Tool-Vorstellung: masscan

Bei der Durchführung eines Portscans gegen eine IT-Infrastruktur müssen wir als Pentester annehmen, dass über jede IP-Adresse Dienste erreichbar sein können. Infolgedessen müssen wir jedes IT-System scannen, auch wenn wir eine Server-Liste vom Auftraggeber erhalten haben. So kann eine Dokumentation unvollständig sein, insbesondere wenn das Netzwerk historisch gewachsen ist und von mehreren Administratoren verwaltet wurde. Da wir im Normalfall aber nur begrenzt Zeit für einen Pentest haben, hängt die Auswahl des Portscanners von der Größe des Netzwerks ab. Während man mit Nmap alle Dienste auf einem IT-System effizient identifizieren kann, wurde das Tool nicht für einen breit angelegten Scan von mehreren tausend IP-Adressen optimiert. Diese Größe findet man aber häufig bei internen IT-Infrastrukturen wieder, welche sich die drei privaten IPv4-Adressebereiche zu Nutze machen können:

• 10.0.0.0/8 (16.777.216 IPs)
• 172.16.0.0/12 (1.048.576 IPs)
• 192.168.0.0/16 (65.536 IPs)

Für solche Fälle wurden Tools wie masscan entwickelt, die nach eigener Angabe das gesamte Internet in nur 3 Minuten auf die Erreichbarkeit eines Ports scannen können (s. Manpage). Die Angabe kann durchaus realistisch sein, wenn man über eine außerordentlich gute Routing- und Netzanbindung verfügen würde. Als Beispiel können mittels des folgenden Befehls Webserver im Netz 192.168.0.0/16 innerhalb weniger Minuten identifiziert werden, da 2000 SYN-Pakete pro Sekunde verschickt werden:

sudo masscan -p80,443 --rate=2000 -e tun0 192.168.0.0/16

-p: specifies the port(s) to be scanned
--rate: specifies the desired rate for transmitting packets per second.
-e: use the named raw network interface, such as "eth0" or "dna1"

Bei der Konfiguration des Rate-Limits ist jedoch Vorsicht geboten, da wir die Verfügbarkeit von Firewalls oder anderen Netzwerkgeräten negativ beeinflussen können. Mit masscan sind wir aber grundsätzlich in der Lage häufig verwendete Dienste wie DNS-Server, Webserver, SSH-Server u.s.w in großen Netzbereichen in absehbarer Zeit zu identifizieren, während wir mit Nmap anschließend einen vollständigen Portscan für die aktiven IP-Adressen durchführen können.