5 SCANNING
5.2) Bài thựchành sanning
a) Tool Angry IP Scanner (công cụ kiểm tra host ip)
Xin giới thiệu các bạn 1 tool dùng để xác định xem host còn sống hay chết. Tool Angry IP Scanner. Các bạn download tool này tại đây. Thử ping tới IP 68. 178. 254. 133 xem:
GVHD: Ths.Nguyễn Minh Thi SVTH: Vũ ngọc Thạch
SVTH:Lê Quốc Tung
Hình20: kiểm tra trên host đó còn sống còn hoạt động.
Thử ping tới IP 118. 68. 36. 142 xem
Hình21: Kiểm tra một host đã chết
Như hình trên host đó đã chết, tuy nhiên Nhưng có thể là không phải thế, có thể là 1 cách nào đó để qua mặt các hacker, như đặt firewall chẳng hạn. Tiếp theo là Ping Sweep. Bản chất của quá trình này là gửi một ICMP Echo Request đến máy chủ mà hacker đang muốn tấn công và mong đợi một ICMP Reply. Nhưng nhiều khi ping tới
để xác định vẫn có thể time out. Tại sao vậy? vì hệ thống đó có Firewall đây mà. Một vài tool cho các bạn tiếp tục thử đây:
Ping Scanner Pro Fping 2. 17
Utility Ping 2. 1. 2 Pinger 1. 0
FREEping - Server Pinging 2. 0 Network Ping 1. 0. 0. 0
Prestwood Ping Server 1. 1 Ping Test Easy Freeware 2. 04 OstroSoft ICMP Component 1. 0
Tại sao cần kiểm tra host ?
Tại sao cần phải kiềm tra các port nào được đóng hay mở đây? Việc xác định các port đang ở trạng thái chạy nhằm mục đích phân tích và xác định các ứng dụng đang chạy của hệ thống và phiên bản của hệ thống. Các cổng dịch vụ đang trong trạng thái chạy có thể cho phép một user không hợp pháp nào đó truy nhập vào hệ thống khi mà hệ thống đó chưa được cấu hình tốt hoặc sử dụng phiên bản phần mềm có độ bảo mật kém.
b) Công cụ kiểm tra mạng diện rộng (wan) nmap
NMAP -Network exploration tool and security scanner (network mapper) Bạn đi một vòng quanh các website bảo mật thế nào cũng tìm thấy chữ này. Đây là 1 công cụ cực kì quan trọng của hacker cũng như những nhà quản trị mạng trên thế giới. Nmap quan trọng đến nỗi mà trên film ảnh cũng có nó.
GVHD: Ths.Nguyễn Minh Thi SVTH: Vũ ngọc Thạch
SVTH:Lê Quốc Tung
Hinh 22: Phim Matrix có sử dụng phần mềm nmap
Nó còn có cả trên phim Battle Royal nữa.
Nmap được viết trên mã nguồn mở, là 1 công cụ hữu ích trong việc scan hệ thống mạng diện rộng (WAN) và đặc biệt là hoạt động tốt ở mạng đơn lẻ. Một công cụ đa chức năng.
Nmap được sử dụng như một công cụ nhằm kiểm định tính an toàn, bảo mật, có rất nhiều hệ thống và các nhà quản trị mạng tìm đến nó như một thói quen để thao tác như một công cụ thống kê mạng, quản lý các kế hoạch về nâng cấp các dịch vụ.
Tính năng nổi bật của Nmap
Nmap giúp bạn xem những dịch vụ nào đang chạy trên server,
server đó dùng HDH gì, ping sweep (xem ở trên nha, ICMP
Scanning đó). v. v.
Scan được nhiều máy tính trong 1 lần.
Thích hợp cho đa số các HDH.
Xem tất cả các port
Hình 23: Kiểm tra các post của một trang web
Bây giờ thử thêm -A -PN vào
GVHD: Ths.Nguyễn Minh Thi SVTH: Vũ ngọc Thạch
SVTH:Lê Quốc Tung
Trên hình có thể thấy được thông tin về server của công ty Khải Nguyên ;
Hệ điều hành microsoft windows Xp sp2 hoặc server 2003 sp2
Web server: Microsoft ftpd CSDL: Microsoft IIS httpd.
Các port được mở và các port bị chặn, bạn có thể xem được port
bao nhiêu, dịch vụ giao thức nào đang chạy, chẳng hạn port 21 giao
thức FTP được mở...
c) Dùng Zenmap để kiểm tra trên giao diện Explorer
Giới thiệu các bạn 1 tool Nmap xịn hơn, đầy đủ hơn. Đó là Zenmap. Download tại đây. (Ở đây là ver dành cho Window. Nếu bạn dùng hệ điều hành khác vào đây chọn: http: //nmap. org/download. html). Gõ -A -PN www. uitstudent. com như hình dưới
Hình25: Kiểm tra một trang web bằng Zenmap
Hình 26: Kiểm tra post website bằng Zenmap bằng lệnh –A -PN
GVHD: Ths.Nguyễn Minh Thi SVTH: Vũ ngọc Thạch
SVTH:Lê Quốc Tung
Hình 28: Số ports/ host được mở và đóng
Hình29: Dạng xem host đơn giản
d) States of port
Open: khi scan bạn sẽ bắt gặp trạng thái này, và hầu hết trạng thái này luôn có ở các port 20, 21 (FTP) hay 80 (HTTP) ... ... Vì nó được mở nên attacker sẽ tấn công từ đây, và các nhà quản trị, bảo mật cố gắng bảo vệ chúng bằng cách đặt tường lửa nhằm ngăn cản scan tuy nhiên hiện nay có quá nhiều tool scan xuyên qua cả tường lửa. Các port ở trạng thái này thường được quan tâm trong quá trình scan vì bên cạnh đó chúng còn cung cấp các dịch vụ khác được sử dụng trên hệ thống mạng đó.
Closed: port ở trạng thái này có thể sử dụng được, nó nhận và trả lời các gói tin thăm dò của Nmap. Tuy nhiên chúng ta sẽ không biết port này đang chạy dịch vụ nào. Các port ổ trạng thái này có thể được mở lại bởi các nhà quản trị. Để bảo vệ chúng có thể đặt firewall, khi đó chúng sẽ có trạng thái filtered.
Filtered: Nmap sẽkhộngthể xác định được port nào đang ở trạng thái Open bởi khi bạn sử dụng Nmap gửi các gói tin đến thăm dò thì nó sẽ được lọc, được chặn
GVHD: Ths.Nguyễn Minh Thi SVTH: Vũ ngọc Thạch
SVTH:Lê Quốc Tung
trước khi tới các port ở trạng thái Filtered này. Cái gì lọc, cái gì chặn nó đây?
Firewall đây mà. Những port này có mang lại nhiều thông tin cho attacker hay không, cái đó còn tùy vào sự chuyên nghiệp của attacker đó.
Unfiltered: các port ở trạng thái này có thể sử dụng được. nhưng Nmap khộngthể xác định được nó đóng hay mở. Scan các port Unfiltered với các kiểu scan như Windows Scan, SYN Steath.... cũng có thể giúp giải quyết tìm những port nào được mở.
Open/Filtered: Nmap sẽ xác định port ở trạng thái Open/Filtered khi không xác định được port đang ở trạng thái Open hoặc Filtered. Trạng thái này xảy ra với các kiểu scan mà các port ở trạng thái Openkhộng “trả lời “ lại. Việc khộngtrả lời lại cũng có thể do các gói tin đã bị chặn-->Filtered. Đó là lí do sao có trạng thái này. Các kiểu scan nhằm hỗ trợ bao gồm UDP Scan, IP Protocol Scan, Null Scan và Xmas Tree Scan.
Closed/Filtered: Trạng thái này được sử dụng khi Nmap không biết chắc được port đó đang Closed hay Filtered. Nó được sử dụng cho quét IPID Idle.
e) Các kiểu scan trong Nmap
Xmas tree scan
Xmas Tree:Attacker kiểm tra giao thức TCP bằng cách gửi các gói “Xmas Tree “ đến. Sử durng lệnh nmap -sX ở đây target là www1. khainguyen. Com.vn
Hình 30: Attacker kiểm tra giao thức TCP
Xem ví dụdưới:
Hình 31: Cách truy cập giữa 2 máy
Với ví dụ trên ta có thể thấy được với kiểu Xmas Scan, nếu port mở thì sẽ khộng có sự phản hồi nào nhưng nếu port đóng thì sẽ có sự phản hồi. Nói thêm là ở kiểu này thì máy A sẽ gửi các gói FIN/URG/PSH đến máy đích cần thăm dò (FIN, URG, PSH là gì vui lòng xem ở trên nha).
Xmas Scan chỉ làm việc với HDH đầy đủ giao thức TCP/IP hay RFC 793. RFC (Request For Comment) là tập hợp những tài liệu về kiến nghị, đề xuất và những lời
GVHD: Ths.Nguyễn Minh Thi SVTH: Vũ ngọc Thạch
SVTH:Lê Quốc Tung
bình luận liên quan trực tiếp hoặc gián tiếp đến công nghệ, giao thức mạng
INTERNET. Có các RFC cần quan tâm như RFC 768 (UDP Protocol), RFC 791 (IP Protocol), RFC 792 (ICMP Protocol), RFC 793 (TCP Protocol), RFC 826
(Enthernet Protocol), RFC10341035 (Domain Name), RFC 2616 (HTTP 1. 1), RFC 1945 (HTTP 1. 0)
Xmas Scan ch làm vi c trong môi tr ng Windows.
Với kiểu Scan này có thể xác định gần như là chính xác được port nào đã đóng
f) Syn steath/ half open scan
Đây là kĩ thuật scan bán mở, tại sao lại gọi như thế, bởi vì nó không hoàn tất cơ chế Three Way Handshake của TCP (xem ở trên).
Một attacker gửi một SYN đến đích, nếu một SYN/ACK được nhận trở lại thì nó hoàn tất việc scan và xác địch port đang mở. Xem ví dụ dưới để rõ hơn nha.
Hình :
Máy A khi muốn thăm dò máy B sẽ gửi gói SYN tới máy B. Và sau đó máy B trả lời bằng gói SYN/ACK. Máy A lại gửi 1 gói RST đến máy B. Ở đây các bạn phải hiểu máy B là máy đích. Nếu máy B được nhận gói RST thì port đó sẽ ở trạng thái đóng. Còn tại sao lại gọi là scan bán mở thì xem trên nha. Quá trình cứ lặp đi lặp lại để chắc chắn rằng port đó đã đóng hay mở.
g) Null scan
Null Scan cũng giống như kiểu Xmas Tree Scan, chỉ khác là ở kiểu Scan này sẽ không gửi bất cứ gói thăm dò nào nhưng vẫn được trả lại gói SYN/ACK. Để thực hiện kiểu scan này gõ lệnh nmap -sN
h) Ack scan
Kiểu scan này không tập trung vào bên trong hệ thống, khôngxác định trạng thái port, chỉ thu thập các thông tin về hệ thống xung quanh, bên ngoài firewall. Để thực hiện gõ lệnh nmap –sA.
GVHD: Ths.Nguyễn Minh Thi SVTH: Vũ ngọc Thạch
SVTH:Lê Quốc Tung
i) Windows scan
Kiểu Scan này cũng giống như kiểu ACK Scan nhưng với kiểu này ta có thể xác định được port nào được mở. Để thực hiện gõ lệnh nmap -sW
Fin Scan cũng giống như kiểu Xmas Scan, nhưng ở đây các gói FIN sẽ được gửi đi thăm dò, nếu khộng có sự phản hồi nào lại thì port đó đã mở, và ngược lại nếu có sự trả lời bằng gói RST/ACK thì port đó ở trạng thái Closed.
Thực nghiệm:
Sử dụng phần mềm Retina để phát hiện các vulnerabilities và tấn công bằng Metaesploit framework.
Retina của Ieye là phần mềm thương mại(cũng như GFI, shadow v.v ) có thể update các lỗ hỗng 1 cách thường xuyên và giúp cho người Admin hệ thống có thể đưa ra những giải pháp để xử lý.
Bây giờ ta sử dụng phần mềm Retina để dò tìm lỗi của máy Win 2003 Sp0(10.100.100.6)
GVHD: Ths.Nguyễn Minh Thi SVTH: Vũ ngọc Thạch
SVTH:Lê Quốc Tung
Report từ chương trình Retina:
20 lỗ hổng quan tọng trong bảo mật
Ra nk
Vulnerability Name Count
1. echo service 1
2. ASN.1 Vulnerability Could Allow Code Execution 1
3. Windows Cumulative Patch 835732 Remote 1
4. Null Session 1
5. No Remote Registry Access Available 1
6. telnet service 1
7. DCOM Enabled 1
8. Windows RPC Cumulative Patch 828741 Remote 1
9. Windows RPC DCOM interface buffer overflow 1
10. Windows RPC DCOM multiple vulnerabilities 1
11. Apache 1.3.27 0x1A Character Logging DoS 1
12. Apache 1.3.27 HTDigest Command Execution 1
13. Apache mod_alias and mod_rewrite Buffer
Overflow
1
14. ApacheBench multiple buffer overflows 1
20 port mở quan trọng và thông dụng trong mạng.
Ran Port Description Count
1. TCP:7 ECHO - Echo 1
2. TCP:9 DISCARD - Discard 1
3. TCP:13 DAYTIME - Daytime 1
4. TCP:17 QOTD - Quote of the Day 1
5. TCP:19 CHARGEN - Character Generator 1
6. TCP:23 TELNET - Telnet 1
7. TCP:42 NAMESERVER / WINS - Host Name Server 1 8. TCP:53 DOMAIN - Domain Name Server 1 9. TCP:80 WWW-HTTP - World Wide Web HTTP (Hyper Text Transfer Protocol) 1
10. TCP:135 RPC-LOCATOR - RPC (Remote Procedure Call) Location
Service 1
11. TCP:139 NETBIOS-SSN - NETBIOS Session Service 1 12. TCP:445 MICROSOFT-DS - Microsoft-DS 1
13. TCP:1025 LISTEN - listen 1
14. TCP:1026 NTERM - nterm 1
15. TCP:1030 IAD1 - BBN IAD 1
16. TCP:2103 ZEPHYR-CLT - Zephyr Serv-HM Conncetion 1 17. TCP:2105 EKLOGIN - Kerberos (v4) Encrypted RLogin 1 18. TCP:3389 MS RDP (Remote Desktop Protocol) / Terminal Services 19. TCP:8080 Generic - Shared service port 1
20. UDP:7 ECHO - Echo 1
Rank Operating System Name Count
1. Windows Server 2003 1
Như vậy ta đã xác định hệ điều hành của máy 10.100.100.6, cácPort mở của hệ thống.và các lỗi của hệ thống. Đây là thông tin cần thiết để người Admin nhận diện
GVHD: Ths.Nguyễn Minh Thi SVTH: Vũ ngọc Thạch
SVTH:Lê Quốc Tung
lỗi và vá lỗi Trong Top 20 vulnerabilities ta sẽ khai thác bug lỗi thứ 10 là RPC DCOM bằng chương trinh Metaesploit framework(CD CEH v5). Ta có thể kiểm tra các thông tin lỗi này trên chính trang của Ieye hay securityfocus.com, microsoft.com
Ta sử dụng giao diện console của Metaesploit để tìm bug lỗi hợp với chương trình Retina vừa quét được:
Hình giao diện chương trình Metaesploit
Ta thấy có thể nhận thấy bug lỗi msrpc_dcom_ms03_026.pm được liệt kê trong phần exploit của metaesploit. Bây giờ ta bắt đầu khai thác lỗi này.
Kết luận: Phần mềm scanning rất quan trọng với Hacker để có thể phát hiện lỗi của hệ thống, sau khi xác định lỗi Hacker có thể sử dụng Framework có sẵn hay code có sẵn trên Internet để có thể chiếm quyền sử dụng của máy mục tiêu. Tuy nhiên đây cũng là công cụ hữu ích của Admin hệ thống, phần mềm này giúp cho người Admin hệ thống đánh giá lại mức độ bảo mật của hệ thống mình và kiểm tra liên tục các bug lỗi xảy ra.