お久しぶりです。
３年生の就活は結構忙しい：自己PR、自己分析、グループディスーカション。。。そして会社の長期インターンもやらないといけないなど、、、ですからQIITAで記事を書くことは忘れてしまいました。
前回OSINTを紹介すると申し上げたのですが、やはり論述的な文章が苦手で（外人だから日本語についてもう手の施ししょうがない状態 笑）、今日もNMAP復習のため、簡単なNMAPとWIRESHARKの使い方を紹介したいと思います。
Namp
WIKI、英語文献など、NMAPについての紹介が結構書いています.
NMAPの役割は大体４つ：
-Host dicovery
-Servic、Version detection
-Operating System detection
-Network traceroute
-Nmap Scripting Engine
侵入の流れもこういう感じです。
１、Host dicovery：
侵入する前に、相手のサーバーは「UP」(生きているか？)の状態かどうかを判断します。基本的に「PING」します。近年「FIREWALL」結構進化しているらしいから、正直、リアルで何回PINGしても答えが得られない場合が多いです、一応仕事の流れ見たいに、まず目標システムを「PINｇ」しましょう。ここで使うパラメータは -snです。
例：
ここで、192.168.135.130をスキャンする時、ターミナルに
nmap -sn [192.168.135.130]入力します。
こんな結果が出ます。簡単なPINGだから、もらえる情報量は当然少ないです。
2.Servic、Version detection
一応「PING」してから目標システムが生きていること*（Host is up）を確認しました。だが手に入れた情報量は足りないので、更に掘り出します。
ここでTCP SYNスキャンを行います。
nmap -sS 192.168.135.130
前回より情報量が増えたでしょう。
では、このコマンドは何でSYNスキャンと呼ぶの？一回WIRESHARKの中での様子を確認します。
WIRESHARK
WIRESHARKの紹介も結構多いから、ここで割愛します。
WIRESHARKの起動もすごく簡単で、ターミナルにwireshark入力するだけです。
下の図はWIRESHARKの作動画面です、「eth0」を2回クリックします！
ethはイーサネットカードの意味で、0は0号イーサネットカードのことを指します。イーサネットカードを監視したら、自分のパソコンのプログラムはどのIPと通信してるか、すぐわかります。
2回をクリックします：こんな感じです。
もう一度 nmap -sS 192.168.135.130入力してみます。すると：
Soureceの192.168.135.141はSYNパケットの送り側です。
Destinationは（IPアドレス：192.168.135.130）SYNパケットを受け取る側です。
図のNO７番では（赤い枠）、SOURCE側は一旦Destination側にSYNパケットを送ります。すると、Destination側の返信スピードが遅いかなと考えているSOURCE側は、続いて別のSYNパケット（8番）を送ります。NO７の返信がまだ届いていないのに、SOURCE側続いて9,10,11番のSYNパケットを送ります。
そして、Destination側はようやくNO７番のパケットを受け取り、続いて８，９，１０のパケットも届いたということ気づきました！しかしNO７は先に来たから、すぐSource側にNO７番の返信をします。その返信は【NO１２】です。図の中に赤い長方形を付けました。
８番のお客様の返信は１４になります：
「 info」のメッセージから見ると、NO７の送り側（source 192.168.135.141）はSYNパケットだけ送りました、するとNO１２番のDestinationは【RST,ACK】を返信しました。いわゆるNMAPの-sSパラメータはsynパケットを送るだけ、そして、もし目標システムは「RST」あるいは「SYN＋ACK」を返信したら、このシステムは「生きている」とNMAPが判断します。
ではもう一度NO7「info」を注目しましょう：（フィルター：tcp.portを使います。）
５６２８２>1720 [syn]..........
これはSOURCE側の５６２８２ポートからDestinationの１７２０ポートにSYNパケットを送ります。相手の１７２０ポートに実行しているサービスをチェックします。
しかし、Detination側は１７２０ポートで何も実行していないです：
そして Destination側は「RST,ACK」を返事しました（申しわけないです、１７２０は何もないから、今回の握手はRESET（RST）させていただきます。）
上図から見ると５１２ポートはexecというサービスを実行しているらしい。もう一度WIRESHARKで見ると：
今回は５１２にサービスが実行しているから、普通にTCPの３回握手見たいなSYN＋ACKを返事しました。でも通信したくないからSOURCE側はこの後何も返事なく、Destination側が仕方なくRESETを送りました。
次回はFINスキャン、TCP-CONNECTスキャンなどを紹介したいと思います。どうぞよろしくお願いします。