Разбор результатов TCP-сканирования портов

Разбор задачки про tcpdump В задачке приняло участие не так много участников, как хотелось бы, но будем думать, что эта тема всем понятна😄 читаем сам дамп:

Порт 22: S → S/ACK → R → open Порт 23: S → R/ACK → closed Порт 80: S → тишина, повторный S → filtered

🔐 22 — open. Сервер ответил SYN/ACK ([S.]): порт слушает. 🚪 23 — closed. Хост жив, но на порту никто не слушает, и он ответил RST/ACK ([R.]). 🛡 80 — filtered. Ответа нет, Nmap повторил SYN. Скорее всего, пакеты дропает файрвол. ⚙️ Тип скана: SYN (half-open), -sS. Получив SYN/ACK, клиент не отправил ACK, а оборвал соединение через RST. Connect-скан (-sT) довёл бы рукопожатие до конца. Зачем RST: соединение не доходит до приложения, а запись о полуоткрытом соединении быстро освобождается. Но IDS такой скан всё равно видит. Проверяем:

sudo nmap -sS -p 22,23,80 --reason 10.0.0.10

22/tcp open     ssh     syn-ack
23/tcp closed   telnet  reset
80/tcp filtered http    no-response

🧠 Главная мысль: open, closed и filtered — это три разных реакции на один и тот же SYN. Различаешь их по ответу, а не по цвету в терминале. Спасибо всем, кто пишет в комменты и ставит реакции! 🙌 #разбор #network #nmap #pentest