Bản trình bày bằng tiếng Việc của chương trình đào tạo CEH v9 Module 03 Module 03 của CEHv9 trình bày các vấn đề liên quan đến kỹ thuật Scanning kỹ thuật quét mục tiêu muốn tấn không khi chỉ cần biết IP addree hoặc tên miền. Scanning nhằm tìm thông tin các port dich vụ đang hoạt động của muc tiêu, tìm thông tin Hệ điều hành sản phẩm dịch vụ mục tiêu đang dùng, dò tìm các điểm yếu (vulnerabilities) mà mục tiêu có thể có...
Module Scanning Network Các Chủ Đề Chính Trong Chương Này Định Nghĩa Các Kiểu Scanning Quy Trình Scanning Của CEH Kiểm Tra Các Hệ Thống Đang Hoạt Động Và Những Cổng Mở Nắm Vững Các Kỹ Thuật Quét Mạng Các Công Cụ Thường Dùng Trong Quá Trình Quét Mạng Banner Grabbing Và OS Fingerpringting Lập Sơ Đồ Mạng Của Các Host Nhạy Cảm Chuẩn Bị Proxy Anonymize Là Gì ? Phòng Chống Kiểu Tấn Công Quét Mạng Trong bước tiến trình công hacker thường tiến hành quét mạng mà gọi thuật ngữ scanning để kiểm tra cổng mở hay dịch vụ mà mục tiêu sử dụng Bên cạnh scanning cho biết thông tin quan trọng hệ điều hành sử dụng hay hệ thống máy chủ mà trang web dùng IIS, Apache … Scanning bao gồm thao tác để xác định host (máy trạm) port (cổng) hoạt động hay dịch vụ chạy hệ thống mục tiêu cần công khai thác Đây bước quan trọng tiến trình thu thập thông tin thông minh (intelligence gathering) mà hacker sử dụng để lập sơ đồ tổ chức hay mạng mục tiêu Trong tiến trình scanning kẻ công gởi gói tin TCP/IP đến mục tiêu Hình 3.1 phân tích kết trả nhằm xác định thông tin giá trị mà họ quan tâm Hình 3.1 – Attacker gởi gói tin thăm dò mạng Các Kiểu Scanning Có ba dạng scanning khác Port Scanning, Vulnerability Scanning Network Scanning Hình 3.2 – Các Kiểu Scanning Port Scanning : Kẻ công gởi loạt thông điệp đến mục tiêu nhằm xác định cổng mở, thông qua cổng họ biết có dịch vụ chạy máy tính mục tiêu Một ứng dụng port scanning phổ biên Nmap Vulnerability Scanning : Là trình quét lỗi nhằm xác định lỗ hổng bảo mật hay điểm yếu mà thường gọi điểm “nhạy cảm” ứng dụng hay máy chủ, máy trạm đê từ đưa phương án công thích hợp Tiến trình quét lỗi xác định cập nhật hệ thống bị thiếu, hay lỗi hệ thống chưa vá chuyên gia bảo mật thường tiến hành vulnerability scanning công tác bảo vệ hệ thống mạng Network Scanning : Quá trình dùng để xác định máy hoạt động hệ thống mạng thường hacker, chuyên gia bảo mật hay quản trị hệ thống thực Quy Trình Scanning Của CEH Kiểm Tra Các Hệ Thống Đang Hoạt Động Để kiểm tra tình trạng hoạt động hệ thống hacker sử dụng nhiều công cụ hình thức khác để thu kết qua mong muốn ICMP Scanning hay Ping Sweep ICMP Scanning Hacker gởi tín hiệu ICMP ECHO Request đến mục tiêu (host) host tồn nghĩa hoạt động phản hồi lại thông qua ICMP ECHO Reply Hình 3.3 Tuy nhiên, trình thất bại giao thức ICMP bị chặn firewall Hình 3.3 – ICMP Scanning Kết ICMP Scanning thực công cụ Nmap Hình 3.4 – Scanning với Nmap Trong hình minh họa hacker từ máy 192.168.168.3 tiến hành ICMP Scanning công cụ Nmap để gởi tín hiệu ICMP ECHO Request thông qua tùy chọn –sP đến mục tiêu có địa 192.168.168.5 bạn thất kết trả cho biết mục tiêu có địa 192.168.168.5 hoạt động với thông số phần cứng địa MAC, nhà sản xuất Ping Sweep Trong ví dụ sử dụng ICMP Scanning để xác định tình trạng hoạt động máy trạm, bạn muốn kiểm tra dãy địa IP Ping Sweep giải pháp thích hợp thông qua hình thức gởi tín hiệu ICMP ECHO Request đến nhiều máy tính lúc Hình 3.5 để nhận kết trả thích hợp Hình 3.5 – Gởi ICMP Echo Request đến lúc nhiều máy tính Sau kết Ping Sweep với Nmap : Hình 3.6 – Ping Sweep với Nmap Theo Hình 3.6 thấy kết trả chi tiết với máy tính có địa IP 192.168.168.1, 192.168.168.2, 192.168.168.4 192.168.168.6 hoạt động Các công cụ Ping Sweep khác thường sử dụng Angry IP Scanner Solarwinds Engineer’s Toolset Trong Hình 3.7 danh sách công cụ Ping Sweep giới thiệu CEH : Hình 3.7 – Các công cụ Ping Sweep Phòng Chống Ping Sweep Hầu hết hệ thống IDS – Instruction Detect System (hệ thống phát xâm nhập trái phép) nhận biết dạng công Ping Sweep gởi cảnh báo cho quản trị hệ thống mạng IDS thiết bị phần cứng Cisco 4250/4235 Appliance Sensor, Juniper Networks Intrusion Detection với dòng IDP75, IDP250 hay ứng dụng IDS phần mềm nguồn mở SNORT hoạt động hai dạng Network-base IDS Host-based IDS Ngoài ra, phần lớn firewalll proxy server cấu hình để chặn ICMP mặc định, giúp phòng chống Ping Sweep hiệu Xác Định Những Cổng Mở Và Dịch Vụ Đang Hoạt Động Các cổng (hay port) mở có nghĩa dịch vụ liên quan đến cổng hoạt động thông qua kết hacker xác định phương án công thích hợp với dịch vụ Để nắm vững kỹ thuật bạn cần hiểu rõ trình bắt tay bước hay thường gọi Three-Way Handshake máy tính sử dụng giao thức truyền thông TCP tầng vận chuyển Hình 3.8 : Hình 3.8 – Quá trình bắt tay ba bước Three-way Handshake Trong hình trên, máy tính Bill có địa 10.0.0.2 cần khởi tạo phiên làm việc truyền file qua giao thức FTP (số hiệu port 21) đến máy tính Sheela có địa 10.0.0.3 Vì Bill Computer gởi tín hiệu SYN=1 SEQ# 10 đến Sheela Computer, sau ta thấy máy tính 10.0.0.3 trả thông báo chấp nhận kết nối với tín hiệu SYN=1 ACK=1 (thông báo chấp nhận kết nối), với ACK# 11 Khi tiếp nhận tín hiệu này, máy tính Bill (10.0.0.2) đáp ứng lại thông báo báo nhận cách gởi tín hiệu ACK=1 với số hiệu SEQ# 11 (tăng giá trị) Lúc phiên làm việc kết nối máy tính 10.0.0.2 10.0.0.3 port 21 Sau số tín hiệu (còn gọi cờ) dùng trình khởi tạo phiên làm việc : SYN (Synchronize) : Dùng khởi tạo kết nối hai máy ACK (Acknowledgement) : Dùng để gởi thông báo chấp nhận nhận tín hiệu từ máy gởi PSH (Push) : Yêu cầu xử lý liệu nhớ đệm RST (Reset) : Yêu cầu reset lại kết nối, bạn lưu ý nhận tín hiệu có nghĩa mục tiêu hay máy tính không hoạt động (Offline) FIN (Finish) : Yêu cầu kết thúc liên kết URG (Urgent) : Tín hiệu khẩn, có mức ưu tiên cao Khi nhận liệu cờ phải xử lý Khi nắm vững ý nghĩa mục đích cờ bạn tạo gói tin với giá trị tùy biến cho phù hợp với yêu cầu Như Hình 3.9 minh họa ứng dụng Komodia packet crafter cho phép thiết lập giá trị flag thích hợp gói tin số hiệu port muốn kiểm tra gởi từ máy tính có IP 192.168.168.10 đến máy tính 192.168.168.11 Hình 3.9 - Komodia packet crafter Phòng Chống Port-Scan Để phòng chống công quét cổng hệ thống cần triển khai firewall thiết lập sách ngăn chặn tín hiệu dò tìm hay khởi tạo kết nối không hợp lệ Che dấu cổng mở hệ thống tường lữa ISA Server Firewall có chức hidden port Đặc biệt mở cổng cần thiết cho trình vận hành, dịch vụ không hoạt động đóng cổng liên quan Ngoài ra, hệ thống mạng cần thiết kế khoa học theo nguyên tắc phòng thủ theo chiều sâu với thiết bị firewall bảo vệ lớp có IDS để phát bị quét cổng Nmap Chương trình quét cổng đề cập nhiều CEH Nmap, ứng dụng miễn phí có khả mạnh mẽ việc quét cổng, ping sweep, xác định dịch vụ, hệ điều hành Nmap chạy Windows hay Linux, Unix tiến hành quét lúc nhiều máy tính Nmap tìm kiếm cổng mở cổng che dấu với chức lọc Ví dụ firewall chặn ứng dụng quét cổng thông thường cách ngắt tín hiệu hồi đáp trình three-way handshake, hay ngăn ngừa việc tiếp nhận tín hiệu nhiều cổng thời gian ngắn nmap vượt qua phương pháp half-path scan hay tiến hành quét cổng với thời gian cách xa Chính khả mạnh mẽ mà Nmap hacker chuyên gia bầu chọn ứng dụng công số giới nhiều năm liền Và phim có cảnh công hacker Matrix Reloaded sử dụng Nmap để tìm máy chủ SSH bị lỗi The Bourne Ultimatum sử dụng Nmap phiên GUI Zenmap để minh họa tiến trình kiểm tra dịch vụ chạy SSH 3.9p1, Posfix smtpd, name server Hình 3.10 Hình 3.10 – Sử dụng Nmap Matrix Reloades The Bourne Ultimatum Sau phương pháp quét mạng với Nmap mà bạn cần ghi nhớ : TCP connect : Hacker khởi tạo kết nối TCP đầy đủ với mục tiêu XMAS tree scan : Kiểm tra dịch vụ TCP cách gởi gói tin XMAStree (các gói tin đặc cờ FIN, URG PSH SYN stealth scan : Còn gọi half-open scanning Hacker hởi gói tin SYN nhận gói tin đáp ứng SYN-ACK từ server Trong trường hợp máy tính hacker server không thiết lập kết nối TCP đầy đủ nên gọi stealth Null scan : Đây phương pháp quét mạng nâng cao vượt qua cờ chế dò tìm firewall Null scan hoạt động hệ thống Unix với tất cờ tắt Windows scan : Tương tự ACK scan phát hiển cổng mở ACK scan : Được dùng để dò tìm quy tắt firewall, dạng hoạt động hệ thống UNIX Ngoài ra, Nmap có nhiều tùy chọn thích hợp với nhu cầu quét cổng hay dò tìm dịch vụ khác danh sách sau : Ví dụ dùng Nmap để scan máy có địa IP 192.168.0.1 sủng dụng TCP connect scan ta thực lệnh sau : C:\nmap 192.168.0.1 –sT SYN, STEALTH,XMAS, NULL, ADLE, FIN Scan SYN : SYN stealth scan gọi haft-open scan không thực đầy đủ quy trình bắt tay ba bước TCP (three-way hanshake Hacker gửi gói tin SYN đến đích, nhận lại SYN/ACK, sau giả định mục tiêu hoàn thành việc kết nối cổng lắng nghe Nếu nhận RST từ mục tiêu, giả định cổng không hoạt động hay bị đóng SYN stealth scan bị phát hệ thống IDS XMAS: XMAS scan gửi gói với cờ FIN,URG, PSH thiết lập Nếu cổng mở, không đáp lại; đóng mục tiêu gửi lại gói RST/ACK XMAS scan làm việc hệ thống máy đích theo RFC 793 TCP/IP FIN: FIN scan tương tự XMAS scan gửi gói liệu với cờ FIN thiết lập NULL: NULL scan tương tự XMAS FIN giới hạn trả lời, gửi packet mà thiết lập cờ IDLE: IDLE scan sử dụng địa IP giả mạo để gửi gói SYN đến mục tiêu Phụ thuộc vào trả lời, cổng xác định mở đóng IDLE scan xác định phản ứng quét cổng cách theo dõi số thứ tự IP header 10 Công Cụ Sau số công cụ dùng để tiến hành quét cổng, xác định dịch vụ hay máy hoạt động mạng : IPEye máy quét cổng TCP làm SYN, FIN,Null, XMAS scans Nó công cụ command-line(dòng lệnh) IPEye thăm dò cổng máy đích phản hồi lại trạng thái closed, reject, drop, or open Closed có nghĩa có máy đầu bên không lắng nghe cổng Reject tường lửa từ chối kết nối cổng Drop có nghĩa tường lửa hủy bỏ thứ vào cổng máy tính đầu bên Open có nghĩa số loại dịch vụ lắng nghe cổng Những phản hồi giúp hacker xác định loại hệ thống trả lời IPSecScan công cụ quét địa IP dãy địa IP tìm kiếm thông tin hệ thống Netscan Tools Pro 2000, Hping2, KingPingicmpenum, SNMP Scanner tất công cụ quét sử dụng để lấy dấu hệ điều hành Icmpenum không dùng gói ICMP Echo để thăm dò mạng, mà dùng gói ICMP Timestamp ICMP Information Hơn nữa, hỗ trợ gói trả lời giả mạo đánh Icmpenum hữu ích quét mạng mà tường lửa khóa ICMP Hping2 đáng ý bao gồm loạt tính khác OS fingerprinting TCP, User Datagram Protocol (UDP),ICMP, giao thức ping raw-IP, hping2 tiến hàng gởi tín hiệu ICMP đến nhiều máy lúc SNMP Scanner cho phép quét dãy danh sách máy chủ thực ping, DNS, Simple Network Managerment Protocol (SNMP) Tìm hiểu kỹ thuật War-Dialing War-Dialing trình quay số modem để tìm kết nối modem mở, kết nối cung cấp truy cập từ xa vào mạng, để công vào hệ thống đích Thuật ngữ War dialing bắt nguồn từ ngày đầu Internet hầu hết công ty kết nối với Internet thông qua kết nối dial-up modem War dialing xem phương pháp quét tìm thấy kết nối mạng mà có bảo mật yếu so với kết nối Internet Nhiều tổ chức thiết lập truy cập từ xa qua modem, mà cổ, loại bỏ máy chủ truy cập từ xa Điều cho phép tin tặc dễ dàng xâm nhập vào mạng với chế bảo mật yếu nhiều Ví dụ, nhiều hệ thống truy cập từ xa sử dụng phương thức xác nhận PAP (Password Authentication Protocol), gửi mật dạng clear text,hay dùng công nghệ VPN với mật 11 War-dialing công cụ làm việc tiền đề rằng: công ty không kiểm soát quay số cổng chặt chẽ tường lửa, máy tính với modem gắn liền có mặt khắp nơi, modem không sử dụng Nhiều máy chủ có modem với đường dây điện thoại kết nối lưu dự phòng trường hợp kết nối Internet gặp xự cố Những kết nối modem sử dụng chương war-dialing để truy cập từ xa vào hệ thống mạng nội Hình 3.11 mô hình hoạt động War-dialing Tại thấy hacker sử dụng modem để giả kết nối vào hệ thống mạng công Hình 3.11: Mô hình hoạt động War-dialing Công Cụ THC-Scan, Phonesweep, war dialer, telesweep tất công cụ sử dụng để xác định số điện thoại quay số đến mục tiêu để tạo kết nối tới modem máy tính Những công cụ thường làm việc cách sử dụng danh sách người dùng mật xác định trước để cố gắng truy cập hệ thống Hầu hết truy cập từ xa kết nối quay số không bảo vệ mật sử dụng bảo mật thô sơ Banner Grabing Operating System Fingerprint Banner Grabbing OS Fingerprint – định nghĩa Fingerprinting TCP/IP stack – bước thứ phương pháp quét CEH Quá trình fingerprinting cho phép hacker xác định vùng đặc biệt dế bị tổn thương mục tiêu mạng Banner 12 grabbing trình tạo kết nối đọc biểu ngữ gửi trả lời ứng dụng Nhiều server (mail, web, ftp…) trả lời đến kết nối telnet với tên version software Hacker tìm thấy nhiều mối liên hệ hệ điều hành phần mềm ứng dụng Ví dụ, Microsoft Exchange e-mail server cài HĐH Windows OS Fingerprint kỹ thuật xác định thông tin hệ điều hành chạy host đích Có hai phương thức để thực OS Fingerprint sau: Active stack fingerprinting hình thức phổ biến fingerprinting Nó bao gồm việc gửi liệu đến hệ thống để xem cách hệ thống trả lời Nó dựa thực tế nhà cung cấp hệ điều hành thực TCP stack khác nhau, khác dựa hệ điều hành Các phản ứng sau so sánh với sở liệu để xác định hệ điều hành Active stack fingerprinting bị phát cố gắng nhiều lần để kết nối với hệ thống mục tiêu Passive stack fingerprinting “tàng hình” bao gồm kiểm tra lưu lượng mạng để xác định hệ điều hành Nó sử dụng kỹ thuật Sniffing thay kỹ thuật Scanning Passive stack fingerprinting thường không phát IDS hệ thống bảo mật khác xác Active fingerprinting Công Cụ Sử dụng telnet có thề thu thập thông tin hệ điều hành, bạn kết nối đến host POF, HTTPRINT, Mairn HTTP Header công cụ thực thu thập thông tin hệ điều hành theo chế Passive Trong công cụ XPRobe2, Ring V2 Nercraft thu thập thông tin chế Active Đối phó với thu thập thông tin hệ điều hành Thay đổi thông tin hệ điều hành phần banner header webserver Với Apache bạn load module có tên mod_headers lên, chỉnh sửa cấu hình file httpd.conf Header set Server "New Server Name" Với IIS bạn sử dụng tool IIS lockdown Tool, ServerMask Cả hai công cụ có chức thay đổi banner header server khóa hẳn luôn, không hiển thị cho người dùng Lập Sơ Đồ Mạng Lập sơ đồ mạng máy chủ cần thiết, đặc biệt ý đến máy chủ dễ bị tổn thương SolarWinds Toolset, Queso, Harris Stat, Cheops công cụ quản lý mạng sử dụng nhận biết hệ điều hành, lập bảng đồ, sơ đồ mạng, danh sách dịch vụ chạy mạng, quét cổng thông thường Những công cụ vẽ toàn mạng giao diện GUI gồm routers, servers, hosts firewalls Hầu hết công cụ để tìm IP, host name, service, hệ điều hành, thông tin version 13 Hình 3.12 : Giao diện làm việc phần mềm LanState Netcraft HTTrack công cụ ghi dấu hệ điều hành Cả hai sử dụng để xác định hệ điều hành số phiên phần mềm web-server HTTrack xếp cấu trúc liên kết tương đối, ban đầu trang web Bạn mở trang website nhân đôi trình duyệt,và sau bạn duyệt trang web từ liên kết để liên kết thể bạn xem trực tuyến HTTrack cập nhật trang web có nhân đôi phục hồi download bị gián đoạn Triển Khai Proxy Server Để Tấn Công Chuẩn bị máy chủ proxy bước cuối tiến trình quét mạng CEH Một proxy server máy tính hoạt động trung gian hacker máy tính đích Sử dụng proxy server cho phép hacker trở thành vô danh mạng Hacker trước tiên kết nối tới máy proxy server yêu cầu kết nối tới máy đích thông qua kết nối có sẵn đến proxy Cơ bản, proxy yêu cầu truy cập đến mục tiêu mà máy tính hacker Điều làm hacker lướt web vô danh ẩn công 14 Hình 3.13: Mô hình công attacker Trong hình 3.13 mô hình công attacker áp dụng Trong đó, công trực tiếp (1) sử dụng nhất, nguy bị phát cao Hai phương pháp lại lại thông qua proxy (2) qua hàng loạt máy tính trung gian (3) áp dụng nhiều Tuy nhiên cách thứ khó triển khai hơn, thường áp dụng cho công quy mô lớn Bạn dễ dàng tìm thấy proxy server miễn phí mạng Với từ khóa “free proxy server” google bạn tìm thấy nhiều trang web cung cấp tính Ngoài OperaTOR dự án cho phép duyệt web proxy cách tự động Công Cụ SocksChain công cụ cung cấp cho hacker khả công thông qua chuỗi proxy servers Mục đích việc ẩn IP thực phát mức thấp Khi hacker làm việc thông qua vài proxy servers series, khó khăn nhiều để xác định vị trí hacker Theo dõi địa IP kẻ công thông qua ghi máy chủ proxy số công việc phức tạp tẻ nhạt tập tin đăng nhập proxy server bị không đầy đủ, dây chuyền bị hỏng, addess IP củahacker vô danh SSL Proxy proxy suốt sử dụng để chuyển đổi hai hệ thống, mã hóa, mã hóa Bạn sử dụng SSL Proxy trường hợp sau: Tấn công vào hệ thống có cài đặt dịch vụ SSL Khai Thác Những Thông Tin Của Vượt Qua IDS Sử dụng SSL Proxy để tạo đường hầm (tunnel) kết nối đến hệ thống đích, chạy ngang qua IDS, nơi mà bị chặn đứng công 15 Hình 3.14: Mô hình sử dụng SSL Proxy để thực công Công Cụ SSL Proxy tên công cụ dòng lệnh cho phép tạo SSL Proxy Tunnel, phục vụ cho công tới Trong hình bên hướng dẫn dòng lệnh sử dụng cài SSL Proxy Ngoài ra, ta tạo kết nối tunnel với SSH Trong chương sau trình bày thực hành tình Kỹ Thuật Anonymously Anonymously (còn gọi ân danh) dịch vụ lướt web vô danh sử dụng website mà hoạt động proxy server cho web client Phần mềm ẩn danh phát triển Anonymizer.com; tạo năm 1997 Lance Cottrell Dịch vụ Anonymizers loại bỏ tất thông tin xác định từ máy tính người dùng họ lướt web Internet, theo cách đảm bảo riêng tư người sử dụng Để vào website ẩn danh, hacker vào địa website qua phần mềm ẩn danh, phần mềm ẩn danh tạo yêu cầu chọn trang web Tất trang web yêu cầu chuyển tiếp qua trang web ẩn danh, khó theo dõi yêu cầu từ trang web Trong hình 3.15 vi dụ, bạn muốn truy cập vào website www.target.com lại bị cấm sách bảo mật web server Bạn thực truy cập cách thông qua trang web giúp bạn ẩn danh www.proxify.com 16 Hình 3.15: Ví dụ truy cập web thông qua Anonymizers Công Cụ Vài trang web sau giúp giả danh việc truy cập web http://www.primedius.com http://www.browzar.com http://www.rorrify.com Kỹ Thuật HTTP TUNNELING Một phương pháp phổ biến vòng qua tường lửa IDS tạo đường hầm (như SMTP) thông qua giao thức cho phép (như HTTP) Hầu hết IDS tường lửa hoạt động proxy máy tính khách hàng Internet, cho phép truy cập với host định nghĩa phép Hầu hết công ty cho phép HTTP giao thông thường truy cập web lành tính Tuy nhiên, hacker tạo đường hầm giao thức HTTP để truy cập vào mạng bên với giao thức không phép HTTP Tunneling không dành cho hacker Bạn áp dụng để tạo hệ thống kết nối hai chi nhánh an toàn giao thức HTTP Trong hình 4.12 ví dụ việc kết nối hai chi nhánh để trao đổi liệu qua giao thức FTP, giao thức bị chặn tường lửa Bằng cách này, client kết nối máy chủ FTP để lấy liệu thông qua HTTP Tunneling 17 Hình 3.16: Client kết nối FTP thông qua HTTP Tunneling Công Cụ HTTPort, Tunneld, BackStealth tất công cụ để qua đường hầm thông qua HTTP Chúng cho phép bỏ qua proxy HTTP, mà khóa phương pháp truy cập Internet định Những công cụ cho phép ứng dụng Email, IRC, ICQ, AIM, FTP… phần mềm nguy hiểm sử dụng từ phía sau proxy HTTP Kỹ Thuật Giả Mạo IP (Spoofing IP) Một hacker giả mạo địa IP quét máy hệ thống để hạn chế thấp khả bị phát Khi nạn nhân (Victim) gửi trả lời địa IP, không gửi đến địa giả mạo Một nhược điểm giả mạo IP phiên TCP hoàn thành được, gửi hồi đáp ACK Source routing cho phép kẻ công định việc định tuyến gói tin có thông qua Internet Điều giảm thiểu hội phát cách bỏ qua IDS tường lửa Source routing cài đặt giao thức TCP/IP với hai hình thức: Loose Source routing (LSR): Routing không xác Người gửi gửi danh sách ip bao gồm ip Strict Source routing (SSR): Routing xác Người gửi phần đường dẫn để chuyển gói tin Gói tin trả lời qua đường dẫn 18 Source routing sử dụng trường địa gói tin IP Header lên đến 39-byte tức có tối đa địa ip thêm vào trường đỉa Khi máy gửi gửi qua loạt ip giả, số có ip thật kẽ công Hình 3.17: Quá trình công giả địa IP Hình 3.17 ví dụ vể trình giả IP Bạn nhận thấy gói tin giả mạo có địa người gửi (from address) 10.0.0.5 gửi gói tin đến 10.0.0.25 Khi máy tính 10.0.0.25 gửi trả lời chuyển đến máy 10.0.0.5, mà máy tính hacker Chống Lại Việc Giả IP Để phát giả mạo địa IP, bạn so sánh thời gian sống (TTL) giá trị:TTL kẻ công khác với TTL địa giả mạo Hình 3.18: Phát giả mạo ip Các Biện Pháp Đối Phó Với Scanning Trong phần trên, giới thiệu vài phương pháp đối phó với kỹ thuật Scanning Tuy nhiên, bạn cần lưu ý số điểm để đối phó với Scanning sau : 19 Firewall phần quan trọng mạng Như bạn thấy bài, công cụ scan khó lòng vượt qua khỏi firewall Hệ thống phát xâm nhập (IDS) phần thiếu triển khai mạng, muốn chống lại việc scanning Hệ thống có khả phát trình scan mà chặn trình scan Chỉ nên mở port cần thiết, đóng port không cần để tránh attacker lợi dụng Những thông tin nhạy cảm không nên đưa internet Ví dụ thông tin hệ điều hành, phiên phần mềm dùng… Tổng Kết Trong chương bạn cần nắm rõ vấn đề sau: Có ba loại scanning Port, network, and vulnerability scanning Làm để biết hệ thống hoạt động hay không Sử dụng ICMP để Ping Sweep Tìm hiểu công cụ scanning port tiếng NMAP Sự khác biệt loại scanning gia đình TCP như: TCP connect, SYN, NULL, IDLE, FIN, and XMAS sử dụng loại Tìm hiểu quy trình bắt tay ba bước TCP Điều giúp công giảm độ rũi ro bị phát Hệ thống IDS, IPS dùng để chống lại scanning War dialing gì? Nó sử dụng công vào hệ thống dial-in Kỹ thuật fingerprinting có hai loại Active Passive, Nó dùng để thu thập thông tin hệ điều hành Kỹ thuật anonymously để lướt web vô danh chế HTTP Tunneling kỹ thuật IP Spoofing kỹ thuật giúp ân danh hoạt động công Sử dụng giúp tránh bị phát 20