Como saber as portas abertas quando se tem um firewall antes do alvo!!

[Destynnos]

Olá a todos!!

Estou fazendo Pós em Segurança da Informação e através desta cheguei
ao conhecimento do exploit e de várias façanhas que ele possibilita.

Mas vamos ao que interessa!!

Quais são as ferramentas que o backtrack oferece ou um meio que se
possa utilizar para escanear as portas abertas de um alvo quando o
mesmo possui um firewall!! Fiz vários scans mas quando me deparo com
um firewall o nmap não trás nenhuma informação impossibilitando
qualquer ação futura!!


Desde já Agradeço a todos!!

[Noilson Caio]

Amigo, existem n formas de respostas de um firewall ou nao.
Exemplo:

Filter: o firewall diz que a porta ta aberta para algumas exceçoes.

Quando quem criou a regra no firewall e usou um alvo drop, vc nao receberá resposta. Se o alvo for reject, vc receberar uma resposta do tipo rejeição.
E por ae vai.

celular

--
Você está recebendo esta mensagem porque se inscreveu no grupo "Metasploit Brasil" dos Grupos do Google.
Para postar neste grupo, envie um e-mail para metasplo...@googlegroups.com.
Para cancelar a inscrição nesse grupo, envie um e-mail para metasploit-bra...@googlegroups.com.
Para obter mais opções, visite esse grupo em http://groups.google.com/group/metasploit-brasil?hl=pt-BR.

[fabiano matias]

Primeiro passa e descobri qual firewall e ler a respeito das suas
politicas de filtragem, descobrindo o tipo de regras usada pelo mesmo,
e fácil encontrar um scanner ou usar uma sintaxe com o nmap para ter
sucesso desejado. Scanner fazem requisições usando um determinado
protocolo, sabendo a do firewall fica mais fácil.

[geovan martins]

Vc já ouviu falar em firewall reverso? poi bem, use algumas "flags" do próprio nmap pra isso, e dependendo do retorno que ele te der, vc saberá quais portas estão sendo bloqueadas e quais estão abertas, dê uma lida no man do nmap, que vc saberá quais flags estou falando.

--
Você está recebendo esta mensagem porque se inscreveu no grupo "Metasploit Brasil" dos Grupos do Google.
Para postar neste grupo, envie um e-mail para metasplo...@googlegroups.com.
Para cancelar a inscrição nesse grupo, envie um e-mail para metasploit-bra...@googlegroups.com.
Para obter mais opções, visite esse grupo em http://groups.google.com/group/metasploit-brasil?hl=pt-BR.

--

Geovan Martins

Administrador de Redes
Gtalk: geovan...@gmail.com
MSN: geov...@hotmail.com
g.ma...@openinternet.com.br
Tel.:(61) 91551072 / 39671990

[Thiago Salgado]

Carlos,

 

    O nmap é uma ferramenta muito abrangente. Se você fizer um scanner comum, realmente não vai conseguir muita coisa, visto que a velocidade e os tipos de pacotes

Em 24 de abril de 2011 22:26, Destynnos <ti.carlo...@gmail.com> escreveu:

[christian greiner castro]

Boa noite, cara assim de kbça nao sei le dizer mãs nmap tem sim c nao me engano no site dele nmap.org tem ou google cara tem varias opçoes a burlar firewall.

Em 25/04/2011 00:01, "Destynnos" <ti.carlo...@gmail.com>escreveu:

[Andi]

Tenta colocar -PN no nmap.
Até.

--
[]'s
.:: Andi ::.

[Thiago Salgado]

Carlos,
 
    O nmap é uma ferramenta muito abrangente. Se você fizer um scanner comum, realmente não vai conseguir muita coisa, visto que a velocidade e os tipos de pacotes enviado são perceptíveis a análise do firewall.

    Existem várias opções que o nmap possui para que o scanner seja feito minuciosamente. Tais como diminuir a velocidade do scan, dificultando o firewall detectar anomalia na rede. ( -t 1 ) .. a opção anti-firewall (-A) entre várias outras. Como fazer um scan apenas com UDP, apenas com SYN ... depende do quanto tempo você está disposto a esperar. Só pra avisar... já fiquei mais de 8 horas esperando um bom scan.

[Thiago Salgado]

       Como o amigo abaixo falou, existem pessoas que configuram o firewall para usar drop em determinados IP´s, por isso no nmap você pode utilizar a opção de Spoofing , em que você "simula" vários ip´s diferentes fazendo a varredura e junto a isso você ainda pode usar o zombie spoofing, que é utilizar uma máquina alvo como zumbi e scanear através dela.
       Scanear é uma arte. Depende de quão ancioso você está... segundos levam dias, horas mêses... isso é normal... um scan bem executado requer minuciosidade e performace.
      Leia mais sobre o main do NMAP, porque com certeza você vai ver que existem muitas outras opções interessantes.

Em 25 de abril de 2011 08:29, Noilson Caio <caio...@gmail.com> escreveu:

[Átila Costa]

Alguns firewalls podem estar configurados para rejeitar pacotes vindos de outras redes ou faixas de IPs.

Você pode tentar o nmap com as seguintes opções:

# nmap -A 10.100.102.39 -D 10.100.102.113,200.190.30.30

 
Onde:

• 10.100.102.39 é o IP o qual vou fazer a verificação.
• 10.100.102.113 é o seu IP
• 200.190.30.30 é um IP qualquer que escolher para que camufle o meu.

Você pode ainda desabilitar o PingScan com a opção -P0:

# nmap -A -P0 200.190.30.30

Eu tentaria a segunda opção primeiro, pois, muitas vezes já é o suficiente.




Atenciosamente,

Átila da Costa Santos
------------------------------
LPIC-1 - Linux Professional Institute Certification
Suporte UNIX / Linux / Solaris
Petrobrás TIC / TIC-DT / TIC-E&P SEAL
Cel: (79)9872-1214

---

Date: Mon, 25 Apr 2011 08:29:11 -0300
Subject: Re: Como saber as portas abertas quando se tem um firewall antes do alvo!!
From: caio...@gmail.com
To: metasplo...@googlegroups.com

[Maycon Maia Vitali]

Lembrando que, como a man-pages diz, não se pode ter certeza de que
ela está aberta ou fechada.

---
Maycon Maia Vitali ( 0ut0fBound )
Mestrando em Informática - UFES
http://www.hacknroll.com
Hack'n Roll

Em 25 de abril de 2011 00:20, Maycon Maia Vitali
<maycon.p...@gmail.com> escreveu:
> O nmap traz a resposta 'filtered' nas portas.
>
>  Filtrado
>       (filtered) significa que o firewall, filtro ou outro obstáculo
> de rede está bloqueando a porta de forma que o Nmap não consegue dizer
> se ela está aberta (open) ou fechada (closed).
>
> Referência:
> $ man nmap
>
> Att,
> Maycon Maia Vitali ( 0ut0fBound )
> Mestrando em Informática - UFES
> http://www.hacknroll.com
> Hack'n Roll

>
>
>
> Em 24 de abril de 2011 22:26, Destynnos <ti.carlo...@gmail.com> escreveu:

[Maycon Maia Vitali]

O nmap traz a resposta 'filtered' nas portas.

Filtrado
(filtered) significa que o firewall, filtro ou outro obstáculo
de rede está bloqueando a porta de forma que o Nmap não consegue dizer
se ela está aberta (open) ou fechada (closed).

Referência:
$ man nmap

Att,
Maycon Maia Vitali ( 0ut0fBound )
Mestrando em Informática - UFES
http://www.hacknroll.com
Hack'n Roll

Em 24 de abril de 2011 22:26, Destynnos <ti.carlo...@gmail.com> escreveu:

[firebits]

Qual firewall voce esta falando? Sfw? Pf? Iptables? Juniper? Cisco?

Eu tenho um script em shellscript que atualiza o database fingerprint
do nmap, fazendo com que ele tenha mais chances de banner grabbing.

Em contra partida tenho uma ideia com pf que ainda nao codei onde pega
o database fingerprint do nmap e cria regras de identificaçao do OS do
atacante e cria regras DENY e BLOCK sob demanda.

Preciso de tempo para codar e posto no meu blog e link para lista aqui

Em 25/04/11, Thiago Salgado<scrimf...@gmail.com> escreveu:

--
Enviado do meu celular

[Carlos Alberto Conceiçao]

Blz!!

Tudo que se que o nome do Anti-virus é "Vertical IP" e é instalado em sistema operacional FreeBSD.

E por scanear que consegu fazer possui a porta do ssh aberta, Aff!! Não consegui nada mais que isso!!

Aguardo vc colocar a sua solução on line pra mim testa, não esquece de me mandar o link..

BLZ!!

Carlos Alberto Conceição
Segurança da Informação

Group Google - http://groups.google.com/group/metasploit-brasil/
Group Google - http://groups.google.com/group/pos-seguranca-da-informacao?hl=pt-BR
Ti.carlo...@gmail.com