[HaBo]

TheVoid

Anzeige

Hallo Board,
welche wege gibt es, um herauszufinden, welcher webserver auf einem host läuft?
das einfach telnetten schliesse ich mal aus, da man den string leicht verändern kann. welche anderen möglichkeiten gibt es?
oder sag mir wer wonach ich googlen soll.. ich finde einfach nur müll zu dem thema

antcool

Suche mal das Progamm "httpLupe".
Das müsste so was sein was du suchst.

MoD

Hm, man könnte auch versuchen, ein Whois, von einer bekannten Seite, die auf dem Server läuft abzuschicken. Gibt das nicht auch den Servertyp an?

Und wenn nicht, weis man wenigstens wo das Zeug gehostet ist - und über den Provider bekommt man bestimmt was raus.

junglehell

www.netcraft.com

/proxy firewalls verfälschen das Ergebnis ....

poiin2000

Diverse Automatische Scanner welche sich nicht nur auf den Bannertext verlassen.(z.B. Symantec Enterprise Security Manager)

Dies sind die Varianten welche zu den genannten noch Erfolgsversprechend aussehen.

Natürlich waren das nicht alle Möglichkeiten, sollte aber eigentlich genügen.


p2k

TheVoid

ok.. also netcraft spuckt nur sache aus, die ich eh schon weiss, bzw auch nur den versionstring.
whois fällt auch weg.
bleibt noch das symantec-gelöt mal testen.

DocZimmermann

Hi
Nimm doch einfach nessus.
Der ermittelt dir nicht nur Server-Type sondern auch Ordner und offene CGI Scripte u.v.m.
Nessus

Gruß
TheDoc

poiin2000

Soweit ich weiss greift Nessus nur das Banner ab, welches hier aber zur Analyse ncht verwendet wrd.

TheVoid

gibt es nciht sowas, was telnet mit tcp-fingerprinting macht um das potentielle OS rauszufinden für webserver?
vielleicht haben bestimmte webserver eigenheiten in antworten/timing/sonstwas.. bin da nicht so firm.. deshalb der post

Rushjo

@poiin2000

Soweit ich weiss, kannst Du bei Nessus sehr definieren, wie es sein Informationen erhalten
soll und welche "vulnerability"-Test er durchführen soll, inklusive nmap-scan mit OS-Guess,
Auswahl von zu testenen "vulnerabilities".
Aus dieser Menge der Information bekommt man dann schon den richtigen WebServer heraus.
Das Hauptproblem ist, das ein Nessus-Scan 1. zu auffällig ist und 2. die IP des Scanners sich
nicht sinnvoll spoofen läßt, da Du ja auch Ergebnis angezeigt haben möchtest. Zu 2. wäre die
Alternative den Nessus-Server an anderer Stelle als den Nessus-Client aufzusetzen.

@TheVoid

Na klar, diese Tatsachen werden bei NMap ausgenutzt, welches die Antwortes dann mit einer
Datenbank vergleicht und einen "Remote-OS-Guess" macht. Nur kennst Du damit lediglich das
OS und noch nicht den verwendeten WebServer.

MfG Rushjo

poiin2000

Nessus liest zu Identifikation des Dienstes das Banner aus.
Der gleiche Effekt wie durch telnet/netcat.
Da die Gefahr besteht das diese Informationen falsch sind, kann Nessus auch alle Vulnerability welche für http Daemonen bekannt sind testen.

Aufgrund der gefundenen Sicherheitslücken und eines positiven OS Fingerprints laesst sich die Version des Dienstes sicherlich auch einschränken, wenn nicht gar genau bestimmen.

Dabei darf aber nicht vergessen werden das solch ein Scan selbst den dummen Admins auffällt.

Man sollte sich hier 2 Fragen stellen.

Wie sicher muss die Identifikation des Dienstes sein?
Wie gross darf die Gefahr einer Endeckung sein?

Für die hohe Identifikation spricht schon der Punkt, das falsche angewandte Sicherheitslücken einen Dienst abstürzen lassen sowie eine IDS/SIF warnen können.

Aber umso grösser die Aktivität des Scan ist, um so grösser wird wiederum die Gefahr der Endeckung durch IDS/SIF und Konsorten.

Die richtige Wahl muss jeder für sich selber finden.
Hier gibt es jedenfalls keinen goldenen Mittelweg.


Zusammenfassung aller bisher erwähnten Methoden:


www.netcraft.com : Bietet ein httpd whois Dienst an.

phpinfo(); : Daten per php auslesen. Erfordert Schreibzugriff auf Webspace sowie PHP Unterstützung.

Vollautomatische Scanner(Vulnerability Scanner) wie : Symantec Enterprise Security Manager, Nessus und co.



Gruss poiin2000

SIF (Stateful Inspection Firewalls)