OS Fingerprinting

ISN
Scapy có thể được sử dụng để phân tích ISN (Initial Sequence Number) số gia để có thể khám phá các hệ thống dễ bị tổn thương. Đầu tiên chúng tôi sẽ thu thập phản hồi mục tiêu bằng cách gửi một số đầu dò SYN trong một vòng lặp:

>>> ans,unans=srloop(IP(dst="192.168.1.1")/TCP(dport=80,flags="S"))

Một khi chúng ta có được một số lượng hợp lý các câu trả lời, chúng tôi có thể bắt đầu phân tích dữ liệu thu thập được với một cái gì đó như thế này:

>>> temp = 0
>>> for s,r in ans:
...    temp = r[TCP].seq - temp
...    print str(r[TCP].seq) + "\t+" + str(temp)
...
4278709328      +4275758673
4279655607      +3896934
4280642461      +4276745527
4281648240      +4902713
4282645099      +4277742386
4283643696      +5901310

nmap_fp
Nmap vân tay (cũ "thế hệ 1" một trong đó đã được thực hiện bởi Nmap lên v4.20) hỗ trợ trên Scapy. Trong Scapy v2, bạn phải nạp một mô-đun mở rộng đầu tiên:

>>> load_module("nmap")

Nếu bạn có Nmap cài đặt, bạn có thể sử dụng nó hoạt động cơ sở dữ liệu os dấu vân tay với Scapy. Hãy chắc chắn rằng phiên bản 1 của cơ sở dữ liệu chữ ký nằm trong đường dẫn được xác định bởi:

>>> conf.nmap_base

Sau đó, bạn có thể sử dụng chức năng nmap_fp () mà thực hiện cùng một thiết bị thăm dò như trong động cơ OS Detection Nmap của:

>>> nmap_fp("192.168.1.1",oport=443,cport=1)
Begin emission:
.****..**Finished to send 8 packets.
*................................................
Received 58 packets, got 7 answers, remaining 1 packets
(1.0, ['Linux 2.4.0 - 2.5.20', 'Linux 2.4.19 w/grsecurity patch',
'Linux 2.4.20 - 2.4.22 w/grsecurity.org patch', 'Linux 2.4.22-ck2 (x86)
w/grsecurity.org and HZ=1000 patches', 'Linux 2.4.7 - 2.6.11'])

p0f

Nếu bạn đã p0f cài đặt trên hệ thống của bạn, bạn có thể sử dụng nó để đoán tên hệ điều hành và phiên bản ngay từ Scapy (chỉ có cơ sở dữ liệu SYN được sử dụng). Đầu tiên hãy chắc chắn rằng cơ sở dữ liệu p0f tồn tại trong đường dẫn được xác định bởi:

>>> conf.p0f_base

Ví dụ để đoán hệ điều hành từ một gói tin bị bắt duy nhất:

>>> sniff(prn=prnp0f)
192.168.1.100:54716 - Linux 2.6 (newer, 1) (up: 24 hrs)
  -> 74.125.19.104:www (distance 0)
<Sniffed: TCP:339 UDP:2 ICMP:0 Other:156>