https://wiki.ixheim.de/index.php?action=history&feed=atom&title=Nmap_Idle_ScanNmap Idle Scan - Versionsgeschichte2026-07-05T17:04:17ZVersionsgeschichte dieser Seite in Xinux WikiMediaWiki 1.35.1https://wiki.ixheim.de/index.php?title=Nmap_Idle_Scan&diff=71303&oldid=prevThomas.will: Die Seite wurde neu angelegt: „== Idle Scan == * Der Idle Scan nutzt die Vorhersagbarkeit der IP-ID-Feld-Inkremente eines Zombie-Hosts aus. * Der Angreifer selbst kommuniziert nie direkt mit…“2026-06-22T12:06:54Z<p>Die Seite wurde neu angelegt: „== Idle Scan == * Der Idle Scan nutzt die Vorhersagbarkeit der IP-ID-Feld-Inkremente eines Zombie-Hosts aus. * Der Angreifer selbst kommuniziert nie direkt mit…“</p>
<p><b>Neue Seite</b></p><div>== Idle Scan ==<br />
* Der Idle Scan nutzt die Vorhersagbarkeit der IP-ID-Feld-Inkremente eines Zombie-Hosts aus.<br />
* Der Angreifer selbst kommuniziert nie direkt mit dem Zielsystem.<br />
* Der Zombie sendet unbeabsichtigt die Reaktionen auf Anfragen, wodurch der Scan verdeckt bleibt.<br />
* Zielhost sieht ausschließlich Verbindungen vom Zombie, nicht vom Angreifer.<br />
* Ideal bei Firewalls oder wenn Anonymität wichtig ist.<br />
* Funktioniert nur, wenn der Zombie eine globale, sequentielle IP-ID verwendet und wenig andere Aktivitäten hat.<br />
<br />
;Funktionsweise:<br />
* Angreifer sendet ein leeres Paket an den Zombie und liest die aktuelle IP-ID.<br />
* Angreifer sendet ein SYN-Paket an das Ziel, mit gefälschter Absenderadresse des Zombies.<br />
* Ziel antwortet:<br />
** Bei offenem Port: SYN/ACK wird an Zombie gesendet → Zombie antwortet mit RST → IP-ID wird erhöht.<br />
** Bei geschlossenem Port: Ziel sendet RST → Zombie muss nicht antworten → IP-ID bleibt gleich.<br />
* Angreifer liest erneut die IP-ID des Zombies und vergleicht:<br />
** Erhöhte IP-ID → Port offen.<br />
** Unveränderte IP-ID → Port geschlossen.<br />
<br />
;Anforderungen:<br />
* Zombie muss IP-IDs sequentiell erhöhen.<br />
* Zombie sollte wenig eigener Verkehr haben (sonst verfälschte Ergebnisse).<br />
* Zielsystem muss auf SYN-Pakete erwartungsgemäß antworten (kein SYN-Proxy etc.).<br />
<br />
<pre><br />
+----------------+ +--------------+ +--------------+<br />
| Angreifer | | Zombie-Host | | Zielsystem |<br />
+----------------+ +--------------+ +--------------+<br />
| | |<br />
| 1. IP-ID lesen | |<br />
+-------------------------> |<br />
| | |<br />
| | |<br />
| | 2. Angreifer sendet spoofed SYN |<br />
| +--------------------------> |<br />
| | |<br />
| | 3. Ziel antwortet SYN/ACK oder RST |<br />
| | <--------------------------+<br />
| | |<br />
| 4. IP-ID erneut lesen | |<br />
+-------------------------> |<br />
| | |<br />
| Analyse: | |<br />
| - IP-ID unverändert: Port geschlossen (kein Paket empfangen) |<br />
| - IP-ID erhöht: Port offen (Zombie antwortete auf SYN/ACK) |<br />
| | |<br />
</pre></div>Thomas.will