Вопрос насчёт законности использования nmap

[Scara]

Здравствуйте, хотел бы узнать, законно ли сканировать сайты из bugcrowd.com/programs с помощью команды nmap? На некоторых сайтах, где описывалась работа nmap'а, преупреждали, что провайдер может надавать за такое по шапке. Правда или нет? Разве сканирование сайтов, за нахождение уязвимостей которых поощряют, - это плохо?

 

[Wenzel]

Ничего вам ваш провайдер не сделает за это.

 

[ROP]

За сканирование с помощью Nmap этого сайта на вас не откроют охоту.
В мире почти 8 млрд людей. Nmap достаточно известный сканер с открытым исходным кодом. Представьте себе сколько людей сканируют сайты с помощью nmap каждый день.
Другое дело, если вы взломаете или начнете DDOS атаку на сайт и не сумеете замести следы.

 

[somename]

Здравствуйте, хотел бы узнать, законно ли сканировать сайты из bugcrowd.com/programs с помощью команды nmap? На некоторых сайтах, где описывалась работа nmap'а, преупреждали, что провайдер может надавать за такое по шапке. Правда или нет? Разве сканирование сайтов, за нахождение уязвимостей которых поощряют, - это плохо?

Если , находясь в РФ, не сканирушь объекты КИИ (критическая информационная инфраструктура), то все Ok. А вот сканирование объекта КИИ можно подвести под статью 274.1 2 и 3, в зависимости от того как сканируешь и какие модули используешь (за этим сейчас начали строго следить). Советую почитать про КИИ, хотя бы по диагонали, чтобы не попасть на него, там есть интересная штука с присоединением к КИИ.

 

[Scara]

Но сайты, размещающие предложения о пентестинге на bugcrowd'е или hackerone'е никоим образом КИИ не являются и сканировать их можно, верно?

 

[Wenzel]

Да даже КИИ вы можете сканировать nmap без зазрения совести. 274 УК РФ к этому вообще не относится, да и состава преступления нет. Сервис сетевой, находится в общем доступе в сети Интернет. Если вы что ни будь найдете, получите, измените, удалите, тогда да- статья.

 

[somename]

Но сайты, размещающие предложения о пентестинге на bugcrowd'е или hackerone'е никоим образом КИИ не являются и сканировать их можно, верно?

Если это иностранные сайты, то да.

Да даже КИИ вы можете сканировать nmap без зазрения совести. 274 УК РФ к этому вообще не относится, да и состава преступления нет. Сервис сетевой, находится в общем доступе в сети Интернет. Если вы что ни будь найдете, получите, измените, удалите, тогда да- статья.

Статья дополнилась пунктом 1
3.Нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации....
У nmap есть NSE срипты, а там может быть что угодно.

 

[Wenzel]

Статья дополнилась пунктом 1
3.Нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации....
У nmap есть NSE срипты, а там может быть что угодно.

Он не является эксплуатантом этой системы. Да и ключевой момент статьи - "повлекшее уничтожение, блокирование, модификацию либо копирование компьютерной информации, причинившее крупный ущерб,"

 

[somename]

Он не является эксплуатантом этой системы. Да и ключевой момент статьи - "повлекшее уничтожение, блокирование, модификацию либо копирование компьютерной информации, причинившее крупный ущерб,"

Если ты подвесишь говнороутер в результате сканирования в результате пропадет доступ в инет (это блокирование), а там транзакции и прочая чухня может быть (финансовые потери), то вот оно - приплыли.
Я помнится сеть своей компании положил простым сканированием nmap, потому что использовались какие-то говносвичи. Потом админы носились по всему зданию и перегружали это гумно. А про NSE я вообще я вообще молчу, там и перебор есть и пробы эксплойта, полный фарш =) Надо аккуратней быть, и понимать что ты делаешь и как. Но опять же речь идет о иностранных сайтах, которые вывалили свой продукт на bugbounty, это не к КИИ.

 

[LinboG]

Да даже КИИ вы можете сканировать nmap без зазрения совести. 274 УК РФ к этому вообще не относится, да и состава преступления нет. Сервис сетевой, находится в общем доступе в сети Интернет. Если вы что ни будь найдете, получите, измените, удалите, тогда да- статья.

под нарушения правил эксплуатации (274 УК РФ) сканирование nmap никак не подподает. Эта статья в отношении лиц, допустивших утечки охраняемых законом данных. Однако под ст. 274.1 " непровомерное воздействие на КИИ", в частях 1-2 попадёт, смотря какие модули использовать и до какой информации доберётся nmap.

Вообще в сканировании КИИ или любой иной системы нет ничего предосудительного. Если прочитать статьи 272-273,274.1 то разговор идёт о компьютерном воздействии на охранчемую законом информацию, которое повлекло блокирование, уничтожение, копирование или модификацию данной компьютерной информации.
Не видел ни разу ресурса, где в открытом доступе лежали бы персданные или что-то по интересней

 

[somename]

под нарушения правил эксплуатации (274 УК РФ) сканирование nmap никак не подподает. Эта статья в отношении лиц, допустивших утечки охраняемых законом данных. Однако под ст. 274.1 " непровомерное воздействие на КИИ", в частях 1-2 попадёт, смотря какие модули использовать и до какой информации доберётся nmap.

Вообще в сканировании КИИ или любой иной системы нет ничего предосудительного. Если прочитать статьи 272-273,274.1 то разговор идёт о компьютерном воздействии на охранчемую законом информацию, которое повлекло блокирование, уничтожение, копирование или модификацию данной компьютерной информации.
Не видел ни разу ресурса, где в открытом доступе лежали бы персданные или что-то по интересней

"Утечки информации" в теле не читал?

 

[Scara]

Всем спасибо за ответы) Думаю, тему можно считать закрытой

 

[Resha]

Да даже КИИ вы можете сканировать nmap без зазрения совести. 274 УК РФ к этому вообще не относится, да и состава преступления нет. Сервис сетевой, находится в общем доступе в сети Интернет. Если вы что ни будь найдете, получите, измените, удалите, тогда да- статья.

А вы не знаете, можно ли сканить сайты ( гос сайты) через whatweb? ( без указания агрессии проверки)

 

[f22]

А вы не знаете, можно ли сканить сайты ( гос сайты) через whatweb? ( без указания агрессии проверки)

Взаимодействие с сайтом кроме как через его элементы управления на странице чаще всего считается незаконным.
Кликнуть по ссылке можно, напечатать текст в текстовом поле не возбраняется, переключить radiobutton то же можно, а вот отправляя запросы через какой-то софт, вы можете нарушить работу сайта - это уже наказуемо (если, конечно, будет доказано).

То есть даже изменить путь в адресной строке не особо легально.

 

[Resha]

Взаимодействие с сайтом кроме как через его элементы управления на странице чаще всего считается незаконным.
Кликнуть по ссылке можно, напечатать текст в текстовом поле не возбраняется, переключить radiobutton то же можно, а вот отправляя запросы через какой-то софт, вы можете нарушить работу сайта - это уже наказуемо (если, конечно, будет доказано).

То есть даже изменить путь в адресной строке не особо легально.

Понял, ну вроде в легком скане ( который я использовал), посылается всего 1 http запрос. Так что думаю не должно быть критичным