How To Use Nmap for Vulnerability Scanning: Complete Tutorial

Die wichtigsten Erkenntnisse

• Nmap kann verschiedene Scans durchführen, etwa Port-Scans, Host-Erkennung und die Erkennung von Schwachstellen. Das Tool hilft dabei, potenzielle Sicherheitsprobleme in einem Netzwerk zu identifizieren, und ist damit sowohl für Sicherheitsexperten als auch für böswillige Hacker ein leistungsstarkes Werkzeug. (Zum Abschnitt springen)
• Nmap verfügt über eine umfangreiche Skriptbibliothek zur Erkennung bestimmter Schwachstellen. Benutzer können außerdem eigene Skripte erstellen, um den Funktionsumfang zu erweitern und Scans an spezielle Umgebungen anzupassen. (Zum Abschnitt springen)
• Nmap erstellt detaillierte Berichte über die erkannten Schwachstellen, die in verschiedene Formate exportiert werden können. Diese Funktion hilft Unternehmen, Erkenntnisse zu dokumentieren und geeignete Maßnahmen zur Risikominderung zu ergreifen. (Zum Abschnitt springen)

Das leistungsstarke Open-Source-Tool Nmap scannt die Ports von Netzwerkgeräten und überprüft Website-Domains auf bekannte Schwachstellen. Da sowohl interne Sicherheitsteams als auch böswillige Hacker Nmap verwenden können, sollten interne Sicherheitsteams sicherstellen, dass sie den Scan zuerst durchführen!

Um Nmap als grundlegendes Tool zur Erkennung grundlegender Schwachstellen kennenzulernen, behandelt dieser Artikel folgende Themen:

• Erste Schritte mit Nmap
• Schwachstellen-Scans mit Nmap
• Vuln vs. Vulners vs. Vulscan
• Wie verwenden Angreifer Nmap?
• Vor- und Nachteile von Nmap
• Alternativen zum Nmap-Schwachstellen-Scanner
• Fazit: Nmap für kostengünstige und effektive Schwachstellen-Scans verwenden

Wenn Sie nach einem benutzerfreundlichen Schwachstellen-Scanner mit gutem technischem Support suchen, ist Intruder – der Sponsor dieses Artikels – ein solches Tool. Es bietet Schutz auf Enterprise-Niveau mit mehr als 10.000 Sicherheitsprüfungen, von internen Scans über den Perimeter bis hin zu Webanwendungen und der Cloud.

Testen Sie Intruder 14 Tage kostenlos!

Intruder besuchen

Erste Schritte mit Nmap

Nmap, kurz für Network Map, bietet kostenlose Open-Source-Funktionen zur Überprüfung der IT-Infrastruktur, etwa Port-Scans, Host-Erkennung und die Identifizierung von Geräten in einem Netzwerk. Sowohl Penetrationstester als auch Angreifer verwenden Nmap, um Informationen über ihr Ziel zu sammeln. Nmap wurde von der CISA anerkannt als wichtiges kostenloses Tool für die Netzwerksicherheit.

Nmap installieren

Nmap begann als Linux-Dienstprogramm, ist inzwischen aber für alle wichtigen Betriebssysteme verfügbar, darunter Windows und macOS. Nmap ist in mehreren Linux-Versionen vorinstalliert, darunter Kali Linux. Benutzer anderer Linux-Systeme können den Befehl „apt-get install Nmap“ verwenden, um es zu installieren.

Benutzer aller Betriebssysteme können Nmap herunterladen sowie das grafische ZeNmap-Benutzeroberflächen-Frontend (GUI) für Nmap. Wer GitHub bevorzugt, kann das offizielle Git-Repository mit diesem Befehl klonen:

git clone https://github.com/Nmap/Nmap.git

Nach der Installation von Nmap können Benutzer die Befehlszeile oder ZeNmap verwenden, um einfache Befehle auszuführen, die lokale Domain zu kartieren, Ports auf einem Host zu scannen und die auf Hosts ausgeführten Betriebssystemversionen zu erkennen.

Viele Open-Source-Softwarepakete wurden mit Schadsoftware infiziert. Um zu überprüfen, ob der konkrete Nmap-Download dem vorgesehenen Inhalt entspricht, kann ein Unternehmen den Download mit den von Nmap verwalteten Signaturdatensätzen vergleichen.

Integrierte Nmap-Skripte

Das Ausführen grundlegender Funktionen kann mühsam sein. Benutzer erweitern die Fähigkeiten von Nmap, indem sie integrierte Nmap-Skripte ausführen. Diese Skripte sollten regelmäßig mit diesem Befehl aktualisiert werden:

sudo Nmap --script-updatedb

Eine Übersicht über grundlegende Befehle und Beispielskripte finden Sie in Nmap: Produktübersicht und Analyse für Penetrationstests.

Benutzerdefinierte Nmap-Skripte verwenden

Fortgeschrittene Benutzer ziehen es möglicherweise vor, mehrere Anweisungszeilen oder komplexere Befehle mithilfe der Programmiersprache Python und des Python-Nmap-Pakets zu kombinieren. Fortgeschrittene Benutzer können außerdem die Nmap Scripting Engine (NSE) verwenden, um die Netzwerkerkennung und die Erkennung von Schwachstellen (z. B. Backdoors) zu aktivieren und mithilfe der Programmiersprache Lua sogar bestimmte Exploits auszuführen. Diese Skripte sind .nse-Dateien und enthalten typischerweise Kommentare für Endbenutzer sowie Codeanweisungen für die Maschinen.

Schwachstellen-Scans mit Nmap

Die Schwachstellen-Scan-Funktionen von Nmap basieren auf Skripten zur Schwachstellenerkennung, die unter „vuln“ kategorisiert sind, sowie auf benutzerdefinierten Skripten. Benutzer können integrierte Skripte einzeln oder gemeinsam mit dem Befehl „vuln“ ausführen. Außerdem können sie benutzerdefinierte Skripte wie Vulscan oder Vulners herunterladen.

Wie bei jedem Penetrationstest oder Schwachstellen-Scan müssen Benutzer beachten, dass solche invasiven Scans nur mit Genehmigung durchgeführt werden dürfen. Selbst das Scannen eines Systems ohne Genehmigung kann je nach Rechtsordnung zu Geld- oder Gefängnisstrafen führen. Weitere Informationen liefern Vorschriften wie der US-amerikanische Computer Fraud and Abuse Act, der britische Computer Misuse Act 1990, Indiens Information Technology Act Sec. 43 und 66 sowie Japans Act on the Prohibition of Unauthorised Computer Access und viele weitere Regelungen.

Spezifische Nmap-Schwachstellen-Scans

Nmap-Skripte enthalten weit über 100 spezifische Schwachstellen-Scans, die gegen Domains oder bestimmte Host-IP-Adressen ausgeführt werden können. Eine umfassende Liste der gescannten Schwachstellen finden Sie auf der Nmap-Website.

Anwendungs-Scans: Führen Sie Nmap gegen eine Zieldomain (z. B. esecurityplanet.com) aus, um Websites auf Schwachstellen wie die folgenden zu prüfen:

• http-csrf: Erkennen Sie Cross-Site-Request-Forgery-(CSRF-)Schwachstellen, indem Sie den Befehl eingeben: Nmap -sV –script http-csrf <target domain>
• http-sherlock: Prüfen Sie, ob die „Shellshock“-Schwachstelle in Webanwendungen ausgenutzt werden kann, indem Sie den Befehl eingeben: Nmap -sV –script http-sherlock <target domain>

IT-Host-Scans: Führen Sie Nmap gegen eine Ziel-IP-Adresse (z. B. 166.96.06.4) aus, um Hosts auf Schwachstellen wie die folgenden zu prüfen:

• dns-update: Versuchen Sie, ohne Authentifizierung ein dynamisches Domain Name System (DNS) zu aktualisieren, indem Sie den Befehl eingeben: Nmap -sU -p 53 –script=dns-update –script-args=dns-update.hostname=foo.example.com,dns-update.ip=192.0.2.1 <target IP address>
• smb-vuln-cve-2017-7494: Prüfen Sie mithilfe eines Skripts wie dem folgenden, ob die Ziel-IP-Adresse für die Schwachstelle zum Laden beliebiger gemeinsam genutzter Bibliotheken anfällig ist: Nmap –script smb-vuln-cve-2017-7494 -p 445 <target IP address>

Von Regierungen empfohlene Nmap-Skripte werden gelegentlich auf offiziellen Websites veröffentlicht oder beworben, um Unternehmen bei der Behebung bestimmter Schwachstellen zu unterstützen. Die britische Regierung unterhält beispielsweise ein Open-Source-GitHub-Repository, das Unternehmen beim Scannen von Netzwerken auf die Exim-MTA-Schwachstelle im Rahmen des Scanning Made Easy-Projekts des National Cyber Security Centre (NCSC) und seiner i100-Industriepartnerschaft unterstützt.

Das Repository stellt Benutzern wie Systemadministratoren eine Sammlung offiziell empfohlener Nmap-Skripte zur Erkennung von Systemschwachstellen bereit. Das erste britische Skript konzentriert sich auf die Schwachstellen zur Remote-Codeausführung im Exim Message Transfer Agent (MTA), CVE-2020-28017 bis CVE-2020-28026, auch bekannt als 21Nails.

Das Skript enthält Informationen zu folgenden Punkten:

• Wie es das Vorhandensein der Schwachstelle überprüft
• Warum die Prüfung nicht invasiv ist
• Warum es zu falsch positiven und falsch negativen Ergebnissen kommen kann

Vuln verwenden

Nmap kann eine Zieldomain oder IP-Adresse mit dem passend benannten Befehl Vuln auf alle Schwachstellen in der Standardskriptbibliothek der Kategorie „vuln“ scannen:

sudo Nmap --script vuln <target domain or IP Address> -v

Beachten Sie, dass der Befehl unter Linux möglicherweise „sudo“ benötigt, um ihn als Superuser beziehungsweise als Linux-Entsprechung eines Administrators auszuführen. In den meisten Fällen sind erhöhte Berechtigungen erforderlich, um die invasiveren und intensiveren Befehle von Nmap auszuführen. Das Flag -v (für Verbose) liefert ausführliche Informationen zu den durchgeführten Tests und ihren Ergebnissen.

Das Ausführen dieser Befehle kann aufgrund der invasiven und störenden Aspekte bestimmter Schwachstellen-Scans gefährlich sein. Einige Scans beschränken sich nicht auf das Sammeln von Informationen, sondern versuchen, eine Schwachstelle durch deren Ausnutzung zu verifizieren. In manchen Fällen führt eine erfolgreiche Ausnutzung zu Änderungen am Dienst oder sogar zum Absturz des Dienstes, der Website oder des Betriebssystems.

Ein Teil der Schwachstellen-Scans kann mithilfe von Platzhaltern oder Sternchen (*) durchgeführt werden, um mehrere Skripte mit ähnlichen Namen gleichzeitig auszuführen. Wird der Platzhalter beispielsweise hinter dem http-Befehl (http*) eingefügt, werden alle Schwachstellen-Scans, die mit „http“ beginnen, gegen eine Zieldomain ausgeführt.

Bei der Verwendung von Sammelscans können die Ergebnisse überwältigend umfangreich werden, und manche Benutzer möchten Schwachstellen mit niedrigen CVSS-Werten ausschließen. Um nur Schwachstellen innerhalb eines bestimmten Bereichs anzuzeigen, fügen Sie dem Befehl das folgende Flag hinzu, wobei „x.x“ für den CVSS-Wert steht (z. B. 6,5).

--script-args=mincvss=x.x

Der vollständige Befehl zum Ausschließen von Schwachstellen unter 6,5 lautet:

Nmap --script vuln --script-args mincvss=6.5 <target>

Die Scan-Ergebnisse können in verschiedene Dateiformate exportiert werden, indem dem Befehl Flags gefolgt vom Dateinamen hinzugefügt werden. Dieser Export erleichtert das Teilen von Informationen oder die Bereitstellung der Schwachstellen für andere Software.

Zwei gängige Beispiele für den vollständigen Befehl sind:

• XML-Datei: Nmap –script vuln -oX file.xml <target>
• Browserfreundliche XML-Datei: Nmap –script vuln –webxml -oX file.xml <target>

Natürlich ist der grundlegende Satz an Schwachstellen-Scans für manche Benutzer möglicherweise nicht ausreichend, da er nur eine begrenzte, wenn auch wichtige Auswahl an Schwachstellen untersucht. Fortgeschrittene Benutzer können benutzerdefinierte Skripte wie Vulscan oder Vulners herunterladen, um auf eine größere Schwachstellendatenbank zuzugreifen.

Vulscan verwenden

Um das NSE-Skript Vulscan zu verwenden, muss ein Benutzer zunächst die Software mithilfe des Git-Befehls aus dem GitHub-Repository klonen:

sudo git clone https://github.com/scipag/vulscan

Möglicherweise muss der Benutzer durch Ausführen des folgenden Befehls einen symbolischen Link zum Verzeichnis der NSE-Skripte erstellen:

sudo ln -s pwd /scipag_vulscan /usr/share/Nmap/scripts/vulscan

In diesem Fall wird /usr/share/Nmap/scripts/vulscan als Verzeichnis für Nmap-Skripte auf dem Computer des Benutzers angenommen; dieses Verzeichnis kann jedoch bei Bedarf angepasst werden. Sobald das Verzeichnis Nmap bekannt ist, kann Vulscan über das Flag –script aufgerufen werden, um mithilfe der folgenden Syntax zusätzliche Schwachstellenprüfungen auszuführen:

sudo Nmap -sV --script=vulscan/vulscan.nse <target IP address or host name>

Vulscan kann ausgeführt werden, um IT-Schwachstellen anhand einer IP-Adresse im Netzwerk oder Softwareschwachstellen anhand eines Hostnamens (z. B. esecurityplanet.com) zu erkennen. Vulscan führt für alle auf das Ziel zutreffenden Schwachstellen nicht invasive Tests durch. Die Ergebnisse zeigen den Port gefolgt von begrenzten Informationen zu den entdeckten CVEs an.

Vulners verwenden

Vulners ist normalerweise in den standardmäßigen Nmap-NSE-Skripten enthalten. Ein Benutzer kann das NSE-Skript für Vulners jedoch auch mithilfe des Git-Befehls aus dessen GitHub-Repository klonen:

sudo git clone https://github.com/vulnersCom/Nmap-vulners.git /usr/share/Nmap/scripts/vulners

Das Dateiverzeichnis /usr/share/Nmap/scripts/vulscan wird als Verzeichnis für Nmap-Skripte auf dem Computer des Benutzers angenommen; dieses Verzeichnis kann jedoch bei Bedarf angepasst werden. Nach dem Klonen kann Vulners über das Flag –script mithilfe der folgenden Syntax aufgerufen werden:

sudo Nmap -sV --script Nmap-vulners/vulners.nse <target host or IP address>

Benutzer können bestimmte Ports einer IP-Adresse anvisieren, indem sie am Ende der Befehlszeile -p<#> (z. B. -p80 für Port 80) hinzufügen. Die Ergebnisse zeigen die entdeckten CVEs an und verlinken für weitere Informationen auf die Vulners-Website.

Vuln vs. Vulners vs. Vulscan

Vuln und Vulners sind enthalten in der grundlegenden NSE-Skriptdatenbank und werden aktualisiert, wenn alle Skripte für Nmap aktualisiert werden. Vulscan ist nicht enthalten im grundlegenden Skriptsatz und muss separat heruntergeladen und aktualisiert werden. 

Vulners sendet Informationen zur Common Platform Enumeration (CPE) aus Port-Scans mithilfe der API der Website an vulners.com, um aktiv die neuesten Informationen zu Common Vulnerabilities and Exposures (CVE) aus der Datenbank der Website herunterzuladen. Für den Zugriff auf die externen Schwachstellendatenbanken benötigt Vulners außerdem eine Internetverbindung. 

Diese Weitergabe von Informationen zu Schwachstellen ist möglicherweise für Organisationen nicht angemessen, die großen Wert auf die Geheimhaltung ihrer Umgebung legen. Bei Vulscan besteht die Möglichkeit, eine lokale Datenbank zu verwenden, wodurch jedoch im Allgemeinen der Vorteil der vollständig aktualisierten Datenbank von Vulscan entfällt. 

Vuln und Vulscan senden keine CPE-Informationen außerhalb der gescannten Organisation und verwenden lokal gespeicherte Schwachstellendatenbanken.

Der Vorteil der Übermittlung der CPE-Informationen besteht darin, dassVulners eine vollständig aktualisierte CVE-Sammlung hostet.Vuln erkennt nur die 150 wichtigsten Schwachstellen für Systeme, und Vulscan verwendet eine Offline-Kopie von Schwachstellendatenbanken.

Vuln kann zu Störungen führen , da Vuln das Vorhandensein einiger Schwachstellen testet, indem versucht wird, deren Ausnutzung sowie eine Störung oder Beschädigung des betreffenden Dienstes zu verifizieren. Die aktive Untersuchung erhöht jedoch die Sicherheit der Erkennung und verringert die Wahrscheinlichkeit eines falsch positiven Ergebnisses. 

Vulners und Vulscan vermeiden das Risiko von Störungen , da sie nicht versuchen, Schwachstellen zu verifizieren oder auszunutzen. Das Vertrauen in beide Tools hängt von der Genauigkeit und Präzision der Erkennungsfunktionen der jeweiligen Nmap-Version ab. Beide Tools können außerdem durch nicht standardmäßige, angepasste oder gepatchte Builds bestimmter Dienste verwirrt werden, was zu mehr falsch positiven Ergebnissen führen kann.

Von den drei Tools kann die Kategorie der Vuln-Skripte sofort äußerst genaue Scans erstellen für eine begrenzte Anzahl wichtiger Schwachstellen. Obwohl die Zahl der Schwachstellen gering ist, kann die tiefgehende Untersuchung der Schwachstelle 3- bis 4-mal länger dauern als bei Vulners oder Vulscan.

Während beide manuell heruntergeladenen Schwachstellen-Scanner eine wesentlich umfangreichere und robustere Auswahl an erkennbaren CVEs bieten, ist der Scan mit Vulners in der Regel am aktuellsten , da IT-Teams möglicherweise vergessen, die Vulscan-Datenbanken manuell zu aktualisieren. Für besonders geheimhaltungsbedürftige Organisationen, die eine Weitergabe von CPE-Informationen vermeiden müssen, ist die Verwendung einer lokalen Datenbank durch Vulscan möglicherweise die beste Wahl unter den Nmap-Optionen.

Wie verwenden Angreifer Nmap?

Angreifer verwenden Nmap, um mithilfe roher IP-Pakete große Netzwerke schnell zu scannen, verfügbare Hosts und Dienste im Netzwerk zu identifizieren und deren Schwachstellen zu ermitteln. Hacker und Penetrationstester fügen in der Regel bestimmte Optionen hinzu, um ihre Spuren zu verwischen.

Bei Decoy-Scans wird das Flag -D (Nmap -p 123 -D decoyIP targetIP) hinzugefügt, um die angreifende IP-Adresse zu verbergen und zusätzlich zu den Paketen des scannenden Computers Pakete mit gefälschter Quelladresse an das Ziel zu senden. Die zusätzlichen Pakete erschweren es den Verteidigern, den Port-Scan zu erkennen.

Angreifer können auch Zombie-Scans, auch Idle-Scans genannt, ausführen. Bei diesem Seitenkanalangriff wird versucht, gefälschte SYN-Pakete mithilfe der IP-Adresse des „Zombie“-Endpunkts im Netzwerk an das Ziel zu senden. Mit dieser Methode wird versucht, das Intrusion-Detection-System (IDS) zu täuschen, sodass es den unschuldigen Zombie-Computer mit dem Angreifer verwechselt. Eine ausführlichere Übersicht über Nmap-Angriffe finden Sie im Nmap Ultimate Guide: Pentest Product Review and Analysis.

Erkennen Hostsysteme Nmap-Scans?

SIEM-Tools, Firewalls und andere Abwehrtools können Warnmeldungen von Systemen empfangen, und das gescannte System protokolliert die erfolgreichen TCP-Anfragen der zahlreichen Nmap-Port-Scans. Ausgefeiltere IDS-/IDP-Tools erkennen möglicherweise auch fehlerhafte TCP-Anfragen, etwa die unauffälligen Nmap-Anfragen, die keine TCP-Verbindung abschließen. Störende Scans, die zu einem Ausfall des Systems oder eines Dienstes führen, werden definitiv sowohl von den Systemen als auch von den betroffenen Benutzern erkannt.

Vor- und Nachteile von Nmap

Nmap bietet leistungsfähige Funktionen zur Erkennung von Schwachstellen und sollte in den meisten Organisationen für den Einsatz in Betracht gezogen werden. Es gibt jedoch viele Gründe, warum Nmap nicht universell eingesetzt wird.

Vorteile: Gründe für die Verwendung von Nmap

• Open Source und kostenlos und daher ideal für Hacker, Studenten und alle Organisationen
• Schnelle Scans ermöglichen einen schnellen Überblick über potenzielle Schwachstellen
• Ressourcenschonende TCP-Scans verbrauchen keine enormen Mengen an Netzwerkbandbreite und können einige Netzwerksicherheitstools umgehen
• Eine Vorschau aus Hackersicht für Organisationen, die ihre internen Systeme überprüfen
• Skriptfähige Scans ermöglichen es einer Organisation, wiederholbare Schwachstellen-Scans zu erstellen, die von technisch nicht versierten Benutzern genutzt werden können, und Hackern, Nmap-Befehle und -Scans in Malware einzubetten

Nachteile: Gründe gegen die Verwendung von Nmap

• Weniger benutzerfreundlich als kommerzielle Tools mit fortschrittlicheren grafischen Benutzeroberflächen
• Fehler können leicht passieren bei Eingaben in der Befehlszeile
• Mangel an Programmierern in der IT-Belegschaft einer Organisation, die benutzerdefinierte Skripte erstellen oder Nmap-Skripte verstehen können
• Weniger formeller Support als bei kommerziellen Tools
• Begrenzte Schwachstellen-Scans über den grundlegenden Befehl vuln

Alternativen zum Nmap-Schwachstellen-Scanner

Nmap bleibt für viele ein beliebtes Tool, ist aber keineswegs der einzige verfügbare Schwachstellen-Scanner. Open-Source-Schwachstellen-Scanner für Anwendungen sind beispielsweise OSV-Scanner oder OWASP Zed Attack Proxy (ZAP), für die Infrastruktur kommen CloudSploit oder OpenVAS infrage.

Darüber hinaus sind viele kommerziell verfügbare Schwachstellen-Scanner erhältlich. Zu den besten Schwachstellen-Scannern für Anwendungen oder Infrastrukturen zählen Invicti, Tenable.io, ManageEngine’s Vulnerability Manager Plus sowie weitere unten aufgeführte Lösungen:

Fazit: Nmap für kostengünstige und effektive Schwachstellen-Scans verwenden

Nmap bietet eine kostenlose Möglichkeit, Schwachstellen zu erkennen, die Ergebnisse kommerzieller Schwachstellen-Scanner zu überprüfen oder einen effektiven Einblick darin zu erhalten, wie ein Hacker die Angriffsmöglichkeiten in der Infrastruktur einer Organisation betrachten könnte. Jeder – auch eine Organisation, die sich für einen kommerziellen Schwachstellen-Scanner entscheidet – sollte den Einsatz von Nmap als Schwachstellen-Scanner im eigenen Werkzeugkasten in Betracht ziehen.

Lesen Sie als Nächstes: 

• Die besten Tools für das Schwachstellenmanagement
• Die 8 besten Tools für Schwachstellen-Scans im Jahr 2023
• Die 10 besten Open-Source-Tools zur Schwachstellenbewertung im Jahr 2023

Dieser Artikel wurde ursprünglich von Julien Maury am 8. Februar 2022 verfasst und von Chad Kime am 14. Juli 2023 überarbeitet.