phân tích 1 tấn công của hacker (bài 2)

Phân tích một tấn công (Phần 2) - 16/1/2008 5h:51

Phân tích một cuộc tấn công (Phần 1)

Don Parker

Chúng tôi đã giới thiệu cho các bạn trong phần một những thông tin có thể quan sát được trong khi mở chuỗi gói được gửi bởi Nmap Chuỗi đã gửi bắt đầu với một phản hồi của ICMP echo để xác định xem máy tính hoặc mạng đã được gán với địa chỉ IP chưa. Thêm vào đó, chúng ta còn có thể đoán được mạng của máy tính bị tấn công là mạng được xây dựng trên Windows bằng cách dựa vào ttl trong gói phản hồi ICMP echo mà nó gửi trả về Những gì nên thực hiện lúc này là tiếp tục quan sát các gói còn lại trong trình quét Nmap, và tìm ra thông tin còn lại để có thể biết được hồ sơ của mạng nạn nhân

Tiếp tục

10:52:59.078125 IP (tos 0x0, ttl 49, id 9808, offset 0, flags [none], proto: TCP (6), length: 40) 192.168.111.17.37668 >

192.168.111.23.80: , cksum 0xfd46 (correct), ack 85042526 win 2048

Hai gói ở trên xuất hiện sau các gói ICMP mà chúng ta đã quan sát trong phần 1 Nmap đã gửi một gói ACK đến IP mạng nạn nhân là 192.168.111.23 trên cổng 80 Dưới dạng thông tin giả mạo chúng ta không có được toàn bộ vấn đề ở đây Chỉ thấy được rằng gói ACK đã nhận từ kẻ tấn công một gói RST phản hồi, vì ACK này không được mong đợi Bản chất là nó không thuộc về một kết nối đã được thiết lập trước đó Chúng ta vẫn có một ttl 128 tương ứng với ttl đã quan sát từ trước

10:52:59.296875 IP (tos 0x0, ttl 58, id 45125, offset 0, flags [none], proto: TCP (6), length: 40) 192.168.111.17.37644 >

192.168.111.23.21: S, cksum 0x37ce (correct),

2010644897:2010644897(0) win 3072

0x0000: 4500 0028 b045 0000 3a06 7111 c0a8 6f11 E (.E :.q o.0x0010: c0a8 6f17 930c 0015 77d8 01a1 0000 0000 o w

0x0000: 4500 002c 018e 4000 8006 99c4 c0a8 6f17 E , @ o.0x0010: c0a8 6f11 0015 930c 6473 7d44 77d8 01a2 o ds}Dw 0x0020: 6012 faf0 4f58 0000 0204 05b4 0000 ` OX

10:52:59.296875 IP (tos 0x0, ttl 128, id 110, offset 0, flags [none],proto: TCP(6), length: 40) 192.168.111.17.37644 > 192.168.111.23.21: R, cksum 0xca50 (correct), 2010644898:2010644898(0) win 0

0x0000: 4500 0028 006e 0000 8006 dae8 c0a8 6f11 E (.n o.0x0010: c0a8 6f17 930c 0015 77d8 01a2 77d8 01a2 o w w 0x0020: 5004 0000 ca50 0000 P P

Theo sau quá trình trao đổi gói ACK và RST, chúng ta có thể thấy gói SYN thật đã được gửi từ hacker đến mạng nạn nhân, minh chứng trong gói với chữ S in đậm Vấn đề này cho ta có thể suy luận ra rằng gói SYN/ACK phản hồi về từ mạng nạn nhân trên cổng 21 của nó Quá trình trao đổi này sau đó được kết thúc bởi gói RST được gửi trở về từ máy tính của hacker đến mạng nạn nhân Ba gói này lúc này giữ rất nhiều thông tin phong phú về sự giả mạo

Chúng ta cũng có ttl 128 từ máy tính nạn nhân, nhưng cũng có win64240 Tuy giá trị này không có trong danh sách, nó quả thực là một size mà tôi đã thấy nhiều lần trước đây từ Win32 (các phiên bản 32 bit của Microsoft Windows như Win NT, 2K, XP và 2K3) Tính năng hạn chế khác của máy tính Windows là rằng khả năng đoán trước số các IP ID Trong trường hợp này, chúng ta chỉ có một giá trị IP ID Chúng ta cần ít nhất giá trị nữa trước khi có thể tự tin nói rằng máy tính này là một máy tính sử dụng Windows của Microsoft Lưu ý rằng, hãy quan sát các gói còn lại từ quá trình quét của Nmap

10:52:59.312500 IP (tos 0x0, ttl 59, id 54025, offset 0, flags [none], proto: TCP (6), length: 40) 192.168.111.17.37644 > R, cksum 0xca15 (correct), 2010644898:2010644898(0) win 0

0x0000: 4500 0028 006f 0000 8006 dae7 c0a8 6f11 E (.o o.0x0010: c0a8 6f17 930c 0050 77d8 01a2 77d8 01a2 o Pw w 0x0020: 5004 0000 ca15 0000 P

Mẩu thông tin đầu tiên mà hacker quan sát là để xem xem số IP ID có tăng đến 399 không IP DI này quả thực là 399 như chúng ta có thể quan sát ở phần giữa gói Với thông tin này, hacker khá tự tin rằng máy tính nạn nhân hắn đang tấn công là

Windows NT, 2K , XP, hoặc 2K3 Cũng quan sát trong chuỗi gói này là cổng 80 trên mạng nạn nhân dường như có một dịch vụ, minh chứng bởi gói SYN/ACK, gói SYN/ ACK được xác định bằng việc thẩm định trường flag trong TCP header, trong trường hợp này giá trị hex gạch chân là 12 hoặc 18 với hệ thập phân Giá trị này có thể phát hiện được bằng giá trị SYN flag 2 được bổ sung vào giá trị ACK flag 16

Liệt kê

Khi hacker biết được cả hai cổng 21 và 80 đều mở cho doanh nghiệp, anh ta sẽ chuyển sang trạng thái liệt kê Những gì anh này cần biết lúc này là kiểu webserver đang lắng nghe cho các kết nối là gì Sẽ vô nghĩa đối với hacker này nếu sử dụng một lỗ hổng Apache trên một IIS web server Với lưu ý đó kẻ tấn công sẽ mở cmd.exe

Chúng ta có thể quan sát chủng loại mạng đã được đánh dấu ở trên hoặc cú pháp nc.exe mà hacker đánh vào địa chỉ IP của nạn nhân cũng như cổng 80 Khi vào được, hacker sẽ đánh thêm vào HTTP của phương thức GET và theo sau là một số câu sai ngữ pháp Hành động này có thể làm cho webserver của mạng nạn nhân gửi ngược trở về thông tin hệ thống của nó khi nó không hiểu yêu cầu là gì Chính vì vậy mà chúng tự nhiên liệt kê những thông tin cần thiết cho hacker Hacker lúc này có thể biết được rằng hắn đang ở trong Microsoft IIS 5.0 Tin tuyệt vời hơn nữa vì hacker có một số khai thác lỗ hổng đối với phiên bản này

Kết luận

Với việc thực hiện quét mạng của nạn nhân bằng cách sử dụng Nmap, hacker có thể nhận được một loạt các gói dư liệu quan trọng sau đó Bên trong các gói dữ liệu này, như chúng ta đã nhìn thấy, chứa đầy đủ thông tin để hacker có thể lợi dụng vào các lỗ hổng trong kiến trúc, hệ điều hành và chủng loại mạng cũng như kiểu máy chủ Tóm lại, với cách này, hacker có thể nắm được các thông tin chính về host, kiến trúc và dịch vụ được cung cấp Với các thông tin này trong tay, hacker có thể tiến hành một tấn công vào webserver của mạng nạn nhân Trong phần sau chúng tôi sẽ giới thiệu thêm về những tấn công nào hacker có thể dùng để tấn công vào người dùng trong trường hợp này