Cén fáth a n-athraíonn scanáil poirt nuair a ritheann tú le sudo í

Ní sheolann Nmap i gcónaí an paicéad a cheap tú a d’iarr tú. Nuair nach bhfuil soicéid amha ar fáil, cuireann sé scanáil TCP connect in ionad an scanta SYN réamhshocraithe, mar sin is féidir le rith mar do ghnáthúsáideoir agus rith faoi sudo freagra a thabhairt ar cheisteanna difriúla faoin bport céanna. Tá cuma fhadhb phribhléide ar na torthaí, agus de ghnáth is athrú modha iad. Is é an t-aon bhealach chun an dá rith a chur i gcomparáid ar chor ar bith ná an modh a dhéanamh soiléir.

Dhá chrann tástála, port amháin, cosáin chóid dhifriúla

Tógann scanáil SYN an ceannteideal TCP féin, seolann sé ó shocáid amh í, agus léann sé an freagra ón sreang sula dtaifeadann cruach TCP an eithne riamh nasc críochnaithe. Iarrann scanáil connect ar an gcóras oibriúcháin soicéad gnáth a oscailt agus tuairiscíonn sé a bhfillfidh connect(). Is féidir leis an dá cheann port a lipéadú mar oscailte, ach ní fhágann ach ceann amháin iarracht leathoscailte agus ní bhíonn ach ceann amháin faoi réir polasaí ag leibhéal an tsoicéid atá ceangailte leis an bpróiseas seolta.

Teastaíonn CAP_NET_RAW ón gcosán amh, agus sin an fáth a ndéanann an scanáil réamhshocraithe meath go ciúin nuair a bhíonn an cumas sin ar iarraidh. Déanann tagairt theicnící scanála Nmap féin an t-ionadaíocht a dhoiciméadú: is é scanáil connect an rogha chúltaca toisc nach dteastaíonn aon phribhléid speisialta uaidh ar chor ar bith. Tarlaíonn an mhalartú gan rabhadh i bhformhór na rith, agus sin an rud a fhágann chomh héasca é a mhíléamh. Nuair a bhíonn a fhios agat go bhfuil an rogha chúltaca ann, stopann “oscailte mar root, dúnta mar úsáideoir” de bheith ag fuaimniú mar fhabht ceadanna agus tosaíonn sé ag fuaimniú mar dhá thomhas dhifriúla.

Cad a athraíonn sudo sa scanáil i ndáiríre

Athchóiríonn ardú pribhléidí an cosán socáide amh, agus athraíonn sin níos mó ná an bhreith. Tagann roghnú an phoirt fhoinse, uainiú na bpaicéad, iompraíocht an athsheolta agus an bealach a ndéantar freagra scagtha a rangú ó chód difriúil ar fad. Déileálann bosca láir a theorannaíonn ráta SYN leis an dá rith go míchothrom fiú nuair a bhíonn an t-óstach cinn scríbe comhionann.

Díríonn lógáil ar thaobh an chinn scríbe freisin. Bíonn crannú láimhe críochnaithe le feiceáil ag an tseirbhís agus ag aon chuntasaíocht soicéid, ach is minic nach mbíonn crann tástála leathoscailte athshocraithe amhlaidh. Má chuirtear i gcomparáid rith i gcoinne óstaigh a léann tú a lóga freisin, is é an breathnú féin cuid den difríocht a fheiceann tú.

Coinnigh an modh seasmhach sa dá rith

Cuir an teicníc chéanna i bhfeidhm sa dá ghlao agus tosóidh an chomparáid ag ciallú rud éigin. Iarrann an bhratach -sT scanáil connect go sainráite, baineann -Pn amach fionnachtain óstaigh, baineann -n amach réiteach ainmneacha, agus baineann aon -p amháin amach difríochtaí liosta poirt.

nmap -sT -Pn -n -p 8443 198.51.100.77
sudo nmap -sT -Pn -n -p 8443 198.51.100.77

Cuir an seoladh agus an port in ionad óstaigh a bhfuil cead agat tástáil a dhéanamh air; is áitsealbhóir é an raon doiciméadachta thuas, ní sprioc. Má thagann an dá rith le chéile anois, tháinig an difríocht bhunaidh ó mhodh na scanála. Má bhíonn siad fós éagsúil, tá rud éigin eile ag rangú an tráchta, agus is é an chéad chuid eile an áit le breathnú.

Ní bratach phribhléide amháin é comhthéacs an chuntais

Is féidir le himscaradh VPN paicéid a rangú de réir UID, de réir cgroup, nó de réir rialach atá ceangailte leis an bpróiseas a d’oscail an soicéad. Ansin fhágann trácht root agus trácht úsáideora trí tháblaí ródaithe difriúla nó baineann siad le tacair rialacha difriúla, agus ní thagann aon disciplín modha scanála leo.

Scrúdaigh an polasaí seachas an phribhléid. Ar Linux, cuireann nftables é sin in iúl le meta skuid agus cuireann iptables in iúl é le meaitseáil an úinéara, agus is féidir le ceachtar acu UID amháin a sheoladh síos tollán agus an ceann eile ag leanúint ar aghaidh ag úsáid an bhealaigh fhisiciúil réamhshocraithe.

sudo nft list ruleset | grep -n skuid
sudo iptables-save | grep -n uid-owner
ip rule show
ip route get 198.51.100.77

Deimhnigh an chrann tástála sula gcuirfidh tú torthaí i gcomparáid

Sula dtarraingíonn tú conclúidí, cruthaigh cén chrann tástála a ritheadh. Ainmníonn Nmap an teicníc ina aschur féin, agus cuireann --reason an fhianaise taobh thiar de gach staid leis, agus sin an chuid a insíonn duit an ndearnadh crannú láimhe a chríochnú i ndáiríre.

nmap --reason -sT -Pn -n -p 8443 198.51.100.77
sudo nmap --reason -sS -Pn -n -p 8443 198.51.100.77
getcap "$(command -v nmap)"
capsh --print | grep -i net_raw

Ní contrárthacht é dhá rith a thuairiscíonn an staid chéanna ar chúiseanna difriúla, agus díríonn dhá rith a thuairiscíonn staideanna difriúla ar an gcúis chéanna ar ródú nó ar pholasaí seachas ar an scanáil. Coinnigh an ceann scríbe, an port, an spás ainmneacha agus an t-uainiú comhionann, agus ansin athraigh athróg amháin ag an am. Ní hé rith na seirbhíse mar root an deisiúchán ar mheaitseáil polasaí; is é an polasaí beartaithe a chur in iúl trí úinéir na seirbhíse an deisiúchán.