Cách sử dụng bộ slide

Bản đồ chương 6

Vì sao Information Gathering quan trọng?

Vòng đời một penetration test

Scope là ranh giới kỹ thuật và pháp lý

Information Gathering là quá trình lặp

• Mỗi phát hiện mới có thể tạo thêm hostname, IP, domain, user, service hoặc trust relationship.
• Dữ liệu mới phải được đưa trở lại vòng enumeration.
• Khi một hướng khai thác bế tắc, quay lại notes và kiểm tra các giả thuyết chưa xác minh.

Passive và Active Information Gathering

Mục tiêu của OSINT

Hai cách hiểu về “passive”

OSINT không phải quy trình tuyến tính

Bài học từ một chi tiết tưởng như vô hại

Những gì cần ghi vào notes

WHOIS cung cấp gì?

Forward WHOIS lookup

kali@kali:~$ whois megacorpone.com -h 192.168.50.251

Domain Name: MEGACORPONE.COM
Registrar WHOIS Server: whois.gandi.net
Registrar URL: http://www.gandi.net
...
Registrant Name: Alan Grofield
Registrant Organization: MegaCorpOne
...
Name Server: NS1.MEGACORPONE.COM
Name Server: NS2.MEGACORPONE.COM
Name Server: NS3.MEGACORPONE.COM
...

Reverse WHOIS trên địa chỉ IP

kali@kali:~$ whois 38.100.193.70 -h 192.168.50.251

...
NetRange:       38.0.0.0 - 38.255.255.255
CIDR:           38.0.0.0/8
NetName:        COGENT-A
...
OrgName:        PSINet, Inc.
Address:        2450 N Street NW
City:           Washington
Country:        US
...

WHOIS — checklist thực hành

1. Thực hiện forward lookup cho domain nằm trong scope.
2. Ghi registrar, WHOIS server, name server và contact có liên quan.
3. Thực hiện reverse lookup cho IP đã xác minh.
4. Phân biệt tài sản của khách hàng với hạ tầng hosting/CDN của bên thứ ba.
5. Đưa mọi hostname hoặc netblock mới trở lại vòng DNS/OSINT.

Tìm kiếm từ rộng đến hẹp

Các toán tử cốt lõi

robots.txt có thể tiết lộ đường dẫn

User-agent: *
Allow: /
Allow: /nanites.php

• `robots.txt` hướng dẫn crawler cho phép hoặc không cho phép truy cập tài nguyên.
• Nó không phải cơ chế kiểm soát truy cập.
• Đường dẫn được liệt kê có thể trở thành đầu mối enumeration, nhưng vẫn phải nằm trong scope.

Directory listing và dữ liệu được index

Kỹ năng quan trọng nhất

Netcraft trong passive reconnaissance

Từ site report đến active testing

Nguồn mã công khai cần kiểm tra

Mã nguồn tiết lộ những gì?

GitHub search trong ví dụ

path:users

• Tìm các file có từ `users` trong đường dẫn hoặc tên file.
• Ví dụ tài liệu tìm thấy `xampp.users`, gợi ý môi trường XAMPP.
• File xuất hiện username và password hash; cần ghi vào notes cho giai đoạn active sau.

Manual review và secret scanners

Google tìm nội dung — Shodan tìm thiết bị

Quy trình đọc kết quả Shodan

Security Headers — đọc tín hiệu hardening

SSL/TLS configuration review

Checklist kết thúc passive phase

1. Danh sách domain, subdomain, IP và netblock đã xác minh.
2. Name server, mail server và DNS record đáng chú ý.
3. Công nghệ web, framework, banner và version từ nguồn công khai.
4. Tên người dùng, email pattern và vai trò liên quan.
5. Repository, file path hoặc secret candidate cần xử lý an toàn.
6. Danh sách giả thuyết cần active validation và mức ưu tiên.

Active Information Gathering

Living off the Land / LOLBAS

Các loại DNS record thường gặp

Truy vấn A, MX và TXT với host

kali@kali:~$ host www.megacorpone.com
www.megacorpone.com has address 149.56.244.87

kali@kali:~$ host -t mx megacorpone.com
megacorpone.com mail is handled by 10 fb.mail.gandi.net.
megacorpone.com mail is handled by 20 spool.mail.gandi.net.
megacorpone.com mail is handled by 50 mail.megacorpone.com.
megacorpone.com mail is handled by 60 mail2.megacorpone.com.

kali@kali:~$ host -t txt megacorpone.com
megacorpone.com descriptive text "Try Harder"
megacorpone.com descriptive text "google-site-verification=..."

Phân biệt hostname hợp lệ và NXDOMAIN

kali@kali:~$ host www.megacorpone.com
www.megacorpone.com has address 149.56.244.87

kali@kali:~$ host idontexist.megacorpone.com
Host idontexist.megacorpone.com not found: 3(NXDOMAIN)

Forward DNS brute force bằng Bash

kali@kali:~$ cat list.txt
www
ftp
mail
owa
proxy
router

kali@kali:~$ for ip in $(cat list.txt); do host $ip.megacorpone.com; done
www.megacorpone.com has address 149.56.244.87
Host ftp.megacorpone.com not found: 3(NXDOMAIN)
mail.megacorpone.com has address 51.222.169.212
...
router.megacorpone.com has address 51.222.169.214

• Dùng wordlist hostname phổ biến và kiểm tra phản hồi của từng tên.
• SecLists có wordlist đầy đủ hơn tại `/usr/share/seclists` sau khi cài đặt.
• Tên hợp lệ trở thành đầu vào cho port scan và service enumeration.

Reverse DNS brute force

kali@kali:~$ for ip in $(seq 200 254); do host 51.222.169.$ip; done | grep -v "not found"

208.169.222.51.in-addr.arpa domain name pointer admin.megacorpone.com.
209.169.222.51.in-addr.arpa domain name pointer beta.megacorpone.com.
210.169.222.51.in-addr.arpa domain name pointer fs1.megacorpone.com.
...
220.169.222.51.in-addr.arpa domain name pointer vpn.megacorpone.com.

DNSRecon — standard scan

kali@kali:~$ dnsrecon -d megacorpone.com -t std

[*] std: Performing General Enumeration against: megacorpone.com...
[-] DNSSEC is not configured for megacorpone.com
[*] SOA ns1.megacorpone.com 51.79.37.18
[*] NS ns1.megacorpone.com 51.79.37.18
[*] MX mail.megacorpone.com 51.222.169.212
[*] TXT megacorpone.com Try Harder
[*] Enumerating SRV Records
[+] 0 Records Found

• `-d` chỉ định domain.
• `-t std` thực hiện general enumeration.
• Kết quả gom SOA, NS, MX, TXT và SRV trong một lần chạy.

DNSRecon — subdomain brute force

kali@kali:~$ dnsrecon -d megacorpone.com -D ~/list.txt -t brt

[*] Using the dictionary file: /home/kali/list.txt
[+] A www.megacorpone.com 149.56.244.87
[+] A mail.megacorpone.com 51.222.169.212
[+] A router.megacorpone.com 51.222.169.214
[+] 3 Records Found

• `-D` chỉ định dictionary file.
• `-t brt` chọn brute-force enumeration.
• Kết quả cần được xác minh và đưa vào host inventory.

DNSenum — tự động hóa rộng hơn

kali@kali:~$ dnsenum megacorpone.com

...
admin.megacorpone.com.     IN A 51.222.169.208
beta.megacorpone.com.      IN A 51.222.169.209
fs1.megacorpone.com.       IN A 51.222.169.210
intranet.megacorpone.com.  IN A 51.222.169.211
mail.megacorpone.com.      IN A 51.222.169.212
...
vpn.megacorpone.com.       IN A 51.222.169.220

megacorpone.com class C netranges:
51.79.37.0/24
51.222.39.0/24
51.222.169.0/24
66.70.207.0/24
149.56.244.0/24
...

DNS enumeration từ Windows

kali@kali:~$ xfreerdp /u:student /p:lab /v:192.168.50.152

C:\Users\student> nslookup mail.megacorptwo.com
Server:  UnKnown
Address:  192.168.50.151
Name:    mail.megacorptwo.com
Address: 192.168.50.154

C:\Users\student> nslookup -type=TXT info.megacorptwo.com 192.168.50.151
info.megacorptwo.com text = "greetings from the TXT record body"

• `nslookup ` dùng DNS server mặc định.
• `nslookup -type=TXT ` truy vấn loại record và server cụ thể.
• Có thể tự động hóa thêm bằng PowerShell hoặc Batch.

Dấu hiệu để chuyển bước hoặc quay lại

Quét cổng: tác động và trách nhiệm

TCP CONNECT và three-way handshake

• Client gửi SYN đến destination port.
• Port mở trả SYN-ACK.
• Client gửi ACK để hoàn tất kết nối.
• Port đóng thường trả RST/RST-ACK hoặc từ chối kết nối.

Netcat TCP scan

kali@kali:~$ nc -nvv -w 1 -z 192.168.50.152 3388-3390

(UNKNOWN) [192.168.50.152] 3390 (?) : Connection refused
(UNKNOWN) [192.168.50.152] 3389 (ms-wbt-server) open
(UNKNOWN) [192.168.50.152] 3388 (?) : Connection refused
sent 0, rcvd 0

UDP scan hoạt động khác TCP

Netcat UDP scan

kali@kali:~$ nc -nv -u -z -w 1 192.168.50.149 120-123

(UNKNOWN) [192.168.50.149] 123 (ntp) open

• `-u` chọn UDP.
• Nhiều application không phản hồi empty packet.
• Protocol-specific probe thường chính xác hơn với UDP.

Các lỗi thường gặp khi quét UDP

1. Tin tuyệt đối vào trạng thái “open” khi không nhận ICMP.
2. Chỉ quét danh sách “interesting ports” và bỏ lỡ port ít phổ biến.
3. Bỏ qua UDP vì tập trung vào TCP.
4. Không dùng protocol-specific scanner/probe khi cần xác minh.
5. Không tính đến firewall/router làm rơi ICMP.

Phương pháp quét từ rộng đến sâu

Nmap và raw sockets

Đo footprint của scan bằng iptables

kali@kali:~$ sudo iptables -I INPUT 1 -s 192.168.50.149 -j ACCEPT
kali@kali:~$ sudo iptables -I OUTPUT 1 -d 192.168.50.149 -j ACCEPT
kali@kali:~$ sudo iptables -Z

Default scan — 1000 TCP port phổ biến

kali@kali:~$ nmap 192.168.50.149

PORT     STATE SERVICE
53/tcp   open  domain
88/tcp   open  kerberos-sec
135/tcp  open  msrpc
139/tcp  open  netbios-ssn
389/tcp  open  ldap
445/tcp  open  microsoft-ds
464/tcp  open  kpasswd5
593/tcp  open  http-rpc-epmap
636/tcp  open  ldapssl
3268/tcp open  globalcatLDAP
3269/tcp open  globalcatLDAPssl

Full TCP scan — đổi độ sâu lấy thời gian và traffic

kali@kali:~$ nmap -p 1-65535 192.168.50.149

...
5985/tcp  open  wsman
9389/tcp  open  adws
47001/tcp open  winrm
49664/tcp open  unknown
...
Nmap done: 1 host up scanned in 2141.22 seconds

So sánh các kỹ thuật scan

SYN scan (`-sS`)

kali@kali:~$ sudo nmap -sS 192.168.50.149

Not shown: 989 closed tcp ports (reset)
PORT     STATE SERVICE
53/tcp   open  domain
88/tcp   open  kerberos-sec
135/tcp  open  msrpc
139/tcp  open  netbios-ssn
389/tcp  open  ldap
445/tcp  open  microsoft-ds
...

• Không gửi ACK cuối để hoàn tất three-way handshake.
• Ít packet hơn TCP connect và thường nhanh hơn.
• Tên “stealth” mang tính lịch sử; firewall hiện đại vẫn có thể phát hiện và log.

TCP Connect scan (`-sT`)

kali@kali:~$ nmap -sT 192.168.50.149

Not shown: 989 closed tcp ports (conn-refused)
PORT     STATE SERVICE
53/tcp   open  domain
88/tcp   open  kerberos-sec
135/tcp  open  msrpc
139/tcp  open  netbios-ssn
389/tcp  open  ldap
445/tcp  open  microsoft-ds
...

• Dùng Berkeley sockets API và hoàn tất kết nối.
• Không cần đặc quyền raw socket.
• Có thể cần khi quét qua một số loại proxy.
• Thường chậm hơn SYN scan.

UDP và combined scan

kali@kali:~$ sudo nmap -sU 192.168.50.149
123/udp open ntp
389/udp open ldap

kali@kali:~$ sudo nmap -sU -sS 192.168.50.149
53/tcp   open domain
445/tcp  open microsoft-ds
53/udp   open domain
123/udp  open ntp
389/udp  open ldap
...

Network sweeping với `-sn`

kali@kali:~$ nmap -sn 192.168.50.1-253

Nmap scan report for 192.168.50.6
Host is up (0.12s latency).
Nmap scan report for 192.168.50.8
Host is up (0.12s latency).
...
Nmap done: 254 IP addresses (13 hosts up) scanned in 3.74 seconds

• Không chỉ gửi ICMP echo.
• Nmap còn dùng TCP SYN 443, TCP ACK 80 và ICMP timestamp.
• Host discovery có thể bị firewall ảnh hưởng; “down” không phải luôn là host không tồn tại.

Greppable output để tạo host list

kali@kali:~$ nmap -v -sn 192.168.50.1-253 -oG ping-sweep.txt

kali@kali:~$ grep Up ping-sweep.txt | cut -d " " -f 2
192.168.50.6
192.168.50.8
192.168.50.9
...

Sweep theo dịch vụ cụ thể

kali@kali:~$ nmap -p 80 192.168.50.1-253 -oG web-sweep.txt

kali@kali:~$ grep open web-sweep.txt | cut -d" " -f2
192.168.50.6
192.168.50.20
192.168.50.21

• Quét port 80 trên dải mạng có thể chính xác hơn ping sweep cho mục tiêu tìm web.
• Có thể thay bằng 443, 445, 25 hoặc port phù hợp với giả thuyết.
• Sau sweep, chạy scan sâu hơn trên host có port mở.

Top ports và aggressive detection

kali@kali:~$ nmap -sT -A --top-ports=20 192.168.50.1-253 -oG top-port-sweep.txt

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.3
80/tcp open  http    Apache httpd 2.4.41 (Ubuntu)
|_http-server-header: Apache/2.4.41 (Ubuntu)
|_http-title: Under Construction
...

• `--top-ports=20` dựa trên tần suất trong `nmap-services`.
• `-A` bật OS detection, version detection, script scanning và traceroute.
• `-A` tạo nhiều traffic hơn; không dùng mặc định trên mọi host.

`nmap-services` và port frequency

kali@kali:~$ cat /usr/share/nmap/nmap-services

finger 79/udp 0.000956
http   80/sctp 0.000000
http   80/tcp 0.484143  # World Wide Web HTTP
http   80/udp 0.035767
hosts2-ns 81/tcp 0.012056
...

• Cột 1: service name.
• Cột 2: port/protocol.
• Cột 3: tần suất port được thấy mở trong dữ liệu nghiên cứu.
• Nmap dùng tần suất để xác định “top ports”.

OS fingerprinting

kali@kali:~$ sudo nmap -O 192.168.50.14 --osscan-guess

Running (JUST GUESSING): Microsoft Windows 2008|2012|2016|7|Vista (88%)
Aggressive OS guesses: Windows Server 2008 R2 (88%), Windows Server 2012 R2 (88%), ...
No exact OS matches for host

• Dựa trên khác biệt trong TCP/IP stack, TTL, window size và packet behavior.
• `--osscan-guess` hiển thị dự đoán ngay cả khi độ chính xác chưa cao.
• Firewall/proxy có thể sửa header và làm kết quả sai.

Banner grabbing và service enumeration

kali@kali:~$ nmap -sT -A 192.168.50.14

21/tcp open ftp?
| 220-FileZilla Server 1.2.0
| ssl-cert: Subject: commonName=filezilla-server self signed certificate
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
445/tcp open microsoft-ds?
...

• `-A` chạy nhiều thành phần; `-sV` chỉ tập trung version detection.
• Banner có thể bị quản trị viên sửa để đánh lạc hướng.
• Xác minh version bằng nhiều dấu hiệu trước khi chọn exploit.

Nmap Scripting Engine (NSE)

kali@kali:~$ nmap --script http-headers 192.168.50.6

80/tcp open http
| http-headers:
|   Server: Apache/2.4.41 (Ubuntu)
|   Content-Length: 209
|   Content-Type: text/html
|_  (Request type: HEAD)

kali@kali:~$ nmap --script-help http-headers
http-headers
Categories: discovery safe
Performs a HEAD request for the root folder ("/") ...

• Script nằm trong `/usr/share/nmap/scripts`.
• NSE hỗ trợ discovery, enumeration, brute force và vulnerability checks.
• Dùng `--script-help` hoặc đọc file script khi không có Internet.
• Chọn script theo câu hỏi cụ thể, không chạy toàn bộ script mù quáng.

Windows: Test-NetConnection

PS C:\Users\student> Test-NetConnection -Port 445 192.168.50.151

ComputerName     : 192.168.50.151
RemotePort       : 445
SourceAddress    : 192.168.50.152
TcpTestSucceeded : True

Windows: tự động quét 1–1024 bằng TcpClient

PS C:\Users\student> 1..1024 | % {echo ((New-Object Net.Sockets.TcpClient).Connect("192.168.50.151", $_)) "TCP port $_ is open"} 2>$null

TCP port 88 is open
...

• `1..1024` tạo dải số.
• `%` là alias của `ForEach-Object`.
• `$_` là port hiện tại.
• `2>$null` ẩn lỗi kết nối thất bại.

Nmap — cây quyết định thực hành

SMB và NetBIOS

Tìm SMB/NetBIOS host bằng Nmap

kali@kali:~$ nmap -v -p 139,445 -oG smb.txt 192.168.50.1-254
kali@kali:~$ cat smb.txt

# Ports scanned: TCP(2;139,445)
Host: 192.168.50.21 () Status: Up
Host: 192.168.50.21 () Ports: 139/closed/tcp, 445/closed/tcp
...
# 254 IP addresses (15 hosts up) scanned

• `-oG` lưu kết quả dễ lọc.
• Chỉ host có 139/445 open mới chuyển sang SMB enumeration sâu.
• Host “up” nhưng port đóng không phải SMB server.

Thu thập NetBIOS name bằng nbtscan

kali@kali:~$ sudo nbtscan -r 192.168.50.0/24

IP address       NetBIOS Name  Server    User
192.168.50.124   SAMBA         <server>  SAMBA
192.168.50.134   SAMBAWEB      <server>  SAMBAWEB
...

• `-r` dùng source UDP port 137.
• NetBIOS name có thể gợi ý vai trò host.
• Tên mô tả là đầu mối, không phải bằng chứng cuối cùng.

NSE scripts cho SMB

kali@kali:~$ ls -1 /usr/share/nmap/scripts/smb*

smb2-capabilities.nse
smb2-security-mode.nse
smb-enum-domains.nse
smb-enum-groups.nse
smb-enum-processes.nse
smb-enum-shares.nse
smb-enum-users.nse
smb-os-discovery.nse
...

SMB OS discovery — hữu ích nhưng không tuyệt đối

kali@kali:~$ nmap -v -p 139,445 --script smb-os-discovery 192.168.50.152

139/tcp open netbios-ssn
445/tcp open microsoft-ds
| smb-os-discovery:
|   OS: Windows 10 Pro 22000
|   Computer name: client01
|   Domain name: megacorptwo.com
|   Forest name: megacorptwo.com
|   FQDN: client01.megacorptwo.com
...

• Trong lab, script báo Windows 10 nhưng host thực tế là Windows 11.
• NSE có thể bổ sung computer name, domain, forest và FQDN.
• Tài liệu lưu ý script này phụ thuộc SMBv1 trong kịch bản được mô phỏng.

Windows: liệt kê SMB shares với net view

C:\Users\student> net view \\dc01 /all

Share name  Type  Comment
ADMIN$      Disk  Remote Admin
C$          Disk  Default share
IPC$        IPC   Remote IPC
NETLOGON    Disk  Logon server share
SYSVOL      Disk  Logon server share
The command completed successfully.

• `/all` hiển thị cả administrative shares kết thúc bằng `$`.
• `NETLOGON` và `SYSVOL` là dấu hiệu thường gặp trên Domain Controller.
• Quyền nhìn thấy share không đồng nghĩa có quyền đọc nội dung.

SMTP VRFY và EXPN

Xác minh user bằng Netcat

kali@kali:~$ nc -nv 192.168.50.8 25

220 mail ESMTP Postfix (Ubuntu)
VRFY root
252 2.0.0 root
VRFY idontexist
550 5.1.1 <idontexist>: Recipient address rejected: User unknown in local recipient table
^C

Tự động hóa SMTP VRFY bằng Python

#!/usr/bin/python
import socket
import sys

if len(sys.argv) != 3:
    print("Usage: vrfy.py <username> <target_ip>")
    sys.exit(0)

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
ip = sys.argv[2]
s.connect((ip,25))
print(s.recv(1024))
user = (sys.argv[1]).encode()
s.send(b'VRFY ' + user + b'\r\n')
print(s.recv(1024))
s.close()

• Nhận `username` và `target_ip` từ command line.
• Mở TCP socket đến port 25.
• Đọc banner, gửi `VRFY`, đọc phản hồi và đóng socket.

Chạy script và so sánh phản hồi

kali@kali:~/Desktop$ python3 smtp.py root 192.168.50.8
b'220 mail ESMTP Postfix (Ubuntu)\r\n'
b'252 2.0.0 root\r\n'

kali@kali:~/Desktop$ python3 smtp.py johndoe 192.168.50.8
b'220 mail ESMTP Postfix (Ubuntu)\r\n'
b'550 5.1.1 <johndoe>: Recipient address rejected: User unknown in local recipient table\r\n'

SMTP enumeration từ Windows

PS C:\Users\student> Test-NetConnection -Port 25 192.168.50.8
TcpTestSucceeded : True

PS C:\Windows\system32> dism /online /Enable-Feature /FeatureName:TelnetClient
...

C:\Windows\system32> telnet 192.168.50.8 25
220 mail ESMTP Postfix (Ubuntu)
VRFY goofy
550 5.1.1 <goofy>: Recipient address rejected: User unknown
VRFY root
252 2.0.0 root

• `Test-NetConnection` chỉ xác nhận TCP port mở.
• Telnet cho phép tương tác text protocol trực tiếp.
• Bật Telnet Client bằng DISM cần quyền quản trị.
• Tài liệu cũng đề cập chuyển `telnet.exe` từ máy phát triển khi phù hợp với engagement.

Vì sao SNMP thường làm lộ nhiều dữ liệu?

MIB Tree và OID

• MIB là cơ sở dữ liệu phân cấp cho thông tin quản trị.
• Mỗi nhánh/leaf được định danh bằng OID.
• Có thể query toàn cây hoặc một OID cụ thể để giảm nhiễu.

Một số Windows SNMP OID trong tài liệu

Tìm SNMP server trên UDP/161

kali@kali:~$ sudo nmap -sU --open -p 161 192.168.50.1-254 -oG open-snmp.txt

Nmap scan report for 192.168.50.151
Host is up (0.10s latency).
PORT    STATE SERVICE
161/udp open  snmp
...

• `-sU` chọn UDP.
• `--open` chỉ hiển thị port mở.
• `-p 161` giới hạn đúng SNMP port.
• `-oG` lưu kết quả để lọc và làm đầu vào.

Brute-force community string với onesixtyone

kali@kali:~$ echo public > community
kali@kali:~$ echo private >> community
kali@kali:~$ echo manager >> community
kali@kali:~$ for ip in $(seq 1 254); do echo 192.168.50.$ip; done > ips
kali@kali:~$ onesixtyone -c community -i ips

Scanning 254 hosts, 3 communities
192.168.50.151 [public] Hardware: Intel64 ... Windows Version 6.3 ...

• `-c community` đọc danh sách community strings.
• `-i ips` đọc danh sách IP.
• Phản hồi có thể lộ hardware và OS string.

Walk toàn bộ MIB tree

kali@kali:~$ snmpwalk -c public -v1 -t 10 192.168.50.151

iso.3.6.1.2.1.1.1.0 = STRING: "Hardware: Intel64 ... Windows Version 6.3 ..."
iso.3.6.1.2.1.1.4.0 = STRING: "admin@megacorptwo.com"
iso.3.6.1.2.1.1.5.0 = STRING: "dc01.megacorptwo.com"
iso.3.6.1.2.1.2.1.0 = INTEGER: 24
...

Enum user và process bằng OID cụ thể

kali@kali:~$ snmpwalk -c public -v1 192.168.50.151 1.3.6.1.4.1.77.1.2.25

... = STRING: "Guest"
... = STRING: "krbtgt"
... = STRING: "student"
... = STRING: "Administrator"

kali@kali:~$ snmpwalk -c public -v1 192.168.50.151 1.3.6.1.2.1.25.4.2.1.2

... = STRING: "System"
... = STRING: "smss.exe"
... = STRING: "svchost.exe"
... = STRING: "winlogon.exe"
... = STRING: "lsass.exe"
...

Enum software và local TCP ports

kali@kali:~$ snmpwalk -c public -v1 192.168.50.151 1.3.6.1.2.1.25.6.3.1.2

... = STRING: "Microsoft Visual C++ 2019 X64 Minimum Runtime - 14.27.29016"
... = STRING: "VMware Tools"
... = STRING: "Microsoft Visual C++ 2015-2019 Redistributable (x86) - 14.27.290"
...

kali@kali:~$ snmpwalk -c public -v1 192.168.50.151 1.3.6.1.2.1.6.13.1.3

...88...   = INTEGER: 88
...135...  = INTEGER: 135
...389...  = INTEGER: 389
...445...  = INTEGER: 445
...5985... = INTEGER: 5985
...

• Đối chiếu software với process để xác định ứng dụng/version có liên quan.
• Local listening port có thể lộ service không truy cập được từ bên ngoài.
• Phát hiện local-only service là đầu mối cho post-exploitation hoặc tunneling trong phạm vi được phép.

Mẫu ghi chép cho mỗi phát hiện

Khi nào nên quay lại enumeration?

Dấu hiệu một hướng enumeration không còn hiệu quả

1. Chạy lại cùng một scan nhưng không có câu hỏi mới.
2. Wordlist không còn tạo hostname mới sau nhiều vòng hợp lý.
3. Banner hoặc fingerprint vẫn mơ hồ và không có nguồn đối chiếu.
4. Traffic tăng mạnh nhưng giá trị thông tin không tăng.
5. Target rate-limit, timeout hoặc có dấu hiệu bất ổn.
6. Kết quả nằm ngoài scope hoặc ownership chưa được xác minh.

Sai lầm thường làm mất thời gian

Tổng kết chương 6

Checklist tự đánh giá

1. Tôi có thể giải thích passive và active khác nhau thế nào.
2. Tôi biết khi nào dùng WHOIS, search operators, code repo và Shodan.
3. Tôi đọc được A, MX, TXT, PTR và phân biệt NXDOMAIN.
4. Tôi hiểu TCP CONNECT, SYN scan và hạn chế của UDP scan.
5. Tôi biết dùng Nmap theo hướng broad-to-narrow và kiểm soát traffic.
6. Tôi có thể enum SMB, SMTP và SNMP trong lab được phép.
7. Tôi ghi rõ fact, hypothesis, command, evidence và next action.