ike-scan: en línea en la nube

PROGRAMA:

NOMBRE

ike-scan: detecta y detecta hosts IKE (servidores VPN IPsec)

SINOPSIS

ike-escanear [opciones] [anfitriones...]

Los hosts de destino deben especificarse en la línea de comando a menos que el --expediente Se especifica la opción.

DESCRIPCIÓN

ike-escanear descubre hosts IKE y también puede realizarles huellas digitales mediante la retransmisión
patrón de retroceso.

ike-escanear hace dos cosas:

1) Descubrimiento: determine qué hosts están ejecutando IKE. Esto se hace mostrando esos
hosts que responden a las solicitudes IKE enviadas por ike-escaneo.

2) Toma de huellas digitales: determine qué implementación de IKE están usando los hosts. Existen
varias formas de hacer esto: (a) Toma de huellas dactilares de retroceso: registrando los tiempos de
Paquetes de respuesta IKE de los hosts de destino y comparación de los
patrón de retroceso de retransmisión frente a patrones conocidos; (b) huellas dactilares de identificación del proveedor
- hacer coincidir las identificaciones de proveedores específicas del proveedor con los patrones de identificación de proveedores conocidos; y C)
códigos de mensaje de notificación patentados.

El concepto de huellas dactilares de retransmisión de retransmisión se analiza con más detalle en el UDP
papel de toma de huellas dactilares retroceso que debe incluirse en el kit ike-scan como upp-backoff-
huella dactilar-papel.txt.

El programa envía solicitudes IKE Phase-1 a los hosts especificados y muestra las respuestas
que se reciben. Maneja el reintento y la retransmisión con retroceso para hacer frente al paquete
pérdida. También limita la cantidad de ancho de banda utilizado por los paquetes IKE salientes.

IKE es el protocolo de intercambio de claves de Internet, que es el intercambio de claves y la autenticación.
mecanismo utilizado por IPsec. Casi todos los sistemas VPN modernos implementan IPsec, y la vasta
la mayoría de las VPN IPsec utilizan IKE para el intercambio de claves.

La fase 1 tiene dos modos: modo principal y modo agresivo. ike-scan es compatible con Main y
Modo agresivo y utiliza el modo principal de forma predeterminada. La sección 2409 de RFC 5 (IKE) especifica que
debe implementarse el modo principal, por lo tanto, se puede esperar que todas las implementaciones de IKE
admite el modo principal.

CAMPUS

--ayuda or -h
Muestre este mensaje de uso y salga.

--file = or -f
Leer nombres de host o direcciones del archivo especificado en lugar del comando
línea. Un nombre o dirección IP por línea. Utilice "-" para la entrada estándar.

--deporte = or -s
Establezca el puerto de origen UDP en , predeterminado = 500, 0 = aleatorio. Algunas implementaciones de IKE
requiere que el cliente use el puerto de origen UDP 500 y no se comunicará con otros puertos.
Tenga en cuenta que normalmente se requieren privilegios de superusuario para utilizar puertos de origen distintos de cero
por debajo de 1024. Además, solo un proceso en un sistema puede vincularse a un puerto de origen determinado en
cualquier momento. El uso de la opción --nat-t cambia el puerto de origen predeterminado a 4500

--dport = or -d
Establezca el puerto de destino UDP en , predeterminado = 500. El puerto UDP 500 es el puerto asignado
número para ISAKMP y este es el puerto utilizado por la mayoría, si no todas, las implementaciones de IKE.
El uso de la opción --nat-t cambia el puerto de destino predeterminado a 4500

--retry = or -r
Establezca el número total de intentos por host en , predeterminado = 3.

--timeout = or -t
Establecer el tiempo de espera inicial por host en ms, predeterminado = 500. Este tiempo de espera es el primero
paquete enviado a cada host. los tiempos de espera posteriores se multiplican por el factor de retroceso
que se establece con --backoff.

--bandwidth = or -B
Establezca el ancho de banda de salida deseado en , predeterminado = 56000 El valor está en bits por
segundo por defecto. Si agrega "K" al valor, las unidades son kilobits por
segundo; y si agrega "M" al valor, las unidades son megabits por segundo. los
Los sufijos "K" y "M" representan los múltiplos decimales, no binarios. Entonces 64K es
64000, no 65536.

--intervalo = or -i
Establezca el intervalo mínimo de paquetes en milisegundo. El intervalo de paquetes no será menor que
este número. El intervalo especificado está en milisegundos de forma predeterminada. si "u" es
agregado al valor, entonces el intervalo está en microsegundos, y si "s" es
adjunto, el intervalo es en segundos. Si desea utilizar hasta un determinado ancho de banda,
entonces es más fácil usar la opción --bandwidth en su lugar. No puedes especificar ambos
--interval y --bandwidth porque son solo formas diferentes de cambiar el mismo
variable subyacente.

--backoff = or -b
Establezca el factor de retraso del tiempo de espera en , predeterminado = 1.50. El tiempo de espera por host es
multiplicado por este factor después de cada tiempo de espera. Entonces, si el número de reintentos es 3,
el tiempo de espera inicial por host es de 500 ms y el factor de retroceso es 1.5, luego el primer
El tiempo de espera será de 500 ms, el segundo de 750 ms y el tercero de 1125 ms.

--verboso or -v
Muestra mensajes de progreso detallados. Úselo más de una vez para obtener un mayor efecto: 1 - Mostrar
cuando se completa cada pasada y cuando se reciben paquetes con cookies no válidas. 2
- Muestra cada paquete enviado y recibido y cuándo se eliminan los hosts de la lista. 3 -
Muestre el host, el ID de proveedor y las listas de interrupciones antes de que comience el escaneo.

--tranquilo or -q
No decodifique el paquete devuelto. Esto imprime menos información de protocolo para que el
las líneas de salida son más cortas.

--multilina or -M
Divida la decodificación de la carga útil en varias líneas. Con esta opción, la decodificación para
cada carga útil se imprime en una línea separada que comienza con una TAB. Esta opción hace
la salida es más fácil de leer, especialmente cuando hay muchas cargas útiles.

--lifetime = or -l
Establezca la vida útil de IKE en segundos, valor predeterminado = 28800. RFC 2407 especifica 28800 como el
predeterminado, pero algunas implementaciones pueden requerir valores diferentes. Si especifica
esto como un entero decimal, por ejemplo, 86400, entonces el atributo usará un número de 4 bytes
valor. Si lo especifica como un número hexadecimal, por ejemplo, 0xFF, el atributo utilizará
el valor de tamaño apropiado (un byte para este ejemplo). Si especifica la cadena
"ninguno", entonces no se agregará ningún atributo de por vida. Puedes usar esta opción
más de una vez junto con las opciones --trans para producir múltiples
transformar cargas útiles con diferentes tiempos de vida. Cada opción --trans usará la
valor de vida especificado previamente.

--lifesize = or -z
Establezca el tamaño de vida de IKE en Kilobytes, predeterminado = 0. Si especifica esto como un decimal
entero, por ejemplo, 86400, el atributo utilizará un valor de 4 bytes. Si especifica
como un número hexadecimal, por ejemplo, 0xFF, entonces el atributo usará el tamaño apropiado
valor (un byte para este ejemplo). Puede utilizar esta opción más de una vez en
junto con las opciones --trans para producir múltiples cargas útiles de transformación con
diferentes tamaños de vida. Cada opción --trans usará el especificado previamente
valor de tamaño natural.

--auth = or -m
Establecer auth. método para , predeterminado = 1 (PSK). Los valores definidos por RFC son de 1 a 5. Consulte RFC
2409 Apéndice A. El modo híbrido de Checkpoint es 64221. GSS (Windows "Kerberos") es
65001. XAUTH usa 65001 a 65010. Esto no es aplicable a IKEv2.

--versión or -V
Muestra la versión del programa y sale.

--vendor = or -e
Establecer la cadena de identificación del proveedor en valor hexadecimal . Puede utilizar esta opción más de una vez para
enviar múltiples cargas útiles de ID de proveedor.

--trans = or -a
Usar transformación personalizada en lugar del conjunto predeterminado. Puede utilizar esta opción más de
una vez para enviar un número arbitrario de transformaciones personalizadas. Hay dos formas de
especificar la transformación: la nueva forma, donde se especifican los pares de atributo / valor,
y la forma antigua en la que especifica los valores para una lista fija de atributos. Para
el nuevo método, la transformación se especifica como (atributo = valor, atributo = valor, ...)
Donde "attr" es el número de atributo y "value" es el valor para asignar a ese
atributo. Puede especificar un número arbitrario de pares de atributo / valor. Ver RFC
2409 Apéndice A para obtener detalles de los atributos y valores. Tenga en cuenta que los corchetes son
especial para algunas conchas, por lo que es posible que deba citarlas, p. ej.
--trans="(1=1,2=2,3=3,4=4)". For example, --trans=(1=1,2=2,3=1,4=2) specifies
Enc = 3DES-CBC, Hash = SHA1, Auth = clave compartida, Grupo DH = 2; y
--trans = (1 = 7,14 = 128,2 = 1,3 = 3,4 = 5) especifica Enc = AES / 128, Hash = MD5, Auth = RSA sig, DH
Grupo = 5. Para el método antiguo, la transformación se especifica como
enc [/ len], hash, auth, grupo. Donde enc es el algoritmo de cifrado, len es la clave
longitud para cifrados de longitud variable, hash es el algoritmo hash y grupo es el DH
Grupo. Por ejemplo, --trans = 5,2,1,2 especifica Enc = 3DES-CBC, Hash = SHA1, Auth = shared
clave, Grupo DH = 2; y --trans = 7 / 256,1,1,5 especifica Enc = AES-256, Hash = MD5,
Auth = clave compartida, Grupo DH = 5. Esta opción aún no es compatible con IKEv2.

--showbackoff [= ] or -o [ ]
Muestre la tabla de huellas dactilares de retroceso. Mostrar la tabla de retroceso a la huella digital
la implementación de IKE en los hosts remotos. El argumento opcional especifica el tiempo.
para esperar en segundos después de recibir el último paquete, predeterminado = 60. Si esta usando
la forma corta de la opción (-o) entonces el valor debe seguir inmediatamente a la opción
letra sin espacios, por ejemplo, -o25 no -o 25.

--fuzz = or -u
Establecer fuzz de coincidencia de patrones en ms, predeterminado = 500. Esto establece el mximo aceptable
diferencia entre los tiempos de retroceso observados y los tiempos de referencia en el
archivo de patrones de retroceso. Los valores más grandes permiten una mayor variación pero también aumentan
el riesgo de identificaciones falsas positivas. Cualquier fuzz por entrada de patrón
Las especificaciones del archivo de patrones anularán el valor establecido aquí.

--patrones = or -p
Utilice el archivo de patrones de retroceso de IKE , predeterminado = / usr / local / share / ike-scan / ike-backoff-
patrones. Esto especifica el nombre del archivo que contiene los patrones de retroceso de IKE.
Este archivo solo se usa cuando se especifica --showbackoff.

--vidpatterns = or -I
Utilice el archivo de patrones de ID de proveedor , predeterminado = / usr / local / share / ike-scan / ike-vendor-ids.
Esto especifica el nombre del archivo que contiene los patrones de ID de proveedor. Estos patrones
se utilizan para la toma de huellas dactilares de ID de proveedor.

--agresivo or -A
Use el modo agresivo IKE (el modo predeterminado es el modo principal) Si especifica --aggressive,
entonces también puede especificar --dhgroup, --id y --idtype. Si usa personalizado
se transforma con el modo agresivo con la opción --trans, tenga en cuenta que todas las transformaciones
debe tener el mismo grupo DH y esto debe coincidir con el grupo especificado con
--dhgroup o el predeterminado si no se usa --dhgroup.

--id = or -n
Usar como valor de identificación. Esta opción solo es aplicable a agresivos
Modo. se puede especificar como una cadena, por ejemplo, --id = prueba o como un valor hexadecimal con un
inicial "0x", por ejemplo, --id = 0xdeadbeef.

--idtype = or -y
Usar tipo de identificación . Por defecto 3 (ID_USER_FQDN). Esta opción es solo
aplicable al modo agresivo. Consulte RFC 2407 4.6.2 para obtener detalles de identificación
tipos.

--dhgroup = or -g
Utilice Diffie Hellman Group . Predeterminado 2. Esta opción solo se aplica a
Modo agresivo e IKEv2. Para ambos, se utiliza para determinar el tamaño de
la carga útil del intercambio de claves. Si usa el modo agresivo con transformaciones personalizadas, entonces
normalmente necesitará usar la opción --dhgroup a menos que esté usando la opción predeterminada
Grupo DH. Los valores aceptables son 1,2,5,14,15,16,17,18 (solo MODP).

--gssid = or -G
Usar ID de GSS dónde es una cadena hexadecimal. Esto usa el tipo de atributo de transformación 16384
como se especifica en draft-ietf-ipsec-isakmp-gss-auth-07.txt, aunque Windows-2000 tiene
También se ha observado que utiliza 32001. Para Windows 2000, necesitará usar
--auth = 65001 para especificar la autenticación Kerberos (GSS).

--aleatorio or -R
Aleatorizar la lista de hosts. Esta opción aleatoriza el orden de los hosts en el host.
lista, por lo que las sondas IKE se envían a los hosts en un orden aleatorio. Utiliza el Knuth
algoritmo de reproducción aleatoria.

--tcp [= ] or -T [ ]
Utilice transporte TCP en lugar de UDP. Esto le permite probar un host que ejecuta IKE
TCP. Normalmente no necesitará esta opción porque la gran mayoría de IPsec
Los sistemas solo admiten IKE sobre UDP. El valor opcional especifica el tipo de
IKE sobre TCP. Actualmente hay dos valores posibles: 1 = RAW IKE sobre TCP como
utilizado por Checkpoint (predeterminado); 2 = IKE encapsulado sobre TCP como lo utiliza Cisco. Si
está utilizando la forma abreviada de la opción (-T), entonces el valor debe inmediatamente
siga la letra de la opción sin espacios, por ejemplo, -T2 no -T 2. Solo puede especificar un
host de destino único si utiliza esta opción.

--tcptimeout = or -O
Establezca el tiempo de espera de la conexión TCP en segundos (predeterminado = 10). Esto solo es aplicable a
Modo de transporte TCP.

--pskcrack [= ] or -PAG[ ]
Rompe claves precompartidas en modo agresivo. Esta opción genera el modo agresivo
Parámetros de clave precompartida (PSK) para descifrar sin conexión mediante el programa "psk-crack"
que se suministra con ike-scan. Opcionalmente, puede especificar un nombre de archivo, , para
escribir los parámetros de PSK en. Si no especifica un nombre de archivo, el PSK
los parámetros se escriben en la salida estándar. Si está utilizando la forma abreviada del
opción (-P), el valor debe seguir inmediatamente a la letra de la opción sin
espacios, por ejemplo, -Pfile no -P file. Solo puede especificar un único host de destino si
utilice esta opción. Esta opción solo se aplica al modo agresivo IKE.

--asiente or -N
No use DNS para resolver nombres. Si usa esta opción, todos los hosts deben
especificado como direcciones IP.

--noncelen = or -c
Establezca la longitud del nonce en bytes. Predeterminado = 20 Esta opción controla la longitud de
la carga útil de nonce que se envía en modo agresivo o solicitud IKEv2. Normalmente
no es necesario utilizar esta opción a menos que desee reducir el tamaño del nonce a
acelerar el descifrado de claves precompartidas, o si desea ver cómo un servidor en particular
maneja cargas útiles de nonce de diferente longitud. RFC 2409 establece que la longitud de nonce
la carga útil debe tener entre 8 y 256 bytes, pero ike-scan no lo impone.
Especificar una longitud de nonce grande aumentará el tamaño del paquete enviado por ike-
escanear. Una longitud de nonce muy grande puede causar fragmentación o exceder la IP máxima
tamaño del paquete. Esta opción solo se aplica al modo agresivo IKE.

--headerlen = or -L
Establezca la longitud en el encabezado ISAKMP en bytes. Puede utilizar esta opción para
especifique manualmente el valor que se utilizará para la longitud del encabezado ISAKMP. Por defecto,
ike-scan completará el valor correcto. Utilice esta opción para especificar manualmente un
longitud incorrecta. se puede especificar como "+ n" que establece la longitud en n bytes
más de lo que debería ser, "-n" que lo establece en n bytes menos, o "n" que lo establece en
exactamente bytes. Cambiar la longitud del encabezado a un valor incorrecto a veces puede
interrumpir los servidores VPN.

--mbz = or -Z
Usa el valor para campos reservados (MBZ), predeterminado = 0. Especificando esta opción
hace que el paquete saliente no sea compatible con RFC y solo debe usarse si lo desea
vea cómo responderá un servidor VPN a los paquetes no válidos. El valor de debiera ser
en el rango 0-255.

--headerver = or -E
Especifique la versión del encabezado ISAKMP. El valor predeterminado es 0x10 (16) que corresponde a
v1.0. Especificar un valor no predeterminado hará que el paquete saliente no sea RFC
compatible, y solo debe usarse si desea ver cómo reacciona el servidor VPN a
versiones extrañas. El valor debe estar en el rango 0-255.

--certreq = or -C
Agregar la carga útil de CertificateRequest . debe especificarse como un valor hexadecimal.
El primer byte del valor hexadecimal se interpretará como el tipo de certificado; los
bytes restantes como la autoridad de certificación como se describe en RFC 2408 3.10. los
los tipos de certificado se enumeran en RFC 2408 sec 3.9. RFC 2048 establece "El certificado
La carga útil de la solicitud DEBE ser aceptada en cualquier momento durante el intercambio "

--doi = or -D
Configure el SA DOI en , predeterminado 1 (IPsec). Normalmente no querrás cambiar
esto a menos que desee ver cómo responde el servidor VPN a un DOI no estándar.

--situación = or -S
Establezca la situación de SA en , predeterminado 1. El significado de la situación depende de
el DOI, y se detalla en el documento DOI correspondiente. Para IPsec DOI, el
La situación predeterminada de 1 representa SIT_IDENTITY_ONLY. Normalmente no querrás
cambie esto a menos que desee ver cómo el servidor VPN responde a un no estándar
situación.

--protocolo = or -j
Establezca el ID del protocolo de propuesta en , predeterminado 1. El significado de la propuesta
La identificación del protocolo depende del DOI y se detalla en el documento DOI correspondiente.
Para IPsec DOI, el ID de protocolo de propuesta predeterminado de 1 representa PROTO_ISAKMP.
Normalmente, no querrá cambiar esto a menos que quiera ver cómo funciona el servidor VPN.
responde a un ID de protocolo no estándar.

--transid = or -k
Establezca el ID de transformación en , predeterminado 1. El significado del ID de transformación depende de
el DOI, y se detalla en el documento DOI correspondiente. Para IPsec DOI, el
El id de transformación predeterminado de 1 representa KEY_IKE. Normalmente no querrás cambiar
esto a menos que desee ver cómo responde el servidor VPN a una transformación no estándar
ID.

--spisize =
Establezca el tamaño de SPI de la propuesta en . Predeterminado = 0 Si no es cero, entonces un SPI aleatorio
del tamaño especificado se agregará a la carga útil de la propuesta. El valor predeterminado de cero
significa que no hay SPI.

--hdrflags =
Establezca las banderas del encabezado ISAKMP en . Predeterminado = 0 Las banderas se detallan en RFC 2408
sección 3.1

--hdrmsgid =
Establezca el ID del mensaje de encabezado de ISAKMP en . Predeterminado = 0 Esto debería ser cero para IKE
Fase 1.

--cookie =
Configure la cookie de iniciador ISAKMP en El valor de la cookie debe especificarse en hexadecimal.
De forma predeterminada, las cookies se generan automáticamente y tienen valores únicos. Si tu
especificar esta opción, entonces solo puede especificar un único objetivo, porque ike-scan
requiere valores de cookie únicos para coincidir con los paquetes de respuesta.

--exchange =
Establezca el tipo de intercambio en Esta opción le permite cambiar el tipo de intercambio en
el encabezado ISAKMP a un valor arbitrario. Tenga en cuenta que ike-scan solo admite Main y
Modos agresivos (valores 2 y 4 respectivamente). Especificar otros valores
cambiar el valor del tipo de intercambio en el encabezado ISAKMP, pero no ajustará el otro
cargas útiles. Los tipos de intercambio se definen en RFC 2408 sec 3.1.

--nextpayload =
Establezca la siguiente carga útil en el encabezado ISAKMP en Normalmente, la siguiente carga útil es
se ajusta automáticamente al valor correcto.

--randomseed =
Usar para sembrar el generador de números pseudoaleatorios. Esta opción siembra el PRNG
con el número especificado, que puede ser útil si desea asegurarse de que el
Los paquetes de datos son exactamente repetibles cuando incluyen cargas útiles con datos aleatorios como
como intercambio de claves o nonce. Por defecto, el PRNG está sembrado con un impredecible
.

- marca de tiempo
Muestra las marcas de tiempo de los paquetes recibidos. Esta opción hace que una marca de tiempo sea
mostrado para cada paquete recibido.

--sourceip =
Establezca la dirección IP de origen para los paquetes salientes en . Esta opcin provoca la salida
Los paquetes IKE deben tener la dirección IP de origen especificada. La dirección puede ser una
Dirección IP en formato cuádruple punteado, o la cadena "aleatoria" que utilizará una
dirección de origen aleatoria para cada paquete que se envía. Si se utiliza esta opción, no
Se recibirán paquetes Esta opción requiere soporte de socket sin formato, y necesitará
privilegios de superusuario para utilizar esta opción, incluso si especifica un puerto de origen alto.
Esta opción no funciona en todos los sistemas operativos.

--shownum
Muestra el número de host de los paquetes recibidos. Esto muestra el host ordinal
número del host que responde antes de la dirección IP. Puede ser útil al enviar
muchos paquetes a la misma IP de destino, para ver si se ignoran las sondas.

--nat-t
Utilice la encapsulación RFC 3947 NAT-Traversal. Esta opción agrega el marcador no ESP a
el comienzo de los paquetes salientes y lo quita de los paquetes recibidos, como se describe
en RFC 3947. También cambia el puerto de origen predeterminado a 4500 y el predeterminado
puerto de destino a 4500, que son los puertos para NAT-T IKE. Estos números de puerto
se puede cambiar con las opciones --sport y --dport, siempre que se utilicen después
la opción --nat-t.

--rcookie =
Configure la cookie de respuesta ISAKMP en . Esto establece la cookie de respuesta a la
valor hexadecimal especificado. De forma predeterminada, la cookie de respuesta se establece en cero.

--ikev2 or -2
Use IKE versión 2 Esto hace que los paquetes salientes usen el formato IKEv2 como se define
en RFC 4306 en lugar del formato IKEv1 predeterminado. Cualquier paquete devuelto es
decodificado automáticamente como IKE o IKEv2 dependiendo de sus cargas útiles independientemente de
esta opción. La opción --ikev2 es actualmente experimental. No ha sido
ampliamente probado, y solo admite el envío de la propuesta predeterminada.

Use ike-scan en línea usando los servicios de onworks.net