• Úvod do Nping ARP scan
• Nping ARP scan types
• Nmap ARP discovery
• Závěr

.

ARP (Address Resolution Protocol) je nízkoúrovňový protokol pracující na úrovni linkové vrstvy internetového modelu neboli sady internetových protokolů, který byl vysvětlen v úvodu kapitoly Základy Nmap. Existují další 3 vyšší vrstvy: Internetová vrstva, Transportní vrstva a Aplikační vrstva.

Zdroj obrázku: https://linuxhint.com/nmap_basics_tutorial

Poznámka: někteří odborníci popisují model Internetu s 5 vrstvami včetně fyzické vrstvy, zatímco jiní odborníci tvrdí, že fyzická vrstva do modelu Internetu nepatří, tato fyzická vrstva je pro nás pro Nmap irelevantní.

Linková vrstva je protokol používaný v lokálních sítích IPv4 pro zjišťování online hostitelů, nelze není používán v internetu a je omezen na lokální zařízení, používá se buď v sítích IPv6, ve kterých protokol NDP (Neighbor Discovery) nahrazuje protokol ARP.

Při použití Nmapu v místní síti se ve výchozím nastavení používá protokol ARP, protože je podle oficiálních údajů rychlejší a spolehlivější , příznakem -send-ip můžete Nmapu vnutit používání internetového protokolu v místní síti, pomocí volby -disable-arp-ping můžete Nmapu zabránit i v odesílání ARP pingu.

Nping ARP scan types

Dřívější verze Nmapu přicházely s řadou možností pro provádění ARP scanů, v současné době Nmap nepodporuje tyto příznaky, které jsou nyní použitelné prostřednictvím nástroje Nping, který je součástí Nmapu, pokud máte Nmap nainstalovaný, máte již tento nástroj k dispozici.

Nping umožňuje generovat pakety pod mnoha protokoly, jak popisují jeho oficiální stránky, lze jej také použít pro ARP poisoning, Denial of Service a další. Na jeho webových stránkách jsou uvedeny následující funkce:

• Generování vlastních paketů TCP, UDP, ICMP a ARP.
• Podpora specifikace více cílových hostitelů.
• Podpora specifikace více cílových portů.
• Neprivilegované režimy pro uživatele bez oprávnění root.
• Režim Echo pro pokročilé řešení problémů a zjišťování.
• Podpora generování ethernetových rámců.
• Podpora protokolu IPv6 (v současné době experimentální).
• Běží v systémech Linux, Mac OS a MS Windows.
• Možnosti trasování.
• Vysoce přizpůsobitelné.
• Zdarma a s otevřeným zdrojovým kódem.

(Zdroj https://nmap.org/nping/)

Relevantní protokoly pro tento návod:

ARP: běžný požadavek paketu ARP vyhledá adresu MAC pomocí adresy IP zařízení. (https://tools.ietf.org/html/rfc6747)

RARP: požadavek RARP (Reverse ARP) řeší adresu IP pomocí adresy MAC, tento protokol je zastaralý. (https://tools.ietf.org/html/rfc1931)

DRARP: protokol DRARP (Dynamic RARP) neboli rozšíření protokolu vyvinuté pro přidělování dynamické adresy IP na základě fyzické adresy zařízení, lze jej použít i pro získání adresy IP. (https://tools.ietf.org/html/rfc1931)

InARP: požadavek InARP (Inverse ARP) řeší adresu DLCI (Data Link Connection Identifier), která je podobná adrese MAC. (https://tools.ietf.org/html/rfc2390)

Základní příklady paketů ARP, DRARP a InARP:

Následující příklad odesílá požadavek ARP pro zjištění adresy MAC směrovače:

Jak vidíte, příznak -arp-type ARP vrátil MAC adresu cíle 00:00:CA:11:22:33

Následující příklad vypíše informace o protokolu, fyzických a IP adresách komunikujících zařízení:

Where:
HTYPE: Typ hardwaru.
PTYPE:
HLEN: Délka hardwarové adresy. (6 bitů pro MAC adresu)
PLEN: Délka adresy protokolu. (4 bity pro IPv4)
SIP: Zdrojová IP adresa.
SMAC: Zdrojová adresa Mac.
DMAC:
DIP: Cílová IP adresa.

Následující příklad vrátí stejný výstup:

Nmap ARP discovery

Následující příklad pomocí nmap je ARP ping scan vynechávající proti všem možnostem poslední oktet, pomocí zástupného znaku (*) lze nastavit i rozsahy oddělené pomlčkami.

Kde:
-sP: Ping prohledává síť a vypisuje stroje, které odpovídají na ping.
-PR:

Následující příklad je skenování ARP proti všem možnostem posledního oktetu včetně skenování portu.

Následující příklad představuje skenování ARP proti všem možnostem posledního oktetu

Následující příklad vynucuje skenování ip přes arp, opět poslední oktet pomocí zástupného znaku.

Jak vidíte, zatímco předtím provedené skenování trvalo 6 sekund, nyní trvalo 23 sekund.

K podobnému výstupu a časování dojde, pokud zakážete protokol ARP přidáním příznaku -disable-arp-ping:

Závěr

Nmap a Nping ARP skenování jsou v pořádku pro zjišťování hostitelů, zatímco podle oficiální dokumentace mohou být programy užitečné pro DoS, ARP Poisoning a další útočné techniky mé testy nefungovaly, existují lepší nástroje zaměřené na protokol ARP jako ARP spoofing, Ettercap,nebo arp-scan, které si zaslouží větší pozornost, pokud jde o tento aspekt. Přesto při použití Nmapu nebo Npingu přidává protokol ARP procesu skenování důvěryhodnost označení paketů jako provozu v místní síti, pro který směrovače nebo firewally projevují větší trpělivost než pro vnější provoz, což samozřejmě nepomůže, pokud síť zahltíte pakety. Režimy a typy ARP již nejsou v rámci Nmapu užitečné, ale veškerá dokumentace je stále užitečná, pokud se aplikuje na Nping.

Doufám, že pro vás byl tento úvod do Nmapu a Nping ARP scan užitečný. Sledujte LinuxHint pro další tipy a aktualizace týkající se Linuxu a sítí.

• Jak skenovat služby a zranitelnosti pomocí Nmap
• Pomocí skriptů nmap: Nmap banner grab
• Nmap network scanning
• nmap ping sweep
• Traceroute s Nmap
• Nmap flags and what they do
• Nmap Stealth Scan
• Nmap Alternatives
• Nmap: scan IP ranges

.