Nmap actualiza su PING

Dentro de los importantes cambios realizados a la nueva versión de Nmap (5.0) me sorprendió encontrar una nueva versión del famoso "PING de Nmap".


El PING de Nmap, también conocido como Ping Sweep, se encuentra dentro de la importante etapa de host discovery que se encarga de descubrir los hosts vivos a los cuales realizaremos luego el escaneo de puertos. En la versión 5.0 de Nmap se ha optimizado este algoritmo para que sea mas eficiente, pero lo que no deja de atormentarme durante las noches es porque no lo han modificado años atras y si realmente este nuevo algoritmo posee la mejor combinación de pruebas a realizar... :-?

http://nmap.org/5/#changes

"The host discovery (ping probe) defaults have been enhanced to include twice as many probes. The default is now "-PE -PS443 -PA80 -PP". In exhaustive testing of 90 different probes, this emerged as the best four-probe combination, finding 14% more Internet hosts than the previous default, "-PE -PA80". The default for non-root users is -PS80,443, replacing the previous default of -PS80. In addition, ping probes are now sent in order of effectiveness (-PE first) so that less effective probes may not have to be sent. ARP ping is still the default on local ethernet networks. "

Hasta que salió la versión 5.0, el PING de Nmap por default, consistia en enviar un ICMP echo-request (el clásico PING de ICMP) y un paquete ACK al puerto 80. Obviamente esto era efectivo muchos años atras cuando no existían firewalls stateful y los administradores no filtraban ICMP por default. (Mas info aquí)

Ahora al PING anterior, que consistia en un ICMP echo-request y un ACK al puerto 80, le agregaron un paquete SYN al puerto 443 y un paquete ICMP timestamp-request. Según lo que dice la web de Nmap, después de realizar 90 pruebas diferentes, esta combinación permitió encontrar un 14% mas de hosts en Internet.

Para mi la clave esta en la frase "14% more Internet hosts". Puedo decir que después de haber realizado muchos escaneos de puertos a lo largo de estos años, las redes argentinas y también latinoamericanas en Internet, son diferentes(puertos abiertos/cerrados/filtrados) al resto de redes en Internet de otros paises y obviamente representan un porcentaje sumamente chico del total de Internet.

Probablemente este nuevo algoritmo sea el mas efectivo en toda la Internet, pero tal vez tengamos que customizarlo para que sea aun mas efectivo en algunas redes en particular. IMHO

Algunos posts relacionados:
- Cómo Optimizar el Host Discovery en Nmap
- Los Puertos Más Usados En Internet
- Nunca Confíes En Tus Herramientas
- PortBunny y la Guerra de los Port Scanners