Test für offenen Port 4711 in Greenbone/OpenVAS - Versionsgeschichte

Thomas.will am 24. Juni 2026 um 04:57 Uhr

2026-06-24T04:57:25Z

Thomas.will am 24. Juni 2026 um 04:55 Uhr

2026-06-24T04:55:47Z

Änderungen zeigen

Thomas.will: /* 1. NASL-Skript erstellen */

2025-08-08T17:36:41Z

1. NASL-Skript erstellen

Thomas.will am 8. August 2025 um 17:36 Uhr

2025-08-08T17:36:14Z

Änderungen zeigen

Thomas.will: /* GVM aktualisieren */

2025-08-08T04:48:31Z

GVM aktualisieren

Thomas.will: /* GVM aktualisieren */

2025-08-08T04:48:16Z

GVM aktualisieren

Thomas.will: /* Skript erstellen */

2025-08-08T04:45:28Z

Skript erstellen

Thomas.will: /* NASL-Skript für Port 4711 Check (Kali Linux/GVM) */

2025-08-08T04:44:31Z

NASL-Skript für Port 4711 Check (Kali Linux/GVM)

Thomas.will: /* Skript testen */

2025-08-08T04:44:12Z

Skript testen

Thomas.will am 8. August 2025 um 04:43 Uhr

2025-08-08T04:43:52Z

@@ Zeile 1: / Zeile 1: @@
-= Open Port 4711 Detection (korrigierte NASL-VT) =
+= Open Port 4711 Detection (NASL-VT) =
-Diese VT prüft, ob TCP-Port 4711 offen ist. Sie ist die '''korrigierte Fassung''' einer
+Diese VT prüft, ob TCP-Port 4711 auf einem Ziel offen ist, und meldet das im Report.
-== Was am Original kaputt war ==
+== Das Skript ==
 ;Skript anlegen
@@ Zeile 30: / Zeile 9: @@
 <pre>
 # check_port_4711.nasl
-# Erkennt, ob TCP-Port 4711 offen ist (korrigierte Fassung)
+# Erkennt, ob TCP-Port 4711 offen ist
 if(description)
@@ Zeile 44: / Zeile 23: @@
    script_copyright("Copyright (C) 2026 Thomas / Xinux");
    script_tag(name:"cvss_base", value:"0.0");
    script_tag(name:"qod_type", value:"remote_active");
    script_tag(name:"summary", value:"Prüft, ob TCP-Port 4711 offen ist.");
    script_tag(name:"solution", value:"Port 4711 schließen oder per Firewall
@@ Zeile 53: / Zeile 30: @@
    script_tag(name:"solution_type", value:"Mitigation");
    script_require_ports(4711);
    exit(0);
@@ Zeile 88: / Zeile 64: @@
 # '''Configuration → Port Lists''' → sicherstellen, dass 4711 im Portbereich liegt
-#: (eigene Portliste mit <code>T:4711</code> oder einen Bereich, der 4711 enthält).
+#: (eigene Portliste mit <code>T:4711</code> oder ein Bereich, der 4711 enthält).
 # '''Scans → Tasks''' → Task mit Ziel-IP und dieser Portliste anlegen.
 # Scan starten, Report unter '''Scans → Reports''' prüfen.
-Ohne 4711 in der Portliste wird der Port nie gescannt → <code>script_require_ports(4711)</code>
+Ohne 4711 in der Portliste wird der Port nie gescannt und <code>script_require_ports(4711)</code>
-plant die VT nicht ein. Das ist der häufigste „läuft nicht"-Grund.
+plant die VT nicht ein – der häufigste „läuft nicht"-Grund.
 == Verifikation ==
-;Erst von Hand prüfen, ob der Port überhaupt offen ist:
+;Erst von Hand prüfen, ob der Port offen ist:
 *nmap -p 4711 <ziel-ip>
 ;VT eingelesen? SecInfo → NVTs nach Name oder OID suchen.
-== Stolperfalle: Log-Level im Report ==
+== Hinweis: Log-Level im Report ==
 Der Treffer kommt über <code>log_message</code> und erscheint mit Severity '''Log (0.0)'''.
-Die Standard-Reportansicht blendet Log-Meldungen oft aus – wer nur nach Medium/High
+Da die Standard-Reportansicht Log-Meldungen oft ausblendet, im Report-Filter die Stufe
-filtert, denkt, der Check sei nicht gelaufen. Im Report-Filter die Stufe '''Log'''
+'''Log''' einschalten (z.B. <code>levels=hmlg</code>), sonst wirkt es, als sei nichts gefunden.
-== Wenn der Port laut Vorgabe verboten ist ==
+== Soll der Port laut Vorgabe verboten sein ==
-Soll 4711 per Policy '''nicht''' offen sein, wird aus der Info ein Finding. Dann
+Dann wird aus der Info ein Finding: <code>log_message</code> durch <code>security_message</code>
-<code>log_message</code> durch <code>security_message</code> ersetzen und eine '''ehrliche'''
+ersetzen und einen begründbaren <code>cvss_base</code> setzen (etwa 2.0–4.0 für einen
-Severity setzen, die zum tatsächlichen Risiko des dahinterliegenden Dienstes passt –
+unerwarteten offenen Port):
 <pre>
    security_message(port:port,
-     data:"TCP-Port 4711 ist offen, entgegen der Vorgabe. Bitte schließen.",
+     data:"TCP-Port 4711 ist offen, entgegen der Vorgabe.",
      proto:"tcp");
 </pre>
+</pre>

@@ Zeile 18: / Zeile 18: @@
 Erstelle eine Datei `check_port_4711.nasl` im Plugin-Verzeichnis:
 <source lang="bash">
-sudo -u _gvm nano /var/lib/openvas/plugins/check_port_4711.nasl
+sudo -u _gvm vim /var/lib/openvas/plugins/check_port_4711.nasl
 </source>

@@ Zeile 45: / Zeile 45: @@
 == GVM aktualisieren ==
 <source lang="bash">
-sudo greenbone-feed-sync  # Ersetzt gvm-feed-update # Metadaten aktualisieren
+sudo greenbone-feed-sync  # Metadaten aktualisieren
 sudo gvmd --rebuild   # Datenbank neu aufbauen
 </source>

@@ Zeile 45: / Zeile 45: @@
 == GVM aktualisieren ==
 <source lang="bash">
-sudo gvm-feed-update  # Metadaten aktualisieren
+sudo greenbone-feed-sync  # Ersetzt gvm-feed-update # Metadaten aktualisieren
 sudo gvmd --rebuild   # Datenbank neu aufbauen
 </source>

@@ Zeile 7: / Zeile 7: @@
 <source lang="bash">
 sudo mkdir -p /var/lib/gvm/plugins/private
-sudo nano /var/lib/gvm/plugins/private/check_port_4711.nasl
+sudo vim /var/lib/gvm/plugins/private/check_port_4711.nasl
 </source>

@@ Zeile 1: / Zeile 1: @@
 = NASL-Skript für Port 4711 Check (Kali Linux/GVM) =
 * Alle Befehle werden als '''root''' ausgeführt
 * Nutzer/Gruppe: '''_gvm:_gvm''' (nicht gvm:gvm!)

@@ Zeile 52: / Zeile 52: @@
 == Skript testen ==
 . In der GVM-Weboberfläche:
-   * Scan-Ziel mit Port 4711 erstellen
+* Scan-Ziel mit Port 4711 erstellen
-   * Scan-Konfiguration wählen (z.B. "Full and fast")
+* Scan-Konfiguration wählen (z.B. "Full and fast")
-   * Scan starten
+* Scan starten
 . Kommandozeilen-Check:

@@ Zeile 1: / Zeile 1: @@
-== Eigener Test für offenen Port 4711 in Greenbone/OpenVAS ==
+= NASL-Skript für Port 4711 Check (Kali Linux/GVM) =
-Dieser Artikel beschreibt, wie ein eigener NASL-basierter Compliance-Test für Greenbone/OpenVAS erstellt wird. Der Test meldet, wenn TCP-Port 4711 offen ist, und stuft dies als kritischen Compliance-Verstoß ein.
+== Skript erstellen ==
-== Arbeitsverzeichnis vorbereiten ==
+Kopiere diesen Code ('''Achtung: OID ist nur für Tests!'''):
-* Lokalen Entwicklungsordner anlegen:
+<source lang="nasl">
-<pre>
+# Port 4711 Check - Kritisch
 if (description) {
-   script_id(900001);
+   script_oid("1.3.6.1.4.1.25623.1.1.999999");
-   script_version("1.0");
+   script_version("2024-05-15");
-   script_name("Compliance: Port 4711 offen");
+  script_tag(name:"creation_date", value:"2024-05-15");
+   script_name(english:"Critical Port 4711 Check");
-   script_tag(name:"summary", value:"Meldet, wenn Port 4711 offen ist – als kritischer Compliance-Verstoß.");
+  script_family(english:"Service detection");
-   script_tag(name:"risk_factor", value:"Critical");
+   script_tag(name:"severity", value:"HIGH");
-   script_category(ACT_PORT_SCAN);
+   script_tag(name:"cvss_base_score", value:"10.0");
-  script_family("Compliance");
+   script_description(english:"Detects open TCP port 4711");
    exit(0);
+}
 port = 4711;
 if (get_port_state(port)) {
-   security_message(port: port, data: "Compliance-Verstoß: Port 4711 ist offen.");
+   security_message(
+}
-</pre>
+</source>
-== Plugin ins System einbinden ==
+== Berechtigungen setzen ==
-<pre>
+<source lang="bash">
-sudo cp ~/nasl-dev/port4711_check.nasl /var/lib/openvas/plugins/
+sudo chown _gvm:_gvm /var/lib/gvm/plugins/private/check_port_4711.nasl
-sudo chown _gvm:_gvm /var/lib/openvas/plugins/port4711_check.nasl
+sudo chmod 644 /var/lib/gvm/plugins/private/check_port_4711.nasl
-sudo chmod 644 /var/lib/openvas/plugins/port4711_check.nasl
+</source>
-== Plugin registrieren ==
+== GVM aktualisieren ==
-<pre>
+<source lang="bash">
-sudo -u _gvm openvas --update-vt-info
+sudo gvm-feed-update  # Metadaten aktualisieren
-sudo systemctl restart gvmd
+sudo gvmd --rebuild   # Datenbank neu aufbauen
-</pre>
+</source>
-== Scan-Konfiguration vorbereiten ==
+== Skript testen ==
-* In der GSA:
+. In der GVM-Weboberfläche:
-** Scan-Config „Full and Fast“ klonen
+   * Scan-Ziel mit Port 4711 erstellen
-** Nur das neue Plugin in der Familie „Compliance“ aktivieren
+   * Scan-Konfiguration wählen (z.B. "Full and fast")
-** Task mit Zielsystem anlegen und starten
+   * Scan starten
-== Testumgebung simulieren ==
+. Kommandozeilen-Check:
-* Auf dem Zielsystem Port 4711 öffnen:
+<source lang="bash">
-<pre>
+sudo gvm-cli socket --gmp-username admin --gmp-password 'dein-passwort' \
-sudo nc -lvp 4711
+  --xml "<get_nvts/><details/></get_nvts>" | grep "Port 4711"
-</pre>
+</source>
-== Ergebnis prüfen ==
+== Fehlerbehebung ==
-* Nach dem Scan sollte im Report eine kritische Meldung erscheinen:
+{| class="wikitable"
-<pre>
+! Fehler !! Lösung
-Compliance-Verstoß: Port 4711 ist offen.
+|-
-</pre>
+| "gvm-feed-update not found" || <code>sudo apt install gvm-tools</code>
-== Hinweise ==
+{{Note|Für Produktivumgebungen:}}
-* Der Test benötigt keine Authentifizierung.
+* OID registrieren unter [https://www.iana.org/assignments/enterprise-numbers IANA]
-* Funktioniert rein über TCP-Portprüfung.
+* CVSS-Score anpassen
-* Erweiterbar auf andere Ports, Protokolle oder Kriterien.
+* Ausführlichere Beschreibung hinzufügen