Sau khi nghiên cứu xong module này bạn sẽ có thể biết dc:
Trích:
-Definition of scanning
-Types of objectives of scanning
-Understanding CEH Scanning
-Checking live system and open port
-Understanding scanning techniques
-Different tool present to perform Scanning
-Understanding banner grabbing and OS fingerprinting
-Drawing network diagram of vulnerable hosts
-Preparing Proxies
-Understanding anonymizers
-Scanning countermeasures
-Types of objectives of scanning
-Understanding CEH Scanning
-Checking live system and open port
-Understanding scanning techniques
-Different tool present to perform Scanning
-Understanding banner grabbing and OS fingerprinting
-Drawing network diagram of vulnerable hosts
-Preparing Proxies
-Understanding anonymizers
-Scanning countermeasures
Mình để nguyên tên tiếng Anh,nghiên cứu từng phần thì bạn sẽ hiểu được phần nào nói gì,dịch những từ có thể mất đi thuật ngữ IT,nửa tây nửa ta
SCANNING-DEFINITION
-Scanning là 1 trong 3 kĩ thuật thu thập thông tin của 1 attacker.Kĩ thuật đầu tiên các bạn được học là Footprinting đúng không.Các bạn có thể xem lại module này tại đây
-Qua việc Scanning ,attacker có thể tìm kiếm dc gì đây.Nhiều thứ khá quan trọng đây
Module này đòi hỏi các bạn phải hiểu rõ các thuật ngữ như IP,TCP,UDP,ICMP.Nghiên cứu nó 1 tí nha
-IP(Internet Protocol):đó là 1 giao thức liên mạng để truyền dữ liệu.Các khối dữ liệu dc truyền đó gọi là packet.Các bạn có thể hiểu đơn giản là IP chính là ngôn ngữ để 2 máy tính có thể "nói chuyện" ,truyền thông tin với nhau.Giống như chúng ta dùng ngôn ngữ Việt để nói chuyện vậy.Bạn cũng có thể nghĩ đơn giản hơn IP chính là địa chỉ nhà của bạn để 1 nhân viên bưu điện có thể đưa thư,đưa báo cho bạn mà không thể đưa nhầm 1 ai khác,vì IP là duy nhất,không ai giống ai cả.Giao thức IP cung cấp một dịch vụ gửi dữ liệu không đảm bảo, nghĩa là nó hầu như không đảm bảo gì về gói dữ liệu. Gói dữ liệu có thể đến nơi mà không còn nguyên vẹn, nó có thể đến không theo thứ tự , nó có thể bị trùng lặp hoặc bị mất hoàn toàn.Để xem IP ,bạn vào Run gõ cmd,sau đó gõ ipconfig để xem.Nếu bạn muốn xem rõ hơn về cấu trúc địa chỉ IP có thể xem tại đây
-UDP(User Datagram Protocol) Nó cũng giống như TCP, nhưng nó không đảm bảo sự chính xác của thông tin được chuyển tải. UDP chỉ đơn giản là những gói tin có điểm xuất phát và điểm đích xác định.
-ICMP(Internet Control Message Protocol):giao thức điều khiển truyền thông tin trên mạng.ICMP có nhiệm vụ điều khiển,thông báo lỗi và chức năng thông tin cho TCP/IP.Bạn cứ nghĩ đơn giản nó là 1 tin nhắn vậy.Để hiểu rõ hơn qua ví dụ này nha.Vào Run ,gõ cmd,gõ ping www.uitstudent.com
-Như hình trên ta thây Ping đã gửi 1 ICMP Echo Request tới và đã nhận dc 1 ICMP Reply tới để thông báo host này còn hoạt động.Còn với ví dụ dưới thì sao
Qua ví dụ trên chắc các bạn cũng có thể hiểu được phần nào về giao thức ICMP rồi chứ.Khi ping tới 1 host nào đó,nếu host đó còn hoạt động hay không , lập tức sẽ xuất hiện 1 ICMP message truyền về thông báo kết quả
-Qua việc Scanning ,attacker có thể tìm kiếm dc gì đây.Nhiều thứ khá quan trọng đây
- Địa chỉ IP (nếu attacker biết dc IP có thể tìm ra vị trí của bạn
- Hệ điều hành(Linux/Unix;Windows;Ubuntu.....)
- Cấu trúc hệ thống (biết được cấu trúc hệ thống cũng là 1 thông tin quan trọng trong việc xâm nhập.
- Các chương trình,dịch vụ nào đang chạy trên máy tính.
Module này đòi hỏi các bạn phải hiểu rõ các thuật ngữ như IP,TCP,UDP,ICMP.Nghiên cứu nó 1 tí nha
-IP(Internet Protocol):đó là 1 giao thức liên mạng để truyền dữ liệu.Các khối dữ liệu dc truyền đó gọi là packet.Các bạn có thể hiểu đơn giản là IP chính là ngôn ngữ để 2 máy tính có thể "nói chuyện" ,truyền thông tin với nhau.Giống như chúng ta dùng ngôn ngữ Việt để nói chuyện vậy.Bạn cũng có thể nghĩ đơn giản hơn IP chính là địa chỉ nhà của bạn để 1 nhân viên bưu điện có thể đưa thư,đưa báo cho bạn mà không thể đưa nhầm 1 ai khác,vì IP là duy nhất,không ai giống ai cả.Giao thức IP cung cấp một dịch vụ gửi dữ liệu không đảm bảo, nghĩa là nó hầu như không đảm bảo gì về gói dữ liệu. Gói dữ liệu có thể đến nơi mà không còn nguyên vẹn, nó có thể đến không theo thứ tự , nó có thể bị trùng lặp hoặc bị mất hoàn toàn.Để xem IP ,bạn vào Run gõ cmd,sau đó gõ ipconfig để xem.Nếu bạn muốn xem rõ hơn về cấu trúc địa chỉ IP có thể xem tại đây
-TCP(Transmission Control Protocol):đây chính là giao thức truyền và nhận dữ liệu.Vì sự không đảm bảo của giao thức IP nên ra đời TCP này và dc gọi là giao thức TCP/IP.TCP giúp cho tầng ứng dụng trong mô hình chuẩn OSI(việc truyền dữ liệu sẽ theo mô hình chuẩn này) sử dụng IP một cách tốt hơn.Vì trong mạng Internet chỉ có IP).Sự xuất hiện của giao thức TCP/IP này sẽ nhận đúng dữ liệu và gửi dữ liệu đó đến đúng chương trình cần nhận,khá đảm bảo về mặt truyền dữ liệu so với việc k đảm bảo của IP như trên.
TCP sẽ làm việc ngay tầng ứng dụng,một mình nó sẽ xử lí riêng,giống như chiếm dụng nguyên 1 tầng vậy,k cần biết các tầng khác làm gì,ra sao.Đó chính là nguyên nhân của tính đảm bảo trong truyền dữ liệu. |
-UDP(User Datagram Protocol) Nó cũng giống như TCP, nhưng nó không đảm bảo sự chính xác của thông tin được chuyển tải. UDP chỉ đơn giản là những gói tin có điểm xuất phát và điểm đích xác định.
-ICMP(Internet Control Message Protocol):giao thức điều khiển truyền thông tin trên mạng.ICMP có nhiệm vụ điều khiển,thông báo lỗi và chức năng thông tin cho TCP/IP.Bạn cứ nghĩ đơn giản nó là 1 tin nhắn vậy
.Để hiểu rõ hơn qua ví dụ này nha.Vào Run ,gõ cmd,gõ ping www.uitstudent.com
-Như hình trên ta thây Ping đã gửi 1 ICMP Echo Request tới và đã nhận dc 1 ICMP Reply tới để thông báo host này còn hoạt động.Còn với ví dụ dưới thì sao
Qua ví dụ trên chắc các bạn cũng có thể hiểu được phần nào về giao thức ICMP rồi chứ.Khi ping tới 1 host nào đó,nếu host đó còn hoạt động hay không , lập tức sẽ xuất hiện 1 ICMP message truyền về thông báo kết quả
TYPE OF SCANNING
-Post scanning:quá trình thực hiện kết nối tới cổng TCP và UDP của hệ thống mục tiêu nhằm xác định dịch vụ nào của hệ thống mục tiêu đang ở trạng thái chạy. Việc xác định các cổng đang ở trạng thái chạy nhằm mục đích phân tích và xác định các ứng dụng đang chạy của hệ thống và kiểu của hệ thống. Các cổng dịch vụ đang trong trạng thái chạy có thể cho phép một user không hợp pháp nào đó truy nhập vào hệ thống khi mà hệ thống đó chưa được cấu hình tốt hoặc sử dụng phiên bản phần mềm có độ bảo mật kém.
-Network scanning:scan để xác định các host đang hoạt động trên 1 mạng,có thể vì mục đích tấn công,cũng có thể mục đích bảo mật,phòng thủ.
-Vulnerable scanning:scan các lổ hổng trong bảo mật để từ đó có thể khai thác.1 công cụ để scan lỗi đã có trong 4rum UITS là Acunetix Web Vulnerability Scanner
-Network scanning:scan để xác định các host đang hoạt động trên 1 mạng,có thể vì mục đích tấn công,cũng có thể mục đích bảo mật,phòng thủ.
-Vulnerable scanning:scan các lổ hổng trong bảo mật để từ đó có thể khai thác.1 công cụ để scan lỗi đã có trong 4rum UITS là Acunetix Web Vulnerability Scanner
OBJECTIVE OF SCANNING
-Quan tâm những gì trong kĩ thuật scanning đây:
CEH SCANNING METHODOLOGY
- Phát hiện đựoc hệ thống nào đang hoạt động trong hệ thống mạng
- Biết đươc port nào đã và đang chạy
- Biết được hệ điều hành nào đang chạy trên hệ thống mục tiêu
- Biết được những dịch vụ nào đang chạy trong hệ thống
- Địa chỉ IP của hệ thống
CEH SCANNING METHODOLOGY
-Phương pháp hay định hướng trong việc tấn công sẽ theo trình tự sau,xem sơ đồ:
-Check forr live system:kiểm tra thử hệ thống còn"sống" hay không,còn hoạt động tốt hay không
-Check for open port:kiểm tra xem thử hệ thống có mở port không,như đã giới thiệu cho các bạn port là gì tại đây
-Identify service:kiểm tra ,nhận dạng xem có dịch vụ nào đang chạy hay không
-Banner Grabbing/OS Fingerprinting:kĩ thuật lấy thông tin về phiên bản HDH của 1 hệ thống mục tiêu
-Scan for Vulnerable: scan lỗi website để khai thác
-Draw Network Diagram of Vulnerable host: dựng biểu đồ hệ thống mạng sau khi đã phát hiện được lỗi các host
-Prepare Proxies: ẩn mình đây mà,chuẩn bị công kích
-Attack
-Check forr live system:kiểm tra thử hệ thống còn"sống" hay không,còn hoạt động tốt hay không
-Check for open port:kiểm tra xem thử hệ thống có mở port không,như đã giới thiệu cho các bạn port là gì tại đây
-Identify service:kiểm tra ,nhận dạng xem có dịch vụ nào đang chạy hay không
-Banner Grabbing/OS Fingerprinting:kĩ thuật lấy thông tin về phiên bản HDH của 1 hệ thống mục tiêu
-Scan for Vulnerable: scan lỗi website để khai thác
-Draw Network Diagram of Vulnerable host: dựng biểu đồ hệ thống mạng sau khi đã phát hiện được lỗi các host
-Prepare Proxies: ẩn mình đây mà,chuẩn bị công kích
-Attack
Checking for Live Systems-ICMP Scanning
-Một kĩ thuật scanning đây,đó là ICMP Scanning.Xác định hệ thống còn "sống"hay không là 1 điều quan trọng đúng k,nếu biết hệ thống đó đã "chết "thì hacker sẽ ngừng ngay cuộc tấn công của mình(chết rùi thì có ai đánh nữa k ).
-Bắt đầu dùng tool chơi à nha.Xin giới thiệu bà con 1 tool dùng để xác định xem host còn sống hay tiêu rùi.Tool Angry IP Scanner.Bà con download tool này tại đây.Thử ping tới IP 118.68.36.142 xem sao:
).-Bắt đầu dùng tool chơi à nha.Xin giới thiệu bà con 1 tool dùng để xác định xem host còn sống hay tiêu rùi.Tool Angry IP Scanner.Bà con download tool này tại đây.Thử ping tới IP 118.68.36.142 xem sao:
|
-Như hình trên host đó đã chết,tuy nhiên ICT không nghĩ thế,có thể là 1 cách nào đó để qua mặt các hacker 
,như đặt firewall chẳng hạn.Tool trên còn có cả chức năng scan port.Bàn luận sau nha
Tiếp theo là Ping Sweep .Bản chất của quá trình này là gửi một ICMP Echo Request đến máy chủ mà hacker đang muốn tấn công và mong đợi một ICMP Reply.Nhưng nhiều khi ping tới để xác định vẫn có thể time out.Tại sao vậy ta.À,vì hệ thống đó có Firewall đây mà .Hehhe.Một vài tool cho các bạn vọc đây
,như đặt firewall chẳng hạn.Tool trên còn có cả chức năng scan port.Bàn luận sau nhaTiếp theo là Ping Sweep .Bản chất của quá trình này là gửi một ICMP Echo Request đến máy chủ mà hacker đang muốn tấn công và mong đợi một ICMP Reply.Nhưng nhiều khi ping tới để xác định vẫn có thể time out.Tại sao vậy ta.À,vì hệ thống đó có Firewall đây mà .Hehhe.Một vài tool cho các bạn vọc đây
Ping Scanner Pro
Fping 2.17
Utility Ping 2.1.2
Pinger 1.0
FREEping - Server Pinging 2.0
Network Ping 1.0.0.0
Prestwood Ping Server 1.1
Ping Test Easy Freeware 2.04
OstroSoft ICMP Component 1.0
FIREWALK TOOL
(Bổ sung phần này sau,ai có thể tiếp sức phần này nha )
Fping 2.17
Utility Ping 2.1.2
Pinger 1.0
FREEping - Server Pinging 2.0
Network Ping 1.0.0.0
Prestwood Ping Server 1.1
Ping Test Easy Freeware 2.04
OstroSoft ICMP Component 1.0
FIREWALK TOOL
(Bổ sung phần này sau,ai có thể tiếp sức phần này nha )
CHECKING FOR OPEN PORTS
-Tại sao cần phải kiềm tra các port nào dc đóng hay mở đây? Việc xác định các port đang ở trạng thái chạy nhằm mục đích phân tích và xác định các ứng dụng đang chạy của hệ thống và phiên bản của hệ thống. Các cổng dịch vụ đang trong trạng thái chạy có thể cho phép một user không hợp pháp nào đó truy nhập vào hệ thống khi mà hệ thống đó chưa được cấu hình tốt hoặc sử dụng phiên bản phần mềm có độ bảo mật kém.
-Tìm hiểu 1 ví dụ trong tài liệu trước nha.Máy A có IP là 192.168.1.2 có port là 2342 muốn kết nối đến máy chủ có IP là 192.168.1.3 port 80.Máy A sẽ gửi 1 yêu cầu kết nối cho máy chủ B đó.Gọi là SYN.Lúc đó nếu máy chủ B đống ý sẽ gửi lại cho máy A tin xác nhận kết nối.Gọi là SYN/ACK.(làm wen dần các thuật ngữ nha ).Vậy đố các bạn máy A có thực hiện quá trình gì k.À câu trả lời có luôn,đơn giản là máy A sẽ gửi lại cho máy chủ B 1 gói ACK với nội dung "anh và tui đã kết nối rồi".Quá trình đó người ta gọi là Three Way Handshake đó .Thế quá trình đó dựa trên cái gì? Giao thức TCP đây mà.Nếu bạn chưa bít về TCP vui lòng xem ở trên nha
Làm quen với vài thuật ngữ trong cơ chế trên cũng như trong giao thức TCP nha :
-Synchronize:viết tắt là "SYN",khởi tạo 1 kết nối giữa các host (xem ví dụ trên)
-Acknowledgment:viết gọi tắt là "ACK",thiết lập kết nối giữa các host(xem ví dụ trên)
-Push:viết tắt là "PSH",hệ thống đang chuyển tiếp dữ liệu từ bộ nhớ đệm
-Urgent:viếti tắt là "URG",dc dùng trong ngữ cảnh các dữ liệu trong gói packet cần dc xử lí trực típ,xử lí nhanh.Dạng như Emgency đây mà(tình trạng khẩn cấp....)
-Finish:viết tắt là "FIN" ,dc sử dụng nhắm thông báo cho chúng ta biết k có bất cứ việc truyền dữ liệu nào xảy ra từ những hệ thống từ xa tới.
-Reset:viết tắt là "RST",reset kết nối đây(giống việc bạn ấn nút Reset moderm đó)
NMAP
-NMAP -Network exploration tool and security scanner (network mapper)-bạn đi 1 vòng quanh các website bảo mật thế nào cũng tìm thấy chữ này .Đây là 1 công cụ cực kì quan trọng của hacker cũng như những nhà quản trị mạng trên thế giới.Nmap quan trọng đến nỗi mà trên film ảnh cũng có nó.Xem 1 ví dụ nha
Phim Matrix đây,nó còn có cả trên phim Battle Royal nữa,mọi người có thể xem ảnh tại http://nmap.org/images/matrix/ nha
-Nmap dc viết trên mã nguồn mở,là 1 công cụ hữu ích trong việc scan hệ thống mạng diện rộng(WAN ) và đặc biệt là hoạt động tốt ở mạng đơn lẻ.Một công cụ đa chức năng nhỉ
-Nmap được sử dụng như một công cụ nhằm kiểm định tính an toàn, bảo mật, có rất nhiều hệ thống và các nhà quản trị mạng tìm đến nó như một thói quen để thao tác như một công cụ thống kê mạng, quản lý các kế hoạch về nâng cấp các dịch vụ
-Tính năng nổi bật của Nmap
Thực hành hen.Vào Run gõ cmd,gõ cd\,sau đó gõ nmap www.uitstudent.com.
Bây giờ thử thêm -A -PN vào
Trên hình có thể thấy được thông tin về server của forum UITS ;
Và kết quả như sau:
-Xem ở trên nha,port nào dc mở và dịch vụ nào đang chạy ở đó,có 15 port đã bị tưởng lửa chặn,k cho quét,hem sao,hết nmap dùng Hping2 "quậy"..thằng hping2 này nó "ăn gạch"chui wa firefwall lun
-Webserver chắc chắn là Linux rùi,hehhe.Bạn có thấy Accuracy(độ chính xác ) k,tuyệt đối 100% lun .
Các kiểu scan trong Nmap
-Xmas Tree :Attacker kiểm tra giao thức TCP bằng cách gửi các gói "Xmas Tree " đến.Sử durng lệnh nmap -sX
Xem ví dụ này nha:
Với ví dụ trên ta có thể thấy dc với kiểu Xmas Scan,nếu port mở thì sẽ k có sự phản hồi nào nhưng nếu port đóng thì sẽ có sự phản hồi.Nói thêm là ở kiểu này thì máy A sẽ gửi các gói FIN/URG/PSH đến máy đích cần thăm dò (FIN,URG,PSH là gì vui lòng xem ở trên nha ).
-Xmas Scan chỉ làm việc với HDH đầy đủ giao thức TCP/IP hay RFC 793.RFC(Request For Comment)là tập hợp những tài liệu về kiến nghị, đề xuất và những lời bình luận liên quan trực tiếp hoặc gián tiếp đến công nghệ, giao thức mạng INTERNET.Có các RFC cần quan tâm như RFC 768 (UDP Protocol),RFC 791(IP Protocol),RFC 792 (ICMP Protocol),RFC 793 (TCP Protocol), RFC 826(Enthernet Protocol),RFC 1034 1035 (Domain Name),RFC 2616(HTTP 1.1 ),RFC 1945 (HTTP 1.0)
-Xmas Scan chỉ làm việc trong môi trường Windows.
-Với kiểu Scan này có thể xác định gần như là chính xác dc port nào đã đóng
Máy A khi muốn thăm dò máy B sẽ gửi gói SYN tới máy B.Và sau đó máy B trả lời bằng gói SYN/ACK.Máy A lại gửi 1 gói RST đến máy B.Ở đây các bạn phải hiểu máy B là máy đích.Nếu máy B dc nhận gói RST thì port đó sẽ ở trạng thái đóng.Còn tại sao lại gọi là scan bán mở thì xem trên nha.Quá trình cứ lặp đi lặp lại để chắc chắn rằng port đó đã đóng hay mở.
ACK SCAN
FIN SCAN
FIN Scan cũng giống như kiểu Xmas Scan,nhưng ở đây các gói FIN sẽ dc gửi đi thăm dò,nếu k có sự phản hồi nào lại thì port đó đã mở,và ngược lại nếu có sự trả lời bằng gói RST/ACK thì port đó ở trạng thái Closed
Tương tự như Xmas Scan và Null Scan thì FIN Scan cũng chỉ thực thi dc trên các HDH Windows
Bước 1: Attacker chọn 1 "Zombie " và gửi gói tin thăm dò SYN/ACK đến Zombie đó và xem thử IPID là gì.Vậy Zombie là gì?nghiên cứu 1 xíu.Zombie là các đối tượng được lợi dụng trở thành thành phần phát sinh tấn công. Một số trường hợp điển hình như thông qua rootkit hay các thành phần hoạt động đính kèm trong mail, hoặc trang web, ví dụ như sử dụng các file *.jpeg khai thác lỗi của phần mềm xử lý ảnh, các đoạn mã đính kèm theo file flash, hoặc trojan cài đặt theo phishing, hay thông qua việc lây lan worm (mọi người có thể bổ sung hay có 1 định nghĩa khác thì có thể chia sẻ nha).Và có 1 gói RST dc phản hồi,thế là attacker đã biết dc IPID là 31337.
Bước 2:Attacker dùng giả mạo 1 IP Zombie và gửi 1 gói SYN tới webserver(port 80) .Nếu port dc mở,lập tức có sự phản hồi SYN/ACK tới zombie.Zombie lại phản hồi lại mục tiếu gói RST với IPID là 31338.
Bước 3:Attacker gửi thăm dò SYN tới webserver,nếu có 1 phản hồi RST tới zombie ta bít dc port đóng.Còn nếu số IPID lại tăng -->31339 thì port đó mở.
Thực hành phải có 1 zombie host rùi,cái này chưa kiếm dc ..........T_T
Còn khá nhều kiểu scan nhưng không thể nói hết dc,trên đây là những kiểu scan bạn có thể sử dụng,các bạn có thể tự vọc những kiểu scan khác và chia sẻ nhé.
To be continued.........
WAR DIALER TECHNIQUE
-Đây là kĩ thuật sử dụng 1 công cụ với 1 moderm để xâm nhập những hệ thống trên nền moderm của 1 tổ chức nào đó bằng liên tục quay số gọi điện thoại tới đó.(Đúng là công nghệ cao có khác nhỉ ^^)
-Các công ty thì k thể kiểm soát các cổng kết nối điện thoại 1 cách nghiêm ngặt như firewall hay những moderm có ở khắp nơi.
-Sử dụng 1 công cụ nhận diện,theo dõi số điện thoại và có thể kết nối thành công đến moderm mục tiêu
Phần này có vẻ hơi khó,nên mình sẽ giới thiệu các bạn vài tool để thực hành thử:
Phone Sweep
Các tool còn lại ICT chưa kiếm dc,bạn nào kiếm dc nhớ up dùm mình nhé.Phần này sẽ phải bổ sung.
OS FINGERPRINTING
.Thế quá trình đó dựa trên cái gì? Giao thức TCP đây mà.Nếu bạn chưa bít về TCP vui lòng xem ở trên nha
Làm quen với vài thuật ngữ trong cơ chế trên cũng như trong giao thức TCP nha :
-Synchronize:viết tắt là "SYN",khởi tạo 1 kết nối giữa các host (xem ví dụ trên)
-Acknowledgment:viết gọi tắt là "ACK",thiết lập kết nối giữa các host(xem ví dụ trên)
-Push:viết tắt là "PSH",hệ thống đang chuyển tiếp dữ liệu từ bộ nhớ đệm
-Urgent:viếti tắt là "URG",dc dùng trong ngữ cảnh các dữ liệu trong gói packet cần dc xử lí trực típ,xử lí nhanh.Dạng như Emgency đây mà(tình trạng khẩn cấp....
)-Finish:viết tắt là "FIN" ,dc sử dụng nhắm thông báo cho chúng ta biết k có bất cứ việc truyền dữ liệu nào xảy ra từ những hệ thống từ xa tới.
-Reset:viết tắt là "RST",reset kết nối đây(giống việc bạn ấn nút Reset moderm đó
)NMAP
-NMAP -Network exploration tool and security scanner (network mapper)-bạn đi 1 vòng quanh các website bảo mật thế nào cũng tìm thấy chữ này .Đây là 1 công cụ cực kì quan trọng của hacker cũng như những nhà quản trị mạng trên thế giới.Nmap quan trọng đến nỗi mà trên film ảnh cũng có nó
.Xem 1 ví dụ nha |
Phim Matrix đây,nó còn có cả trên phim Battle Royal nữa,mọi người có thể xem ảnh tại http://nmap.org/images/matrix/ nha
-Nmap dc viết trên mã nguồn mở,là 1 công cụ hữu ích trong việc scan hệ thống mạng diện rộng(WAN ) và đặc biệt là hoạt động tốt ở mạng đơn lẻ.Một công cụ đa chức năng nhỉ
-Nmap được sử dụng như một công cụ nhằm kiểm định tính an toàn, bảo mật, có rất nhiều hệ thống và các nhà quản trị mạng tìm đến nó như một thói quen để thao tác như một công cụ thống kê mạng, quản lý các kế hoạch về nâng cấp các dịch vụ
-Tính năng nổi bật của Nmap
- Nmap giúp bạn xem những dịch vụ nào đang chạy trên server,server đó dùng HDH gì,ping sweep(xem ở trên nha,ICMP Scanning đó ) .v..v.
- Scan dc nhiều máy tính trong 1 lần
- Thích hợp cho đa số các HDH
- Xem tất cả các port
Thực hành hen.Vào Run gõ cmd,gõ cd\,sau đó gõ nmap www.uitstudent.com.
Bây giờ thử thêm -A -PN vào
Trên hình có thể thấy được thông tin về server của forum UITS ;
- HDH Linux 2.6.20-1 (Fedore Core 5)
- Web server :Apache 2.2.3
- CSDL :PHP/MySQL
- Các port dc mở và các port bị chặn,bạn có thể xem dc port bao nhiêu,dịch vụ giao thức nào đang chạy,chẳng hạn port 21 giao thức FTP dc mở đây,chắc server này có cái host FTP đây.
- ......
Và kết quả như sau:
-Xem ở trên nha,port nào dc mở và dịch vụ nào đang chạy ở đó,có 15 port đã bị tưởng lửa chặn,k cho quét,hem sao,hết nmap dùng Hping2 "quậy"..thằng hping2 này nó "ăn gạch"chui wa firefwall lun
-Webserver chắc chắn là Linux rùi,hehhe.Bạn có thấy Accuracy(độ chính xác ) k,tuyệt đối 100% lun .
STATES OF PORT
- Open:khi scan bạn sẽ bắt gặp trạng thái này,và hầu hết trạng thái này luôn có ở các port 20,21(FTP) hay 80(HTTP)......Vì nó dc mở nên attacker sẽ tấn công từ đây,và các nhà quản trị,bảo mật cố gắng bảo vệ chúng bằng cách đặt tường lửa nhằm ngăn cản scan tuy nhiên hiện nay có quá nhiều tool scan xuyên qua cả tường lửa.Các port ở trạng thái này thường được quan tâm trong quá trình scan vì bên cạnh đó chúng còn cung cấp các dịch vụ khác được sử dụng trên hệ thống mạng đó.
- Closed:port ở trạng thái này có thể sử dụng dc,nó nhận và trả lời các gói tin thăm dò của Nmap.Tuy nhiên chúng ta sẽ không biết port này đang chạy dịch vụ nào.Các port ổ trạng thái này có thể dc mở lại bởi các nhà quản trị.Để bảo vệ chúng có thể đặt firewall ,khi đó chúng sẽ có trạng thái filtered.
- Filtered:Nmap sẽ k thể xác định dc port nào đang ở trạng thái Open bởi khi bạn sử dụng Nmap gửi các gói tin đến thăm dò thì nó sẽ dc lọc,dc chặn trước khi tới các port ở trạng thái Filtered này.Cái gì lọc,cái gì chặn nó đây?Firewall đây mà .Những port này có mang lại nhiều thông tin cho attacker hay k,cái đó còn tùy vào cái đầu của attacker đó.
- Unfiltered:các port ở trạng thái này có thể sử dụng dc.nhưng Nmap k thể xác định dc nó đóng hay mở.Scan các port Unfiltered với các kiểu scan như Windows Scan, SYN Steath.... cũng có thể giúp giải quyết tìm những port nào dc mở.
- Open/Filtered:Nmap sẽ xác định port ở trạng thái Open/Filtered khi k xác định dc port đang ở trạng thái Open hoặc Filtered.Trạng thái này xảy ra với các kiểu scan mà các port ở trạng thái Open k "trả lời" lại.Việc k trả lời lại cũng có thể do các gói tin đã bị chặn--->Filtered
- Closed/Filtered:Trạng thái này được sử dụng khi Nmap không biết chắc được port đó đang Closed hay Filtered. Nó được sử dụng cho quét IPID Idle.
Các kiểu scan trong Nmap
XMAS TREE SCAN
-Xmas Tree :Attacker kiểm tra giao thức TCP bằng cách gửi các gói "Xmas Tree " đến.Sử durng lệnh nmap -sX
Xem ví dụ này nha:
Với ví dụ trên ta có thể thấy dc với kiểu Xmas Scan,nếu port mở thì sẽ k có sự phản hồi nào nhưng nếu port đóng thì sẽ có sự phản hồi.Nói thêm là ở kiểu này thì máy A sẽ gửi các gói FIN/URG/PSH đến máy đích cần thăm dò (FIN,URG,PSH là gì vui lòng xem ở trên nha ).
-Xmas Scan chỉ làm việc với HDH đầy đủ giao thức TCP/IP hay RFC 793.RFC(Request For Comment)là tập hợp những tài liệu về kiến nghị, đề xuất và những lời bình luận liên quan trực tiếp hoặc gián tiếp đến công nghệ, giao thức mạng INTERNET.Có các RFC cần quan tâm như RFC 768 (UDP Protocol),RFC 791(IP Protocol),RFC 792 (ICMP Protocol),RFC 793 (TCP Protocol), RFC 826(Enthernet Protocol),RFC 1034 1035 (Domain Name),RFC 2616(HTTP 1.1 ),RFC 1945 (HTTP 1.0)
-Xmas Scan chỉ làm việc trong môi trường Windows.
-Với kiểu Scan này có thể xác định gần như là chính xác dc port nào đã đóng
SYN STEATH/HALF OPEN SCAN
Máy A khi muốn thăm dò máy B sẽ gửi gói SYN tới máy B.Và sau đó máy B trả lời bằng gói SYN/ACK.Máy A lại gửi 1 gói RST đến máy B.Ở đây các bạn phải hiểu máy B là máy đích.Nếu máy B dc nhận gói RST thì port đó sẽ ở trạng thái đóng.Còn tại sao lại gọi là scan bán mở thì xem trên nha.Quá trình cứ lặp đi lặp lại để chắc chắn rằng port đó đã đóng hay mở.
NULL SCAN
-Null Scan cũng giống như kiểu Xmas Tree Scan,chỉ khác là ở kiểu Scan này sẽ k gửi bất cứ gói thăm dò nào nhưng vẫn dc trả lại gói SYN/ACK.Để thực hiện kiểu scan này gõ lệnh nmap -sN 
|
ACK SCAN
-Kiểu scan này không tập trung vào bên trong hệ thống,k xác định trạng thái port,chỉ thu thập các thông tin về hệ thống xung quanh,bên ngoài firewall.Để thực hiện gõ lệnh nmap -sA
|
FIN SCAN
Tương tự như Xmas Scan và Null Scan thì FIN Scan cũng chỉ thực thi dc trên các HDH Windows
IDLE SCAN
-Mỗi IP packet được gửi trên mạng có một số duy nhất được gọi là "fragment identification" (gọi là IPID). Với con số này có thể bít attacker đã gửi bao nhiu packet và ở thời điểm nào.Bạn có thể hiểu đơn giản là attacker sử dụng kiểu scan này để tránh bị phát hiện IP.-Khoảng 4 năm về trước ,1 nhà nghiên cứu bảo mật có tên Antirez đã có sáng kiến mới trong việc Scan port sự dụng cơ chế TCP.Và từ đó,Idle Scan đã dc nhiều người biết đến như 1 kĩ thuật scan những port mà các kĩ thuật khác khó xác định dc trạng thái.Trên thực tế attacker có thể scan mục tiêu mà k cần gửi các gói packet đơn lẻ tới các IP đích.(k bít có hay k nữa )
-Đa số các server đều "lắng nghe" trên các TCP port,chẳng hạn như web server trên port 80 hay mail server trên port 25.
-Attacker sẽ gửi các gói SYN tới để xác định trạng thái port.Nếu máy đích phản hồi lại gói SYN/ACK thì bít ngay port đó đang mở,và ngược lại port đó đang đóng.
)-Đa số các server đều "lắng nghe" trên các TCP port,chẳng hạn như web server trên port 80 hay mail server trên port 25.
-Attacker sẽ gửi các gói SYN tới để xác định trạng thái port.Nếu máy đích phản hồi lại gói SYN/ACK thì bít ngay port đó đang mở,và ngược lại port đó đang đóng.
Bước 1: Attacker chọn 1 "Zombie " và gửi gói tin thăm dò SYN/ACK đến Zombie đó và xem thử IPID là gì.Vậy Zombie là gì?nghiên cứu 1 xíu
.Zombie là các đối tượng được lợi dụng trở thành thành phần phát sinh tấn công. Một số trường hợp điển hình như thông qua rootkit hay các thành phần hoạt động đính kèm trong mail, hoặc trang web, ví dụ như sử dụng các file *.jpeg khai thác lỗi của phần mềm xử lý ảnh, các đoạn mã đính kèm theo file flash, hoặc trojan cài đặt theo phishing, hay thông qua việc lây lan worm (mọi người có thể bổ sung hay có 1 định nghĩa khác thì có thể chia sẻ nha).Và có 1 gói RST dc phản hồi,thế là attacker đã biết dc IPID là 31337.
Bước 2:Attacker dùng giả mạo 1 IP Zombie và gửi 1 gói SYN tới webserver(port 80) .Nếu port dc mở,lập tức có sự phản hồi SYN/ACK tới zombie.Zombie lại phản hồi lại mục tiếu gói RST với IPID là 31338.
Bước 3:Attacker gửi thăm dò SYN tới webserver,nếu có 1 phản hồi RST tới zombie ta bít dc port đóng.Còn nếu số IPID lại tăng -->31339 thì port đó mở.
Thực hành phải có 1 zombie host rùi,cái này chưa kiếm dc ..........T_T
Còn khá nhều kiểu scan nhưng không thể nói hết dc,trên đây là những kiểu scan bạn có thể sử dụng,các bạn có thể tự vọc những kiểu scan khác và chia sẻ nhé.
To be continued.........
Hướng dẫn sử dụng Hping2 for Windows.
-Download source này về :http://www.hping.org/hping2.win32.tar.gz sau đó giải nén ra. Sau đó bạn đổi tên thư mục là hping cho dễ sử dụng.Tiếp đó copy thư mục đó qua ổ hệ thống(Ổ chưa thư mục Windows.)Nhớ là chỉ copy vào thẳng ổ đó,k copy vào Windows.Sau đó vào thư mục hping chạy phải hping.exe thử xem hệ thống báo thiếu file *.dll nào.Khi biết dc file thiếu bạn vào http://www.dll-files.com/dllindex/index.shtml (từ này về sau khi sử dụng mà hệ thống báo lỗi hay thiếu file *.dll cứ vào đây download ) download file đó về và chép vào system32.
-Start-->Run-->cmd .Gõ lệnh cd\.Tiếp theo gõ lệnh hping\hping --help như hình dưới và xem kết quả.Việc tiếp theo là của bạn nhé.Các kiểu scan đã có trên khi sử dụng Nmap rồi.Có thể xem các lệnh tại :http://www.hping.org/manpage.html
-Start-->Run-->cmd .Gõ lệnh cd\.Tiếp theo gõ lệnh hping\hping --help như hình dưới và xem kết quả.Việc tiếp theo là của bạn nhé.Các kiểu scan đã có trên khi sử dụng Nmap rồi.Có thể xem các lệnh tại :http://www.hping.org/manpage.html
|
Demo 1 tool cho mọi người nhé.Tool NetScan Tool Pro .Tool này có khá nhiều chức năg như Whois,Ping,Trace Router.Còn nhiều chức năng lắm,các bạn xem các chức năng trong khung màu đỏ nhé.Thử 1 chức năg xem.Ping tới ..Hix. www.uitstudent.comPing of death..Các chức năng khác tự vọc nhé.Mình thấy có rất nhìu chức năng có ích đấy.
|
Sau đây giới thiệu các bạn 1 số tool scan nhé.Cũng tương tự như tool trên,nếu có thêm chức năng gì ,nhớ chia sẻ nhé.
Super Scan
Global Network Inventory Scanner
Net Tool Suite Pack(đã check,hơn 50 chức năng scan,rất good)
Atelie Web Ports Traffic Analyzer(AWPTA)
Atelie Web Security Port Scanner(AWSPS)
IPEYE
Ike-Scan
Infiltrator Network Security Scanner
Yet Another Port Scanner
Advance Port Scanner
NetworkActiv Scanner
NetGatgets
P-Ping Tool
MegaPing
LanSpy
HoverIP
LanView
NetBrute Scanner
SolarWinds Engineer's Toolset
NetworkActiv AUTAPF
OstroSoft Internet Tools
Advance IP Scanner
ColaSoft Mac Scanner
Active Network Monitor
Advance Serial Data Logger
Advance Serial Port Monitor
WotWeb
Antiy Port
Port Detective
Roakil's Detector
Global Network Inventory Scanner
Net Tool Suite Pack(đã check,hơn 50 chức năng scan,rất good)
Atelie Web Ports Traffic Analyzer(AWPTA)
Atelie Web Security Port Scanner(AWSPS)
IPEYE
Ike-Scan
Infiltrator Network Security Scanner
Yet Another Port Scanner
Advance Port Scanner
NetworkActiv Scanner
NetGatgets
P-Ping Tool
MegaPing
LanSpy
HoverIP
LanView
NetBrute Scanner
SolarWinds Engineer's Toolset
NetworkActiv AUTAPF
OstroSoft Internet Tools
Advance IP Scanner
ColaSoft Mac Scanner
Active Network Monitor
Advance Serial Data Logger
Advance Serial Port Monitor
WotWeb
Antiy Port
Port Detective
Roakil's Detector
Trên đây là 1 số tool ,mỗi bạn xài thử 1 tool và chia sẻ nhau nhé.Hi vọng là thế,cảm ơn nhé .^^
ICT sẽ dùng Network Tool Suite Pack .1 phát hiện thú vị dành cho những bạn mới bắt đầu học mạng căn bản đây,có chức năng IP Calculator.Tool này sẽ xác định NetworkID và HostID .(kiến thức khá quan trọng khi mới bắt đầu học mạng nè ).Nhưng các bạn nên tâp tính bằng tay cho quen rồi đối chiếu ^^.
ICT sẽ dùng Network Tool Suite Pack .1 phát hiện thú vị dành cho những bạn mới bắt đầu học mạng căn bản đây,có chức năng IP Calculator.Tool này sẽ xác định NetworkID và HostID .(kiến thức khá quan trọng khi mới bắt đầu học mạng nè ).Nhưng các bạn nên tâp tính bằng tay cho quen rồi đối chiếu ^^.
WAR DIALER TECHNIQUE
-Đây là kĩ thuật sử dụng 1 công cụ với 1 moderm để xâm nhập những hệ thống trên nền moderm của 1 tổ chức nào đó bằng liên tục quay số gọi điện thoại tới đó.(Đúng là công nghệ cao có khác nhỉ ^^)
-Các công ty thì k thể kiểm soát các cổng kết nối điện thoại 1 cách nghiêm ngặt như firewall hay những moderm có ở khắp nơi.
-Sử dụng 1 công cụ nhận diện,theo dõi số điện thoại và có thể kết nối thành công đến moderm mục tiêu
Phần này có vẻ hơi khó,nên mình sẽ giới thiệu các bạn vài tool để thực hành thử:
|
Phone Sweep
Các tool còn lại ICT chưa kiếm dc,bạn nào kiếm dc nhớ up dùm mình nhé.Phần này sẽ phải bổ sung.
OS FINGERPRINTING
OS Fingerprinting là phương thức xác định hệ điều hành nào đang chạy ở server hệ thống mà attacker muốn tấn công.
Có 2 phương thức nhỏ trong kĩ thuật OS Fingerptingting.
-Active Stack Fingerprinting .Đây là kiểu scan thực chất dựa vào sự khởi tạo và thực thi gửi các gói TCP khác nhau đến mục tiêu để xác định HDH của mục tiêu đó..Đặc biệt là việc gửi tới các gói tin giả đến các HDH và dựa sự phản hồi trở lại sau đó so sánh database và xác định HDH .(Xem trên Nmap) .Kĩ thuật này có thể sẽ bị ghi lại trong firewall log khi bạn cố xác định HDH đấy.
-Passive Fingerptinting: kĩ thuật này k trực tiếp scan như Active Stack mà sử dụng kĩ thuật sniffing.Và nó thì k chính xác bằng Active Stack Fingerprinting.
Vì lí do đang sử dụng windows7 k có telnet nên ICT đưa bạn 1 đoạn video về sử dụng telnet để mọi người xem.Thực hành thì vào Run gõ telnet nhé.Xem video tại đây.ICT sẽ thực hành trên Nmap )Vào Nmap gõ nmap -PN -O www.uitstudent.com .Xem kết quả nhé.
Các bạn đã thấy rùi đó,forum của chúng ta đang chạy HDH Windows Server 2003 .K bít có đúng k nữa ^^Mọi người liên hệ admin để biết nhé
Sau đó click vào nhập mục tiêu cần quét,nhập port,nên nhớ quét những port đang mở thui nhé,để bít port nào đóng hay mở bạn xem trên phần Nmap.Xem hình:
Sau khi hiện ra thông báo httprint complete là đã scan xong
K có kết quả gì,admin config kĩ quá .....T_T.Thực hành thêm vài site khác nữa nè :
Trên đây là các tool để xác định HDH cũng như Webserver,nếu bạn không thành thạo về HDH đó thì việc tấn công xem như thất bại.Hãy sử dụng ,vọc những tool trên và share nó nhé.Chúc thành công.
Tạm dừng ,đang get DVD CEH v6 về để share tool cho mọi người.To be continued....
Có 2 phương thức nhỏ trong kĩ thuật OS Fingerptingting.
-Active Stack Fingerprinting .Đây là kiểu scan thực chất dựa vào sự khởi tạo và thực thi gửi các gói TCP khác nhau đến mục tiêu để xác định HDH của mục tiêu đó..Đặc biệt là việc gửi tới các gói tin giả đến các HDH và dựa sự phản hồi trở lại sau đó so sánh database và xác định HDH .(Xem trên Nmap) .Kĩ thuật này có thể sẽ bị ghi lại trong firewall log khi bạn cố xác định HDH đấy.
-Passive Fingerptinting: kĩ thuật này k trực tiếp scan như Active Stack mà sử dụng kĩ thuật sniffing.Và nó thì k chính xác bằng Active Stack Fingerprinting.
Vì lí do đang sử dụng windows7 k có telnet nên ICT đưa bạn 1 đoạn video về sử dụng telnet để mọi người xem.Thực hành thì vào Run gõ telnet nhé.Xem video tại đây.ICT sẽ thực hành trên Nmap )Vào Nmap gõ nmap -PN -O www.uitstudent.com .Xem kết quả nhé.
|
|
Các bạn đã thấy rùi đó,forum của chúng ta đang chạy HDH Windows Server 2003 .K bít có đúng k nữa ^^Mọi người liên hệ admin để biết nhé
HTTPRINT BANNER GRABBING TOOL
Httprint là kĩ thuật scan để xác định máy chủ webserver.Làm wen với thuật ngữ webserver 1 xíu nhé
-Webserver là 1 máy chủ,nó như 1 ngân hàng chứa dữ liệu,thông tin.Có thể trong đó chứa dữ liệu,hay chứa những website đã dc thiết kế .Tất các các webserver đều chạy dc cái file dạng như *.htm hay *.html tuy nhiên là mỗi webserver lại chỉ tương thích với 1 số định dạng chẳng hạn như ISS của Microsoft dành cho *.asp hay *.aspx hay Apache dành cho *.php (UITS chạy Apache đó pà con,kekeke) hay Sun Java System Web Server dành cho *.jsp chẳng hạn.Bất cứ 1 máy tính nào cũng có thể chạy webserver vì hiện nay có khá nhiều phần mềm như Appserver ,Vertigo chẳng hạn.Bạn muốn viết website bằng ngôn ngữ PHP và muốn chạy thử nó ,làm thế nào đây?.K có gì khó khăn cả,tiện ích ứng dụng webserver đã có cho bạn như Appserver,Vertigo..... còn nhìu lắm.Người ta thường dùng thuật ngữ là localhost đó.Và webserver luôn phải chạy 24/24,1 tuần 7 ngày,1 tháng 31 ngày ^^ 1 năm 365 ngày để phục vụ mọi người.Nếu ai mà thấy bỗng 1 ngày nào đó k vào dc thì phải biết là webserver đang dc bảo trì,hoặc bị sự cố hoặc bị tấn công nhé.
-Việc xác định webserver để xem thử data đó chứa những dữ liệu bằng ngôn ngữ nào,từ đó ta bắt đầu khai thác.
-Tool để thực hành ở đây là Httprint.Download tại đây .Hướng dẫn các bạn sử dụng luôn tool này.Download về cài đặt bình thường,chạy nó.Giao diện như thế này
-Webserver là 1 máy chủ,nó như 1 ngân hàng chứa dữ liệu,thông tin.Có thể trong đó chứa dữ liệu,hay chứa những website đã dc thiết kế .Tất các các webserver đều chạy dc cái file dạng như *.htm hay *.html tuy nhiên là mỗi webserver lại chỉ tương thích với 1 số định dạng chẳng hạn như ISS của Microsoft dành cho *.asp hay *.aspx hay Apache dành cho *.php (UITS chạy Apache đó pà con,kekeke) hay Sun Java System Web Server dành cho *.jsp chẳng hạn.Bất cứ 1 máy tính nào cũng có thể chạy webserver vì hiện nay có khá nhiều phần mềm như Appserver ,Vertigo chẳng hạn.Bạn muốn viết website bằng ngôn ngữ PHP và muốn chạy thử nó ,làm thế nào đây?.K có gì khó khăn cả,tiện ích ứng dụng webserver đã có cho bạn như Appserver,Vertigo..... còn nhìu lắm.Người ta thường dùng thuật ngữ là localhost đó.Và webserver luôn phải chạy 24/24,1 tuần 7 ngày,1 tháng 31 ngày ^^ 1 năm 365 ngày để phục vụ mọi người.Nếu ai mà thấy bỗng 1 ngày nào đó k vào dc thì phải biết là webserver đang dc bảo trì,hoặc bị sự cố hoặc bị tấn công nhé.
-Việc xác định webserver để xem thử data đó chứa những dữ liệu bằng ngôn ngữ nào,từ đó ta bắt đầu khai thác.
-Tool để thực hành ở đây là Httprint.Download tại đây .Hướng dẫn các bạn sử dụng luôn tool này.Download về cài đặt bình thường,chạy nó.Giao diện như thế này
Sau đó click vào nhập mục tiêu cần quét,nhập port,nên nhớ quét những port đang mở thui nhé,để bít port nào đóng hay mở bạn xem trên phần Nmap.Xem hình:
Sau khi hiện ra thông báo httprint complete là đã scan xong
K có kết quả gì,admin config kĩ quá .....T_T.Thực hành thêm vài site khác nữa nè :
Trên đây là các tool để xác định HDH cũng như Webserver,nếu bạn không thành thạo về HDH đó thì việc tấn công xem như thất bại.Hãy sử dụng ,vọc những tool trên và share nó nhé.Chúc thành công.
Tạm dừng ,đang get DVD CEH v6 về để share tool cho mọi người.To be continued....