Port Scanning untuk Melihat Kondisi Target di Internet

Port Scanning untuk Melihat Kondisi Target di Internet

by:Onno W. Purbo

Dalam melakukan hacking jarak jauh (remote), langkah paling awal yang harus dilakukan sebelum proses
hacking dilakukan adalah melihat servis yang diberikan oleh server / target di Internet.
Dalam konsep jaringan komputer klien-server, setiap program / servis akan menempati sebuah port dalam tatanan protokol
TCP (Transmission Control Protocol).
Sebagai gambaran kombinasi port-program/servis yang cukup familiar dengan pengguna umum Internet adalah:

25 smtp server
80 web server
110 pop server

Cara paling sederhana untuk melihat status servis pada server target di Internet adalah menggunakan software port scanner seperti nmap di Linux yang dibuat oleh fyodor@insecure.org.

Nmap di rancang untuk memungkinkan seorang sistem administrator atau perorangan yang iseng untuk melakukan scan jaringan yang besar, melihat mesin yang sedang beroperasi & servis yang mereka berikan. Cukup banyak teknik scan yang diberikan oleh nmap seperti UDP, TCP connect(), TCP SYN (half open), ftp proxy (bounce attack), Reverse-ident, ICMP (ping sweep), FIN, ACK sweep, Xmas Tree, SYN sweep, dan Null scan. Di samping itu, nmap juga memberikan banyak fitur seperti remote OS detection via TCP/IP fingerprinting, stealth scanning, kalkulasi dynamic delay & retransmission, parallel scanning, detection of down hosts via parallel pings, decoy scanning, port filtering detection, direct (non-portmapper) RPC scanning, fragmentation scanning, dan spesifikasi yang flexible dari target & port.

Saya kebetulan menggunakan Linux Mandrake 8.0 di komputer Pentium 133MHz di rumah. Linux Mandrake 8.0 menyediakan nmap dalam distribusinya. Port scanner nmap dapat digunakan menggunakan command line (di ketik di promt $ atau #) atau menggunakan grafik interface di Linux. Saya sendiri lebih suka menggunakan command line, karena kita dapat mengontrol lebih banyak parameter.

Cuplikan contoh hasil port scan tiga (3) situs Indonesia di Internet, yaitu:

http://www.detik.com
http://www.telkom.co.id
ibank.klikbca.com
[root@gate onno]# nmap -v -sS -O http://www.detik.com

Starting nmap V. 2.53 by fyodor@insecure.org ( http://www.insecure.org/nmap/ )
Host http://www.detik.com (202.158.66.181) appears to be up … good.
Initiating SYN half-open stealth scan against http://www.detik.com
Interesting ports on http://www.detik.com (202.158.66.181):
(The 1513 ports scanned but not shown below are in state: filtered)
Port State Service
20/tcp closed ftp-data
21/tcp closed ftp
22/tcp open ssh
25/tcp closed smtp
80/tcp open http
110/tcp closed pop-3
443/tcp closed https
1417/tcp closed timbuktu-srv1
5900/tcp closed vnc
5901/tcp closed vnc-1

TCP Sequence Prediction: Class=random positive increments
Difficulty=3193299 (Good luck!)

Nmap run completed — 1 IP address (1 host up) scanned in 580 seconds

[root@gate onno]# nmap -v -sS -O http://www.telkom.co.id
Starting nmap V. 2.53 by fyodor@insecure.org ( http://www.insecure.org/nmap/ )
Host (202.134.2.15) appears to be up … good.
Interesting ports on (202.134.2.15):
(The 1493 ports scanned but not shown below are in state: closed)
Port State Service
7/tcp open echo
9/tcp open discard
13/tcp open daytime
19/tcp open chargen
37/tcp open time
80/tcp open http
111/tcp open sunrpc
137/tcp filtered netbios-ns
138/tcp filtered netbios-dgm
139/tcp filtered netbios-ssn
199/tcp open smux
512/tcp open exec
513/tcp open login
514/tcp open shell
543/tcp open klogin
544/tcp open kshell
882/tcp open unknown
883/tcp open unknown
1234/tcp open hotline
1352/tcp open lotusnotes
1524/tcp filtered ingreslock
2041/tcp filtered interbase
2401/tcp open cvspserver
6000/tcp filtered X11
6112/tcp open dtspc
12345/tcp filtered NetBus
12346/tcp filtered NetBus
27665/tcp filtered Trinoo_Master
32771/tcp open sometimes-rpc5
32773/tcp open sometimes-rpc9

TCP Sequence Prediction: Class=truly random
Difficulty=9999999 (Good luck!)

Nmap run completed — 1 IP address (1 host up) scanned in 284 seconds
[root@gate onno]#

[root@yc1dav onno]# nmap -vv -sS -O ibank.klikbca.com
Starting nmap V. 2.53 by fyodor@insecure.org ( http://www.insecure.org/nmap/ )
Host (202.158.15.52) appears to be down, skipping it.
Note: Host seems down. If it is really up, but blocking our ping probes, try -P0
Nmap run completed — 1 IP address (0 hosts up) scanned in 43 seconds

Tampak diantara ke tiga (3) situs di atas, ibank.klikbca.com merupakan situs yang palings serius pertahanannya. Bahkan oleh nmap yang melakukan stealth probe gagal untuk melihat port yang aktif di ibank.klikbca.com (sebetulnya port 443 terbuka di ibank.klikbca.com).

http://www.telkom.co.id merupakan situs yang termasuk paling parah pertahanannya, demikian banyak port yang terbuka di Internet sehingga membuat kita berfikir apakah betul ini Telkom yang hebat itu? Koq sampai demikian ceroboh? Atau di sengaja? Entahlah.

http://www.detik.com cukup baik hanya membuka penuh port 80 (Web) dan 22 (SSH); di samping ada beberapa port lain yang beroperasi tapi tertutup bagi umum di Internet untuk mengakses-nya.

Cara menjalankan nmap juga tampak relatif sederhana, menggunakan format

# nmap [tipe scan] [option] nama-target-mesin

Jika PC anda tersambung ke Internet, maka port scanning akan dijalankan secara otomatis oleh nmap & menampilkan hasil seperti tampak di atas.

Ada beberapa tipe scan yang sering digunakan untuk melihat port nama saja yang terbuka dari ribuan port; beberapa perintah yang ada seperti, -sT, -sF, -sR dsb. Yang sering saya gunakan adalah:

-sS – TCP SYN scan: teknik ini kadang di sebut “half-open” scanning, karena anda tidak membuka penuh hubungan TCP. Jika di responds dengan SYN|ACK maka port berarti terbuka. Bila responds berupa RST menunjukan servis tidak jalan. Pada saat SYN|ACK di terima, nmap akan meresponds dengan RST. Dengan teknik ini, sedikit situs yang akan mencatat scanning yang dilakukan. Hal ini di sebut stealth scannning.

Ada banyak option yang mengatur cara kerja nmap, beberapa yang sering saya gunakan misalnya:

-P0 – tidak melakukan ping ke target, untuk menghindari kita terlihat oleh target.

-f – menggunakan potongan paket kecil-kecil (fragmented) agar sulit di deteksi oleh software pendeteksi penyusup.

-v – verbose mode, untuk melihat hasil antara proses scan pada layar.

-O – mencoba menebak sistem operasi yang digunakan oleh mesin target.

Untuk melihat penjelasan lengkap berbagai pilihan yang ada di nmap, ada baiknya membaca manual nmap yang dapat diperoleh dengan men-tik

$ man nmap

di prompt Linux.

Setelah kita mengetahui port / servis yang dijalankan di mesin target, kita perlu mengetahui jenis software untuk servis tersebut. Dan mencoba membaca-baca di situs underground kelemahan software tersebut, sukur-sukur kalau kita menemukan eksploit software tersebut. Biasanya eksploit yang tersedia perlu di compile menggunakan compiler C.

Perlu di ingat & di pahami proses hacking akan terdiri dari empat (4) langkah utama yaitu:

Step 1: Memperoleh akses ke situs.
Step 2: Menghack root.
Step 3: Menutupi bekas-bekas anda.
Step 4: Membuat backdoor untuk menjaga account.

Kita baru mencapai Step 0, usaha untuk membuka akses ke situs. Perjalanan masih lama & membutuhkan banyak waktu & proses belajar.