Pular para o conteúdo
TocaiaCTF
Entrar
Todos os conceitos

Varredura de portas

Uma varredura testa centenas de portas em segundos, e a resposta a cada SYN diz se a porta está aberta, fechada ou filtrada.

Antes de atacar um servidor, quem ataca quer saber que serviços ele oferece. A varredura de portas testa as portas uma a uma. A mais comum é a varredura SYN, a padrão do nmap: manda só o primeiro pacote do aperto de mão TCP e olha a resposta.

Resposta do alvo Quer dizer Porta
SYN, ACK "pode falar" aberta
RST, ACK "não tem ninguém aqui" fechada
nada um firewall descartou o pacote filtrada

Quando a porta responde SYN, ACK, o varredor manda RST e não completa a conexão. Por isso esse tipo de varredura também se chama half-open (meio aberta).

Varredor Alvo porta aberta porta fechada porta filtrada SYN SYN, ACK RST não completa a conexão SYN RST, ACK SYN firewall descarta nada volta
Na varredura SYN, a porta aberta responde SYN, ACK e o varredor corta com RST; a fechada responde RST, ACK; e na filtrada um firewall descarta o SYN e nada volta.

Na captura, a varredura chama atenção:

  • uma mesma origem manda centenas de SYN para o mesmo destino, cada um para uma porta diferente, em poucos segundos;
  • quase todas as respostas são RST, ACK;
  • nenhuma dessas conexões chega a trocar dados.

O tráfego normal é o oposto: poucas conexões, sempre para as mesmas portas, com o aperto de mão completo e dados depois.

Filtros que ajudam no Wireshark:

tcp.flags.syn == 1 && tcp.flags.ack == 0     quem está abrindo conexões
tcp.flags.syn == 1 && tcp.flags.ack == 1     quem respondeu "pode falar"

O menu Statistics > Conversations mostra quem trocou mais pacotes com quem. Para saber o que a varredura achou, olhe os SYN, ACK que voltaram para o varredor: a porta de origem de cada um é uma porta aberta.

Aparece nestes desafios