Học làm Hacker P3 Scanning network

Tài liêu học làm Hacker phần 3

Scanning Network

Module 3

Mục Tiêu của Module

- Định nghĩa và các loại quét.

- Hiểu biết các phương pháp quét của

CEH.

- Kiểm tra hệ thống và các cổng mở

- Hiểu biết các kỹ thuật quét

- Một số công cụ để thực hiện quá

- Hiểu biết cách ẩn danh.

- Quét các biện pháp phòng chống của hệ thống mục tiêu.

- Quét thử nghiệm.

Dịch vụ đang chạy trên máy

- Quét mạng dùng để chỉ các quy trình xác định địa chỉ các host, cổng, hay các dịch vụ trên mạng

- Quét là một trong các thành phần của việc thu thập thông tin cho kẻ

tấn công để tạo ra một hồ sơ cá nhân của tổ chức, mục tiêu cần tấn công

Quét mạng là một thủtục để xác định các máy chủ hoạt độngtrên mạnghoặc cho các mục đích tấn công hoặc đánh giá an ninh mạng

Kiểm tra

hệ thống

Kiểm tracác cổngmở

Lấy thôngtin phiênbản HĐH

Quét lỗhổng bảomật

Dựngbiểu đồ

hệ thốngmạng

Chuẩn bị

proxy

Kiểm Tra Hệ Thống – Quét ICMP

- Bản chất của quá trình này là gửi một ICMP Echo Request đến máy chủ đang muốn

tấn công

- Việc quét này rất hữu ích để định vị các thiết bị hoạt động hoặc xác định hệ thống có

tường lửa hay không

Ping Sweep được sử dụng để xác định các máy chủ còn “sống” từ một loạt các địa chỉ IP bằng cách gửi các gói ICMP Echo Request đến tất cả các

IP đó Nếu một máy chủ còn “sống ” nó sẽ trả lại một gói tin ICMP Reply

Một Số Công Cụ Ping Sweep

Một Số Công Cụ Ping Sweep

Kiểm tra

hệ thống

Kiểm tracác cổngmở

Lấy thôngtin phiênbản HĐH

Quét lỗhổng bảomật

Dựngbiểu đồ

hệ thốngmạng

Chuẩn bị

proxy

Cơ Chế Bắt Tay 3 Bước

TCP sử dụng cơ chế bắt tay ba bước để

thiết lập kết nối giữa máy chủ và máy

khách

Máy tính A khởi tạo một kết nối đến máy chủ bằng một gói tin với cờ SYN

Máy chủ sẽ trả lời bằng một gói tin với cờ SYN và ACK

Cuối cùng, máy khách sẽ gởi lại cho máy chủ một gói tin ACK.

Nếu ba bước trên được hoàn thành

mà không có biến chứng, sau đó một kết nối TCP được thiết lập giữa máy khách và máy chủ

Cờ Giao Tiếp TCP

Được sử dụng để bắt

đầu một kết nối giữa các

máy tính

Dùng để chỉ gói tin được

ưu tiên xử lí trước

Được sử dụng để

xác nhận đã nhận

được một gói tin

Được sử dụng để yêu cầu hệ thống

gửi tất cả dữ liệu đệm ngay lập tức

Thông báo cho hệ thống từ

xa kết thúc việc truyền tin

Được sử dụng để thiết lập

lại một kết nối

Tùy chỉnh các cờ TCP trong gói tin

Là các dòng lệnh để tạo các gói tin cho giao

Màn Hình Làm Việc của Hping 3

chủ trực tiếphping3 –1 10.0.0.x –rand-dest -I eth0Chặn tất cả các truy cập httphping3 –9 HTTP -I eth0

Các Kĩ Thuật Quét

Kết Nối TCP / Mở Quét Đầy Đủ

- Phát hiện kết nối TCP khi một cổng được mở bằng

cách hoàn thành việc bắt tay ba bước

- Quét kết nối TCP thiết lập một kết nối đầy đủ và

bóc chỗ nối bằng cách gửi một gói tin RST

Quét Tàng Hình (Quét Mở Một Nửa)

Kẻ tấn công sử dụng kỹ thuật quét tàng hình để bỏ qua các quy tắc tường

lửa, cơ chế đăng nhập , và ẩn mình như mạng lưới giao thông thông thường

Máy khách gửi một gói SYN duy

nhất cho máy chủ trên cổng thích hợp

4

- Xmas Scan sẽ gửi một gói tcp cho các

thiết bị ở xa với các cờ URG, ACK,

RST, SYN và cờ FIN.

- FIN Scan chỉ làm việc với các HĐH

Tcp/IP phát triển theo RFC 793.

- Nó sẽ không làm việc với bất kì phiên

bản hiện hành của Microsoft Windows

- FIN Scan sẽ gửi một gói tcp cho các

thiết bị ở xa với các cờ FIN.

- FIN Scan chỉ làm việc với các HĐH

Tcp/IP phát triển theo RFC 793.

- Nó sẽ không làm việc với bất kì phiên

bản hiện hành của Microsoft Windows

- FIN Scan chỉ làm việc với các HĐH

Tcp/IP phát triển theo RFC 793.

- Nó sẽ không làm việc với bất kì phiên

bản hiện hành của Microsoft Windows

- Máy chủ luôn lắng nghe trên cổng tcp

chẳng hạn như máy chủ web trên cổng 80

và máy chủ mail trên cổng 25 Cổng được

coi là mở nếu một ứng dụng lắng nghe

nghe trên cổng.

- Một cách để xác định xem một cổng mở

là gửi một gói tin SYN (thành lập

phiên ) đến cổng đó.

- Các máy tính nhận được sẽ gửi lại một

gói SYN /ACK (phiên yêu cầu xác

nhận) nếu cổng đã đóng.

- Một máy tính nhận được một gói SYN/ACK không được yêu cầu sẽ trả lời với một RST RST không được yêu cầu sẽ bị bỏ qua.

- Mỗi gói tin IP trên mạng Internet

có một số nhận dạng.

- Nó là phương pháp quét cổng tcp cho phép gửi các gói tin giả mạo đến một máy tính thông qua công cụ phần mềm như Nmap và Hping.

IDLE Scan: Bước 1

1 Gởi gói tin SYN/ACK đến máy zombie để tìm số IP ID

2 Mỗi gói tin trên mạng đều có một số nhận dạng (IP ID), là một số

có 4 chữ số và tăng lên mỗi khi một máy chủ gửi gói tin IP.

3 Zombie sẽ gởi lại một gói tin RST, tiết lộ IP ID.

4 Phân tích các gói tin RST từ máy tính zombie để trích xuất IP ID

IDLE Scan: Bước 2.1 (Mở Cổng)

Gửi gói tin SYN đến máy tính mục tiêu (port 80) giả mạo địa

chỉ IP của zombie

IDLE Scan: Bước 2.1 (Đóng Cổng)Máy tính mục tiêu sẽ gởi gói tin RST đến zombie nếu cổng đóng nhưng

zombie sẽ không gởi bất cứ điều gì trở lại

IDLE Scan: Bước 3Thăm dò lại IP ID của zombie

IPID tăng thêm 1 từ bước 1, do

đó cổng 80 phải được mở

- Đây không phải thực sự là quét

port, khi gói icmp không chứa

port cố đinh

- Nhưng trong một vài trường hợp

nó có thể hữu ích, và được dùng

để quyết định thiết bị đầu cuối

nào trên mạng đang được bật

Việc phân giải tên miền DNS cũng

sẽ được thực hiện

Quét SYN/FIN Sử Dụng Các Gói IP

-nó không phải là một phương pháp quét mớinhưng sửa đổi của các phương pháp trước đó

-phần đầu TCP được chia ra thành nhiều gói tin để các bộ lọc gói

tin không thể phát hiện các gói dữ liệu có ý định dùng để quét

- Ở đây không thực hiện cơ chế bắt

tay ba bước TCP cho việc scan

UDP

- Hệ thống không phản hồi lại một

thông báo nào khi cổng được mở

- nếu một gói tin UDP được gửi để

mở cổng, hệ thống sẽ phản hồi với tin nhắn không thể truy cập cổng ICMP.

- phần mềm gián điệp, trojan, và nhiều ứng dụng độc hại khác sử dụng các cổng UDP

Inverse TCP Flag Scanning (Quét Đảo Ngược Cờ TCP)

Kẻ tấn công gửi các gói tin TCP thăm dò với cờ TCP khác nhau (FIN/URG/PSH) hoặc không

có cờ, Nếu máy đích không có phản ứng có nghĩa là cổng mở còn nếu máy đích gởi gói tin RST/ACK có nghĩa là cổng đóng cửa

Kẻ tấn công gửi một gói tin thăm dò ACK với số thứ tự ngẫu nhiên, không phản ứng có

nghĩa là cổng được lọc (trạng thái hiện tại của firewal) và RST phản ứng có nghĩa là cổng

không phải là lọc

Sử dụng đầy đủ các gói tin IP

Giả mạo địa chỉ IP của bạn khi tấn

công và theo dõi phản hồi từ máy chủ

sử dụng nguồn định tuyến (nếu có thể)

Kết nối với máy chủ proxy hoặc xâm nhập

vào các máy bị nhiễm trojan để khởi

động các cuộc tấn công

Xác định chính xác các

loại tin nhắn ICMP phân mảnh được xử lý và đáp

ứng bởi các máy chủ từ xa

- Nmap là phần mềm mã nguồn mở miễn phí cho thăm dò mạng.

- Các quản trị mạng có thể sử dụng nmap cho việc kiểm tra mạng, quản lí lịch trình nâng cấp dịch vụ, giám sát máy chủ hoặc thời gian hoạt động của dịch vụ.

- Những kẻ tấn công có thể sử dụng nmap để trích xuất các thông tin như:

Các máy chủ hoạt động trên mạng

Các dịch vụ (tên ứng dụng và phiên bản)

Các loại gói tin

HĐH(và phiên bản HĐH)

Cấu hình tường lửa và quy tắc IDS để phát hiện và chặn các thiết bị thăm dò Chặn các cổng không

cần thiết trên tường lửa

Các Biện Pháp Phòng Chống

Lọc các gói tin ICMP bên

trong và cả các gói

ICMP bên ngoài không

cho truy cập tại các bộ

định tuyến và tường lửa

Đảm bảo rằng việc định

tuyến và các cơ chế

lọc không bỏ qua bằng cách sử dụng

cổng riêng hoặc kỹ thuật

định tuyến cụ thể

Biết được cấu hình mạng và cổng truy cập của mình bằng gởi các gói tin thăm dò ICMP để quét các cổng TCP và UDP đối với dãy địa chỉ IP của bạn

Nếu một bức tường lửa thương mại đang được sử dụng, đảm bảo rằng :

1 các gói dịch vụ mới nhất được cài đặt

2 các quy tắc chống giả mạo đã được định nghĩamột cách chính xác

3 dịch vụ fastmode đều không được sử dụng trongmôi trường kiểm tra tường lửa - l

War Dialing bao

Sử dụng công

cụ xác định các số điện thoại và có thể tạo một kết nối với một modem mục tiêu

Nó làm việc bằng cách sử dụng một danh sách tên và mật khẩu người dùng phổ biến được xác định trước để cố gắng được quyền truy cập vào hệ thống

Nó không quan trọng “cửa trước” mạng của bạn mạnh đã được bảo vệ mạnh như

thế nào nếu như “cửa sau” bạn vẫn mở rộng

Làm modem của bạn tiết lộ thông tin với

Modem của bạn uỷ quyền mẫn cảm với một cuộc đột nhập với wardialer

Biện Pháp Phòng Chống War Dialing

Phát triển và thực hiện cácchính sách an ninh

Sử dụng điện thoại trong

một vùng khác từ hệ thống

PBX nội bộ của bạn

Kiểm tra các cấu hình trả

lời tự động trên modem của

bạn

Ghi lại tất cả các lần đăng nhập thành công và thất bạiTiến hành trinh sát thủcông mạng của bạn

Sandtrap có thể phát hiện

War Dialing và thông báo

ngay cho người quản

trị bằng cách gọi, kết

nối, thông qua http gởi

cho máy chủ web

Kiểm tra

hệ thống

Kiểm tracác cổngmở

Lấy thôngtin phiênbản HĐH

Chuẩn bị

proxy

Dựng biểu

đồ hệthốngmạng

Quét lỗhổng bảomật

OS fingerprinting phương pháp để xác định hệ điều hành chạy trên hệ thống mục tiêu Có

hai loại OS fingerprinting : chủ động và thụ động

- Các gói tin thủ công được gởi cho các HĐH và chờ các phản hồi trở lại

sánh với một cơ sở dữ liệu để xác định hệ điều hành

- Phản ứng từ các hệ điều hành khác nhau sẽ khác nhau do sự thay đổi cách sắp xếp trong TCP/IP

- Lấy thông tin thụ động là kỹ thuật sniffing để nắm bắt các gói tin đi ra từ hệ thống

- Các gói tin bị bắt sau đó được phân tích để lấy thông tin OS

- Nó cũng dựa trên sự khác biệt trong cách sắp xếp và cách trả lời của HĐH

Đây là kĩ thuật thăm dò máy chủ http để xác định các thông tin của server

thông qua phần mào đầu của gói tin trả lời

- Id Serve sử dụng để xác

định ngôn ngữ, model, và

phiên bản của phần mềm

máy chủ web của bất kì

trang web nào

Bạn có thể muốn thử bổ

sung thêm các yêu cầu để

lấy thông tin

Netcraft báo cáo hoạt động hệ

thống của một trang web,

máy chủ web, và cùng với

netblock owner, nếu có, một

bảng báo cáo kết quả kể từ lần

khởi động máy tính cuối cùng

để phục vụ các trang web

Lấy thôngtin phiênbản HĐH

Quét lỗhổng bảomật

Dựng biểu

đồ hệthốngmạngChuẩn bị

proxy

Lấy thôngtin phiênbản HĐH

Quét lỗhổng bảomật

Dựng biểu

đồ hệthốngmạngChuẩn bị

proxy

Lấy thôngtin phiênbản HĐH

Quét lỗhổng bảomật

Dựng biểu

đồ hệthốngmạngChuẩn bị

proxy

Lấy thôngtin phiênbản HĐH

Quét lỗhổng bảomật

Dựng biểu

đồ hệthốngmạngChuẩn bị

proxy