Анализ атаки (часть 3)
Во второй части этой серии мы оставили всю необходимую информацию, необходимую для атаки на сеть жертвы.
Анализ атаки (часть 2)
Дон Паркер
В первой части мы показали вам информацию, которую можно наблюдать при открытии последовательности пакетов, отправленных Nmap. Отправляемая последовательность начинается с эхо-ответа ICMP, который позволяет определить, назначен ли компьютеру или сети IP-адрес.
Кроме того, мы также можем предположить, что сеть атакованного компьютера представляет собой сеть на базе Windows, посмотрев на ttl в пакете эхо-ответа ICMP, который он отправляет обратно. Теперь необходимо продолжить наблюдение за оставшимися пакетами в сканере Nmap и найти оставшуюся информацию, чтобы иметь возможность узнать профиль сети-жертвы.
Продолжать
10:52:59.078125 IP (tos 0x0, ttl 49, id 9808, offset 0, flags [none], proto: TCP (6), length: 40) 192.168.111.17.37668 > 192.168.111.23.80: ., cksum 0xfd46 (correct), ack 85042526 win 2048
0x0000: 4500 0028 2650 0000 3106 0407 c0a8 6f11 E..(&P..1.....o.
0x0010: c0a8 6f17 9324 0050 67d1 a55e 0511 a55e ..o..$.Pg..^...^
0x0020: 5010 0800 fd46 0000 P....F..
10:52:59.078125 IP (tos 0x0, ttl 128, id 397, offset 0, flags [none], proto: TCP(6), length: 40) 192.168.111.23.80 > 192.168.111.17.37668: R, cksum 0x6813 (correct), 85042526:85042526(0)win 0
0x0000: 4500 0028 018d 0000 8006 d9c9 c0a8 6f17 E..(..........o.
0x0010: c0a8 6f11 0050 9324 0511 a55e 0511 a55e ..o..P.$...^...^
0x0020: 5004 0000 6813 0000 0000 0000 0000 P...h.........Два пакета выше идут после пакетов ICMP, которые мы наблюдали в части 1. Nmap отправил пакет ACK на IP-адрес сети жертвы 192.168.111.23 на порт 80. Поскольку информация поддельная, мы не получаем здесь полной картины. Видно только, что пакет ACK, полученный от злоумышленника, был ответным пакетом RST, поскольку этот ACK не ожидался. По сути, это не часть ранее установленного соединения. У нас по-прежнему есть значение ttl, равное 128, что соответствует значению ttl, наблюдавшемуся ранее.
10:52:59.296875 IP (tos 0x0, ttl 58, id 45125, offset 0, flags [none], proto: TCP (6), length: 40) 192.168.111.17.37644 > 192.168.111.23.21: S, cksum 0x37ce (correct), 2010644897:2010644897(0) win 3072
0x0000: 4500 0028 b045 0000 3a06 7111 c0a8 6f11 E..(.E..:.q...o.
0x0010: c0a8 6f17 930c 0015 77d8 01a1 0000 0000 ..o.....w.......
0x0020: 5002 0c00 37ce 0000 P...7...
10:52:59.296875 IP (tos 0x0, ttl 128, id 398, offset 0, flags [DF], proto: TCP (6), length: 44) 192.168.111.23.21 > 192.168.111.17.37644: S, cksum 0x4f58 (correct), 1685290308:1685290308(0) ack 2010644898 win 64240
0x0000: 4500 002c 018e 4000 8006 99c4 c0a8 6f17 E..,[email protected].
0x0010: c0a8 6f11 0015 930c 6473 7d44 77d8 01a2 ..o.....ds}Dw...
0x0020: 6012 faf0 4f58 0000 0204 05b4 0000 `...OX........
10:52:59.296875 IP (tos 0x0, ttl 128, id 110, offset 0, flags [none], proto: TCP(6), length: 40) 192.168.111.17.37644 > 192.168.111.23.21: R, cksum 0xca50 (correct), 2010644898:2010644898(0) win 0
0x0000: 4500 0028 006e 0000 8006 dae8 c0a8 6f11 E..(.n........o.
0x0010: c0a8 6f17 930c 0015 77d8 01a2 77d8 01a2 ..o.....w...w...
0x0020: 5004 0000 ca50 0000 P....P..После обмена пакетами ACK и RST мы видим, что настоящий пакет SYN был отправлен от хакера в сеть жертвы, о чем свидетельствует пакет с жирным шрифтом S. Это позволяет нам сделать вывод, что пакет SYN/ACK возвращается из сети жертвы на ее порт 21. Затем этот обмен завершается пакетом RST, отправляемым обратно с компьютера хакера в сеть жертвы. Теперь эти три пакета содержат массу информации о подделке.
У нас также есть ttl 128 с машины-жертвы, но также и win64240. Хотя это значение не указано, это действительно размер, который я много раз видел ранее в Win32 (32-разрядные версии Microsoft Windows, такие как Win NT, 2K, XP и 2K3). Еще одним ограничением компьютеров Windows является непредсказуемость количества их IP-идентификаторов. В этом случае у нас есть только одно значение IP-идентификатора. Нам нужно как минимум еще одно значение, прежде чем мы сможем с уверенностью сказать, что этот компьютер является компьютером Microsoft Windows. Обратите внимание на оставшиеся пакеты сканирования Nmap.
10:52:59.312500 IP (tos 0x0, ttl 59, id 54025, offset 0, flags [none], proto: TCP (6), length: 40) 192.168.111.17.37644 > 192.168.111.23.80: S, cksum 0x3393 (correct), 2010644897:2010644897(0) win 4096
0x0000: 4500 0028 d309 0000 3b06 4d4d c0a8 6f11 E..(....;.MM..o.
0x0010: c0a8 6f17 930c 0050 77d8 01a1 0000 0000 ..o....Pw.......
0x0020: 5002 1000 3393 0000 P...3...
10:52:59.312500 IP (tos 0x0, ttl 128, id 399, offset 0, flags [DF], proto: TCP (6), length: 44) 192.168.111.23.80 > 192.168.111.17.37644: S, cksum 0x7913 (correct), 1685345101:1685345101(0) ack 2010644898 win 64240
0x0000: 4500 002c 018f 4000 8006 99c3 c0a8 6f17 E..,[email protected].
0x0010: c0a8 6f11 0050 930c 6474 534d 77d8 01a2 ..o..P..dtSMw...
0x0020: 6012 faf0 7913 0000 0204 05b4 0000 `...y.........
10:52:59.312500 IP (tos 0x0, ttl 128, id 111, offset 0, flags [none], proto: TCP(6), length: 40) 192.168.111.17.37644 > 192.168.111.23.80: R, cksum 0xca15 (correct), 2010644898:2010644898(0) win 0
0x0000: 4500 0028 006f 0000 8006 dae7 c0a8 6f11 E..(.o........o.
0x0010: c0a8 6f17 930c 0050 77d8 01a2 77d8 01a2 ..o....Pw...w...
0x0020: 5004 0000 ca15 0000 P.......Первое, на что обращает внимание хакер, — это то, увеличивается ли номер идентификатора IP до 399. Этот DI IP действительно равен 399, как мы можем видеть в середине пакета. Обладая этой информацией, хакер совершенно уверен, что атакуемый им компьютер — это компьютер под управлением Windows NT, 2K, XP или 2K3. В этой последовательности пакетов также наблюдается, что порт 80 в сети жертвы, по-видимому, обслуживается, о чем свидетельствует пакет SYN/ACK; пакет SYN/ACK определяется путем проверки поля флага в заголовке TCP; в данном случае подчеркнутое шестнадцатеричное значение равно 12 или 18 в десятичном виде. Это значение можно определить, добавив значение флага SYN 2 к значению флага ACK 16.
Перечисление
Как только хакер узнает, что оба порта 21 и 80 открыты для предприятия, он перейдет в состояние перечисления. Теперь ему нужно узнать, какой тип веб-сервера прослушивает соединения. Для этого хакера было бы бессмысленно использовать уязвимость Apache на веб-сервере IIS. Имея это в виду, злоумышленник откроет сеанс cmd.exe и выяснит тип сети.
C:\>nc.exe 192.168.111.23 80
GET slslslls
HTTP/1.1 400 Bad Request
Server: Microsoft-IIS/5.0
Date: Mon, 06 Aug 2007 15:11:48 GMT
Content-Type: text/html
Content-Length: 87
The parameter is incorrect.
C:\>Мы можем наблюдать отмеченный выше тип сети или синтаксис nc.exe, который хакер вводит в IP-адрес жертвы, а также порт 80. После входа хакер вводит HTTP-код метода GET, за которым следуют несколько грамматически неверных предложений. Это действие может привести к тому, что веб-сервер сети-жертвы начнет отправлять обратно информацию своей системе, даже если он не понимает, что именно запрашивается. Вот почему они, естественно, перечисляют информацию, необходимую хакерам. Теперь хакер видит, что он находится в Microsoft IIS 5.0. Еще более хорошие новости, потому что у хакеров есть несколько способов использовать эту версию.
Заключение
Выполнив сканирование сети жертвы с помощью Nmap, хакер может получить ряд важных пакетов данных. Внутри этих пакетов данных, как мы увидели, находится множество информации, позволяющей хакерам использовать уязвимости в архитектуре, операционной системе, типе сети и типе сервера.
Короче говоря, таким образом хакеры могут получить ключевую информацию о хосте, архитектуре и предоставляемых услугах. Имея эту информацию на руках, хакер может начать атаку на веб-сервер сети жертвы. В следующем разделе мы подробнее расскажем о том, какие атаки хакеры могут использовать для атак на пользователей в этом случае.
Анализ атаки (часть 1)
Эта серия будет основана на сетевой уязвимости. В статье будет представлена реальная атака, начиная с разведки и заканчивая перечислением, эксплуатацией сетевых служб и стратегиями эксплуатации уведомлений. Все эти шаги будут рассмотрены на уровне пакета данных, а затем подробно объяснены.
12 настроек на телефонах Samsung Galaxy, которые следует изменить
Только что купили телефон Samsung Galaxy и вам нужно его настроить? Вот 10 настроек, которые следует изменить, чтобы улучшить работу телефона Samsung.
Последние коды Murder Mystery 2 и как их ввести
Code Murder Mystery 2 помогает игрокам выбирать больше обликов ножей для своих персонажей или получать больше денег для оплаты услуг и покупки других вещей в игре.
28 красивых дизайнов поздравительных открыток с добрыми пожеланиями для родителей, супругов, возлюбленных, друзей
В день рождения любимого человека, родителей, друзей, братьев и сестер, коллег... помимо подарков не забудьте отправить поздравительные открытки с пожеланиями.
Забавные, но милые загадки о флирте, которые «завоюют» сердце вашего возлюбленного
Эти забавные тесты помогут вам произвести сильное впечатление и быстро и счастливо покорить сердце вашей пассии.
Corki DTCL сезон 7: предметы сборки, стандартный отряд Corki Gunner
Корки DTCL 7 сезон нуждается в защите или поддержке, чтобы вызвать контроль, если он хочет быть свободным и уничтожить вражескую команду. В то же время, снаряжение Корки также должно быть стандартным, чтобы иметь возможность наносить более эффективный урон.
Как скачать Mini World Royale и инструкции по игре
Вот ссылка на скачивание Mini World Royale и инструкции по игре, у нас будет две версии: Mini World Royale APK и Mini World Royale iOS.
Что такое 1314?
1314 — число, которое молодые люди часто используют в качестве любовного кода. Однако не все знают, что такое 1314 и что оно означает?
Как защитить свое психическое и физическое здоровье в токсичной среде
Справляться с токсичными ситуациями может быть невероятно сложно. Вот несколько советов, которые помогут вам тактично справляться с токсичной средой и сохранять душевное спокойствие.
Как музыка стимулирует мозг
Большинство людей знают, что музыка — это не только развлечение, но и нечто гораздо большее. Вот несколько способов, которыми музыка стимулирует развитие нашего мозга.
Наиболее часто встречающиеся дефицитные питательные вещества в рационе
Диета очень важна для нашего здоровья. Однако в большинстве наших рационов питания зачастую не хватает этих шести важных питательных веществ.
Как использовать приложение CK Club от Circle K, чтобы получать выгодные предложения
Чтобы быстрее получать рекламную информацию от Circle K, вам следует установить приложение CK Club. Приложение сохраняет платежи при совершении покупок или оплате в Circle K, а также количество собранных марок.
Instagram разрешит ролики длиной до 3 минут
Instagram только что объявил, что позволит пользователям публиковать видеоролики Reels продолжительностью до 3 минут, что вдвое больше предыдущего лимита в 90 секунд.
Как просмотреть информацию о процессоре Chromebook
В этой статье вы узнаете, как просмотреть информацию о процессоре и проверить скорость процессора непосредственно на Chromebook.
8 крутых вещей, которые можно сделать со старым планшетом Android
Если вы не хотите продавать или отдавать свой старый планшет, вы можете использовать его 5 способами: как высококачественную фоторамку, музыкальный проигрыватель, устройство для чтения электронных книг и журналов, помощника по дому и как дополнительный экран.
Как быстро сделать ногти красивыми
Вы хотите быстро иметь красивые, блестящие и здоровые ногти. Эти простые советы по созданию красивых ногтей будут вам полезны.