Analiza ataku (część 1)

Don Parker

Serial ten będzie bazował na luce w zabezpieczeniach sieci. W artykule zostanie przedstawiony prawdziwy atak, począwszy od rozpoznania, przez enumerację, wykorzystanie usług sieciowych, aż po strategie wykorzystania powiadomień.

Wszystkie te kroki zostaną zaobserwowane na poziomie pakietów danych, a następnie szczegółowo wyjaśnione. Możliwość obserwacji i zrozumienia ataku na poziomie pakietów jest niezwykle ważna zarówno dla administratorów systemów, jak i personelu odpowiedzialnego za bezpieczeństwo sieci. Dane wyjściowe zapór sieciowych, systemów wykrywania włamań (IDS) i innych urządzeń zabezpieczających zawsze będą wykorzystywane do śledzenia rzeczywistego ruchu sieciowego. Jeśli nie rozumiesz tego, co widzisz na poziomie pakietów, cała technologia zabezpieczeń sieciowych, którą posiadasz, jest bezużyteczna.

Narzędzia wykorzystywane do symulacji cyberataku to:

Krok konfiguracji

Obecnie w Internecie wykonuje się mnóstwo operacji skanowania, nie wspominając o działaniach robaków i innych form złośliwego oprogramowania, np. wirusów. Wszystkie z nich będą jedynie nieszkodliwym szumem dla dobrze chronionych sieci komputerowych. Powinniśmy przyjrzeć się osobie, która celowo atakuje sieć komputerową. W tym artykule założymy, że atakujący już zaatakował swoją ofiarę i przeprowadził wcześniejsze badania, np. ustalił adres IP ofiary i adresy sieciowe. Napastnik mógł również próbować wykorzystać informacje, takie jak adresy e-mail powiązane z tą siecią. Tego typu informacje są niezwykle ważne w przypadku, gdy atakujący znalazł sieć, ale nie ma możliwości wejścia do niej po przeprowadzeniu skanowania, enumeracji i podszywania się. Zebrane przez niego adresy e-mail mogłyby się przydać przy próbie przeprowadzenia ataku po stronie klienta, polegającego na zaproszeniu użytkowników do złośliwej witryny za pośrednictwem łącza zawartego w wiadomości e-mail. Tego typu ataki zostaną omówione w kolejnych artykułach.

Jak to działa

Powinniśmy obserwować działania hakera podczas skanowania i enumeracji sieci ofiary. Pierwszym narzędziem, z którego korzystają hakerzy, jest Nmap. Mimo że Nmap ma stosunkowo niewiele sygnatur IDS, jest nadal bardzo użytecznym i szeroko stosowanym narzędziem.

Analiza ataku (część 1)

Na podstawie składni użytej przez hakera na małym ekranie pokazanym powyżej możemy stwierdzić, że wybrał on porty 21 i 80, ponieważ dysponuje kilkoma exploitami, które mogą zostać wykorzystane za pośrednictwem Metasploit Framework. Nie tylko to, ale także usługi systemowe i protokoły, które rozumiał bardzo dobrze. Zupełnie oczywiste jest, że używa skanowania SYN, które jest najpopularniejszym typem skanowania portów. Dzieje się tak również dlatego, że gdy usługa TCP nasłuchująca na porcie odbierze pakiet SYN, wysyła z powrotem pakiet SYN/ACK (odpowiedź). Pakiet SYN/ACK oznacza, że ​​usługa rzeczywiście nasłuchuje i czeka na połączenie. Jednakże ten sam problem nie występuje w przypadku protokołu UDP, który opiera się na usługach takich jak DNS (DNS również korzysta z protokołu TCP, ale w większości transakcji stosuje protokół UDP).

Poniższa składnia to dane wyjściowe, które Nmap zbiera z wysłanych pakietów, a dokładniej z pakietów otrzymanych w wyniku przeprowadzonych skanowań SYN. Na pierwszy rzut oka może się wydawać, że dostępne są zarówno usługi FTP, jak i HTTP. Adres MAC nie ma dla nas większego znaczenia, więc go zignorujemy. Narzędzia takie jak Nmap nie są podatne na błędy, dlatego często sprawdzają się w weryfikacji informacji na poziomie pakietów, zapewniając dokładność. Co więcej, pozwala także obserwować pakiety powracające z sieci ofiary i zbierać na ich podstawie informacje o architekturze, usługach i hoście.

Wyszukaj pakiety

Obecnie dostępnych jest wiele programów, które przeszukują pakiety w celu znalezienia podstawowych informacji, takich jak typ systemu operacyjnego, informacje o architekturze, np. x86 lub SPARC i inne. To nie wystarczy, ale jest to również ważne, gdy uczymy się, jak pozwolić programowi wykonać pracę za nas. Mając to na uwadze, przyjrzyjmy się śladowi pakietów Nmap i dowiedzmy się czegoś o sieci ofiary.

10:52:59.062500 IP (tos 0x0, ttl 43, id 8853, offset 0, flags [none], proto: ICMP (1), length: 28) 192.168.111.17 > 192.168.111.23: ICMP echo request seq 38214, length 8
0x0000: 4500 001c 2295 0000 2b01 0dd3 c0a8 6f11 E..."...+.....o.
0x0010: c0a8 6f17 0800 315a 315f 9546 ..o...1Z1_.F
10:52:59.078125 IP (tos 0x0, ttl 128, id 396, offset 0, flags [none], proto: ICMP (1), length: 28) 192.168.111.23 > 192.168.111.17: ICMP echo reply seq 38214, length 8
0x0000: 4500 001c 018c 0000 8001 d9db c0a8 6f17 E.............o.
0x0010: c0a8 6f11 0000 395a 315f 9546 0000 0000 ..o...9Z1_.F....
0x0020: 0000 0000 0000 0000 0000 0000 0000 ..............

W powyższych dwóch pakietach pokazano otwarty plik z Nmap. Wysyła żądanie echa ICMP do sieci ofiary. Zobaczysz, że nie jest on wyposażony w konkretny port, ponieważ protokół ICMP nie korzysta z portów, ale jest zarządzany przez generator komunikatów o błędach ICMP wbudowany w stos protokołu TCP/IP. Pakiet ICMP jest także oznaczony unikalnym numerem, w tym przypadku 38214, co ułatwia stosowi TCP/IP sprawdzenie ruchu powrotnego i powiązanie go z poprzednio wysłanym pakietem ICMP. Pakiet widoczny powyżej jest odpowiedzią z sieci ofiary w formie odpowiedzi echa ICMP. Brany jest pod uwagę również ciąg liczbowy 38214. Dzięki temu haker wie, że za tym adresem IP kryje się komputer lub sieć.

Ta otwarta sekwencja pakietów ICMP jest powodem, dla którego Nmap ma dla niej notację IDS. W razie potrzeby można wyłączyć opcję wykrywania hostów ICMP w programie Nmap. Jakiego rodzaju informacje można uzyskać z wyników odpowiedzi ICMP echo z sieci ofiary? Tak naprawdę nie ma tu zbyt wielu informacji, które pomogłyby nam zrozumieć działanie sieci. Można jednak nadal stosować wstępne kroki w obszarach związanych z systemem operacyjnym. Czas wypełnienia pola i wartość obok niego są wyróżnione pogrubioną czcionką w powyższym pakiecie. Wartość 128 wskazuje na to, że ten komputer jest prawdopodobnie komputerem z systemem Windows. Mimo że wartość ttl nie daje dokładnej odpowiedzi na pytanie, jaki system operacyjny jest powiązany, będzie ona stanowić podstawę dla kolejnych pakietów, które rozważymy.

Podsumowanie

W tej części pierwszej przyjrzeliśmy się skanowaniu sieci pod kątem ataku na dwa konkretne porty przy użyciu narzędzia Nmap. W tym momencie atakujący ma już pewność, że pod danym adresem IP znajduje się komputer lub sieć komputerowa. W części 2 tej serii będziemy kontynuować badania śladu tego pakietu i dowiemy się, jakie inne informacje możemy z niego wyciągnąć.

Analiza ataku (część 1)Analiza ataku (część 2)
Analiza ataku (część 1)Analiza ataku (część 3)

Sign up and earn $1000 a day ⋙

Leave a Comment

Różnica między zwykłym telewizorem a Smart TV

Różnica między zwykłym telewizorem a Smart TV

Telewizory Smart TV naprawdę podbiły świat. Dzięki tak wielu świetnym funkcjom i możliwościom połączenia z Internetem technologia zmieniła sposób, w jaki oglądamy telewizję.

Dlaczego zamrażarka nie ma światła, a lodówka tak?

Dlaczego zamrażarka nie ma światła, a lodówka tak?

Lodówki to powszechnie stosowane urządzenia gospodarstwa domowego. Lodówki zazwyczaj mają dwie komory: komora chłodna jest pojemna i posiada światło, które włącza się automatycznie po każdym otwarciu lodówki, natomiast komora zamrażarki jest wąska i nie posiada światła.

2 sposoby na naprawę przeciążenia sieci, które spowalnia sieć Wi-Fi

2 sposoby na naprawę przeciążenia sieci, które spowalnia sieć Wi-Fi

Na działanie sieci Wi-Fi wpływa wiele czynników poza routerami, przepustowością i zakłóceniami. Istnieje jednak kilka sprytnych sposobów na usprawnienie działania sieci.

Jak obniżyć wersję iOS 17 do iOS 16 bez utraty danych za pomocą Tenorshare Reiboot

Jak obniżyć wersję iOS 17 do iOS 16 bez utraty danych za pomocą Tenorshare Reiboot

Jeśli chcesz powrócić do stabilnej wersji iOS 16 na swoim telefonie, poniżej znajdziesz podstawowy przewodnik, jak odinstalować iOS 17 i obniżyć wersję iOS 17 do 16.

Co dzieje się z organizmem, gdy codziennie jesz jogurt?

Co dzieje się z organizmem, gdy codziennie jesz jogurt?

Jogurt jest wspaniałym produktem spożywczym. Czy warto jeść jogurt codziennie? Jak zmieni się Twoje ciało, gdy będziesz jeść jogurt codziennie? Przekonajmy się razem!

Który rodzaj ryżu jest najlepszy dla zdrowia?

Który rodzaj ryżu jest najlepszy dla zdrowia?

W tym artykule omówiono najbardziej odżywcze rodzaje ryżu i dowiesz się, jak zmaksymalizować korzyści zdrowotne, jakie daje wybrany przez Ciebie rodzaj ryżu.

Jak obudzić się rano na czas

Jak obudzić się rano na czas

Ustalenie harmonogramu snu i rutyny związanej z kładzeniem się spać, zmiana budzika i dostosowanie diety to niektóre z działań, które mogą pomóc Ci lepiej spać i budzić się rano o odpowiedniej porze.

Wskazówki dotyczące gry Rent Please! Symulator wynajmującego dla nowicjuszy

Wskazówki dotyczące gry Rent Please! Symulator wynajmującego dla nowicjuszy

Proszę o wynajem! Landlord Sim to mobilna gra symulacyjna dostępna na systemy iOS i Android. Wcielisz się w rolę właściciela kompleksu apartamentowego i wynajmiesz mieszkania, a Twoim celem jest odnowienie wnętrz apartamentów i przygotowanie ich na przyjęcie najemców.

Najnowsze kody do obrony wieży łazienkowej i jak je wprowadzać

Najnowsze kody do obrony wieży łazienkowej i jak je wprowadzać

Zdobądź kod do gry Bathroom Tower Defense Roblox i wymień go na atrakcyjne nagrody. Pomogą ci ulepszyć lub odblokować wieże zadające większe obrażenia.

Budowa, symbole i zasady działania transformatorów

Budowa, symbole i zasady działania transformatorów

Poznajmy budowę, symbole i zasady działania transformatorów w jak najbardziej dokładny spos��b.

4 sposoby, w jakie sztuczna inteligencja ulepsza inteligentne telewizory

4 sposoby, w jakie sztuczna inteligencja ulepsza inteligentne telewizory

Od lepszej jakości obrazu i dźwięku po sterowanie głosowe i wiele więcej — te funkcje oparte na sztucznej inteligencji sprawiają, że inteligentne telewizory stają się o wiele lepsze!

Dlaczego ChatGPT jest lepszy niż DeepSeek

Dlaczego ChatGPT jest lepszy niż DeepSeek

Początkowo ludzie wiązali duże nadzieje z DeepSeek. Jako chatbot oparty na sztucznej inteligencji, reklamowany jako silny konkurent ChatGPT, obiecuje inteligentne możliwości i doświadczenia związane z czatem.

Poznaj Fireflies.ai: darmową sekretarkę AI, która zaoszczędzi Ci godzin pracy

Poznaj Fireflies.ai: darmową sekretarkę AI, która zaoszczędzi Ci godzin pracy

Łatwo jest przegapić ważne szczegóły podczas zapisywania innych istotnych informacji, a próba robienia notatek podczas rozmowy może być rozpraszająca. Rozwiązaniem jest Fireflies.ai.

Jak hodować aksolotla w Minecraft, oswoić salamandrę w Minecraft

Jak hodować aksolotla w Minecraft, oswoić salamandrę w Minecraft

Axolot Minecraft będzie świetnym pomocnikiem dla graczy operujących pod wodą, jeśli tylko będą umieli się nim posługiwać.

Konfiguracja gry A Quiet Place: The Road Ahead na PC

Konfiguracja gry A Quiet Place: The Road Ahead na PC

Konfiguracja gry A Quiet Place: The Road Ahead została oceniona dość wysoko, dlatego też przed podjęciem decyzji o pobraniu należy wziąć ją pod uwagę.