Урок 3

Пассивные сетевые атаки

В уроке
• Пассивные сетевые атаки
• Методы сканирования портов
• Методы удаленного определения версии ОС
• Методы выявления пакетных снифферов
Пассивные сетевые атаки
Сканирование сети
Сканирование сети имеет своей целью выявление активных
компьютеров сети.

Способы обнаружения хостов:

• ICMP
• RST сегменты TCP
• Ответы на несуществующие DNS – запросы
• Прослушивание трафика и т.д.
Методы сканирования портов
Методы сканирования портов
Сканированием портов называется метод удаленного анализа,
осуществляемый путем передачи тестовых запросов на
создание соединения и позволяющий определить список
активных служб предоставления удаленного сервиса на каком-
либо хосте.

Сканирование портов (или разведка) применяется на

подготовительной стадии перед атакой, так как позволяет получить
необходимые начальные сведения о потенциальном объекте
воздействия.
Методы сканирования портов
Все известные на сегодняшний день основные методы сканирования
портов в зависимости от возможности определения непосредственного
инициатора сканирования (хоста, откуда осуществлялся удаленный
анализ) можно разделить на две группы:

• Методы открытого сканирования: непосредственный инициатор

однозначно определяется объектом сканирования по IP-адресу
приходящих запросов.
• Методы "невидимого" анонимного сканирования. Непосредственный
инициатор не определяется объектом сканирования (однозначно
определяется только "промежуточный" источник сканирующих
запросов), таким образом, гарантируется анонимность инициатора
сканирования.
Методы открытого сканирования
• Сканирование TCP Connect
• Сканирование TCP SYN
• Сканирование TCP FIN
• Сканирование с использованием IP-фрагментации
• Сканирование ТАР IDENT (RFC 1413)
Методы "невидимого" удаленного
сканирования
• Скрытая атака по FTP (FTP Bounce Attack )
• Dumb host scan
1. с каждым переданным пакетом значение ID в заголовке IP-пакета
обычно увеличивается на 1;
2. хост отвечает на TCP SYN запрос TCP | SYN | ACK, если порт открыт; и
TCP RST, если порт закрыт;
3. существует возможность узнать количество пакетов, переданных
хостом, но параметру ID в заголовке IP;
4. хост отвечает TCP RST на TCP SYN | ACK и ничего не отвечает на TCP RST.

• Сканирование через proxy-сервер

Dumb host scan
Методы удаленного определения версии ОС
Методы удаленного определения версии ОС

Классические методы определения операционной

системы удаленного хоста
 telnet
 Команды конечного протокола
 Заголовки
Методы удаленного определения версии ОС
Метод опроса стека TCP/IP удаленного хоста

 FIN-исследование
 Исследование BOGUS- флагом
 Определение закона изменения ISN
 Исследование поля Window TCP-пакета
 Исследование поля ACK в TCP-пакете
 Исследование скорости генерирования ICMP-сообщений
 Исследование формата ICMP-сообщений
 Исследование поля Type Of Service в заголовке ICMP-сообщения
 Исследование поля Options заголовка TCP-пакета
 Исследование возможности "борьбы с затоплением" SYN-пакетами
 Опознавание удаленной операционной системы по нулевому порту.
Методы выявления пакетных сниферов
Методы выявления пакетных сниферов

• Метод из Antisniff
• Метод ARP
• Метод исходящего маршрута
• Метод ловушки
• Метод хоста (определение снифера на локальном
компьютере)
Полезные сслыки
• http://nmap.org/
• http://nmap.org/book/idlescan.html (Idle scan)
• http://nmap.org/nsedoc/index.html (scripts)
• http://www.shodanhq.com/
• https://zmap.io/