Nmap如何逃避WAF/ IDS

Nmap如何逃避WAF/ IDS

前言

Nmap是功能最强大的扫描程序，用于执行许多功能，包括端口扫描，服务检测甚至漏洞检测。从入门到高级的Nmap 涵盖了许多基本概念和命令，我将讨论Nmap的一些高级技术。

正文

从安全的角度来看，防火墙和IDS（入侵检测系统）通常起着很好的作用，可以很好地保护远程目标，因为这些硬件和软件能够阻止入侵，但是在渗透测试的情况下，您需要绕过这些入侵工具以获得正确的结果，否则您将被误导。Nmap可以扫描远程目标计算机上的防火墙和其他入侵检测系统，因为它使用不同类型的技术来对抗这些软件，并且这些技术取决于远程软件。目标计算机上可能会安装两种类型的防火墙：

1. 基于主机的防火墙（防火墙在单个目标计算机上运行，​​例如您在计算机上运行防火墙）
2. 基于网络的防火墙（已安装防火墙并正在运行以保护整个网络，并且已部署在网络的节点上，可能是LAN）

在目标计算机上还可以安装两种类型的IDS / IPS，这是渗透测试人员需要解决的情况。在这种情况下，可以使用许多不同类型的Nmap技术，例如：

TCP ACK扫描（-sA）

nmap -sA 192.168.1.9

最好发送ACK数据包而不是SYN数据包，因为如果远程计算机上有活动的防火墙在工作，则由于ACK数据包，防火墙无法创建日志，因为防火墙将ACK数据包视为SYN的响应包。TCP ACK扫描要求攻击者侧具有root特权，并且对于无状态防火墙和IDS而言，其性能非常好。作为渗透测试人员，您需要检查防火墙的响应。可能有四种类型的响应：

• 开放端口（如果是防火墙，则端口很少）
• 封闭端口（大多数端口由于防火墙而封闭）
• 已过滤（Nmap不确定端口是否打开）
• 未过滤（Nmap可以访问端口，但仍对端口的打开状态