nmap Crashkurs

20.11.2017, 11:37 - Autor: PGD

Der erste Scanner, den wir uns genauer ansehen wollen ist nmap. Wem eine grafische Benutzeroberfläche lieber ist der kann auch gerne ZenMap verwenden.

In dem Moment wenn wir das Ziel direkt ansprechen, also aktiv Informationen sammeln, laufen wir Gefahr entdeckt zu werden. Natürlich bekommt es ein Zielrechner nicht mit wenn wir nach E-Mail Adressen oder ähnlichem googeln. Daher bezeichnet man das Beschaffen von informationen ohne den Zielrechner anzusprechen auch als passive Informationsbeschaffung.

Sobald wir einen Rechner scannen werden an diesem PC Daten gesendet und je nach dem welche Antworten der Scanner erhält werden daraus Informationen gewonnen. Die Datenpakete werden jedoch auf einer Firewall normalerweise geloggt und daher sind diese, als aktive Informationsbeschaffung bezeichneten, Techniken für einen aufmerksamen Administrator oder ein IDS (Einbruchserkennungs-System) durchaus aufspürbar.

Gescannt werden kann sowohl im Internet als auch in einem lokalen Netzwerk. Wenn wir ein Ziel im Internet scannen, dann wird ein Scan nur die Firewall und eventuell vorhandene Rechner in der DMZ oder Rechner zu denen Portweiterleitungen bestehen abtasten und nicht das gesamte Netzwerk dahinter.

Als DMZ (demilitarisierte Zone) bezeichnet man ein Segment in einem Netzwerk oder ein ganz eigenes Netzwerk, das sich als "neutrale Zone" zwischen einem Intranet (privates Netzwerk) und dem Internet befindet. Hier sind in der Regel öffentlich zugängliche Server angesiedelt.

nmap bzw. sein grafisches Frontend ZenMap benötigen für einige der Techniken root-Rechte.

Eine sehr leise Scan-Technik lässt sich mit dem Schalter -sL ausführen. Hierbei wird ein s.g. List-Scan durchgeführt, der versucht eine Liste von IP-Adressen über den DNS-Server zu ermitteln. Sehen wir uns einmal an, was so ein Scan für Informationen liefert:

root@kali:~# nmap -sL orf.at

Starting Nmap 7.40 ( https://nmap.org ) at 2017-04-07 23:25 CEST
Nmap scan report for orf.at (194.232.104.140)
Other Adresses for orf.at (not scanned): 194.232.104.139 194.232.104.150
194.232.104.149 194.232.104.141 194.232.104.142 2a01:468:1000:9::150
2a01:468:1000:9::149
Nmap done: 1 IP address (0 hosts up) scanned in 0.05 seconds

Wir erhalten die IP-Adresse des Webservers und einige alternative IP-Adressen. Sollte dieser Scan in einem lokalen Netzwerk ohne DNS-Server durchgeführt werden, dann würden wir alle oder gar keine IP-Adressen zurückgeliefert bekommen.

Eine weiter recht passive Möglichkeit nach aktiven Rechnern zu suchen ist der folgende Befehl:

root@kali:~# nmap -sn 192.168.1.1-254

Starting Nmap 7.40 ( https://nmap.org ) at 2017-04-07 23:33 CEST
Nmap scan report for 192.168.1.1
Host is up (0.0014s latency).
MAC Address: E8:DE:27:4D:0B:B6 (Tp-link Technologies)
Nmap scan report for 192.168.1.7
Host is up (0.00026s latency).
MAC Address: A8:86:DD:A3:63:8D (Apple)
Nmap scan report for 192.168.1.14
Host is up (0.0046s latency).
MAC Address: 40:F0:2F:C7:90:20 (Liteon Technology)
Nmap scan report for 192.168.1.100
Host is up (0.24s latency).
MAC Address: 1C:39:47:4D:C4:65 (Compal Information (kunshan))
Nmap scan report for 192.168.1.101
Host is up (0.0058s latency).
MAC Address: FC:AA:14:A3:D3:F0 (Giga-byte Technology)
Nmap scan report for 192.168.1.102
Host is up (0.019s latency).
MAC Address: 50:3C:C4:F6:D3:2C (Lenovo Mobile Communication Technology)
Nmap scan report for 192.168.1.104
Host is up (0.022s latency).
MAC Address: 74:DE:2B:AC:5A:2A (Liteon Technology)
Nmap scan report for 192.168.1.103
Host is up.
Nmap done: 254 IP Adresses (8 hosts up) scanned in 4.24 seconds

Als root-Benutzer versucht nmap hierbei zuerst mit ARP (address resolution protokoll) Anfragen herauszufinden welche MAC-Adressen die Netzwerkkarten der einzelnen IP-Adressen haben. Da dies über eine Broadcast-Adresse geschieht wird der Rechner nicht direkt angesprochen. Obgleich diese Option als Ping-Scan bezeichnet wird, wird der getestete Rechner nur direkt angesprochen, wenn nmap unter normalen User-Rechten läuft. Falls dies fehlschlägt arbeitet nmap drei weitere Methoden von leise zu laut ab um die IP-Adressen herauszufinden.

ARP wird verwendet um die IP-Adresse zu einer physikalische Adresse (Hardwareadresse bzw. MAC-Adresse) zu ermitteln und diese Zuordnung in den ARP-Tabellen abzuspeichern. Für IPv6 wird diese Funktionalität nicht von ARP, sondern durch NDP (Neighbor Discovery Protocol) bereitgestellt.

Als "leise" werden in diesem Zusammenhang Methoden bezeichnet, die Administratoren oder IDS-Systemen weniger leicht oder gar nicht auffallen und unter "laut" sind dann logischweise diejenigen Methoden zu verstehen, die beim Ziel alle Alarmglocken schrillen lassen sollten, wenn der Sicherheitslevel entsprechend hoch ist.

Gesetzt dem Fall, dass es beim Ziel kein Einbruchserkennungs-System und auch keinen Administrator gibt, der die Firewall-Logs auswertet und entsprechend darauf reagiert, ist es natürlich völlig egal wie lautstark man an die Türen (Ports) hämmert und daran rüttelt um zu testen ob diese offen sind. Es ist jedoch immer anzuraten möglichst leise vorzugehen - nur für den Fall der Fälle.

Nachdem wir eine Liste der Hosts haben können wir einen sogenannten Portscan durchführen um herauszufinden welche Dienste auf dem Rechner laufen anhand dessen welche Ports offen sind. Dies machen wir mit folgendem Befehl:

root@kali:~# nmap -sS -oA nmap/hosts --stylesheet=nmap.xsl --open --reason 192.168.1.1-254

Hierbei steht die Option -sS für den SYN-Scan, der weiter unten genauer beschreiben wird. Falls nmap nicht mir root-Rechten läuft wird anstatt des SYN-Scan ein Connect-Scan durchgeführt.

Mit -oA nmap/hosts wird das Scan-Ergebniss in allen verfügbaren Formaten im Ordner nmap/ unter dem Namen hosts abgelegt. Dies hat zur Folge, dass die folgenden drei Dateien erstellt werden:

hosts.gnmap (maschienenlesbare Ausgabe für diverse Programme)
hosts.nmap (maschienenlesbare Ausgabe für diverse Programme)
hosts.xml (XML-Version für Berichte)

Für die grafische Formatierung der XML-Datei benötigen wir noch ein Stylesheet, welches wir mit --stylesheet=nmap.xsl spezifizieren. Hierbei muss die Stylesheet-Datei namens nmap.xsl im gleichen Ordner wie die hosts.xml liegen. Wie können diese nach unseren Vorstellungen selber erstellen oder die mitgelieferte Datei von nmap verwenden. Um letzteres zu tun kopieren wir diese Datei mit folgenden Befehl in den Ordner:

root@kali:~# cp /usr/share/nmap/nmap.xsl nmap/

Um die Ausgabe zu kürzen beschränken wir Sie mit --open nur auf die geöffneten Ports.

Außerdem lassen wir uns mit den Schalter --reason anzeigen warum nmap glaubt, dass dieser Port geöffnet ist.

Zu guter Letzt spezifizieren wir mit 192.168.1.1-254 die IP-Adressen die gescannt werden sollen.

Damit werden die Standard-Ports gescannt, die nmap in der Port-Liste hat. Wenn Sie selber angeben wollen welche Ports gescannt werden sollen können Sie mit den Option -p (zB -p22 oder -p1-65535 oder -p U:53,111,137,T:21-25,80,139,8080) den oder die Ports selber bestimmen die geprüft werden sollen. Im letzten Fall steht U: für UDP und T: für TCP.

Danach erhalten wir zusätzlich zu den Dateien folgende Ausgabe:


Starting Nmap 7.40 ( https://nmap.org ) at 2017-04-08 00:08 CEST
Nmap scan report for 192.168.1.1
Host is up, received arp-response (0.038s latency).
Not shown: 998 closed ports
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
Reason: 998 resets
PORT     STATE SERVICE REASON
80/tcp   open  http    syn-ack ttl 64
1900/tcp open  upnp    syn-ack ttl 64
MAC Address: E8:DE:27:4D:0B:B6 (Tp-link Technologies)

Nmap scan report for 192.168.1.7
Host is up, received arp-response (0.000092s latency).
Not shown: 750 closed ports, 249 filtered ports
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
Reason: 750 resets and 249 no-responses
PORT   STATE SERVICE REASON
22/tcp open  ssh     syn-ack ttl 64
MAC Address: A8:86:DD:A3:63:8D (Apple)

Nmap scan report for 192.168.1.14
Host is up, received arp-response (0.094s latency).
Not shown: 846 closed ports, 151 filtered ports
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
Reason: 846 resets, 141 no-responses and 10 host-prohibiteds
PORT     STATE SERVICE REASON
22/tcp   open  ssh     syn-ack ttl 64
80/tcp   open  http    syn-ack ttl 64
3306/tcp open  mysql   syn-ack ttl 64
MAC Address: 40:F0:2F:C7:90:20 (Liteon Technology)

Nmap scan report for 192.168.1.101
Host is up, received arp-response (0.017s latency).
Not shown: 999 closed ports
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
Reason: 999 resets
PORT   STATE SERVICE REASON
22/tcp open  ssh     syn-ack ttl 64
MAC Address: FC:AA:14:A3:D3:F0 (Giga-byte Technology)

Nmap scan report for 192.168.1.104
Host is up, received arp-response (0.020s latency).
Not shown: 984 closed ports
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
Reason: 984 resets
PORT      STATE SERVICE      REASON
80/tcp    open  http         syn-ack ttl 128
135/tcp   open  msrpc        syn-ack ttl 128
139/tcp   open  netbios-ssn  syn-ack ttl 128
443/tcp   open  https        syn-ack ttl 128
445/tcp   open  microsoft-ds syn-ack ttl 128
554/tcp   open  rtsp         syn-ack ttl 128
2869/tcp  open  icslap       syn-ack ttl 128
5357/tcp  open  wsdapi       syn-ack ttl 128
5900/tcp  open  vnc          syn-ack ttl 128
10243/tcp open  unknown      syn-ack ttl 128
49152/tcp open  unknown      syn-ack ttl 128
49153/tcp open  unknown      syn-ack ttl 128
49154/tcp open  unknown      syn-ack ttl 128
49155/tcp open  unknown      syn-ack ttl 128
49158/tcp open  unknown      syn-ack ttl 128
49159/tcp open  unknown      syn-ack ttl 128
MAC Address: 74:DE:2B:AC:5A:2A (Liteon Technology)

Nmap scan report for 192.168.1.103
Host is up, received localhost-response (0.0000050s latency).
Not shown: 999 closed ports
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
Reason: 999 resets
PORT   STATE SERVICE REASON
22/tcp open  ssh     syn-ack ttl 64

Nmap done: 254 IP Adresses (8 hosts up) scanned in 7.79 seconds

Der SYN-Scan ist die Standardeinstellung und die beliebteste Scan-Methode. Er ist schnell, unauffällig, da er TCP-Verbindungen niemals abschließt und funktioniert bei allen konformen TCP-Stacks unabhängig von spezifischen Eigenarten diverser Betriebssysteme. Er erlaubt auch eine klare und zuverlässige Unterscheidung ob ein Port offen, geschlossen oder gefiltert ist.

Diese Methode wird oft als halboffenes Scannen bezeichnet, weil keine vollständige TCP-Verbindung hergestellt wird. Sie sendet ein SYN-Paket, als ob eine Verbindung hergestellt werden sollte, und wartet dann auf eine Antwort. Ein SYN/ACK zeigt, dass der Port offen ist, während ein RST anzeigt, dass kein Serverdienst darauf lauscht. Falls nach mehreren erneuten Übertragungen keine Antwort erhalten wird, kann davon ausgegangen werden, dass der Port von einer Firewall gefiltert wird. Der Port wird ebenfalls als gefiltert markiert, wenn ein ICMP Unreachable-Fehler empfangen wird.

Wenn Sie mehr über TCP/IP und diverse andere Protokolle wissen möchten oder Ihnen hier das meiste "spanisch" vorkommt kann ich Ihnen nur empfehlen, einige Wikipedia-Artikel und weitere Bücher zu den Themen Netzwerkprotokolle und Netzwerktopologien zu lesen. Dies alles nebenbei zu erklären würde den Rahmen dieses Beitrags bei weitem sprengen. Für diejenigen, denen dieses Wissen fehlt, die aber dennoch zügig weiterkommen wollen, werde ich immer wieder einige Vorgänge und Grundlagen stark vereinfacht und sehr oberflächlich nebenbei erklären.

Und darum will ich an der Stelle auch noch kurz auf den 3-Wege-Verbindungsaufbau (3-Way- Handschake) eingehen. Soll eine Verbindung zu einem Dienst aufgebaut werden, sendet der Client ein Paket mit gesetztem SYN-Flag (Synchronisation von Sequenznummern). Ist die Verbindung möglich, wird der Server darauf mit einem Paket antworten bei denen die SYN- und ACK-Flags (Acknowledgment = Bestätigung) gesetzt sind. Um den Verbindungsaufbau zu vollenden antwortet der Client darauf wieder mit einem dritten Paket, dass nur noch das ACK-Flag gesetzt hat als Bestätigung das zweite Paket erhalten zu haben.

Jeder der beiden Rechner kann die Verbindung bzw. den Aufbau der Verbindung zu jeder Zeit abbrechen indem ein Paket mit RST-Flag gesendet wird.

Als nächstes wollen wir uns den Rechner mit der IP 192.168.1.104 etwas genauer ansehen. Dazu verwenden wir folgenden Befehl:

root@kali:~# nmap -O -oA nmap/hosts --stylesheet=nmap.xsl --open --reason 192.168.1.104

Hierbei sind uns alle Optionen bereits bekannt bis auf -O was für Operatingsystem-detection, oder auf deutsch - Erkennung des Betriebssystems, steht.

Hierbei wird versucht auf Grund der Eigenarten und kleiner Unterschiede in den Protokoll-Implementierungen das laufende Betriebssystem zu erraten.

Die Ausgabe sieht dann wie folgt aus:

Starting Nmap 7.40 ( https://nmap.org ) at 2017-04-08 22:28 CEST
Nmap scan report for 192.168.1.104
Host is up, received arp-response (0.0080s latency).
Not shown: 982 closed ports
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
Reason: 982 resets
PORT      STATE SERVICE      REASON
21/tcp    open  ftp          syn-ack ttl 128
22/tcp    open  ssh          syn-ack ttl 128
80/tcp    open  http         syn-ack ttl 128
135/tcp   open  msrpc        syn-ack ttl 128
139/tcp   open  netbios-ssn  syn-ack ttl 128
443/tcp   open  https        syn-ack ttl 128
445/tcp   open  microsoft-ds syn-ack ttl 128
554/tcp   open  rtsp         syn-ack ttl 128
2869/tcp  open  icslap       syn-ack ttl 128
5357/tcp  open  wsdapi       syn-ack ttl 128
5900/tcp  open  vnc          syn-ack ttl 128
10243/tcp open  unknown      syn-ack ttl 128
49152/tcp open  unknown      syn-ack ttl 128
49153/tcp open  unknown      syn-ack ttl 128
49154/tcp open  unknown      syn-ack ttl 128
49155/tcp open  unknown      syn-ack ttl 128
49158/tcp open  unknown      syn-ack ttl 128
49159/tcp open  unknown      syn-ack ttl 128
MAC Address: 74:DE:2B:AC:5A:2A (Liteon Technology)
Device type: general purpose|media device
Running: Microsoft Windows 2008|10|7|8.1, Microsoft embedded
OS CPE: cpe:/o:microsoft:windows_server_2008::sp2
cpe:/o:microsoft:windows_10 cpe:/h:microsoft:xbox_one
cpe:/o:microsoft:windows_7::- cpe:/o:microsoft:windows_7::sp1
cpe:/o:microsoft:windows_8 cpe:/o:microsoft:windows_8.1
OS details: Microsoft Windows Server 2008 SP2 or Windows 10 or Xbox One,
Microsoft Windows 7 SP0 - SP1, Windows Server 2008 SP1, Windows Server 2008
R2, Windows 8, or Windows 8.1 Update 1
Network Distance: 1 hop

OS detection performed. Please report any incorrect results at
https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 3.62 seconds

nmap hat in diesem Fall geraten, dass ein Microsoft Windows 7 SP0 - SP1, Windows Server 2008 SP1, Windows Server 2008 R2, Windows 8, oder Windows 8.1 Update 1 läuft und damit völlig recht. Der Opfer-PC hat ein Windows 7 SP1 laufen.

Alternativ können wir auch ein Tool namens xprobe2 verwenden:

root@kali:~# xprobe2 192.168.1.104 -T 1-1024 -B

Xprobe2 v.0.3 Copyright (c) 2002-2005 fyodor@o0o.nu, ofir@sys-security.com,
meder@o0o.nu

[+] Target is 192.168.1.104
[+] Loading modules.
[+] Following modules are loaded:
[x] [1] ping:icmp_ping  -  ICMP echo discovery module
[x] [2] ping:tcp_ping  -  TCP-based ping discovery module
[x] [3] ping:udp_ping  -  UDP-based ping discovery module
[x] [4] infogather:ttl_calc  -  TCP and UDP based TTL distance calculation
[x] [5] infogather:portscan  -  TCP and UDP PortScanner
[x] [6] fingerprint:icmp_echo  -  ICMP Echo request fingerprinting module
[x] [7] fingerprint:icmp_tstamp  -  ICMP Timestamp request fingerprinting
module
[x] [8] fingerprint:icmp_amask  -  ICMP Address mask request fingerprinting
mod.
[x] [9] fingerprint:icmp_port_unreach  -  ICMP port unreachable
fingerprinting
                                         module
[x] [10] fingerprint:tcp_hshake  -  TCP Handshake fingerprinting module
[x] [11] fingerprint:tcp_rst  -  TCP RST fingerprinting module
[x] [12] fingerprint:smb  -  SMB fingerprinting module
[x] [13] fingerprint:snmp  -  SNMPv2c fingerprinting module
[+] 13 modules registered
[+] Initializing scan engine
[+] Running scan engine
[-] ping:tcp_ping module: no closed/open TCP ports known on 192.168.1.104.
                                         Module test failed
[-] ping:udp_ping module: no closed/open UDP ports known on 192.168.1.104.
                                         Module test failed
[-] No distance calculation. 192.168.1.104 appears to be dead or
                                           no ports known
[+] Host: 192.168.1.104 is up (Guess probability: 50%)
[+] Target: 192.168.1.104 is alive. Round-Trip Time: 0.50195 sec
[+] Selected safe Round-Trip Time value is: 1.00390 sec

[+] Portscan results for 192.168.1.104:
[+]  Stats:
[+]   TCP: 8 - open, 1010 - closed, 6 - filtered
[+]   UDP: 0 - open, 0 - closed, 0 - filtered
[+]   Portscan took 293.05 seconds.
[+]  Details:
[+]   Proto Port Num. State Serv. Name
[+]   TCP 21 open ftp
[+]   TCP 22 open ssh
[+]   TCP 80 open http
[+]   TCP 135 open loc-srv
[+]   TCP 139 open netbios-ssn
[+]   TCP 294 filtered N/A
[+]   TCP 302 filtered N/A
[+]   TCP 443 open https
[+]   TCP 445 open microsoft-ds
[+]   TCP 554 open rtsp
[+]   TCP 626 filtered N/A
[+]   TCP 685 filtered N/A
[+]   TCP 797 filtered N/A
[+]   TCP 914 filtered N/A
[+]  Other TCP ports are in closed state.
[+] SMB [Native OS: Windows 7 Home Premium 7601 Service Pack 1] [Native
Lanman: Windows 7 Home Premium 6.1] [Domain: WORKGROUP]
[+] SMB [Called name: TESTOPFER-PC ] [MAC: 74:de:2b:ac:5a:2a]

Und das hat in diesem Versuch noch genauere Ergebnisse geliefert. Damit Sie die lange Ausgabe besser Überblicken können hab ich Sie nach den wichtigen Passagen gekürzt.

Bevor wir anfangen nach Schwachstellen zu suchen, wollen wir aber noch etwas mehr über die laufenden Serverdienste hinter den geöffneten Ports herausfinden. Und das geht so:

root@kali:~# amap -i nmap/hosts.gnmap -Abq

Mittels -i nmap/hosts.gnmap lesen wir die zuvor von nmap erstellte Datei ein und prüfen die von nmap gefundenen IP-Adressen und offenen Ports.

Die Option -A sorgt dafür, dass amap nicht nur die Banner (Willkommensmeldungen der Serverdienste) scannt, sondern einen vollständigen Test durchführt.

Der Schalter -b gibt die ASCII-Banner aus falls welche empfangen wurden.

Und -q unterdrückt die Ausgabe von Ports, die geschlossen sind was die ohnehin schon chaotische Ausgabe etwas übersichtlicher macht.

Anstatt -A -b -q lassen sich diese Schalter auch verkürzt als -Abq schreiben.

Und das ist das Ergebnis:

amap v5.4 (www.thc.org/thc-amap) started at 2017-04-08 22:39:01 -
APPLICATION MAPPING mode

Protocol on 192.168.1.104:139/tcp matches netbios-session - banner:
Protocol on 192.168.1.104:21/tcp matches ftp - banner: 220 Hello, I‘m
freeFTPd 1.0\r\n
Protocol on 192.168.1.104:80/tcp matches http - banner: HTTP/1.0 404 Not
Found\r\n\r\n
Protocol on 192.168.1.104:443/tcp matches http - banner: HTTP/1.0 404 Not
Found\r\n
Protocol on 192.168.1.104:22/tcp matches ssh - banner:
SSH-2.0-WeOnlyDo-wodFTPD 2.1.8.98\r\n
...(Ausgabe gekürzt)
Protocol on 192.168.1.104:5900/tcp matches vnc - banner: RFB 005.000\n
Protocol on 192.168.1.104:21/tcp matches smtp - banner: 220 Hello, I‘m
freeFTPd 1.0\r\n500 Command not understood\r\n
Protocol on 192.168.1.104:5900/tcp matches mysql - banner: RFB 003.003\nToo
many security failures
Protocol on 192.168.1.104:445/tcp matches ms-ds - banner:
SMBrS\nP)3FihO`(+00\n+7\n+7\n
Protocol on 192.168.1.104:135/tcp matches netbios-session - banner: \rS
Protocol on 192.168.1.104:49152/tcp matches netbios-session - banner: \rS
Protocol on 192.168.1.104:49153/tcp matches netbios-session - banner: \rS
Protocol on 192.168.1.104:49154/tcp matches netbios-session - banner: \rS
Protocol on 192.168.1.104:49155/tcp matches netbios-session - banner: \rS
Protocol on 192.168.1.104:49159/tcp matches netbios-session - banner: \rS
Protocol on 192.168.1.104:49158/tcp matches netbios-session - banner: \rS

amap v5.4 finished at 2017-04-08 22:39:46

Aber auch nmap bietet eine solche Option mit dem Schalter -sV an:

root@kali:~# nmap -O -sV -oA nmap/hosts --stylesheet=nmap.xsl --open --reason 192.168.1.104

Starting Nmap 7.40 ( https://nmap.org ) at 2017-04-08 01:57 CEST
Nmap scan report for 192.168.1.104
Host is up, received arp-response (0.0080s latency).
Not shown: 984 closed ports
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
Reason: 984 resets
PORT      STATE SERVICE      REASON          VERSION
21/tcp    open  ftp          syn-ack ttl 128 FreeFTPd 1.0
22/tcp    open  ssh          syn-ack ttl 128 WeOnlyDo sshd 2.1.8.98
                                             (protocol 2.0)
80/tcp    open  http         syn-ack ttl 128
135/tcp   open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
139/tcp   open  netbios-ssn  syn-ack ttl 128 Microsoft Windows netbios-ssn
443/tcp   open  https        syn-ack ttl 128
445/tcp   open  microsoft-ds syn-ack ttl 128 Microsoft Windows 7 - 10
                                             microsoft-ds
                                             (workgroup: WORKGROUP)
554/tcp   open  rtsp?        syn-ack ttl 128
2869/tcp  open  http         syn-ack ttl 128 Microsoft HTTPAPI httpd 2.0
                                             (SSDP/UPnP)
5357/tcp  open  http         syn-ack ttl 128 Microsoft HTTPAPI httpd 2.0
                                             (SSDP/UPnP)

5900/tcp  open  vnc          syn-ack ttl 128 RealVNC Enterprise 5.3 or
later
                                             (protocol 5.0)
10243/tcp open  http         syn-ack ttl 128 Microsoft HTTPAPI httpd 2.0
                                             (SSDP/UPnP)
49152/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
49153/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
49154/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
49155/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
49158/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
49159/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
...(Ausgabe gekürzt)

nmap bietet sogar noch mehr - mit dem zusätzlichen Schalter -sC können wir diverse mitgelieferte Testscripts laufen lassen, die alle möglichen Tests auf Standard-Freigaben, Sicherheitslücken, häufige Fehlkonfigurationen und einiges mehr durchführen.

Diese Ausgabe sieht dann folgendermaßen aus:

root@kali:~# nmap -O -sV -sC -oA nmap/hosts --stylesheet=nmap.xsl --open --reason 192.168.1.104

Starting Nmap 7.40 ( https://nmap.org ) at 2017-04-08 02:11 CEST
Nmap scan report for 192.168.1.104
Host is up, received arp-response (0.0073s latency).
Not shown: 984 closed ports
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
Reason: 984 resets
PORT      STATE SERVICE      REASON          VERSION
21/tcp    open  ftp          syn-ack ttl 128 FreeFTPd 1.0
| ftp-anon: Anonymous FTP login allowed (FTP code 230)
|_Can‘t get directory listing: Can‘t parse PASV response:
  "Entering passive mode (192,168,1,104,-40,-229)"
|_ftp-bounce: bounce working!
22/tcp    open  ssh          syn-ack ttl 128 WeOnlyDo sshd 2.1.8.98 (
|                                            protocol 2.0)
| ssh-hostkey:
|_  1024 a6:df:8d:5d:54:3a:4a:f0:5c:46:bb:4a:4e:1f:77:b5 (RSA)
80/tcp    open  http         syn-ack ttl 128
| fingerprint-strings:
|   DNSVersionBindReq:
|     LUSq
|   FourOhFourRequest, GetRequest:
|    http/1.0 404 Not Found
|   ...(Ausgabe gekürzt)
|_http-title: Site doesn‘t have a title.
135/tcp   open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
139/tcp   open  netbios-ssn  syn-ack ttl 128 Microsoft Windows netbios-ssn
443/tcp   open  https        syn-ack ttl 128
| fingerprint-strings:
|   DNSVersionBindReq:
|     MW^d
|     \xd3
|   GetRequest:
|    http/1.0 404 Not Found
|   ...(Ausgabe gekürzt)
|_http-title: Site doesn‘t have a title.
445/tcp   open  microsoft-ds syn-ack ttl 128 Windows 7 Home Premium 7601
|                                            Service Pack 1 microsoft-ds
|                                            (workgroup: WORKGROUP)
554/tcp   open  rtsp?        syn-ack ttl 128
2869/tcp  open  http         syn-ack ttl 128 Microsoft HTTPAPI httpd 2.0
|                                            (SSDP/UPnP)
5357/tcp  open  http         syn-ack ttl 128 Microsoft HTTPAPI httpd 2.0
|                                            (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Service Unavailable
5900/tcp  open  vnc          syn-ack ttl 128 RealVNC Enterprise 5.3 or
later
|                                            (protocol 5.0)
| vnc-info:
|   Protocol version: 005.000
|   Security types:
|_    VNC Authentication (2)
10243/tcp open  http         syn-ack ttl 128 Microsoft HTTPAPI httpd 2.0
|                                            (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
49152/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
49153/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
49155/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
49158/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
49159/tcp open  msrpc        syn-ack ttl 128 Microsoft Windows RPC
...(Ausgabe gekürzt)

MAC Address: 74:DE:2B:AC:5A:2A (Liteon Technology)
Device type: general purpose
Running: Microsoft Windows 7|2008|8.1
OS CPE: cpe:/o:microsoft:windows_7::- cpe:/o:microsoft:windows_7::sp1
cpe:/o:microsoft:windows_server_2008::sp1
cpe:/o:microsoft:windows_server_2008:r2 cpe:/o:microsoft:windows_8
cpe:/o:microsoft:windows_8.1
OS details: Microsoft Windows 7 SP0 - SP1, Windows Server 2008 SP1, Windows
Server 2008 R2, Windows 8, or Windows 8.1 Update 1
Network Distance: 1 hop
Service Info: Host: TESTOPFER-PC; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
|_clock-skew: mean: -33s, deviation: 0s, median: -33s
|_nbstat: NetBIOS name: TESTOPFER-PC, NetBIOS user: ,
|         NetBIOS MAC: 74:de:2b:ac:5a:2a (Liteon Technology)
| smb-os-discovery:
|   OS: Windows 7 Home Premium 7601 Service Pack 1
|       (Windows 7 Home Premium 6.1)
|   OS CPE: cpe:/o:microsoft:windows_7::sp1
|   Computer name: TESTOPFER-PC
|   NetBIOS computer name: TESTOPFER-PC\x00
|   Workgroup: WORKGROUP\x00
|_  System time: 2017-04-08T02:13:20+02:00
| smb-security-mode:
|   account_used: <blank>
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: disabled (dangerous, but default)
|_smbv2-enabled: Server supports SMBv2 protocol

OS and Service detection performed. Please report any incorrect results at
https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 216.78 seconds

Das liefert uns Informationen über die Versionen der einzelnen Dienste und denen Konfiguration: zB:

| vnc-info:
|   Protocol version: 005.000
|   Security types:
|_    VNC Authentication (2)

und

| smb-security-mode:
|   account_used: <blank>
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: disabled (dangerous, but default)

Falls Sie sich sicher sind, dass ein Host erreichbar ist, dieser aber von nmap nicht gescannt werden kann weil er als offline erkannt wird dann kann das daran liegen, dass eine Firewall die Versuche erkennt den Host auf die Verfügbarkeit hin zu prüfen und dies unterbindet. In solchen Fällen lässt sich nmap mit der Option -Pn anweisen, jeden Host als online zu betrachten und alle Tests durchzuführen. Dies kann bei größeren IP-Bereichen, die gesannt werden sehr lange dauern.

Nachdem wir schon einiges über das System herausgefunden haben, wollen wir als nächstes einmal Testen, ob es aktuell noch nicht geschlossene Sicherheitslücken auf dem System gibt. nmap bietet hierzu einige Optionen:

root@kali:~# nmap -O -sV -sC -oA nmap/hosts --stylesheet=nmap.xsl --open --reason --script vuln,exploit,malware 192.168.1.104

Starting Nmap 7.70 ( https://nmap.org ) at 2018-09-11 23:17 EDT
Stats: 0:00:22 elapsed; 0 hosts completed (0 up), 0 undergoing Script
Pre-Scan
Pre-scan script results:
| broadcast-avahi-dos:
|   Discovered hosts:
|     224.0.0.251
|   After NULL UDP avahi packet DoS (CVE-2011-1002).
|_  Hosts are all up (not vulnerable).

Nmap scan report for 192.168.1.104
Host is up, received arp-response (0.00098s latency).
Not shown: 977 closed ports
Reason: 977 resets
PORT     STATE SERVICE     REASON         VERSION
21/tcp   open  ftp         syn-ack ttl 64 vsftpd 2.3.4
| ftp-vsftpd-backdoor:
|   VULNERABLE:
|   vsFTPd version 2.3.4 backdoor
|     State: VULNERABLE (Exploitable)
|     IDs:  OSVDB:73573  CVE:CVE-2011-2523
|       vsFTPd version 2.3.4 backdoor, this was reported on 2011-07-04.
|     Disclosure date: 2011-07-03
|     Exploit results:
|       Shell command: id
|       Results: uid=0(root) gid=0(root)
|     References:
|    https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/unix/ftp/vsftpd_234_backdoor.rb
|       http://osvdb.org/73573
|    http://scarybeastsecurity.blogspot.com/2011/07/alert-vsftpd-download-backdoored.html
|_      https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2523
|_sslv2-drown:
22/tcp   open  ssh         syn-ack ttl 64 OpenSSH 4.7p1 Debian 8ubuntu1
(protocol 2.0)
23/tcp   open  telnet      syn-ack ttl 64 Linux telnetd
25/tcp   open  smtp        syn-ack ttl 64 Postfix smtpd
| smtp-vuln-cve2010-4344:
|_  The SMTP server is not Exim: NOT VULNERABLE
| ssl-dh-params:
|   VULNERABLE:
|   Anonymous Diffie-Hellman Key Exchange MitM Vulnerability
|     State: VULNERABLE
|       Transport Layer Security (TLS) services that use anonymous
|       Diffie-Hellman key exchange only provide protection against passive
|       eavesdropping, and are vulnerable to active man-in-the-middle
attacks
|       which could completely compromise the confidentiality and integrity
|       of any data exchanged over the resulting session.
|     Check results:
|       ANONYMOUS DH GROUP 1
|             Cipher Suite: TLS_DH_anon_EXPORT_WITH_RC4_40_MD5
|             Modulus Type: Safe prime
|             Modulus Source: Unknown/Custom-generated
|             Modulus Length: 512
|             Generator Length: 8
|             Public Key Length: 512
|     References:
|       https://www.ietf.org/rfc/rfc2246.txt
|
|   Transport Layer Security (TLS) Protocol DHE_EXPORT Ciphers Downgrade
MitM (Logjam)
|     State: VULNERABLE
|     IDs:  OSVDB:122331  CVE:CVE-2015-4000
|       The Transport Layer Security (TLS) protocol contains a flaw that is
|       triggered when handling Diffie-Hellman key exchanges defined with
|       the DHE_EXPORT cipher. This may allow a man-in-the-middle attacker
|       to downgrade the security of a TLS session to 512-bit export-grade
|       cryptography, which is significantly weaker, allowing the attacker
|       to more easily break the encryption and monitor or tamper with
|       the encrypted stream.
|     Disclosure date: 2015-5-19
|     Check results:
|       EXPORT-GRADE DH GROUP 1
|             Cipher Suite: TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA
|             Modulus Type: Safe prime
|             Modulus Source: Unknown/Custom-generated
|             Modulus Length: 512
|             Generator Length: 8
|             Public Key Length: 512
|     References:
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-4000
|       https://weakdh.org
|       http://osvdb.org/122331
|
|   Diffie-Hellman Key Exchange Insufficient Group Strength
|     State: VULNERABLE
|       Transport Layer Security (TLS) services that use Diffie-Hellman
groups
|       of insufficient strength, especially those using one of a few
commonly
|       shared groups, may be susceptible to passive eavesdropping attacks.
|     Check results:
|       WEAK DH GROUP 1
|             Cipher Suite: TLS_DHE_RSA_WITH_DES_CBC_SHA
|             Modulus Type: Safe prime
|             Modulus Source: postfix builtin
|             Modulus Length: 1024
|             Generator Length: 8
|             Public Key Length: 1024
|     References:
|_      https://weakdh.org
| ssl-poodle:
|   VULNERABLE:
|   SSL POODLE information leak
|     State: VULNERABLE
|     IDs:  OSVDB:113251  CVE:CVE-2014-3566
|           The SSL protocol 3.0, as used in OpenSSL through 1.0.1i and
other
|           products, uses nondeterministic CBC padding, which makes it
easier
|           for man-in-the-middle attackers to obtain cleartext data via a
|           padding-oracle attack, aka the "POODLE" issue.
|     Disclosure date: 2014-10-14
|     Check results:
|       TLS_RSA_WITH_AES_128_CBC_SHA
|     References:
|       http://osvdb.org/113251
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3566
|       https://www.imperialviolet.org/2014/10/14/poodle.html
|_      https://www.openssl.org/~bodo/ssl-poodle.pdf
| sslv2-drown:
|   ciphers:
|     SSL2_DES_64_CBC_WITH_MD5
|     SSL2_RC4_128_WITH_MD5
|     SSL2_RC2_128_CBC_WITH_MD5
|     SSL2_DES_192_EDE3_CBC_WITH_MD5
|     SSL2_RC2_128_CBC_EXPORT40_WITH_MD5
|     SSL2_RC4_128_EXPORT40_WITH_MD5
|   vulns:
|     CVE-2016-0703:
|       title: OpenSSL: Divide-and-conquer session key recovery in SSLv2
|       state: VULNERABLE
|       ids:
|         CVE:CVE-2016-0703
|       description:
|               The get_client_master_key function in s2_srvr.c in the
SSLv2 implementation in
|       OpenSSL before 0.9.8zf, 1.0.0 before 1.0.0r, 1.0.1 before 1.0.1m,
and 1.0.2 before
|       1.0.2a accepts a nonzero CLIENT-MASTER-KEY CLEAR-KEY-LENGTH value
for an arbitrary
|       cipher, which allows man-in-the-middle attackers to determine the
MASTER-KEY value
|       and decrypt TLS ciphertext data by leveraging a Bleichenbacher RSA
padding oracle, a
|       related issue to CVE-2016-0800.
|
|       refs:
|         https://www.openssl.org/news/secadv/20160301.txt
|         https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0703
|     CVE-2016-0800:
|       title: OpenSSL: Cross-protocol attack on TLS using SSLv2 (DROWN)
|       state: VULNERABLE
|       ids:
|         CVE:CVE-2016-0800
|       description:
|               The SSLv2 protocol, as used in OpenSSL before 1.0.1s and
1.0.2 before 1.0.2g and
|       other products, requires a server to send a ServerVerify message
before establishing
|       that a client possesses certain plaintext RSA data, which makes it
easier for remote
|       attackers to decrypt TLS ciphertext data by leveraging a
Bleichenbacher RSA padding
|       oracle, aka a "DROWN" attack.
|
|       refs:
|         https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0800
|_        https://www.openssl.org/news/secadv/20160301.txt
53/tcp   open  domain      syn-ack ttl 64 ISC BIND 9.4.2
80/tcp   open  http        syn-ack ttl 64 Apache httpd 2.2.8 ((Ubuntu)
DAV/2)
| http-csrf:
| Spidering limited to: maxdepth=3; maxpagecount=20; withinhost=192.168.1.104
|   Found the following possible CSRF vulnerabilities:
|
|     Path: http://192.168.1.104:80/dvwa/
|     Form id:
|     Form action: login.php
|
|     Path: http://192.168.1.104:80/dvwa/login.php
|     Form id:
|     Form action: login.php
|
|     Path: http://192.168.1.104:80/mutillidae/index.php?page=register.php
|     Form id: id-bad-cred-tr
|     Form action: index.php?page=register.php
|
|     Path:
http://192.168.1.104:80/mutillidae/index.php?page=html5-storage.php
|     Form id: idform
|     Form action: index.php?page=html5-storage.php
|
|     Path:
http://192.168.1.104:80/mutillidae/index.php?page=view-someones-blog.php
|     Form id: id-bad-blog-entry-tr
|_    Form action: index.php?page=view-someones-blog.php
|_http-dombased-xss: Couldn't find any DOM based XSS.
| http-enum:
|   /tikiwiki/: Tikiwiki
|   /test/: Test page
|   /phpinfo.php: Possible information file
|   /phpMyAdmin/: phpMyAdmin
|   /doc/: Potentially interesting directory w/ listing on 'apache/2.2.8
(ubuntu) dav/2'
|   /icons/: Potentially interesting folder w/ directory listing
|_  /index/: Potentially interesting folder
|_http-server-header: Apache/2.2.8 (Ubuntu) DAV/2
| http-slowloris-check:
|   VULNERABLE:
|   Slowloris DOS attack
|     State: LIKELY VULNERABLE
|     IDs:  CVE:CVE-2007-6750
|       Slowloris tries to keep many connections to the target web server
open and hold
|       them open as long as possible.  It accomplishes this by opening
connections to
|       the target web server and sending a partial request. By doing so,
it starves
|       the http server's resources causing Denial Of Service.
|
|     Disclosure date: 2009-09-17
|     References:
|       http://ha.ckers.org/slowloris/
|_      https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-6750
| http-sql-injection:
|   Possible sqli for queries:
|   http://192.168.1.104:80/mutillidae/index.php?page=secret-administrative-pages.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=add-to-your-blog.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=register.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=arbitrary-file-inclusion.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/?page=add-to-your-blog.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=browser-info.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=usage-instructions.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=html5-storage.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=view-someones-blog.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=php-errors.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=password-generator.php%27%20OR%20sqlspider&username=anonymous
|   http://192.168.1.104:80/mutillidae/index.php?page=home.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=home.php&do=toggle-hints%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=captured-data.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/?page=show-log.php%27%20OR%20sqlspider
|   ... Ausgabe gekürzt
|   http://192.168.1.104:80/mutillidae/index.php?page=user-poll.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=site-footer-xss-discussion.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/?page=login.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/?page=text-file-viewer.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=text-file-viewer.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=capture-data.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=pen-test-tool-lookup.php%27%20OR%20sqlspider
|   http://192.168.1.104:80/mutillidae/index.php?page=user-info.php%27%20OR%20sqlspider
|_
http://192.168.1.104:80/mutillidae/index.php?page=captured-data.php%27%20OR%20sqlspider
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
|_http-trace: TRACE is enabled
|_http-vuln-cve2017-1001000: ERROR: Script execution failed (use -d to
debug)
111/tcp  open  rpcbind     syn-ack ttl 64 2 (RPC #100000)
| rpcinfo:
|   program version   port/proto  service
|   100000  2            111/tcp  rpcbind
|   100000  2            111/udp  rpcbind
|   100003  2,3,4       2049/tcp  nfs
|   100003  2,3,4       2049/udp  nfs
|   100005  1,2,3      48124/tcp  mountd
|   100005  1,2,3      60259/udp  mountd
|   100021  1,3,4      50179/udp  nlockmgr
|   100021  1,3,4      55481/tcp  nlockmgr
|   100024  1          33077/tcp  status
|_  100024  1          39278/udp  status
139/tcp  open  netbios-ssn syn-ack ttl 64 Samba smbd 3.X - 4.X (workgroup:
WORKGROUP)
445/tcp  open  netbios-ssn syn-ack ttl 64 Samba smbd 3.X - 4.X (workgroup:
WORKGROUP)
512/tcp  open  exec        syn-ack ttl 64 netkit-rsh rexecd
513/tcp  open  login       syn-ack ttl 64 OpenBSD or Solaris rlogind
514/tcp  open  tcpwrapped  syn-ack ttl 64
1099/tcp open  rmiregistry syn-ack ttl 64 GNU Classpath grmiregistry
| rmi-vuln-classloader:
|   VULNERABLE:
|   RMI registry default configuration remote code execution vulnerability
|     State: VULNERABLE
|       Default configuration of RMI registry allows loading classes from
remote URLs which can lead to remote code execution.
|
|     References:
|_
https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/multi/misc/java_rmi_server.rb
1524/tcp open  bindshell   syn-ack ttl 64 Metasploitable root shell
2049/tcp open  nfs         syn-ack ttl 64 2-4 (RPC #100003)
2121/tcp open  ftp         syn-ack ttl 64 ProFTPD 1.3.1
|_sslv2-drown:
3306/tcp open  mysql       syn-ack ttl 64 MySQL 5.0.51a-3ubuntu5
5432/tcp open  postgresql  syn-ack ttl 64 PostgreSQL DB 8.3.0 - 8.3.7
| ssl-ccs-injection:
|   VULNERABLE:
|   SSL/TLS MITM vulnerability (CCS Injection)
|     State: VULNERABLE
|     Risk factor: High
|       OpenSSL before 0.9.8za, 1.0.0 before 1.0.0m, and 1.0.1 before 1.0.1h
|       does not properly restrict processing of ChangeCipherSpec messages,
|       which allows man-in-the-middle attackers to trigger use of a zero
|       length master key in certain OpenSSL-to-OpenSSL communications, and
|       consequently hijack sessions or obtain sensitive information, via
|       a crafted TLS handshake, aka the "CCS Injection" vulnerability.
|
|     References:
|       http://www.openssl.org/news/secadv_20140605.txt
|       http://www.cvedetails.com/cve/2014-0224
|_      https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0224
| ssl-dh-params:
|   VULNERABLE:
|   Diffie-Hellman Key Exchange Insufficient Group Strength
|     State: VULNERABLE
|       Transport Layer Security (TLS) services that use Diffie-Hellman
groups
|       of insufficient strength, especially those using one of a few
commonly
|       shared groups, may be susceptible to passive eavesdropping attacks.
|     Check results:
|       WEAK DH GROUP 1
|             Cipher Suite: TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA
|             Modulus Type: Safe prime
|             Modulus Source: Unknown/Custom-generated
|             Modulus Length: 1024
|             Generator Length: 8
|             Public Key Length: 1024
|     References:
|_      https://weakdh.org
| ssl-poodle:
|   VULNERABLE:
|   SSL POODLE information leak
|     State: VULNERABLE
|     IDs:  OSVDB:113251  CVE:CVE-2014-3566
|           The SSL protocol 3.0, as used in OpenSSL through 1.0.1i and
other
|           products, uses nondeterministic CBC padding, which makes it
easier
|           for man-in-the-middle attackers to obtain cleartext data via a
|           padding-oracle attack, aka the "POODLE" issue.
|     Disclosure date: 2014-10-14
|     Check results:
|       TLS_RSA_WITH_AES_128_CBC_SHA
|     References:
|       http://osvdb.org/113251
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3566
|       https://www.imperialviolet.org/2014/10/14/poodle.html
|_      https://www.openssl.org/~bodo/ssl-poodle.pdf
|_sslv2-drown:
5900/tcp open  vnc         syn-ack ttl 64 VNC (protocol 3.3)
|_sslv2-drown:
6000/tcp open  X11         syn-ack ttl 64 (access denied)
6667/tcp open  irc         syn-ack ttl 64 UnrealIRCd
|_irc-unrealircd-backdoor: Looks like trojaned version of unrealircd. See
http://seclists.org/fulldisclosure/2010/Jun/277
8009/tcp open  ajp13       syn-ack ttl 64 Apache Jserv (Protocol v1.3)
8180/tcp open  http        syn-ack ttl 64 Apache Tomcat/Coyote JSP engine
1.1
| http-cookie-flags:
|   /admin/:
|     JSESSIONID:
|       httponly flag not set
|   /admin/index.html:
|     JSESSIONID:
|       httponly flag not set
|   /admin/login.html:
|     JSESSIONID:
|       httponly flag not set
|   /admin/admin.html:
|     JSESSIONID:
|       httponly flag not set
|   /admin/account.html:
|     JSESSIONID:
|       httponly flag not set
|   /admin/admin_login.html:
|     JSESSIONID:
|       httponly flag not set
|
|   ... Ausgabe gekürzt
|
 /admin/view/javascript/fckeditor/editor/filemanager/connectors/test.html:
|     JSESSIONID:
|       httponly flag not set
|   /admin/includes/FCKeditor/editor/filemanager/upload/test.html:
|     JSESSIONID:
|       httponly flag not set
|   /admin/jscript/upload.html:
|     JSESSIONID:
|_      httponly flag not set
| http-csrf:
| Spidering limited to: maxdepth=3; maxpagecount=20; withinhost=192.168.1.104
|   Found the following possible CSRF vulnerabilities:
|
|     Path: http://192.168.1.104:8180/admin/
|     Form id: username
|_    Form action:
j_security_check;jsessionid=136C76634FF53BCF0ED6CE4B2632E6D0
|_http-dombased-xss: Couldn't find any DOM based XSS.
| http-enum:
|   /admin/: Possible admin folder
|   /admin/index.html: Possible admin folder
|   /admin/login.html: Possible admin folder
|   /admin/admin.html: Possible admin folder
|   /admin/account.html: Possible admin folder
|   /admin/admin_login.html: Possible admin folder
|   /admin/home.html: Possible admin folder
|   /admin/admin-login.html: Possible admin folder
|   /admin/adminLogin.html: Possible admin folder
|   /admin/controlpanel.html: Possible admin folder
|   /admin/cp.html: Possible admin folder
|   /admin/index.jsp: Possible admin folder
|   /admin/login.jsp: Possible admin folder
|   /admin/admin.jsp: Possible admin folder
|   /admin/home.jsp: Possible admin folder
|   /admin/controlpanel.jsp: Possible admin folder
|   /admin/admin-login.jsp: Possible admin folder
|   /admin/cp.jsp: Possible admin folder
|   /admin/account.jsp: Possible admin folder
|   /admin/admin_login.jsp: Possible admin folder
|   /admin/adminLogin.jsp: Possible admin folder
|   /manager/html/upload: Apache Tomcat (401 Unauthorized)
|   /manager/html: Apache Tomcat (401 Unauthorized)
|
 /admin/view/javascript/fckeditor/editor/filemanager/connectors/test.html:
OpenCart/FCKeditor File upload
|   /admin/includes/FCKeditor/editor/filemanager/upload/test.html: ASP
Simple Blog / FCKeditor File Upload
|   /admin/jscript/upload.html: Lizard Cart/Remote File upload
|_  /webdav/: Potentially interesting folder
|_http-server-header: Apache-Coyote/1.1
| http-slowloris-check:
|   VULNERABLE:
|   Slowloris DOS attack
|     State: LIKELY VULNERABLE
|     IDs:  CVE:CVE-2007-6750
|       Slowloris tries to keep many connections to the target web server
open and hold
|       them open as long as possible.  It accomplishes this by opening
connections to
|       the target web server and sending a partial request. By doing so,
it starves
|       the http server's resources causing Denial Of Service.
|
|     Disclosure date: 2009-09-17
|     References:
|       http://ha.ckers.org/slowloris/
|_      https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-6750
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
MAC Address: 08:00:27:D7:A5:17 (Oracle VirtualBox virtual NIC)
Device type: general purpose
Running: Linux 2.6.X
OS CPE: cpe:/o:linux:linux_kernel:2.6
OS details: Linux 2.6.9 - 2.6.33
Network Distance: 1 hop
Service Info: Hosts:  metasploitable.localdomain, localhost,
irc.Metasploitable.LAN; OSs: Unix, Linux; CPE: cpe:/o:linux:linux_kernel

Host script results:
|_smb-vuln-ms10-054: false
|_smb-vuln-ms10-061: false

OS and Service detection performed. Please report any incorrect results at
https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 380.06 seconds

Mit --script gefolgt von einem oder mehreren bestimmten Scriptnamen oder wie hier eine Kategorie legt fest welche Testscripts laufen sollen. Neben vuln, expoit und malware gibt es noch die Kategorien auth, broadcast, brute, default, discovery, dos, external, fuzzer, intrusive, safe und version.

Mit dem Schalter -sC ohne weiterer Angaben werden die Standard Test-Scripts bin Scan ausgeführt.

So ein Scan ist allerdings wieder recht laut und auffällig. Daher würde ich vorab eher jeden Dienst von Hand googeln und nach bekannten Sicherheitslücken und Fehlkonfigurationen suchen! Hierzu bietet sich auch das Tool searchsploit an, dass natürlich in Kali bereits vorinstalliert ist!