ICMP dotazy

Co se týče získávání informací o systému protokolem ICMP, testování systémů pomocí ICMP ECHO paketů

je jenom špička ledovce, unixovými programy icmpquery (http://packetstormsecurity.org/UNIX/scanners/

icmpquery.c) nebo icmpush (http://packetstormsecurity.org/UNIX//scanners/icmpush22.tgz) můžete

zasláním ICMP zprávy typ 13 (TIMESTAMP) získat aktuální čas systému a zasláním ICMP zprávy typ 17

(ADDRESS MASK REQUEST) masku síťového rozhraní. Informace o masce síťového rozhraní má velkou

hodnotu, protože umožňuje zjistit, jak jsou v organizaci definovány subsíté. Potom lze útoky soustředit

na konkrétní subsítě, aniž bychom museli testovat celé sítě pomocí síťových broadcastů. Program

i cmpquery má jak přepínač pro zjištění času, tak i přepínač pro zjištění síťové masky.

Skenování portů

Skenování portů je proces, kdy se připojujeme k TCP a UDP portům systému s cílem identifikovat béžící

služby. Někdy se také používá termín naslouchajících nebo otevřených portů. Identifikace otevřených

portů na cílovém počítači nám pomůže zjistit typ operačního systému počítače a typ provozovaných aplikací.

Pokud jsou běžící aplikace chybně nakonfigurovány nebo obsahují programové chyby, je možné

jich využít k průniku do systému. Protože je skenování portů velmi rozšířenou technikou, popíšeme několik

nejčastěji používaných programů a metod.

Je několik cílů, kterých chceme skenováním portů dosáhnout. Toto jsou nejdůležitější z nich:

• Identifikace TCP a UDP služeb na cílovém systému.

• Identifikace typu operačního systému na cílovém zařízení.

• Identifikace konkrétních aplikací a jejich verzí.

Aktivní identifikace operačního systému

Pro útočníka je životně důležité určit typ operačního systému, který je provozován na cílovém počítací.

S touto informací může podniknout mnohem cílenější útok a může využít nepřeberné množství údajů

o chybách v konkrétních operačních systémech a aplikacích. Pokud možno přesné určení operačního systému

je tedy jedním z nejdůležitějších úkolů. S jednou metodou jsme se jíž seznámili. Jedná se o analýzu

dostupných portů a o analýzu bannerů, které poskytují jednotlivé služby po připojení. Existuje však

jednodušší metoda, jak zjistit typ operačního systému a verzi provozované služby. Jedná se o metodu založenou

na získání stop TCP/IP implementace (stack ťingerprinting). Samozřejmě že existují programy, ve

kterých je tato metoda implementována. Jedná se o náš starý známý nmap a program queso.

Pasivní identifikace operačního systému

opsali jsme aktivní metody identifikace operačního systému pomocí programů nmap a queso. Tyto metody

jsou označovány jako aktivní, protože při jejich nasazení aktivně odesíláme testovací pakety na porty

cílového systému. Toto je činnost, kterou lze poměrně jednoduše detekovat pomocí IDS nebo

monitorováním na samotném cílovém počítači. Nemůžeme tedy mluvit o nějaké neviditelné (nedetekovátelné)

technice.

Pokud chceme zůstat neodhalení, musíme použít metodu pasivního získávání stop TCP/IP implementace.

V tomto případe negenerujeme žádné testovací pakety, ale pouze pasivně monitorujeme toky dat v síti.

Monitorováním komunikace mezi dvěma síťovými zařízeními můžeme identifikovat použité operační

systémy. Zajímavý dokument na toto téma napsal Lance Spitzner (http://project.honeynet.org/papers/finger/).

Marshall Beddoe a Chris Abad dokonce vyprodukovali nástroj siphon (http://www.gravitino.

net/projects/siphon), který umožňuje pasivní mapování portů a identifikaci operačních systémů.

Popišme si, jak pasivní získávání otisků implementace TCP/IP funguje.