| |
 |
| служба Компьютерная
помощь |
Сканирование |
 Антивирусная защита компьютера. Вызов мастера на дом в Кириши |
|
|
|||
|
|
Сканирование Если процесс предварительного сбора данных можно
сравнить со скрытым наблюдением, цель которого — добыть как можно
больше информации, не выдавая себя, то сканирование — это "разведка
боем". Цель сканирования — выявить открытые "окна"
и "двери". В предварительно собранной информации содержатся
сведения об адресах подсетей и отдельных компьютеров, полученных с
помощью запросов whois и переноса зоны. Информация, собранная на этом
этапе, очень ценна для взломщика, поскольку содержит такие данные,
как имена и фамилии сотрудников, номера телефонов, диапазоны IP-адресов,
адреса DNS-серверов и почтовых серверов. Теперь можно приступать к
выявлению тех компьютеров, которые подключены к сети и достижимы из
Internet. Для этого будут использоваться разнообразные средства и
приемы, такие как ping-прослушивание, сканирование портов и различные
методы, позволяющие автоматизировать выполнение этих задач. |
|||
Теперь давайте перейдем ко второму этапу сбора информации —
сканированию. Прослушивание сети с помощью утилиты ping Одним из основных этапов в определении структуры
сети является ее автоматизированное прослушивание с помощью утилиты
ping по диапазону IP-адресов или адресам подсетей. Цель такого прослушивания
— определить, имеется ли у отдельных компьютеров подключение к Internet.
Утилита ping отправляет пакеты ICMP ECHO (тип 8) указанному компьютеру
и ожидает ответного пакета ICMP ECHO_REPLY (тип 0). Получение такого
ответа говорит о том, что компьютер в данный момент подключен к Internet.
Хотя при некоторой настойчивости с помощью утилиты ping можно определить
количество постоянно подключенных к Internet компьютеров в небольшой
и даже средней сети, ручной перебор сетевых адресов будет малоэффективен,
если необходимо обследовать корпоративную сеть крупной организации.
[tsunami ]'$ gping [tsunami] gping 192 168 1 1 254 [tsunami]? gping 192 168 1 1 254 | fping -a [tsunami] nmap -sP 192.168.1.0/24 Среди других утилит Windows, предназначенных для прослушивания сети, можно отметить WS_Ping ProPack (www.ipswitch.com) и Netscan Tools (www.nwpsw.com). Хотя возможностей этих утилит вполне достаточно для прослушивания небольших сетей, они значительно медленнее Finger и Ping Sweep. Кроме того, не забывайте, что утилиты с графическим интерфейсом, несмотря на удобство их использования, лишают вас возможности их применения в сценариях и автоматизированных процедурах. Возможно, вы хотите спросить, как поступать, если исследуемый узел блокирует сообщения ICMP? Хороший вопрос. Такой подход зачастую применяется на тех узлах, администраторы которых заботятся о безопасности. Однако, несмотря на блокировку пакетов ICMP, существуют дополнительные средства и методы, позволяющие определить, подключен ли такой узел к сети или нет. Вместе с тем необходимо отметить, что все эти средства оказываются не такими точными и эффективными, как обычные утилиты семейства ping.
В тех случаях, когда обмен данными по протоколу ICMP
заблокирован, в первую очередь применяется метод сканирования портов
(port scanning), который более подробно рассматривается ниже в этой
главе. Просканировав стандартные порты каждого потенциального IP-адреса
сети, можно определить, какие узлы подключены к сети. Если порт открыт
(opened mode) или находится в режиме ожидания (listening mode), значит,
по данному адресу находится подключенный к Internet узел сети. Недостатками
этого метода являются большие временные затраты и некоторая неопределенность
результата (если по какому-то адресу не удалось обнаружить ни одного
порта, то это еще не означает, что соответствующий узел не подключен
к Internet). Одной из утилит, которые можно использовать для сканирования
портов, является nmap. Как уже упоминалось, с помощью этой утилиты
можно проводить ICMP-прослушивание, однако этим перечень ее возможностей
далеко не исчерпывается. В частности, эта утилита позволяет выполнять
так называемое TCP-прослушивание сканированием (TCP ping scan). Данный
режим включается с помощью параметра -рт и указания номера порта,
например 80. Выбор порта с номером 80 обусловлен тем, что в подавляющем
большинстве случаев именно он используется узлами сети для обмена
данными через пограничные маршрутизаторы или брандмауэры с компьютерами,
расположенными в так называемой демилитаризованной зоне (DMZ — demilitarized
zone). При использовании указанного параметра утилита рассылает узлам
исследуемой сети пакеты АСК, а затем ожидает поступления пакетов RST,
что свидетельствует о том, что узел подключен к Internet. [tsunami] nmap -sP -PT80 192.168.1.0/24 Еще одной утилитой, специально предназначенной для TCP-прослушивания, является утилита hping (http://www.kyuzz.org/antirez/). По возможностям она даже превосходит утилиту nmap. Утилита hping позволяет пользователям управлять параметрами протокола TCP, что может обеспечить проникновение отправляемых пакетов даже через некоторые устройства управления доступом. Так, установив порт назначения с помощью параметра -р, можно обойти некоторые устройства управления доступом точно так же, как это было сделано с применением утилиты traceroute в главе 1. Поэтому утилита hping может с успехом служить не только для TCP-прослушивания, но и преодолевать преграды некоторых устройств управления доступом благодаря возможности фрагментации пакетов. [tsunami] hping 192.168.1.2 -S -p 80 -f Последним из средств прослушивания рассмотрим утилиту icmpenum хакером Симплом Номадом (Simple Nomad) (http://www.nmrc.org/files/sunix/icmpenum-1.1.tgz). Эту утилиту удобно использовать для определения архитектуры сети. Утилита icmpenum позволяет быстро выявить подключенные к сети компьютеры, передавая стандартные ICMP-пакеты ECHO, а также ICMP-запросы TIME STAMP REQUEST и INFO. Если входные пакеты ECHO не пропускаются пограничным маршрутизатором или брандмауэром, то подключенные узлы можно по-прежнему идентифицировать с помощью альтернативных пакетов ICMP. [shadow] icmpenum -i2 -с 192.168.1.0 В приведенном примере сеть класса С (192.168.1.0)
была протестирована с использованием ICMP-запроса TIME STAMP REQUEST.
Однако реальная мощь утилиты icmpenum заключается в возможности идентификации
узлов с помощью ложных пакетов, что позволяет избежать обнаружения
злоумышленника. Это возможно благодаря тому, что утилита icmpenum
позволяет генерировать ложные пакеты с использованием параметра -s
и пассивно ожидать отклика при указании параметра -р. |
||||
|
||||
|
|
|||
| |
||||
