Port Scanning untuk Melihat Kondisi Target di Internet

Onno W. Purbo

Dalam melakukan hacking jarak jauh (remote), langkah paling awal yang harus dilakukan sebelum proses hacking dilakukan adalah melihat servis yang diberikan oleh server / target di Internet. Dalam konsep jaringan komputer klien-server, setiap program / servis akan menempati sebuah port dalam tatanan protokol TCP (Transmission Control Protocol). Sebagai gambaran kombinasi port-program/servis yang cukup familiar dengan pengguna umum Internet adalah:

	25	smtp server
80	web server
110	pop server

Cara paling sederhana untuk melihat status servis pada server target di Internet adalah menggunakan software port scanner seperti nmap di Linux yang dibuat oleh fyodor@insecure.org.

Nmap di rancang untuk memungkinkan seorang sistem administrator atau perorangan yang iseng untuk melakukan scan jaringan yang besar, melihat mesin yang sedang beroperasi & servis yang mereka berikan. Cukup banyak teknik scan yang diberikan oleh nmap seperti  UDP, TCP connect(), TCP SYN (half open), ftp proxy (bounce attack), Reverse-ident, ICMP (ping sweep), FIN, ACK sweep, Xmas  Tree,  SYN sweep, dan Null scan. Di samping itu, nmap juga memberikan banyak fitur seperti remote OS detection via TCP/IP fingerprinting,  stealth  scanning,  kalkulasi dynamic   delay   &       retransmission, parallel scanning, detection of down hosts via parallel  pings,  decoy  scanning,  port filtering detection, direct (non-portmapper) RPC scanning,      fragmentation scanning, dan spesifikasi yang flexible dari target & port.

Saya kebetulan menggunakan Linux Mandrake 8.0 di komputer Pentium 133MHz di rumah. Linux Mandrake 8.0 menyediakan nmap dalam distribusinya. Port scanner nmap dapat digunakan menggunakan command line (di ketik di promt $ atau #) atau menggunakan grafik interface di Linux. Saya sendiri lebih suka menggunakan command line, karena kita dapat mengontrol lebih banyak parameter.

Cuplikan contoh hasil port scan tiga (3) situs Indonesia di Internet, yaitu:

	www.detik.com
	www.telkom.co.id
	ibank.klikbca.com

[root@gate onno]# nmap -v -sS -O www.detik.com

Starting nmap V. 2.53 by fyodor@insecure.org ( www.insecure.org/nmap/ )
Host www.detik.com (202.158.66.181) appears to be up ... good.
Initiating SYN half-open stealth scan against www.detik.com 
Interesting ports on www.detik.com (202.158.66.181):
(The 1513 ports scanned but not shown below are in state: filtered)
Port       State       Service
20/tcp     closed      ftp-data
21/tcp     closed      ftp
22/tcp     open        ssh
25/tcp     closed      smtp
80/tcp     open        http
110/tcp    closed      pop-3
443/tcp    closed      https
1417/tcp   closed      timbuktu-srv1
5900/tcp   closed      vnc
5901/tcp   closed      vnc-1

TCP Sequence Prediction: Class=random positive increments
                         Difficulty=3193299 (Good luck!)

Nmap run completed -- 1 IP address (1 host up) scanned in 580 seconds

[root@gate onno]# nmap -v -sS -O www.telkom.co.id

Starting nmap V. 2.53 by fyodor@insecure.org ( www.insecure.org/nmap/ )
Host  (202.134.2.15) appears to be up ... good.
Interesting ports on  (202.134.2.15):
(The 1493 ports scanned but not shown below are in state: closed)
Port       State       Service
7/tcp      open        echo
9/tcp      open        discard
13/tcp     open        daytime
19/tcp     open        chargen
37/tcp     open        time
80/tcp     open        http
111/tcp    open        sunrpc
137/tcp    filtered    netbios-ns
138/tcp    filtered    netbios-dgm
139/tcp    filtered    netbios-ssn
199/tcp    open        smux
512/tcp    open        exec
513/tcp    open        login
514/tcp    open        shell
543/tcp    open        klogin
544/tcp    open        kshell
882/tcp    open        unknown
883/tcp    open        unknown
1234/tcp   open        hotline
1352/tcp   open        lotusnotes
1524/tcp   filtered    ingreslock
2041/tcp   filtered    interbase
2401/tcp   open        cvspserver
6000/tcp   filtered    X11
6112/tcp   open        dtspc
12345/tcp  filtered    NetBus
12346/tcp  filtered    NetBus
27665/tcp  filtered    Trinoo_Master
32771/tcp  open        sometimes-rpc5
32773/tcp  open        sometimes-rpc9
 
TCP Sequence Prediction: Class=truly random
                         Difficulty=9999999 (Good luck!)

Nmap run completed -- 1 IP address (1 host up) scanned in 284 seconds
[root@gate onno]#

[root@yc1dav onno]# nmap -vv -sS -O ibank.klikbca.com
 
Starting nmap V. 2.53 by fyodor@insecure.org ( www.insecure.org/nmap/ )
Host  (202.158.15.52) appears to be down, skipping it.
Note: Host seems down. If it is really up, but blocking our ping probes, try -P0
Nmap run completed -- 1 IP address (0 hosts up) scanned in 43 seconds

Tampak diantara ke tiga (3) situs di atas, ibank.klikbca.com merupakan situs yang palings serius pertahanannya. Bahkan oleh nmap yang melakukan stealth probe gagal untuk melihat port yang aktif di ibank.klikbca.com (sebetulnya port 443 terbuka di ibank.klikbca.com).

www.telkom.co.id merupakan situs yang termasuk paling parah pertahanannya, demikian banyak port yang terbuka di Internet sehingga membuat kita berfikir apakah betul ini Telkom yang hebat itu? Koq sampai demikian ceroboh? Atau di sengaja? Entahlah.

www.detik.com cukup baik hanya membuka penuh port 80 (Web) dan 22 (SSH); di samping ada beberapa port lain yang beroperasi tapi tertutup bagi umum di Internet untuk mengakses-nya.

Cara menjalankan nmap juga tampak relatif sederhana, menggunakan format

	# nmap [tipe scan] [option] nama-target-mesin

Jika PC anda tersambung ke Internet, maka port scanning akan dijalankan secara otomatis oleh nmap & menampilkan hasil seperti tampak di atas.

Ada beberapa tipe scan yang sering digunakan untuk melihat port nama saja yang terbuka dari ribuan port; beberapa perintah yang ada seperti, -sT, -sF, -sR dsb. Yang sering saya gunakan adalah:

-sS - TCP SYN scan: teknik ini kadang di sebut “half-open” scanning, karena anda tidak membuka penuh hubungan TCP. Jika di responds dengan SYN|ACK maka port berarti terbuka. Bila responds berupa RST menunjukan servis tidak jalan. Pada saat SYN|ACK di terima, nmap akan meresponds dengan RST. Dengan teknik ini, sedikit situs yang akan mencatat scanning yang dilakukan. Hal ini di sebut stealth scannning.

Ada banyak option yang mengatur cara kerja nmap, beberapa yang sering saya gunakan misalnya:

	-P0 – tidak melakukan ping ke target, untuk menghindari kita terlihat oleh target.

-f  - menggunakan potongan paket kecil-kecil (fragmented) agar sulit di deteksi oleh software pendeteksi penyusup.

	-v – verbose mode, untuk melihat hasil antara proses scan pada layar.

	-O – mencoba menebak sistem operasi yang digunakan oleh mesin target.

Untuk melihat penjelasan lengkap berbagai pilihan yang ada di nmap, ada baiknya membaca manual nmap yang dapat diperoleh dengan men-tik

	$ man nmap

di prompt Linux.

Setelah kita mengetahui port / servis yang dijalankan di mesin target, kita perlu mengetahui jenis software untuk servis tersebut. Dan mencoba membaca-baca di situs underground kelemahan software tersebut, sukur-sukur kalau kita menemukan eksploit software tersebut. Biasanya eksploit yang tersedia perlu di compile menggunakan compiler C. 

Perlu di ingat & di pahami proses hacking akan terdiri dari empat (4) langkah utama yaitu:

Step 1: Memperoleh akses ke situs.
Step 2: Menghack root.
Step 3: Menutupi bekas-bekas anda.
Step 4: Membuat backdoor untuk menjaga account.

Kita baru mencapai Step 0, usaha untuk membuka akses ke situs. Perjalanan masih lama & membutuhkan banyak waktu & proses belajar.