Gebruikelijke netwerkaanvalstrategieën: netwerkscannen - dummies

Netwerkscannen is een handig hulpmiddel voor beheerders om interne audits uit te voeren; het is ook handig voor een netwerkaanval. Met netwerkscannen kunt u de systemen in uw netwerk identificeren, de services die ze aanbieden en de services met bekende kwetsbaarheden of systemen waarvan IT-personeel dacht dat ze jaren geleden uit het netwerk waren verwijderd.

Een van de meest gebruikte scanners voor algemene doeleinden is Nmap, of een netwerkkaart, met zijn Windows-gebaseerde Zenmap. Vanuit het oogpunt van de aanval maakt deze tool deel uit van het arsenaal voor informatie-verzamelen van de meeste aanvallers. Met een lijst met systemen, besturingssystemen en actieve services kan ze de zwakste leden van uw netwerkkudde kiezen.

Gebruik als een interne controletool Zenmap om beschikbare IP-adressen in een netwerk te verifiëren. Door Zenmap een netwerk-ID en enkele seconden te bieden, kan het u een lijst met gebruikte IP-adressen verstrekken, overeenkomende MAC-adressen, DNS-namen voor die systemen, open poorten op die systemen en zelfs het besturingssysteemtype voor de hosts die het heeft gevonden..

De volgende code is een voorbeeld van het type informatie dat u kunt zien vanuit een Zenmap- of Nmap-scan van een systeem. Het ontdekte het volgende:

Dit is een Ubuntu Linux-computer.
Deze machine deelt bestanden naar Windows-computers.
Deze machine host een website.
Op deze computer wordt VMware Server uitgevoerd.
Deze host ondersteunt SSH en VNC als externe toegangsmethoden.
Deze host voert een e-mailserver en een FTP-server uit.

Nmap 5. 21 starten (// nmap. Org) op 2011-04-15 02: 01 Atlantic Daylight Time NSE: 36 scripts geladen om te scannen. Het initiëren van ARP Ping Scan op 02: 01 Scannen 192. 168. 1. 5 [1 poort] Voltooid ARP Ping-scan op 02: 01, 0. 30 verstreken (1 totale hosts) Parallelle DNS-resolutie van 1 host initiëren. om 02: 01 Completed Parallel DNS resolution of 1 host. om 02: 01, 0, 00 is verstreken Initiating SYN Stealth Scan op 02: 01 Scannen 192. 168. 1. 5 [1000 poorten] Ontdekt open poort 445 / tcp op 192. 168. 1. 5 Ontdekt open poort 111 / tcp op 192. 168. 1. 5 Ontdekt open poort 5900 / tcp op 192. 168. 1. 5 Ontdekt open poort 53 / tcp op 192. 168. 1. 5 Ontdekt open poort 21 / tcp op 192. 168. 1. 5 Ontdekt open poort 80 / tcp op 192. 168. 1. 5 Ontdekt open poort 22 / tcp op 192. 168. 1. 5 Ontdekt open poort 25 / tcp op 192. 168. 1. 5 Ontdekt open poort 443 / tcp op 192. 168. 1. 5 Ontdekt open poort 139 / tcp op 192. 168. 1. 5 Ontdekt open poort 8222 / tcp op 192.168. 1. 5 Ontdekt open poort 902 / tcp op 192. 168. 1. 5 Ontdekt open poort 8009 / tcp op 192. 168. 1. 5 Ontdekt open poort 8333 / tcp op 192. 168. 1. 5 Ontdekt open poort 1984 / tcp op 192. 168. 1. 5 Detecteerde open poort 2049 / tcp op 192. 168. 1. 5 voltooid SYN Stealth-scan op 02: 01, 1. 53s verstreken (1000 totale poorten) Initiëren van servicescan op 02: 01 16 services scannen op 192. 168. 1. 5 Voltooid Service scan om 02: 03, 116. 14s verstreken (16 services op 1 host) RPCGrind-scan starten tegen 192. 168. 1. 5 om 02: 03 voltooid RPCGrind scannen tegen 192 168. 1. 5 om 02: 03, 0,03 verstreken (2 poorten) Initieer OS-detectie (probeer # 1) tegen 192. 168. 1. 5 NSE: Script scannen 192. 168. 1. 5. NSE: starten runlevel 1 (van 1) scan. NSE starten op 02: 03 Voltooid NSE om 02: 03, 25. 06s is verstreken NSE: Scriptscan voltooid. Nmap-scanrapport voor 192. 168. 1. 5 Host is op (0, 0014s latentie). Niet weergegeven: 984 gesloten poorten PORT STATE SERVICE VERSIE 21 / tcp open ftp vsftpd 2. 2. 2 22 / tcp open ssh OpenSSH 5. 3p1 Debian 3ubuntu4 (protocol 2. 0) | ssh-hostkey: 1024 5b: 6d: 35: 57: 65: 42: 7f: 8a: 73: 7e: 00: e3: 89: f9: 15: bf (DSA) | _2048 4d: 6e: be: c4: 3b: 0c: 55: f5: 46: dd: b8: 05: 05: 1c: 94: ea (RSA) 25 / tcp open smtp Exim smtpd 4. 71 | smtp-opdrachten: EHLO linux Hallo isc-l0065. lokaal [192. 168. 1. 137], SIZE 52428800, PIPELINING, HELP | _HELP Ondersteunde commando's: AUTH HELO EHLO MAIL RCPT DATA NOOP QUIT RSET HELP 53 / tcp open tcpwrapped 80 / tcp open http Apache httpd 2. 2. 14 ((Ubuntu)) | _html-title: Ed's Webpagina Test Zone 111 / tcp open rpcbind 2 (rpc # 100000) | rpcinfo: | 100000 2 111 / udp rpcbind | 100003 2, 3, 4 2049 / udp nfs | 100005 1, 2, 3 43439 / udp mountd | 100021 1, 3, 4 52866 / udp nlockmgr | 100024 1 57570 / udp-status | 100000 2 111 / tcp rpcbind | 100003 2, 3, 4 2049 / tcp nfs | 100024 1 35177 / tcp-status | 100005 1, 2, 3 41859 / tcp mountd | _100021 1, 3, 4 41980 / tcp nlockmgr 139 / tcp open netbios-ssn Samba smbd 3. X (werkgroep: NET) 443 / tcp open ssl / http Apache httpd 2. 2. 14 ((Ubuntu)) | _html-titel: Ed's Webpagina Test Zone 445 / tcp open netbios-ssn Samba smbd 3. X (werkgroep: NET) 902 / tcp open ssl / vmware-auth VMware Authenticatie Daemon 1. 10 (Gebruikt VNC, SOAP) 1984 / tcp open bigbrother? 2049 / tcp open nfs 2-4 (rpc # 100003) 5900 / tcp open vnc VNC (protocol 3. 7) 8009 / tcp openen ajp13 Apache Jserv (protocol v1. 3) 8222 / tcp openen http VMware Server 2 http config | _html -title: VMware Server 2 8333 / tcp open ssl / http VMware Server 2 http config | _html-title: VMware Server 2 MAC Address: 00: 22: 15: BA: 93: 1C (Asustek Computer) Type apparaat: algemeen gebruik Running: Linux 2. 6. X OS-details: Linux 2. 6. 19 - 2. 6. 31 Uptime-schatting: 11. 438 dagen (sinds Zon 15 april 15: 32: 20 2011) Netwerkafstand: 1 hop TCP-sequentie Voorspelling: Moeilijkheidsgraad = 203 (veel geluk!) IP-ID Sequentie generatie: alle nullen Service-info: Host: linux; OSS: Unix, Linux Host script resultaten: | nbstat: | NetBIOS-naam: LINUX, NetBIOS-gebruiker:, NetBIOS MAC: | Namen | LINUX-vlaggen: | LINUX-vlaggen: | LINUX-vlaggen: | x01x02__MSBROWSE__x02 Vlaggen: | EDTETZ.NET Flags: | EDTETZ. NET Flags: | _ EDTETZ. NET Flags: | _smbv2-enabled: server ondersteunt geen SMBv2-protocol | smb-os-discovery: | Besturingssysteem: Unix (Samba 3. 4. 7) | Naam: UnknownUnknown | _ Systeemtijd: 2011-04-15 01: 59: 48 UTC-3 HOP RTT ADRES 1 1. 41 ms 192. 168. 1. 5 Lezen van databestanden van: C: Program Files Files OS en uitgevoerde Service-detectie. Rapporteer eventuele onjuiste resultaten op // nmap. org / indienen /. Nmap gedaan: 1 IP-adres (1 host up) gescand in 147. 66 seconden Onbewerkte pakketten verzonden: 1021 (45. 684KB) | Rcvd: 1016 (41. 416KB)

Wat kan deze aanvaller met deze informatie doen? Welnu, het geeft een aanvaller een redelijk complete lijst met services die door dit netwerkapparaat worden aangeboden, en als hij een manier wil vinden om toegang te krijgen tot een netwerk, kan hij deze lijst met services bekijken die worden aangeboden voor een service waarvan bekend is dat deze zwak is en gebruik dat als een methode of pad om toegang te krijgen tot het systeem.

Als een aanvaller bijvoorbeeld een Windows-computer heeft gevonden die hem vertelt dat TCP-poort 3389 beschikbaar is, kan hij Remote Desktop Connection (mstsc. Exe) uitvoeren om verbinding te maken met die computer en een aantal veelvoorkomende wachtwoorden voor de Administrator-account, of hij kan sommige hulpprogramma's uitvoeren of enkele bekende zwakke punten in het Windows-besturingssysteem misbruiken.