Tấn công phòng thủ trong hệ thống mạng

HỌC VIỆN KỸ THUẬT MẬT MÃKHOA CÔNG NGHỆ THÔNG TIN ĐỀ TÀI THỰC TẬP CƠ SỞ NGHIÊN CỨU CÁC CÁCH TẤN CÔNG VÀ PHÒNG THỦ TRONG HỆ THỐNG MẠNG Cán bộ hướng dẫn: Nguyễn Hồng Việt Sinh viên thực

HỌC VIỆN KỸ THUẬT MẬT MÃ

KHOA CÔNG NGHỆ THÔNG TIN

ĐỀ TÀI THỰC TẬP CƠ SỞ

NGHIÊN CỨU CÁC CÁCH TẤN CÔNG VÀ PHÒNG THỦ TRONG

HỆ THỐNG MẠNG

Cán bộ hướng dẫn: Nguyễn Hồng Việt

Sinh viên thực hiện:

- Nguyễn Đức Chiến

- Đào Tiến Thủ

Lớp: AT9C

HÀ NỘI 12/2015

HỌC VIỆN KỸ THUẬT MẬT MÃ

KHOA CÔNG NGHỆ THÔNG TIN

ĐỀ TÀI THỰC TẬP CƠ SỞ

NGHIÊN CỨU CÁC CÁCH TẤN CÔNG VÀ PHÒNG THỦ TRONG HỆ

THỐNG MẠNG

Nhận xét của cán bộ hướng dẫn:

Điểm chuyên cần:

Điểm báo cáo:

Xác nhận của cán bộ hướng dẫn

MỤC LỤC

DANH MỤC HÌNH VẼ 3

CHƯƠNG 1: TẤN CÔNG MẠNG 5

1.1 Tấn công mạng và mục đích 5

1.2 Bảo mật và các lỗ hổng bảo mật hệ thống 5

1.2.1 Bảo mật 5

1.2.2 Các lỗ hổng bảo mật hệ thống 6

1.3 Kẻ tấn công mạng và một số hình thức tấn công 6

1.4 Phân loại các kiểu tấn công và giải pháp khắc phục 6

1.4.1 Tấn công hệ điều hành( Operating System Attack) 6

1.4.2 Tấn công ứng dụng ( Application Level Attack) 7

1.4.3 Tấn công nhờ chèn mã độc ( Shrink Wrap Code Attack) 7

1.4.4 Tấn công nhờ lỗi cấu hình 7

1.4.5 Một số lỗ hổng bảo mật 7

1.5 Các bước tấn công hệ thống mạng 7

1.5.1 Thăm dò hệ thống (Reconnaissance) 7

1.5.2 Quét lỗ hổng ( Scanning) 9

1.5.3 Dành quyền truy cập (Gainning access) 9

1.5.4 Duy trì truy cập (Mainting Access) 9

1.5.5 Xóa dấu vết (covering tracks and hiding) 10

CHƯƠNG 2: CÁC KỸ THUẬT TẤN CÔNG MẠNG VÀ CÁCH PHÒNG THỦ 11

2.1 Foot Print 11

2.2 Scanner 12

2.3 Bẻ khóa ( Password Cracker) 13

2.4 Mã độc (Trojans) 17

2.5 Sniffer 19

2.6 SQL Injection 23

2.7 Tấn công từ chối dịch vụ DoS-DDos 25

2.8 Lừa đảo phi kỹ thuật (Social Engineering) 29

2.9 Tràn bộ đệm (Over Buffer) 31

CHƯƠNG 3: DEMO TẤN CÔNG TỪ CHỐI DỊCH VỤ DoS 33

KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN 36 Sau hơn 1 tháng nỗ lực nghiên cứu đồng thời được sự hướng dẫn và chỉ bảo tận tình của thầy Nguyễn Hồng Việt, cho đến thời điểm hiện tại chúng em đã hoàn thành nội dung của đề tài thực tập cơ sở là :” Nghiên cứu các cách tấn công và phòng thủ trong hệ thống mạng” Cụ thể như sau: 36 TÀI LIỆU THAM KHẢO 38

LỜI CẢM ƠN

Để hoàn thành đề tài thực tập cơ sở này, lời đầu tiên chúng em xin chân thành cảm ơn các thầy giáo, cô giáo Khoa Công nghệ thông tin, những người đã dạy dỗ, trang bị cho em những kiến thức bổ ích trong năm học vừa qua

Em xin bày tỏ lòng biết ơn sâu sắc nhất tới thầy Nguyễn Hồng Việt, người đã tận tình hướng dẫn chúng em trong suốt quá trình làm đề tài

Một lần nữa em xin chân thành cảm ơn sự giúp đỡ của các thầy cô

Hà Nội, ngày 28 tháng 12 năm 2015

DANH MỤC KÝ HIỆU VÀ TỪ VIẾT TẮT

IIS Internet Information Server

TCP Transmission Control Protocol

DDoS Distributed Denial of Service

DHCP Dynamic Host Configuration Protocol

ARP Address Resolution Protocol

CAM Content Addressable Memory

DANH MỤC HÌNH VẼ

Hình 1 Định dạng được chấp nhận của Passwords Hash 15

Hình 2 Chuyển giá trị hash trực tiếp đến máy chủ mục tiêu 16

Hình 3 Mô hình cách thức tấn công Crack 17

Hình 4 Minh họa cách thức giả mạo ARP 21

Hình 5 Minh họa quá trình giả mạo MAC 22

Hình 6 Minh họa giả mạo DNS 23

Hình 7 Mô hình tấn công Smurf 27

Hình 8 Mô hình tấn công SYN 29

Hình 9 Kịch bản tấn công 34

Hình 10 Client truy cập web bình thường……… 34

Hình 11 Số lượng truy cập trên port 80 bằng 0……… 34

Hình 12 Bật tool tấn công……… 35

Hình 13 Các gói tin yêu cầu được gửi đi liên tục………35

Hình 14 Số lượng truy cập trên server tăng dần……… 36

Hình 15 Thông báo server sập Ko truy cập được web……… 36

LỜI NÓI ĐẦU

Ngày nay cùng với sự phát triển của Internet thì số lượng người tham gia các dịch vụ trên Internet ngày càng tăng Các dịch vụ trên mạng đã thâm nhập vào hầu hết các lĩnh vực xã hội Các thông tin trên mạng cũng đa dạng về nội dung và hình thức trong đó có nhiều thông tin cần độ bảo mật cao Nhưng bên cạnh đó số lượng các cuộc tấn công trái phép trên mạng cũng gia tăng nhanh chóng Điều đo cũng dễ hiểu bởi vì khi gia tăng lượng thông tin, ích lợi trên Internet thì cũng nảy sinh các xâm nhập để khai thác trái phép các thông tin đó nhằm phục vụ lợi ích riêng Chính

vì vậy vấn đề phòng chống sự xâm nhập đó ngày cáng được coi trọng Nhưng muốn làm tốt công tác bảo vệ thì cần có cách nhìn nhận cụ thể về cách thức và phương pháp của các cuộc tấn công Vì vậy nhóm đã quyết định chọn đề tài

“ Nghiên cứu các cách tấn công và phòng thủ trong hệ thống mạng”

CHƯƠNG 1: TẤN CÔNG MẠNG

1.1 Tấn công mạng và mục đích

Các vụ tấn công mạng được thực hiện với nhiều mục đich kinh tế, chính trị,

xã hội,… khác nhau Trong lịch sử các cuộc tấn công mạng nổi tiếng đa số là với mục đích kinh tế, nhưng gần đây tấn công mạng với mục đích chính trị đang diễn ra rất phúc tạp Hai mục đích chính của tấn công mạng:

 Lấy cắp dữ liệu:

- Phát tán virut, phần mềm gián điệp: Phát tán qua các dịch vụ web như Facebook, youtube… nhằm lây lan vào máy tính cá nhân để lấy thồng tin như mật khẩu của e-mail, tài khoản…

- Truy cập bất hợp pháp và website, cơ sở dữ liệu để lấy cắp các thông tin cá nhân, thông tin thẻ tín dụng…

1.2 Bảo mật và các lỗ hổng bảo mật hệ thống

1.2.1 Bảo mật

Bảo mật: là một trong những lĩnh vực được quan tâm nhiều Khi Internet ra đời và phát triển, nhu cầu trao đổi thông tin trở lên cần thiết Mục tiêu của việc kết nối mạng là để trao đổi, truy cập thông tin từ các vị trí khác nhau Chính vì vậy mà tài nguyên dễ bị phân tán, dẫn đến chúng dễ bị xâm phạm, gây mất mát dữ liệu Từ

đó vấn đề bảo mật thông tin ra đời

Mục tiêu của bảo mật không chỉ nằm gói gọn trong lĩnh vực bảo vệ thông tin

mà còn nhiều phàm trù khác như kiểm duyệt web, bảo mật internet, bảo mật http, bảo mật các hệ thống thanh toán giao dịch trực tuyến…

Mọi nguy cơ trên mạng đều là mối nguy hiểm tiềm tàng Từ một lỗ hổng bảo mật nhỏ của hệ thống, nhưng nếu biết khai thác và lợi dụng với kỹ thuật tốt cũng có thể trở thành một tai họa

Cùng với sự phát triển của Internet, số vụ tấn công ngày càng tăng lên với mức độ chóng mặt Điều này cũng dễ hiểu, vì thực tế tồn tại hai mắt đối lập Sự phát triển mạnh mẽ của công nghệ thông tin và kỹ thuật sẽ làm cho việc tấn công,

ăn cắp, phá hoại trên Internet phát triển mạnh mẽ Mà không chỉ mạng Internet, các

loại mạng khác như mạng LAN, mạng di động… cũng có thể bị tấn công Vì thế phạm vi của bảo mật là rất lớn.

Loại B: Cho phép thêm các quyền trên hệ thống mà không cần thực hiện kiểm tra tính hợp lệ Mức độ nguy hiểm trung bình, những lỗ hổng này thường có trong các ứng dụng trên hệ thống, có thể dẫn đến lộ thông tin yêu cầu bảo mật

Loại C: Cho phép thực hiện các phương thức tấn công theo kiểu từ chối dịch

vụ, Mức nguy hiểm thấp, chỉ ảnh hương chất lượng dịch vụ, có thể làm ngưng trê, gián đoạn hệ thống, không phá hỏng dữ liệu hoặc chiếm quyền truy cập

1.3 Kẻ tấn công mạng và một số hình thức tấn công

 Kẻ tấn công: Thường được gọi là Hacker Có thể chia 3 loại:

- Hacker mũ đen: Mục tiêu của chúng là đột nhập vào hệ thống của đối tượng

để lấy cắp thông tin, nhằm mục đích bất chính

- Hacker mũ trắng: là những nhà bảo mật và bảo vệ hệ thống Họ xâm nhập và tìm các lỗi sau đó vá lại chúng

- Hacker mũ xám: Là sự kết hợp của hai loại trên

1.4 Phân loại các kiểu tấn công và giải pháp khắc phục

1.4.1 Tấn công hệ điều hành( Operating System Attack)

Tất cả các hệ điều hành đều có điểm yếu Kể cả mã nguồn mở Linux hay Windows ( Như Windows 2000 trước kia Microsoft cài hầu hết các service và mở một số port nguy hiểm) Thường thì việc cài đặt mặc định một hệ thống có một số lượng lớn các dịch vụ cùng chạy và các cổng kết nối Điều này làm kẻ tấn công có nhiều cơ hội hơn

Link liệt kê lỗ hổng: http://securitytracker.com/topics/topics.html#os

Giải pháp: Cập nhật các bản vá lỗi thường xuyên

1.4.2 Tấn công ứng dụng ( Application Level Attack)

Tấn công dựa trên những phần mềm ứng dụng

Link liệt kê lỗ hổng: http://www.exploit-db.com/

Giải pháp: Cập nhật bản vá lỗi ứng dụng thường xuyên

1.4.3 Tấn công nhờ chèn mã độc ( Shrink Wrap Code Attack)

Các đoạn mã độc được chèn vào code của phần mềm Chúng khai thác thồn tin của máy nạn nhân rồi gửi kết quả vẩ

Các đoạn mã độc được chèn vào code của phần mềm Chúng khai thác thông tin của máy nạn nhân rồi gửi kết quả về

Giải pháp:

- Nếu muốn dùng thử phần mềm hãy cài lên máy ảo.

- Nếu dùng lâu dài nên cài các chương trình antivirus tốt Theo dõi các

tiến trình bất thường của hệ thống

1.4.4 Tấn công nhờ lỗi cấu hình

Tấn công dựa vào lỗi cấu hình hệ thống Ví dụ bạn không đặt mật khẩu

Giải pháp: Khi triển khai phần mềm cần chú ý tới tùy chọn tính bảo mật của

3: Tấn công tràn bộ đệm sử dụng cơ chế điều khiển từ xa (RPC)

4: Lỗi Internet Information Server (IIS) trên máy chủ webserver cho phép truy cập tới một tài khoản adminstrator trên máy chủ

5: Lỗi trong sendmail, phổ biến trên Unix và Linux Một lỗ hổng được sử dụng để làm máy tính nạn nhân gửi tập tin mật khẩu cho người tấn công

6: Tấn công NFS và tương tự trên các hệ thống máy chủ Unix

7: Đoán các user và password

8: Các giao thức IMAP và POP cho phép điều khiển từ xa đến email nhưng

nó thường được cấu hình sai cho phép kẻ tấn công truy cập vào

9: Sự yếu kém của chứng thực trong giao thức SNTP do các nhà quản trị mạng để quản lý tất cả các thiết bị kết nối

1.5 Các bước tấn công hệ thống mạng

1.5.1 Thăm dò hệ thống (Reconnaissance)

a) Social Engineering

Social Engineering là hành động làm cho con người tiết lộ thông tin bí mật Nó khai thác điểm yếu chính trong hệ thống an ninh, đó là con người Social Engineering lợi dụng những người có thiện chí giúp đỡ người khác, làm họ để lộ những thông tin Có 2 dạng chính:

Dạng 1 là thông qua con người để xâm nhập vào phần yếu nhất của hệ thống bảo mật Dạng 2 là tấn công trực tiếp vào hạ tầng của hệ thống để tìm kiếm những điểm yếu nhất về mặt công nghệ Việc chọn dạng vào tùy thuộc vào kỹ năng xã hội của kẻ tấn công Ví dụ như: lừa đảo qua điện thoại, nghe trộm…

Social Engineering không cần nhiều kỹ năng về công nghệ Hacker có thể mất nhiều thời gian để xâm nhập hệ thống nhưng lại dễ dàng thuyết phục một nhân viên để lộ thông tin Và không một hệt thống nào hoàn toàn độc lập với con người

Các kỹ thuật Social Engineering:

- Yêu cầu được trợ giúp

- Lợi dụng quyền lực

- Lợi dụng việc đánh giá thấp giá trị của thông tin

- Lợi dụng sự lười biếng

Giải pháp: Áp dụng chính sách và đào tạo

b) Footprintting

Footprintting là việc dùng các công cụ và kỹ thuật để lấy thông tin cơ bản đầu tiên Footprintting một hệ thống, tổ chức cho phép Hacker thấy rõ tình hình an ninh như: Tên miền, các ứng dụng, kiến trúc hệ thống, IP addresses, số điện thoại, coe chế xác thực…

Các bước thực hiện:

Bước 1: Xác định và giới hạn phạm vi hoạt động

Xác định rõ mục tiêu tấn công( Trang web, server hay một ứng dụng) Đọc và ghi lại các thông tin trang web cung cấp về mục tiêu tấn công

Những search engie tìm kiếm là chìa khóa cho Hacker tìm được những thông tin về lỗi bảo mật của mục tiêu

Bước 2: Xác định các domain, mạng hay server có liên quan

Bước 3: Truy vấn DNS

Sau khi xác định được các domain, Hacker truy vấn DNS của mục tiêu Nếu DNS server không được cấu hình chính xác, ta có thể tìm được thông tin Một lỗi nghiêm trọng là không cấu hình DNS zone tranfer Lộ tên các máy chủ hay tên miền con, các IP ẩn…

Bước 4: Trinh sát mạng

Hacker tìm đường đến mục tiêu Sử dụng các tool hộ trợ như trace route Nó cho phép xem tuyến đường của một gói tin IP từ server này sang server khác

- Port Scanning: Là chuỗi những message được gửi nhằm mục đích xâm nhập

vào máy tính và xem có những dịch vụ nào đang chạy, bởi mỗi dịch vụ thường mở một port nào đó

- Network Scanning: Là phương thức xác định mạng có bao nhiêu máy tính

hoạt động để tấn công hoặc kiểm tra độ bảo mật của mạng đó

- Vulnerability Scanning: Là một quá trình xác định các lỗ hổng trên mạng

một cách tự động

c) Mục tiêu

- Phát hiện ra các hệ thống đang hoạt động trên mạng

- Dò ra những cổng dịch vụ nào đang chạy.

- Dò ra hệ điều hành nào đang chạy trên hệ thống đích.

- Dò ra các dịch vụ nào đang chạy trên hệ thống đích.

- Dò ra các địa chỉ IP của hệ thống đích

1.5.3 Dành quyền truy cập (Gainning access)

Đây là giai đoạn Hacker bắt đầu khai thác các lỗ hổng

a) Thâm nhập qua ứng dụng hoặc hệ điều hành

Hacker có thể tấn công dưới các dạng sau:

 Stack-based buffer overflow

 Password

 Web Application

b) Thâm nhập thông qua mạng Lan hoặc Internet:

Hacker thường sử dụng các tool như: Sniffing, Spoofing, Session hijacking,Netcat, để tấn công mục tiêu

Mức độ thâm nhập hệ thống phụ thuộc vào kiến trúc và cấu hình

hệ thống, cũng như kỹ năng và trình độ thâm nhập ban đầu của hacker

1.5.4 Duy trì truy cập (Mainting Access)

Hacker tìm cách duy trì quyền kiểm soát hệ thống trong tương lai Một khi

đã xâm nhập được vào hệ thống, hacker có thể lợi dụng hệ thống và tài nguyên sẵn

có của hệ thống để tìm cách thâm nhập hệ thống khác hoặc ở mức độ cao hơn

Đến đây hacker bắt đầu phá hỏng làm hại,hoặc có thể cài trojan, rootkit, backdoor

để lấy thông tin thêm

Hacker sẽ chọn cách duy trì quyền kiểm soát hệ thống mà không bị người dùng hoặc hacker khác phát hiện như là sử dụng Backdoor, Trojans, RootKits RootKits thường được cài đặt để thâm nhập đến mức nhân hệ thống, còn trojans hay backdoor chỉ thâm nhập ở mức độ ứng dụng Hầu hết các hacker duy trì quyền thâm nhập độc quyền trên hệ thống

Khi duy trì được quyền kiểm soát, hacker có thể upload/download hoặc thao tác dữ liệu, các ứng dụng và có thể cấu hình hệ thống

1.5.5 Xóa dấu vết (covering tracks and hiding)

Là giai đoạn hacker xoá vết xâm nhập Nhằm tránh sự phát hiện của người quản trị để kéo dài thời gian truy cập, sử dụng tài nguyên hệ thống và né tránh pháp luật về hành động xâm nhập bất hợp pháp

Để trốn tránh, các hacker thường loại bỏ các dấu vết trong các bản ghi hoặc cài đặt những chương trình chẳng hạn như ps hoặc netstat trong hệ thống Một khi các chương trình này hoạt động thì hacker có thể giả định như hệ thống vẫn an toàn, các file log vẫn không có dấu hiệu gì thay đổi

Không chỉ xoá dấu vết trên hệ thống, các hacker còn tìm cách xoá dấu vết trên các kênh truy nhập hệ thống trên mạng

Một số giao thức mà hacker có thể xoá vết khi xâm nhập hệ thống trên mạng như: ICMP, HTTP, Telnet, SMTP, FTP, Streaming Audio, SSH

CHƯƠNG 2: CÁC KỸ THUẬT TẤN CÔNG MẠNG

VÀ CÁCH PHÒNG THỦ

2.1 Foot Print

Đây là kỹ thuật giúp hacker tìm kiếm thông tin về một doanh nghiệp, cá nhân hay tổ chức Footprinting bắt đầu bằng cách xác định mục tiêu hệ thống, ứng dụng, hoặc vị trí vật lý của mục tiêu Một thông tin được biết đến, thông tin cụ thể về tổ chức được thu thập bằng cách sử dụng phương pháp không xâm nhập Ví

dụ, trang web riêng của tổ chức có thể cung cấp một thư mục nhân viên hoặc danh sách các bios nhân viên, cái mà có thể hữu ích nếu hacker cần sử dụng một cuộc tấn công kỹ thuật xã hội để đạt được mục tiêu Bạn có thể điều tra được rất nhiều thông tin của mục tiêu nhờ vào kỹ thuật này

Trong giai đoạn này Hacker cố gắng tìm càng nhiều thông tin về doanh nghiệp (thông qua các kênh internet và phone) và cá nhân (thông qua email và hoạt động của cá nhân đó trên Internet), nếu thực hiện tốt bước này Hacker có thể xác định được nên tấn công vào điểm yếu nào của chúng ta

Những phương pháp thu thập thông tin:

• Unearth initial information: thu thập, khai thác, tìm kiếm những thông tin ban đầu

• Locate Netword Range: xác định các thông số mạng DNS, IP…

• Ascertain Active Machines: xác định thông tin máy

• Discover Open Port/Access Point: khám phá các Port được mở trên Mordem hoặc Access Poit

• Detect Operating System: xác định hệ điều hành

• Uncover Service on Port: Port đang chạy dịch vụ

• Map the Network: dò địa chỉ IP, lấy thông tin từ máy này qua máy khác

• Công cụ Hacking

• Sam Spade

• Phương pháp thường sử dụng:

- Truy vấn tền miền

- Địa điểm ( Locations)

- Địa chỉ liên lạc ( Telephone/mail)

• Information Sources

- Open Sources

- Whois

- Nslookup

2.2 Scanner

Kẻ phá hoại sử dụng chương trình Scanner tự động rà soát và có thể phát hiện ra những điểm yếu lỗ hỏng về bảo mật trên một Server ở xa Scanner là một chương trình trên một trạm làm việc tại cục bộ hoặc một trạm ở xa

Các chương trình Scanner có thể rà soát và phát hiện các số hiệu cổng (Port)

sử dụng trong giao thức TCP/UDP của tầng vận chuyển và phát hiện những dịch vụ trên hệ thống đó, nó ghi lại những đáp ứng (Response) của hệ thống ở xa tương ứng các dịch vụ mà nó phát hiện ra Dựa vào những thông tin này, những kẻ tấn công có thể tìm ra những TCP/IP, hệ điều hành UNIX và các máy tính tương thích IBM hoặc dòng máy Macintosh

Các chương trình Scanner cung cấp thông tin về khả năng bảo mật yếu kém của một hệ thống mạng Những thông tin này là hết sức hữu ích và cần thiết đối với người quản trị mạng, nhưng hết sức nguy hiểm khi những kẻ phá hoại có thông tin này

Tool: Nmap http:// nmap.org/download.html

Các bước để Scanner :

- Kiểm tra xem hệ thống có tồn tại, có đang hoạt động hay không?

- Kiểm tra các port nào đang được mở mà chúng ta có thể tương tác được

- Nhận biết các dịch vụ tương ứng với các port đang mở

- Phát họa sơ đồ mạng, đặc biệt chú ý đến những host dễ bị tổn thương

- Ghi dấu hệ điều hành và những thông tin có liên quan đến hệ điều hành

- Chuẩn bị 1 proxy để tấn công

• SYN Scan

Đây là một kiểu scan khác với TCP Connect() Scan vì quá trình bắt tay 3 bước sẽ không được hoàn thành Kẻ tấn công sẽ gửi một gói tin SYN đến tất cả các cổng của mục tiêu Trong trường hợp các cổng tương ứng mở nó sẽ gửi trả lại một

gói tin SYN | ACK Tại điểm này kẻ tấn công sẽ kết thúc bằng một gói tin RST Nếu cổng đóng mục tiêu sẽ gửi trở lại một gói tin RST Trong cả 2 trường hợp quá

trình bắt tay 3 bước đều sẽ không được hoàn thành

• FIN Scan

Kẻ tấn công sẽ gửi một gói tin với cờ FIN tới tất cả các cổng của mục tiêu

Với các cổng được mở, mục tiêu sẽ bỏ qua gói tin và không phản hồi về cho kẻ tấn công Các cổng đóng sẽ gửi về gói tin RST để khởi tạo kết nối

• XMAS Scan

Gần giống như FIN scan nhưng trong kiểu scan này kẻ tấn công sẽ gửi một

gói tin FIN|URG|PSH.

Một số kỹ thuật quét cổng nâng cao

• Decoy Scan

Decoy Scan là một kỹ thuật thực hiện một IP Spoofing (giả mạo) Mục đích nhằm ấn địa chỉ thực sự của kẻ tấn công (scanner) Ta xét ví dụ sau:

Sau tham số “-D” là các giá trị IP cụ thể, với mỗi cổng khi scan mục tiêu sẽ

nhận đồng thời 3 gói tin (một từ kẻ tấn công, một từ IP: 1.2.3.4, và một từ IP: 5.6.7.8) Kết quả là mục tiêu sẽ phản hồi với cả 3 địa chỉ IP và có sẽ nghĩ rằng cả 3

IP đang scan mình Tuy nhiên, khi ta tăng giá trị IP lên hàng trăm IP thì việc tìm ra

kẻ tấn công thực sự là rất khó khăn

• Idle Scan

Idel Scan là một kỹ thuật phức tạp cho phép ẩn hoàn toàn kẻ tấn công trong

Scan này sẽ có 3 thành phần: 1 là kẻ tấn công, một Zombie (một máy bị kẻ tấn công lợi dụng) và một là mục tiêu cần quét cổng Điều kiện là máy Zombie không

thực hiện các hoạt động khác ngoại trừ việc giao tiếp với kẻ tấn công

Cách phòng chống Scaner:

- Luôn update các bản vá lỗi mới nhất từ nhà sản xuất

- Enable Firewall chỉ mở những cổng cần thiết tho các ứng dụng

- Có thiết bị IDS phát hiện xâm nhập

- Có Firewall chống Scan các Service đang chạy

2.3 Bẻ khóa ( Password Cracker)

Chương trình bẻ khóa Password là chương trình có khả năng giải mã 1 mật khẩu đã được mã hóa hoặc có thể vô hiệu hóa chức năng bảo vệ mật khẩu của hệ thống Hầu hết việc mã hóa các mật khẩu được tạo ra từ một phương thức mã hóa

Các chương trình mã hóa sử dụng các thuật toán mã hóa để mã hóa mật khẩu Có thể thay thế phá khóa trên một hệ thống phân tán, đơn giản hơn so với việc phá khóa trên Server cục bộ.

Mật khẩu sẽ được hệ thống mã hóa thành hash sau đó hash được lưu trong hệ điều hành Các hash này được lưu trong file SAM của hệ điều hành Windows File SAM được lưu trên hệ thống C:\Windows\System32\config, các giá trị này cũng được lưu trong registry HKEY_LOCAL_MACHINE\SAM Tuy nhiên bạn không thể truy cập khi hệ điều hành đang hoạt động

Windows sử dụng 2 phương pháp hash mật khẩu người dùng, cả hai đều có

ưu, nhược điểm của mình Đó là LAN Manager (LM) và NT LAN Manager version

Hacker có thể làm thay đổi bảng định tuyến trong mạng Điều đó sẽ làm chắc chắn rằng tất cả các gói tin sẽ được gửi đến hacker trước khi được gửi tới đích cuối cùng

Trong một vài trường hợp, hacker có thể giám sát tất cả các traffic, thật sự trở thành một man in the middle

Tool: pwdump, fgdump, DumpIT + Volatility

A: Để crack Password cần thu được các hash lưu trong hệ điều hành

Sử dụng khi không có sự tương tác nào với máy tính có hash mà bạn muốn

Có thể sử dụnh chương trình Cain & Abel để chặn các hash mật khẩu truyền giữa các máy

B: Crack lấy mật khẩu từ hash thu được

Lúc này chúng ta đã thực sự có các hash mật khẩu, nhiệm vụ tiếp theo cần thực hiện lúc này là crack chúng

Hình 1 Định dạng được chấp nhận của Passwords Hash

Nếu đã trích rút các Passwords Hash của mình một cách thủ công, bạn cần tạo một file có một entry cho mỗi tài khoản người dùng Mỗi dòng có chứa username, phần nhận dạng quan hệ (RID) của SID người dùng và các hash Định dạng của các thành phần này sẽ là:

Username:RID:LMHash:NTLMHash:::

- Crack mật khẩu bằng Cain & Abel

Cain & Abel thực hiện khá tốt công việc crack các LM password nhưng nó khá chậm và khi thực hiện crack NTLMv2 hash, quá trình của nó thậm chí còn chậm hơn rất nhiều

- Crack mật khẩu bằng John the Ripper

Nếu chưa có nhiều kinh nghiệm hoặc cảm thấy không thích dòng lệnh cho

các hành động crack mật khẩu, John the Ripper chính là một trong những

cỗ máy crack khá được ưa thích và có tốc độ nhanh nhất mà chúng tôi từng thấy

- Crack mật khẩu bằng các bảng cầu vồng (Rainbow Table)

Khi bạn nghi ngờ sự phức tạp và tiêu tốn nhiều thời gian cho việc crack một mật khẩu NTLMv2, chỉ có quyết định hợp lý nhất là sử dụng các bảng cầu vồng Bảng cầu vồng là một bảng tra cứu có chứa các password hash cho mỗi sự kết hợp mật khẩu có thể được đưa ra để thuật toán mã hóa sử dụng

Tổng quát lại tất cả những gì ở đây host quan tâm là việc nhận một hash tương ứng với những gì nó mong đợi Điều đó có nghĩa rằng bạn không phải thực hiện chức năng hash một chiều trên mật khẩu mà chỉ cần cung cấp hash, đó cũng là những gì cơ bản nhất cho tấn công này.

Hình 2 Chuyển giá trị hash trực tiếp đến máy chủ mục tiêu

1 Hacker thử truy cập tài nguyên

2 Server gửi yêu cầu xác thực

3 Hacker cung cấp username và giá trị hash của mật khẩu đánh cắp được

4 Giá trị hash được gửi đến server

5 Server kiểm tra giá trị hash dựa vào giá trị đã có trong cơ sở dữ liệu

6 Quyền truy cập tài nguyên được cung cấp -dumpit: tạo ra 1 bãi chứa bộ nhớ của máy tính nạn nhân

Hình 3 Mô hình cách thức tấn công Crack

Cách phòng chống password attack :

- Không cho phép sử dụng user dùng cùng password trên các hệ thống

- Làm mất hiệu lực account sau một vài lần login không thành công Bước kiểm tra này giúp ngăn chặn việc rà soát password nhiều lần

- Không dùng passwords dạng clear text: dùng kỹ thuật OTP hoặc mã hóa password

- Dùng passwords có ít nhất 8 ký tự, chứa các uppercase letter, lowercase letter, những con số và những ký tự đặc biệt

- Đổi mật khẩu thường xuyên, và ngay khi bị lộ

- Sử dụng SYSKEY chống lại các hành động copy file SAM

- Sử dụng bàn phím ảo…

2.4 Mã độc (Trojans)

Một chương trình Trojan chạy không hợp lệ trên một hệ thống với vai trò như một chương trình hợp pháp Nó thực hiện các chức năng không hợp pháp Thông thường, Trojans có thể chạy được là do các chương trình hợp pháp đã bị thay đổi

mã bằng những mã bất hợp pháp Virus là một loại điển hình của các chương trình Trojans, vì các chương trình virus che dấu các đoạn mã trong những chương trình

sử dụng hợp pháp Khi chương trình hoạt động thì những đoạn mã ẩn sẽ thực hiện một số chức năng mà người sử dụng không biết

Các dạng Trojan cơ bản:

• Remote Access Trojan: dùng để truy cập từ xa vào hệ thống

• Data-Sending Trojan: dùng để đánh cắp dữ liệu trên hệ thống và gửi về cho hacker

• Destrustive Trojan: sử dụng để phá hoại tập tin trên hệ thống

• Denied-of-Service – DoS Attack Trojan: dùng để phát động các đợt tấn công

Trojan có nhiều loại khác nhau Có thể là chương trình thực hiện chức năng

ẩn dấu, có thể là một tiện ích tạo chỉ mục cho file trong thư mục, hoặc một đoạn mã phá khóa, hoặc có thể là một chương trình xử lý văn bản hoặc một tiện ích mạng…