| |
 |
| служба Компьютерная
помощь |
Активное исследование стека |
 Антивирусная защита компьютера. Вызов мастера на дом в Кириши |
|
|
||||
|
|
Активное исследование стека Прежде чем перейти к рассмотрению возможностей утилит nmap и queso, необходимо вкратце пояснить, в чем же состоит суть исследования стека TCP/IP. Исследование стека (stack fingerprinting) — это очень мощная технология, позволяющая быстро определить тип и версию операционной системы узла с высокой степенью вероятности. Очевидно, что разные разработчики по-разному подходят к реализации стека TCP/IP. В частности, многие разработчики по-своему трактуют рекомендации документов RFC, что впоследствии проявляется в логике работы тех или иных сетевых служб. Таким образом, зная о существующих различиях и проверив реакцию служб изучаемой системы на различные ситуации, можно практически однозначно определить тип и версию соответствующей операционной системы. Для достижения максимальной достоверности при исследовании стека требуется по крайней мере один порт, находящийся в режиме ожидания запросов. С помощью утилиты nmap можно выдвинуть предположение об используемой операционной системе даже при отсутствии таких портов, однако степень его достоверности в этом случае будет невысокой. Полное описание процесса исследования стека можно найти в статье Федора (Fyodor), впервые публикованной в журнале Phrack Magazine. |
||||
[tsunami] nmap -0192.168.1.10 [ tsunami]# nmap -p80 -0 10.10.10.10 Одной из примечательных особенностей утилиты nmap является то, что листинг сигнатур хранится в отдельном файле с именем nmap-os-fingerprints. При появлении каждой новой версии утилиты этот файл также обновляется, и на момент написания данной книги в нем содержались сотни сигнатур. Если вы хотите добавить новые сигнатуры и повысить таким образом эффективность утилиты nmap, обратитесь ПО адресу http://www.insecure.org:80/cgi-bin/nmap-submit.cgi. Хотя на момент написания данной книги утилита nmap, по-видимому, позволяет наиболее точно выполнить исследование стека TCP/IP, она, тем не менее, является далеко не первой программой, в которой реализована соответствующая технология. До того как Федор встроил в утилиту nmap средства определения операционной системы, для этих же целей уже была создана утилита queso (http://www.apostols.org/projectz/). Необходимо отметить, что утилита queso не позволяет выполнять сканирование портов и может определять тип операционной системы только при наличии в исследуемой системе открытого порта (по умолчанию используется порт 80). Если порт 80 закрыт, необходимо задать другой открытый порт, как показано в следующем примере, в котором с помощью утилиты queso осуществляется попытка определить тип операционной системы через порт 25. [tsunami] queso 10.10.10.20:25 Контрмеры: защита от определения операционной системы Обнаружение попыток определения операционной системы Многие из упоминавшихся выше средств выявления сканирования
с успехом могут служить и для обнаружения попыток определения типа
операционной системы, Хотя они не проинформируют вас о том, что выполнялось
специальное сканирование с помощью утилиты nmap или queso, с их помощью
все же удастся распознать сам факт такого особого сканирования, например
с установкой флага SYN. Предупреждение попыток определения операционной системы Хотелось бы посоветовать какое-нибудь средство, позволяющее
противодействовать попыткам определения операционной системы, однако,
к сожалению, вынуждены констатировать, что решить эту проблему весьма
непросто. Конечно, можно изменить исходный код операционной системы
(естественно, если он имеется в вашем распоряжении) или поменять ее
параметры, влияющие на характеристики стека, однако такое вмешательство
может значительно изменить функциональность ОС. Например, в системе
FreeBSD 4.x имеется параметр ядра TCP_DROP_SYNFIN, который можно применить
для игнорирования пакетов SYN+FIN, используемых утилитой nmap в целях
исследования стека. Установка этого параметра поможет пресечь попытки
определения типа операционной системы, однако в то же время нарушит
поддержку RFC 1644 (TCP Extensions for Transactions). Пассивное определение операционной системы Из предыдущих разделов видно, насколько эффективными оказываются средства активного исследования стека, такие как утилиты nmap и queso. Важно не забывать о том, что рассмотренные выше приемы являются активными по своей природе. При этом для определения специфических особенностей сетевого стека и используемой операционной системы каждому узлу нужно передавать тестовые пакеты. Поскольку все активные методы предполагают передачу пакетов, системам выявления вторжений относительно просто выявить все предпринимаемые попытки идентификации операционной системы. Другими словами, активное исследование является далеко не самым скрытым методом, к которому может прибегнуть взломщик. |
|||||
|
|||||
|
|
|||
| |
||||
