Firwat e Portscan sech ännert, wann een en mat sudo ausféiert

Nmap schéckt net ëmmer de Paket, vun deem Dir mengt, Dir hätt en ugefrot. Wann Raw-Sockets net verfügbar sinn, ersetzt et de Standard-SYN-Scan duerch en TCP-Connect-Scan, sou datt eng Ausféierung als normale Benotzer an eng ënner sudo verschidde Froen iwwer dee selwechte Port kënnen beäntweren. D’Resultater gesinn aus wéi e Rechterproblem, an et sinn normalerweis eng Methodenännerung. D’Method explizit ze maachen ass déi eenzeg Manéier, déi zwou Ausféierungen iwwerhaapt ze vergläichen.

Zwou Sonden, ee Port, verschidde Codeweeër

En SYN-Scan baut den TCP-Kapp selwer, schéckt en aus engem Raw-Socket a liest d’Äntwert aus dem Netz, ier de TCP-Stack vum Kernel iwwerhaapt eng ofgeschlossen Verbindung registréiert. En Connect-Scan freet d’Betribssystem, en normale Socket opzemaachen, a mellt, wat connect() zréckgëtt. Déi zwee kënnen ee Port als oppen bezeechnen, awer nëmmen een hannerléisst en hallefoppenen Versuch a nëmmen een ass ënnerworf un enger Politik op Socketniveau, déi un dee schéckende Prozess gebonnen ass.

De Raw-Wee brauch CAP_NET_RAW, dofir verschlechtert de Standardscan sech still, wann déi Fäegkeet feelt. Dem Nmap seng eege Referenz zu Scantechniken dokumentéiert d’Ersetzung: de Connect-Scan ass de Réckfall, well en iwwerhaapt keng speziell Rechter brauch. Den Tausch geschitt a méi de meeschten Ausféierungen ouni Warnung, an dat ass et, wat en esou einfach ze falsch liesen mécht. Wann Dir wësst, datt de Réckfall existéiert, kléngt „oppen als root, zou als Benotzer“ net méi wéi e Rechterfeeler a fänkt un wéi zwou verschidde Miessungen ze kléngen.

Wat sudo tatsächlech am Scan ännert

Rechter erhéijen stellt de Raw-Socket-Wee erëm hier, an dat ännert méi wéi d’Urteel. D’Auswiel vum Quellport, d’Timing vun de Paketen, d’Verhalen beim Neischécken an d’Manéier wéi eng gefiltert Äntwert klasséiert gëtt komme alleguer aus anere Code. Eng Mëttelbox, déi SYN’en begrenzt, behandelt déi zwou Ausféierungen ëngläich, och wann den Zielhost identesch ass.

D’Logging op der Zilsäit divergéiert och. En ofgeschloss Handshake ass fir de Service a fir all Socketcomptabilitéit sichtbar, wärend eng zréckgesat hallefoppen Sonde dat dacks net ass. Wann Dir Ausféierungen géint en Host vergläicht, vun deem Dir och d’Loggen liest, ass en Deel vum Ënnerscheed, deen Dir gesitt, d’Observatioun selwer.

Halt d’Method an deenen zwou Ausféierungen konstant

Erzwéngt déi selwecht Technik an deenen zwou Opruffer an de Verglach fänkt u fir eppes ze bedeiten. D’Fändel -sT freet ausdrécklech en Connect-Scan un, -Pn hëlt d’Hostentdeckung ewech, -n hëlt d’Nimmopféisung ewech, an en eenzelen -p hëlt d’Ënnerscheeder an der Portlëscht ewech.

nmap -sT -Pn -n -p 8443 198.51.100.77
sudo nmap -sT -Pn -n -p 8443 198.51.100.77

Ersetzt d’Adress an de Port duerch en Host, deen Dir däerf testen; de Dokumentatiounsberäich uewen ass en Exemplar, keen Zil. Wann déi zwou Ausféierungen elo iwwereneestëmmen, koum den ursprénglechen Ënnerscheed vun der Scanmethod. Wann se ëmmer nach divergéieren, klasséiert eppes anescht den Trafic, an den nächsten Abschnitt ass d’Plaz fir nozekucken.

De Kontkontext ass net just e Rechterfändel

Eng VPN-Bereitstellung kann Paketen no UID, no cgroup oder no enger Regel klasséieren, déi un de Prozess gebonnen ass, deen de Socket opgemaach huet. Dann verloossen root-Trafic a Benotzertrafic verschidde Routingtabellen oder stoussen op verschidde Reegelsätz, an keng Scannethoden-Disziplin versöhnt se.

Kuckt d’Politik un an net d’Recht. Op Linux dréckt nftables dat mat meta skuid aus an iptables mat der Eegentümer-Korrespondenz, an entweder vun deenen zwee kann eng eenzeg UID duerch en Tunnel schécken, wärend deen aneren de physeschen Standardwee weider benotzt.

sudo nft list ruleset | grep -n skuid
sudo iptables-save | grep -n uid-owner
ip rule show
ip route get 198.51.100.77

Bestätegt d’Sonde, ier Dir Resultater vergläicht

Ier Dir Conclusioune zitt, bewäist wéi eng Sonde gelaf ass. Nmap nennt d’Technik an sengem eegenen Ausgang, an --reason setzt de Beweis hannert all Zoustand, an dat ass den Deel, deen Iech seet, ob en Handshake wierklech ofgeschloss gouf.

nmap --reason -sT -Pn -n -p 8443 198.51.100.77
sudo nmap --reason -sS -Pn -n -p 8443 198.51.100.77
getcap "$(command -v nmap)"
capsh --print | grep -i net_raw

Zwou Ausféierungen, déi dee selwechten Zoustand aus verschiddene Grënn mellen, sinn kee Widdersproch, an zwou Ausféierungen, déi verschidde Zouständ aus deem selwechte Grond mellen, weisen op Routing oder Politik an net op de Scan. Halt d’Zil, de Port, den Nummraum an d’Timing identesch, an ännert da gläichzäiteg eng Variabel. De Service als root lafe loossen ass net d’Reparatur fir eng Politik-Onstëmmegkeet; d’Reparatur ass, déi intendéiert Politik iwwer den Eegentümer vum Service auszedrécken.