Port Tarama Mantığı ve Nmap'e Teknik Bakış
TCP/IP el sıkışmasının port taramanın temelini nasıl oluşturduğu ve Nmap'in tarama tekniklerinin iç işleyişi.
Port tarama, bir hedef sistemde hangi portların açık, kapalı veya filtrelenmiş olduğunu belirlemeye yarayan bir keşif (reconnaissance) tekniğidir. Bu makale, Nmap'in farklı tarama modlarının TCP/IP protokolünü nasıl istismar ettiğine odaklanır.
TCP Üç Yollu El Sıkışması ve SYN Taraması
Normal bir TCP bağlantısı üç adımda kurulur: SYN → SYN-ACK → ACK. Nmap'in varsayılan ve en yaygın kullanılan tekniği olan SYN taraması (-sS), bu el sıkışmasını kasıtlı olarak yarıda bırakır:
nmap -sS -p 1-1000 192.0.2.10
- Nmap hedefe bir SYN paketi gönderir.
- Port açıksa, hedef SYN-ACK ile yanıt verir.
- Nmap, bağlantıyı tamamlamak yerine (ACK göndermek yerine) bir RST (reset) gönderir.
Bu "yarım el sıkışma" tekniğine "stealth scan" denmesinin sebebi, bağlantının hiçbir zaman tam olarak kurulmaması ve bu yüzden çoğu uygulama logunun (uygulama katmanında logging yapan sistemlerin) bu taramayı kaydetmemesidir — ancak modern IDS/IPS sistemleri SYN taramasını paket seviyesinde rahatlıkla tespit eder.
Port Durumlarının Yorumlanması
| Yanıt | Nmap Yorumu |
|---|---|
| SYN-ACK | open |
| RST | closed |
| Yanıt yok / ICMP unreachable | filtered |
"Filtered" durumu özellikle önemlidir çünkü bu genellikle bir firewall'ın paketi sessizce düşürdüğü (drop) anlamına gelir — saldırgan için "bir şey var ama göremiyorum" sinyali.
Diğer Tarama Teknikleri
- Connect scan (-sT): Tam TCP el sıkışmasını tamamlar, root yetkisi gerektirmez ama daha kolay loglanır.
- UDP taraması (-sU): UDP bağlantısızdır (connectionless), bu yüzden port açık/kapalı ayrımı ICMP port unreachable mesajlarının varlığına/yokluğuna dayanır — çok daha yavaş ve güvenilirliği düşüktür.
- FIN/NULL/Xmas taramaları: RFC 793'e göre, kapalı bir port beklenmeyen bir bayrak (flag) kombinasyonu aldığında RST döndürmelidir; açık portlar genelde sessiz kalır. Bazı stateless firewall'lar bu tür "anormal" paketleri SYN taraması kadar sıkı filtrelemediği için bu teknikler bazen SYN taramasının tespit edildiği ortamlarda işe yarayabilir.
Servis ve Versiyon Tespiti
-sV bayrağı, Nmap'in açık bir portla banner grabbing ve protokol-özel prob'lar göndererek çalışan servisin (Apache 2.4.41, OpenSSH 8.2 gibi) tam sürümünü tespit etmeye çalışmasını sağlar. Bu bilgi, bilinen CVE veritabanlarıyla eşleştirilerek hedefte hangi bilinen zafiyetlerin bulunabileceği hakkında ipucu verir.
Pratik Senaryo
Yetkili bir sızma testi (penetration test) sırasında, test ekibi önce gizli bir SYN taraması (-sS -T2 — T2 yavaş zamanlama şablonu, tespit riskini azaltmak için) çalıştırıyor ve hedef ağda 22 (SSH), 443 (HTTPS) portlarının açık, 3389'un (RDP) ise "filtered" göründüğünü tespit ediyor. Bu "filtered" sonucu, ekibe RDP'nin muhtemelen bir firewall arkasında olduğunu ve doğrudan erişimin mümkün olmadığını, ama içeriden bir noktadan (örneğin ele geçirilmiş bir iç sunucudan) pivot yapılması gerekebileceğini gösteriyor.
Yasal Uyarı
Başkasına ait bir sisteme izinsiz port taraması yapmak, birçok ülkede (Türkiye'de TCK 243-245 kapsamında olabileceği gibi) suç teşkil edebilir. Port tarama teknikleri sadece kendi sistemlerinizde veya yazılı izin alınmış (scope belgesi imzalanmış) ortamlarda kullanılmalıdır.
Bu makale, port tarama ve Nmap kullanımının orta-ileri seviye teknik bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.