Għaliex scan tal-portijiet jinbidel meta titlaq b’sudo

Meta s-sockets raw mhumiex disponibbli, Nmap jissostitwixxi bil-kwiet l-iscan SYN b’iscan TCP connect, għalhekk root u utent ordinarju jkejlu mogħdijiet differenti.

Nmap mhux dejjem jibgħat il-pakkett li taħseb li tlabt. Meta s-sockets raw mhumiex disponibbli, huwa jissostitwixxi l-iscan SYN awtomatiku b’iscan TCP connect, għalhekk ġirja bħala utent ordinarju u ġirja taħt sudo jistgħu jwieġbu mistoqsijiet differenti dwar l-istess port. Ir-riżultati jidhru bħala problema ta’ permessi, u normalment huma bidla fil-metodu. Li tagħmel il-metodu espliċitu hija l-unika mod kif tqabbel iż-żewġ ġirjiet.

Żewġ sondi, port wieħed, mogħdijiet tal-kodiċi differenti

Iscan SYN jibni l-intestatura TCP hu stess, jibgħatha minn socket raw u jaqra t-tweġiba min-net qabel ma l-munzell TCP tal-kernel qatt jirreġistra konnessjoni kompluta. Iscan connect jitlob lis-sistema operattiva tiftaħ socket ordinarju u jirrapporta dak li jirritorna connect(). It-tnejn jistgħu jsejħu port miftuħ, imma wieħed biss iħalli tentattiv nofsu miftuħ u wieħed biss huwa suġġett għal politika fil-livell tas-socket marbuta mal-proċess li jibgħat.

Il-mogħdija raw teħtieġ CAP_NET_RAW, u għalhekk l-iscan awtomatiku jiddeterjora bil-kwiet meta dik il-kapaċità tkun nieqsa. Il-referenza tat-tekniki tal-iscan ta’ Nmap stess tiddokumenta s-sostituzzjoni: l-iscan connect huwa l-falliment għax ma jeħtieġ l-ebda privileġġ speċjali. Il-bdil iseħħ mingħajr twissija f’ħafna mill-ġirjiet, u dan huwa eżattament dak li jagħmilha daqshekk faċli biex tinqara ħażin. Ladarba tkun taf li l-falliment jeżisti, “miftuħ bħala root, magħluq bħala utent” ma jibqax jinstema’ bħala bug tal-permessi u jibda jinstema’ bħala żewġ kejl differenti.

X’jinbidel tassew is-sudo fl-iscan

Iż-żieda fil-privileġġi terġa’ ġġib il-mogħdija tas-socket raw, u dan jinbidel aktar mill-verdett. L-għażla tal-port tas-sors, il-ħin tal-pakketti, l-imġiba tal-ġlieda mill-ġdid u l-mod kif tweġiba ffiltrata tiġi kklassifikata ġew kollha minn kodiċi differenti. Apparat tan-nofs li jillimita r-rata tas-SYN jittratta ż-żewġ ġirjiet b’mod inugwali anki meta l-host tad-destinazzjoni jkun identiku.

Ir-reġistrazzjoni fuq in-naħa tad-destinazzjoni wkoll tvarja. Handshake komplut jidher għas-servizz u għal kull kontabilità tas-sockets, filwaqt li sonda nofsu miftuħa reset spiss ma tidhirx. Jekk tqabbel ġirjiet ma’ host li taqra wkoll il-logs tiegħu, parti mid-differenza li tara hija l-osservazzjoni stess.

Żomm il-metodu kostanti fiż-żewġ ġirjiet

Imponi l-istess teknika fiż-żewġ sejħiet u l-paragun jibda jfisser xi ħaġa. Il-bandiera -sT titlob iscan connect espliċitament, -Pn tneħħi l-iskoperta tal-hosts, -n tneħħi r-riżoluzzjoni tal-ismijiet, u -p wieħed ineħħi d-differenzi fil-lista tal-ports.

nmap -sT -Pn -n -p 8443 198.51.100.77
sudo nmap -sT -Pn -n -p 8443 198.51.100.77

Issostitwixxi l-indirizz u l-port b’host li inti awtorizzat tittestja; il-firxa tad-dokumentazzjoni hawn fuq hija eżempju, mhux mira. Jekk iż-żewġ ġirjiet issa jaqblu, id-differenza oriġinali ġiet mill-metodu tal-iscan. Jekk għadhom ma jaqblux, xi ħaġa oħra qed tikklassifika t-traffiku, u s-sezzjoni li jmiss hija fejn wieħed iħares.

Il-kuntest tal-kont mhuwiex biss bandiera tal-privileġġi

Implimentazzjoni tal-VPN tista’ tikklassifika l-pakketti bl-UID, bic-cgroup jew b’regola marbuta mal-proċess li fetaħ is-socket. Imbagħad it-traffiku root u t-traffiku tal-utent joħorġu minn tabelli tar-rotot differenti jew jiltaqgħu ma’ settijiet ta’ regoli differenti, u l-ebda dixxiplina tal-metodu tal-iscan ma tirrikonċiljhom.

Eżamina l-politika minflok il-privileġġ. Fuq Linux, nftables jesprima dan b’meta skuid u iptables bil-qbil tas-sid, u xi wieħed minnhom jista’ jibgħat UID wieħed fi tunnel waqt li l-ieħor jibqa’ juża r-rotta fiżika awtomatika.

sudo nft list ruleset | grep -n skuid
sudo iptables-save | grep -n uid-owner
ip rule show
ip route get 198.51.100.77

Ikkonferma s-sonda qabel tqabbel ir-riżultati

Qabel ma tasal għal konklużjonijiet, ipprova liema sonda ġriet. Nmap isemmi t-teknika fl-output tiegħu stess, u --reason iżid l-evidenza wara kull stat, li hija l-parti li tgħidlek jekk handshake fil-fatt tlestiex.

nmap --reason -sT -Pn -n -p 8443 198.51.100.77
sudo nmap --reason -sS -Pn -n -p 8443 198.51.100.77
getcap "$(command -v nmap)"
capsh --print | grep -i net_raw

Żewġ ġirjiet li jirrapportaw l-istess stat għal raġunijiet differenti mhumiex kontradizzjoni, u żewġ ġirjiet li jirrapportaw stati differenti għall-istess raġuni jindikaw rotot jew politika aktar milli l-iscan. Żomm id-destinazzjoni, il-port, l-ispazju tal-ismijiet u l-ħin identiċi, imbagħad ibdel varjabbli wieħed kull darba. Li tmexxi s-servizz bħala root mhix il-fejqan għal nuqqas ta’ qbil fil-politika; il-fejqan huwa li tesprimi l-politika maħsuba permezz tas-sid tas-servizz.

Artikli relatati