https://wiki.ixheim.de/index.php?action=history&feed=atom&title=Nmap_Timing_und_EvasionNmap Timing und Evasion - Versionsgeschichte2026-07-05T17:04:28ZVersionsgeschichte dieser Seite in Xinux WikiMediaWiki 1.35.1https://wiki.ixheim.de/index.php?title=Nmap_Timing_und_Evasion&diff=71266&oldid=prevThomas.will: Die Seite wurde neu angelegt: „=Grundsätzliches= Bei Timing und Evasion geht es darum, einen Scan entweder zu beschleunigen oder ihn so zu gestalten, dass Firewall und IDS ihn schwerer erke…“2026-06-21T10:16:13Z<p>Die Seite wurde neu angelegt: „=Grundsätzliches= Bei Timing und Evasion geht es darum, einen Scan entweder zu beschleunigen oder ihn so zu gestalten, dass Firewall und IDS ihn schwerer erke…“</p>
<p><b>Neue Seite</b></p><div>=Grundsätzliches=<br />
Bei Timing und Evasion geht es darum, einen Scan entweder zu beschleunigen oder ihn so zu gestalten, dass Firewall und IDS ihn schwerer erkennen. Jede Optimierung tauscht Geschwindigkeit gegen Vollständigkeit. Gescannt wird von der kali-innen (10.0.10.101) gegen das Opfernetz 10.88.215.0/24.<br />
<br />
=Timing-Templates=<br />
Nmap bietet sechs vordefinierte Templates von langsam und leise bis schnell und laut<br />
;-T0 paranoid<br />
*Maximale Tarnung, sehr langsam<br />
;-T1 sneaky<br />
*Langsam, zur IDS-Umgehung<br />
;-T2 polite<br />
*Reduzierte Netzlast<br />
;-T3 normal<br />
*Standard<br />
;-T4 aggressive<br />
*Schnell, für vertrauenswürdige Netze<br />
;-T5 insane<br />
*Maximale Geschwindigkeit, Ergebnisverluste möglich<br />
<br />
;Beispiel<br />
*nmap 10.88.215.61 -T4<br />
<br />
=Performance - minimale Paketrate=<br />
Mit --min-rate wird eine Untergrenze an Paketen pro Sekunde erzwungen<br />
*nmap 10.88.215.0/24 -F --min-rate 300<br />
Nmap done: 256 IP addresses (5 hosts up) scanned in 8.67 seconds<br />
<br />
;Erläuterung<br />
*Bei stabilen Netzbedingungen ist --min-rate eine der effektivsten Methoden, die Scandauer zu senken<br />
*Die Ergebnisse bleiben gleich, solange das Netz die Rate verträgt<br />
<br />
=Performance - Wiederholungen begrenzen=<br />
Mit --max-retries wird festgelegt, wie oft nmap ein Paket erneut sendet<br />
*nmap 10.88.215.0/24 -F --max-retries 0<br />
<br />
;Erläuterung<br />
*Weniger Wiederholungen bedeuten einen schnelleren Scan<br />
*Es können aber Ports verpasst werden, deren Antwort verloren geht<br />
<br />
=Performance - RTT-Timeout=<br />
Mit den RTT-Optionen wird die Wartezeit auf Antworten gesteuert<br />
*nmap 10.88.215.0/24 -F --initial-rtt-timeout 50ms --max-rtt-timeout 100ms<br />
<br />
;Erläuterung<br />
*Kürzere Timeouts beschleunigen den Scan<br />
*Zu aggressive Werte führen zu verpassten Hosts<br />
<br />
=Firewall, IDS und IPS=<br />
;Firewall<br />
*Kontrolliert den Traffic zwischen Netzen - verwirft Pakete still oder lehnt sie aktiv ab<br />
;IDS<br />
*Passives Monitoring - erkennt Angriffsmuster und alarmiert<br />
;IPS<br />
*Aktives IDS - blockiert Verbindungen automatisch bei Erkennung<br />
<br />
=ACK-Scan zur Firewall-Analyse=<br />
Der ACK-Scan zeigt, ob eine Firewall Pakete blockiert. ACK-Pakete sehen aus wie Teil einer bestehenden Verbindung und werden oft durchgelassen.<br />
*nmap 10.88.215.61 -p 22,80,443 -sA -Pn -n<br />
PORT STATE SERVICE<br />
22/tcp unfiltered ssh<br />
80/tcp unfiltered http<br />
443/tcp unfiltered https<br />
<br />
;Erläuterung<br />
*Alle drei Ports antworten mit RST - die ACK-Pakete haben den Host erreicht<br />
*unfiltered bedeutet: keine Firewall blockiert diese Pakete<br />
*Kommt dagegen keine Antwort, blockiert eine Firewall den Pfad<br />
<br />
=IDS und IPS erkennen=<br />
;Vorgehen<br />
*IDS und IPS antworten nicht aktiv und sind daher schwer zu erkennen<br />
*Der zuverlässigste Hinweis ist, wenn der Zugang zum Ziel nach bestimmten Scans plötzlich blockiert wird<br />
*Bei einem Engagement von mehreren Quell-IPs scannen<br />
*Wird eine IP blockiert, ist das ein starker Hinweis auf ein aktives IPS - dann Quelle wechseln und langsamer scannen<br />
<br />
=Decoy-Scan=<br />
Fake-Quell-IPs werden in die Pakete eingefügt, um den echten Scanner zu verschleiern. Das Ziel sieht Verbindungsversuche von mehreren Hosts gleichzeitig.<br />
*nmap 10.88.215.61 -p 80 -sS -Pn -n -D RND:5<br />
PORT STATE SERVICE<br />
80/tcp open http<br />
<br />
;Erläuterung<br />
*-D RND:5 erzeugt fünf zufällige Decoy-IPs<br />
*Die echte IP wird an zufälliger Position zwischen den Decoys eingefügt<br />
*Die Decoy-IPs sollten erreichbare Hosts sein, sonst entstehen ungenaue Ergebnisse<br />
<br />
=Gespoofte Quell-IP=<br />
Nützlich, wenn Firewallregeln auf Subnetzen statt einzelnen IPs basieren<br />
*nmap 10.88.215.61 -p 445 -sS -Pn -n -S 10.88.215.200 -e eth0<br />
<br />
;Erläuterung<br />
*-S setzt die gespoofte Quell-IP<br />
*-e legt das Interface fest, über das gesendet wird<br />
*Antworten gehen an die gespoofte IP - sinnvoll nur, wenn man diese mitlesen kann<br />
<br />
=Source-Port 53=<br />
Firewalls lassen Traffic auf Port 53 oft ungeprüft durch, da DNS sonst nicht funktioniert<br />
*nmap 10.88.215.1 -p 80 -sS -Pn -n --source-port 53<br />
<br />
;Erläuterung<br />
*Antwortet ein vorher gefilterter Port plötzlich, vertraut die Firewall dem Quellport 53<br />
*Das ist eine klassische Methode, um schwache Firewallregeln zu umgehen<br />
*Mit netcat lässt sich der Port danach direkt ansprechen<br />
*nc -nv --source-port 53 10.88.215.1 80<br />
<br />
[[Kategorie:Nmap]]<br />
[[Kategorie:Pentest]]<br />
[[Kategorie:Scanning]]</div>Thomas.will