Từ Cổng Mở đến Chiếm Quyền Điều Khiển: Quy trình Tấn công Toàn diện với Nmap

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

• Nmap không chỉ là công cụ quét cổng, mà là một khung làm việc (framework) mạnh mẽ để liệt kê dịch vụ, phân tích giao thức và xác định lỗ hổng.
• Tích hợp Nmap với Metasploit giúp tự động hóa quy trình từ trinh sát đến khai thác, loại bỏ việc nhập liệu thủ công sai sót.
• Bài viết cung cấp các kỹ thuật né tránh IDS/IPS nâng cao và phương pháp quét xoay vòng (pivot scanning) để thâm nhập sâu vào các mạng nội bộ.

Giới thiệu về quy trình tấn công với Nmap

Nhiều người dùng chỉ dừng lại ở việc quét cổng cơ bản, nhưng sức mạnh thực sự của Nmap nằm ở khả năng kết nối các kết quả thu được thành một chuỗi hành động có ý nghĩa. Khoảng cách giữa việc biết "cổng 445 đang mở" và việc "hiểu rõ rủi ro bảo mật" chính là nơi các chuyên gia an ninh mạng tạo ra sự khác biệt. Bài viết này sẽ hướng dẫn bạn quy trình từ trinh sát đến khi chiếm quyền điều khiển hệ thống.

Lộ trình thực hiện

Để đạt hiệu quả cao nhất, quy trình tấn công với Nmap nên được thực hiện theo các bước logic sau:

1. Liệt kê SMB: Xác định giao thức, cấu hình bảo mật, chia sẻ và người dùng.
2. Ánh xạ phiên bản sang CVE: Trích xuất phiên bản dịch vụ và tra cứu lỗ hổng tự động.
3. Tích hợp Metasploit: Nhập dữ liệu quét và tự động hóa mục tiêu khai thác.
4. Né tránh (Evasion): Sử dụng các kỹ thuật timing, phân mảnh và decoy để qua mặt IDS.
5. Quét xoay vòng (Pivot Scanning): Tiếp cận mạng nội bộ thông qua host đã bị chiếm quyền.

1. Liệt kê SMB: Khai thác Cổng 445

SMB là dịch vụ "nói nhiều" nhất trên Windows. Trước khi thử bất kỳ thông tin xác thực nào, hãy sử dụng chuỗi script của Nmap để thu thập thông tin.

Bước	Script Nmap	Mục đích
1	smb-os-discovery	Xác định chính xác phiên bản OS và build
2	smb-protocols	Kiểm tra hỗ trợ SMBv1/v2/v3
3	smb-security-mode	Kiểm tra cấu hình signing và authentication
4	smb-enum-shares	Liệt kê các chia sẻ (shares) có thể truy cập
5	smb-vuln-ms17-010	Kiểm tra lỗ hổng EternalBlue

Lưu ý: Luôn chạy smb-protocols trước để tránh lãng phí thời gian vào các script lỗ hổng không áp dụng được do thiếu giao thức hỗ trợ.

2. Từ Phiên bản đến CVE: Chuyển đổi dữ liệu thành kết quả

Đừng chỉ ghi lại phiên bản dịch vụ. Hãy biến chúng thành các "chìa khóa" để tìm kiếm lỗ hổng.

Tự động hóa với --script vulners

Sử dụng script vulners để truy vấn cơ sở dữ liệu lỗ hổng ngay trong kết quả quét:

nmap --script vulners -sV -p 21,22,25 <TARGET_IP>

Script này sẽ trả về mã CVE và điểm CVSS. Nếu điểm CVSS >= 7.0, đó là mục tiêu ưu tiên hàng đầu.

3. Tích hợp Nmap với Metasploit

Thay vì copy-paste địa chỉ IP thủ công, hãy sử dụng cơ sở dữ liệu của Metasploit để quản lý mục tiêu.

# Khởi tạo database
sudo msfdb init

# Quét và lưu trực tiếp vào database
msf6 > db_nmap -sS -sV -p 445 <TARGET_IP>

# Lọc mục tiêu và thiết lập RHOSTS tự động
msf6 > services -p 445 -R

4. Kỹ thuật Né tránh (Evasion)

Để qua mặt các hệ thống IDS/IPS, bạn cần thay đổi dấu vết của gói tin:

• Điều chỉnh Timing: Sử dụng -T1 và --scan-delay 2s để giảm tốc độ quét, tránh kích hoạt các cảnh báo dựa trên lưu lượng.
• Thay đổi gói tin: Sử dụng --data-length để làm nhiễu payload và --ttl để giả mạo OS fingerprint.
• Sử dụng Decoys: -D RND:5 tạo ra 5 nguồn IP giả mạo xung quanh IP thật của bạn.

5. Quét xoay vòng (Pivot Scanning)

Khi đã chiếm được một host trong mạng nội bộ, bạn cần quét các subnet không thể truy cập trực tiếp:

1. Layer 1: Chạy Nmap trực tiếp từ pivot host (đáng tin cậy nhất).
2. Layer 2: Sử dụng SOCKS proxy kết hợp với proxychains.
3. Layer 3: Sử dụng ligolo-ng để tạo đường hầm (tunneling) toàn diện.

Việc hiểu rõ các kỹ thuật này giúp bạn làm chủ quá trình kiểm thử bảo mật. Hãy luôn nhớ thực hiện trong phạm vi cho phép và tuân thủ các nguyên tắc đạo đức nghề nghiệp. Để nâng cao kỹ năng tư duy logic trong lập trình và thiết kế hệ thống, bạn có thể tham khảo thêm các kiến thức về tối ưu hóa hiệu năng web để áp dụng vào các công cụ quản trị của mình.