amap - ein leistungsstarker Anwendungs-Mapper
amap [Mode] [Options] <target> <port/portrange> [<port> ...]
Amap ist ein Scan-Tool, mit dem Sie die Anwendungen identifizieren können, die auf einem oder mehreren bestimmten Ports ausgeführt werden. Dies wird erreicht, indem eine Verbindung zu den Ports hergestellt und Triggerpakete gesendet werden. Bei diesen Triggerpaketen handelt es sich in der Regel um einen Anwendungsprotokoll-Handshake. Viele Netzwerk-Daemons reagieren nur auf den richtigen Handshake (d. h. SSL). Amap sucht dann in einer Liste nach der Antwort und gibt alle gefundenen Übereinstimmungen aus. Amap unterstützt TCP- und UDP-Protokolle, reguläre und SSL-fähige ASCII- und Binärprotokolle und es stehen Ihnen zahlreiche Optionen zur Verfügung, um das Verhalten des Tools zu steuern. Es kann eine maschinenlesbare NMAP-Ausgabedatei als Eingabedatei verwenden und in einer Datei und auf dem Bildschirm protokollieren.
Warum unser Tool nutzen? Nun, beim Portscannen eines Hosts wird Ihnen eine Liste der offenen Ports angezeigt. In vielen Fällen verrät Ihnen die Portnummer, welche Anwendung ausgeführt wird. Port 25 ist normalerweise SMTP, Port 80 meist HTTP. Dies ist jedoch nicht immer der Fall, und insbesondere wenn es sich um proprietäre Protokolle handelt, die auf nicht standardmäßigen Ports ausgeführt werden, können Sie nicht feststellen, welche Anwendung ausgeführt wird. Mit amap können Sie den SSL-Server identifizieren, der auf Port 3445 läuft, und einen Oracle-Listener auf Port 23. Außerdem wird bei Bedarf tatsächlich eine SSL-Verbindung hergestellt und dann versucht, das SSL-fähige Protokoll zu identifizieren!
Bitte sehen Sie sich auch amapcrap -h an, um ein zusätzliches Tool für Ports zu finden, die keine Ausgabe liefern.
amap kann in drei verschiedenen Modi ausgeführt werden:
Kartenanwendungen: Trigger senden und Antworten analysieren (Standard). In diesem Modus können alle Optionen genutzt werden.
Schnappen Sie sich einfach Banner, senden Sie keine Trigger. Bei der Ausführung in diesem Modus werden nur wenige Befehlszeilenoptionen aus dem Satz verwendet. Sie werden unten als „(Banner)“ erstellt.
Kein Banner, keine Anwendung, kein Kram – seien Sie ein (vollständiger) Port-Scanner! Bei der Ausführung in diesem Modus werden nur wenige Befehlszeilenoptionen aus dem Satz verwendet. Sie werden unten als „(Portscan)“ bezeichnet.
Dies ist der Web-Online-Update-Modus. Bei Angabe dieser Option werden alle anderen Optionen außer -D ignoriert und die Fingerabdrücke und Trigger der Anwendung werden von der Website thc.org aktualisiert.
Optionen können auch durch Eingabe von „amap -h“ angezeigt werden. Hier folgt eine Erklärung aller Optionen.
Dadurch liest amap seine Hosts und Ports aus der angegebenen Datei. Die Datei muss von nmap mit der Option -oM
Das Ziel kann eine IP-Adresse oder ein vollständig qualifizierter Hostname sein. Ein Port kann eine beliebige Zahl zwischen 1 und 65535 sein, Bereiche (z. B. 1-65535) werden ebenfalls unterstützt. Sie können in der Befehlszeile beliebig viele Ports angeben. Ports sind standardmäßig TCP (siehe Option -u unten).
Die in der Befehlszeile angegebenen Ports sind UDP (Standard ist TCP). (Modi: Amap, Banner, Portscan)
Verwenden Sie IPv6, nicht IPv4
Senden Sie Trigger nur bis zur 1. Identifizierung an einen Port. Spieeeed!
Ausführlich. Wird normalerweise nicht verwendet, liefert aber detaillierte Informationen auf dem Bildschirm darüber, welche Verbindungen zu welchen IPs/Ports hergestellt werden. Nicht zweimal verwenden. Sie werden sich mit noch dümmeren, uninteressanten Informationen zu Tode langweilen. (Modi: Amap, Banner, Portscan)
Ruhig. Hat nichts mit der Option „-v“ zu tun :-) Wenn die Option -q angewendet wird, werden alle geschlossenen und abgelaufenen Ports NICHT als nicht identifiziert markiert und überhaupt nicht gemeldet.
Erstellen Sie einen Hex-Dump aller empfangenen Antworten. Standardmäßig werden nur nicht erkannte Antworten gedruckt.
Geben Sie keine unerkannten Antworten ab. (siehe Option oben)
Drucken Sie ACSII-Banner (sofern vorhanden).
Protokollieren Sie die Ausgabe von amap in
Machen Sie die Protokolldateiausgabe (Option -o) maschinenlesbar (durch Doppelpunkt getrennt). (Modi: Amap, Banner, Portscan)
Trigger und Antworten werden standardmäßig aus appdefs.trig und appdefs.resp gelesen. Durch die Angabe von beispielsweise „-D trojans“ werden Auslöser und Antworten von trojans.trig und trojans.resp gelesen. Dies kann sehr nützlich sein, wenn Sie nur nach bestimmten Anwendungen suchen möchten. Bitte werfen Sie einen Blick auf die appdefs-Dateien, um zu sehen, welches Format diese Dateien haben (es ist ziemlich einfach, Sie sollten keine Probleme damit haben, Ihre eigenen Trigger und Antworten hinzuzufügen, wozu Sie übrigens ermutigt werden).
Diese Optionen beeinflussen das Verhalten von amap beim Scannen.
Dies gibt einen einzelnen zu sendenden Protokolltrigger an. Der Name des Protokolls muss mit einem der ersten Felder der Zeilen in der Triggerdatei übereinstimmen. Beispielsweise scannt „-p SSL“ nur nach SSL-aktivierten Ports. Sollten jedoch zufällig auch andere Protokolle identifiziert werden, werden diese ausgedruckt.
Schauen Sie NICHT hinter einen SSL-Port. Andernfalls stellt amap später eine erneute Verbindung her, um den Dienst zu identifizieren, der hinter dem SSL-Wrapper ausgeführt wird.
Identifizieren Sie den RPC-Dienst NICHT. Andernfalls stellt amap viele Male eine Verbindung her, um den genauen Typ und die Version des RPC-Dienstes zu ermitteln. Dies kann zeitaufwändig sein.
Offene und parallele Aufgaben (Verbindungen). Der Standardwert ist 32, das Maximum 256. (Modi: Amap, Banner, Portscan)
Wie oft sollte die Verbindung erneut versucht werden, wenn eine TCP-Verbindung abgelaufen ist (nicht innerhalb von „-T n“ abgeschlossen wurde)? Dies ist standardmäßig 3. (Modi: Amap, Banner, Portscan)
Bewirkt, dass amap bis zu 'n' Sekunden auf eine erfolgreiche TCP-Verbindung wartet. Der Standardwert beträgt 5 Sekunden, aber beim Scannen über eine langsame Verbindung kann dies manchmal zu kurz und in einem LAN zu lang sein. (Modi: Amap, Banner, Portscan)
Bewirkt, dass Amap bis zu 'n' Sekunden auf eine Antwort wartet. Der Standardwert beträgt 5 Sekunden, aber beim Scannen über eine langsame Verbindung kann dies manchmal zu kurz und in einem LAN zu lang sein. (Modi: Amap, Banner)
Überspringen Sie potenziell schädliche Auslöser. Einige Daemons und Anwendungen stürzen ab, wenn sie lange oder unerwartete Binäreingaben empfangen. -H überspringt Trigger, die als potenziell schädlich markiert sind. Informationen zum Markieren eines Triggers als schädlich finden Sie unter appdefs.trig.
amap ist (C) 2003 von vanHauser und DJ.RevMoon (von THC – www.thc.org)
Dieses Programm ist freie Software; Sie können es unter den Bedingungen der GNU General Public License, wie von der Free Software Foundation veröffentlicht, weiterverbreiten und/oder ändern; Version 2. Dies garantiert Ihr Recht, amap unter bestimmten Bedingungen zu nutzen, zu ändern und weiterzuverbreiten.
Der Quellcode für diese Software wird bereitgestellt, weil wir glauben, dass Benutzer das Recht haben, genau zu wissen, was ein Programm tun wird, bevor sie es ausführen. Dies ermöglicht Ihnen auch, die Software auf Sicherheitslücken zu überprüfen.
Mit dem Quellcode können Sie amap auch auf neue Plattformen portieren, Fehler beheben und neue Funktionen hinzufügen. Es wird Ihnen dringend empfohlen, Ihre Bewerbungsauslöser und -antworten an uns zu senden. Bitte senden Sie Auslöser und Antworten (entweder als tcpdump-Datei oder in unserem eigenen Format) an amap-dev@thc.org.
Dieses Programm wird in der Hoffnung verbreitet, dass es nützlich sein wird, aber OHNE JEGLICHE GARANTIE, ohne auch nur die stillschweigende Garantie der MARKTGÄNGIGKEIT oder EIGNUNG FÜR EINEN BESTIMMTEN ZWECK< Weitere Einzelheiten finden Sie in der GNU General Public License (sie befindet sich in der COPYING-Datei der amap-Distribution).
Es sollte auch beachtet werden, dass amap dafür bekannt ist, bestimmte schlecht geschriebene Anwendungen, TCP/IP-Stacks und sogar Betriebssysteme zum Absturz zu bringen. Amap sollte niemals auf geschäftskritischen Systemen ausgeführt werden, es sei denn, Sie sind bereit, Ausfallzeiten in Kauf zu nehmen. Wir erkennen hier an, dass Amap Ihre Systeme oder Netzwerke zum Absturz bringen kann und lehnen jegliche Haftung für Schäden oder Probleme ab, die Amap verursachen könnte.
Amap weist mit Sicherheit zahlreiche Fehler auf. Bitte teilen Sie uns mit, wenn Sie welche finden. Bitte senden Sie eine E-Mail an amap-dev@thc.org.