKパケットを引き出します。ファイアウォールが適切に構成され、TCP/IPスタックが正しくプログラムされていると仮定すると、「開いている」ポートは、

  1. ファイアウォールは指定されたポートでの接続を許可しています
  2. 反対側で聴いているマシンがあります

さらに

  1. そのポートに送信されるデータをリッスンするソフトウェアがもう一方の端にあります。

より確実にしたい場合は、nmapに「接続」スキャン（-sT）。これは、SYNスキャンの「途中で開かれた」接続とは対照的に、ターゲットとの完全なTCP接続を確立する低速な手法です。「接続」スキャンがポートは開いていると言います、それは言葉の意味のある意味で開いています。

7
Mark

  1. はい。表面的に開いているポートが意味のある方法で通信できることを意味しない場合もありますが。

  2. 必ずしもそうではありませんが、先ほど言ったように、ファイアウォールはそれらのポートの転送を待機しています。ファイアウォールを変更してデータ転送を待機しないようにしない限り、ポートは閉じられません。ファイアウォールログにこのエラーが表示されるはずです。

サービスの列挙を行いましたか？ NMAPが推測できるのは、ポート番号自体によってポートの内容を推測することだけです。それが推測していたものに対して、nmapは正確に見つけることができました。より詳細なレベルでNMAPを実行します。

おそらくこれらのポートを閉じる必要があります。

1
baordog