robertdavidgraham/masscanTCP-Portscanner, der asynchron SYN-Pakete versendet und das gesamte Internet in unter 5 Minuten scannt.
Dies ist ein Port-Scanner für das Internet-Maßstab. Er kann das gesamte Internet in weniger als 5 Minuten scannen, indem er 10 Millionen Pakete pro Sekunde überträgt, von einer einzigen Maschine.
Seine Verwendung (Parameter, Ausgabe) ähnelt nmap, dem bekanntesten Port-Scanner.
Im Zweifelsfall versuchen Sie eine dieser Funktionen – Funktionen, die weit verbreitete
Scans vieler Maschinen unterstützen, werden unterstützt, während detaillierte Scans einzelner
Maschinen nicht unterstützt werden.
Intern verwendet er asynchrone Übertragung, ähnlich wie Port-Scanner
wie scanrand, unicornscan und ZMap. Er ist flexibler und erlaubt
beliebige Port- und Adressbereiche.
HINWEIS: masscan verwendet seinen eigenen ad hoc TCP/IP-Stack. Alles andere als
einfache Port-Scans kann zu Konflikten mit dem lokalen TCP/IP-Stack führen. Das bedeutet,
dass Sie entweder die Option --src-ip verwenden müssen, um von einer anderen IP-Adresse aus zu laufen, oder
--src-port verwenden, um zu konfigurieren, welche Quellports masscan verwendet, und dann auch
die interne Firewall (wie pf oder iptables) konfigurieren, um diese Ports vom Rest des Betriebssystems zu trennen.
Dieses Tool ist kostenlos, aber Sie können in Betracht ziehen, Geld für seine Entwicklung beizutragen: Bitcoin-Wallet-Adresse: 1MASSCANaHUiyTtR3bJ2sLGuMw5kDBaj4T
Auf Debian/Ubuntu geht es ungefähr wie folgt. Es hat
eigentlich keine anderen Abhängigkeiten als einen C-Compiler (wie gcc
oder clang).
sudo apt-get --assume-yes install git make gcc
git clone https://github.com/robertdavidgraham/masscan
cd masscan
make
Dadurch wird das Programm im Unterverzeichnis masscan/bin abgelegt.
Um es zu installieren (unter Linux) führen Sie aus:
make install
Der Quellcode besteht aus vielen kleinen Dateien, daher geht das Bauen viel schneller,
wenn Sie den Multithread-Build verwenden. Dies erfordert mehr als 2 GB auf einem
Raspberry Pi (und bricht ab), daher sollten Sie eine kleinere Zahl wie -j4 anstelle aller möglichen Threads verwenden.
make -j
Obwohl Linux die primäre Zielplattform ist, läuft der Code gut auf vielen anderen Systemen (Windows, macOS, usw.). Hier sind einige zusätzliche Build-Informationen:
make eingebenmake eingebengmake eingebencc src/*.c -o bin/masscanUnter macOS scheinen die x86-Binaries unter ARM-Emulation genauso schnell zu laufen.
Die Verwendung ist ähnlich wie bei nmap. Um ein Netzwerksegment nach einigen Ports zu scannen:
# masscan -p80,8000-8100 10.0.0.0/8 2603:3001:2d00:da00::/112
Dies wird:
10.x.x.x-Subnetz und die 2603:3001:2d00:da00::x-Subnetze scannen<stdout> ausgeben, die in eine Datei umgeleitet werden kannUm die vollständige Liste der Optionen zu sehen, verwenden Sie die --echo-Funktion. Diese
gibt die aktuelle Konfiguration aus und beendet sich. Diese Ausgabe kann als Eingabe zurück in das Programm verwendet werden:
# masscan -p80,8000-8100 10.0.0.0/8 2603:3001:2d00:da00::/112 --echo > xxx.conf
# masscan -c xxx.conf --rate 1000
Masscan kann mehr tun, als nur zu erkennen, ob Ports offen sind. Es kann auch die TCP-Verbindung und Interaktion mit der Anwendung auf diesem Port abschließen, um einfache "Banner"-Informationen zu erfassen.
Masscan unterstützt die Banner-Prüfung auf den folgenden Protokollen:
Das Problem dabei ist, dass masscan seinen eigenen TCP/IP-Stack enthält, der vom System, auf dem es ausgeführt wird, getrennt ist. Wenn das lokale System ein SYN-ACK vom getesteten Ziel empfängt, antwortet es mit einem RST-Paket, das die Verbindung beendet, bevor masscan das Banner erfassen kann.
Der einfachste Weg, dies zu verhindern, besteht darin, masscan eine separate IP- Adresse zuzuweisen. Dies würde wie eines der folgenden Beispiele aussehen:
# masscan 10.0.0.0/8 -p80 --banners --source-ip 192.168.1.200
# masscan 2a00:1450:4007:810::/112 -p80 --banners --source-ip 2603:3001:2d00:da00:91d7:b54:b498:859d
Die von Ihnen gewählte Adresse muss im lokalen Subnetz liegen und darf nicht von einem anderen System verwendet werden. Masscan wird Sie warnen, wenn Sie einen Fehler gemacht haben, aber Sie könnten die Kommunikation der anderen Maschine für mehrere Minuten stören, also seien Sie vorsichtig.
In einigen Fällen, wie z.B. bei WLAN, ist dies nicht möglich. In diesen Fällen können Sie den Port, den masscan verwendet, per Firewall schützen. Dadurch wird verhindert, dass der lokale TCP/IP-Stack das Paket sieht, aber masscan sieht es trotzdem, da es den lokalen Stack umgeht. Für Linux würde dies wie folgt aussehen:
# iptables -A INPUT -p tcp --dport 61000 -j DROP
# masscan 10.0.0.0/8 -p80 --banners --source-port 61000
Sie sollten wahrscheinlich Ports wählen, die nicht mit Ports kollidieren, die Linux ansonsten für Quellports wählen könnte. Sie können den Bereich sehen, den Linux verwendet, und diesen Bereich neu konfigurieren, indem Sie in die Datei schauen:
/proc/sys/net/ipv4/ip_local_port_range
Auf der neuesten Version von Kali Linux (2018-August) liegt dieser Bereich zwischen 32768 und 60999, daher sollten Sie Ports entweder unter 32768 oder über 61000 wählen.
Das Setzen einer iptables-Regel hält nur bis zum nächsten Neustart an. Sie müssen nachschlagen, wie Sie die Konfiguration je nach Ihrer Distribution speichern können, z.B. mit iptables-save
und/oder iptables-persistent.
Auf Mac OS X und BSD gibt es ähnliche Schritte. Um die zu vermeidenden Bereiche herauszufinden, verwenden Sie einen Befehl wie den folgenden:
# sysctl net.inet.ip.portrange.first net.inet.ip.portrange.last
Auf FreeBSD und älteren MacOS-Versionen verwenden Sie einen ipfw-Befehl:
# sudo ipfw add 1 deny tcp from any to any 40000 in
# masscan 10.0.0.0/8 -p80 --banners --source-port 40000
Auf neueren MacOS- und OpenBSD-Versionen verwenden Sie das pf-Paketfilter-Dienstprogramm.
Bearbeiten Sie die Datei /etc/pf.conf, um eine Zeile wie die folgende hinzuzufügen:
block in proto tcp from any to any port 40000:40015
Um dann die Firewall zu aktivieren, führen Sie den Befehl aus:
# pfctl -E
Wenn die Firewall bereits läuft, starten Sie entweder neu oder laden Sie die Regeln mit dem folgenden Befehl neu:
# pfctl -f /etc/pf.conf
Windows antwortet nicht mit RST-Paketen, daher sind keine dieser Techniken notwendig. Allerdings ist masscan immer noch so ausgelegt, dass es am besten mit einer eigenen IP-Adresse funktioniert. Sie sollten es daher, wann immer möglich, auf diese Weise ausführen, auch wenn es nicht streng notwendig ist.
Das Gleiche ist für andere Prüfungen erforderlich, wie z.B. die --heartbleed-Prüfung,
die nur eine Form der Banner-Prüfung ist.
Obwohl es für kleinere, interne Netzwerke nützlich ist, ist das Programm wirklich für das gesamte Internet konzipiert. Es könnte etwa so aussehen:
# masscan 0.0.0.0/0 -p0-65535