O que é um a varredura?

64  Download (0)

Full text

(1)
(2)
(3)

Técnicas de Var r edur a

Ba se a da s e m por t a s:

Em que o scanner se com por t a com o um pseudo- client e, ident ificando as

(4)

Técnicas de Var r edur a

Ba se a da s n os se r v iços

(5)

Var r edur as de por t as clássicas

TCP connect

TCP syn ( conexão sem i- aber t a)

Baseadas na RFC 793 ( não Micr osoft w ar e) TCP Xm as Tree ( ár vor e de nat al)

TCP null ( var r edur as nulas) Micr osoft w ar e e RFC 793 UDP

ACK

TCP w indow

(6)
(7)

TCP Connect

Quase t odos scanner s de por t as usam esse r ecur so.

Na pr át ica, é um handshake par a cada por t a definida na var r edur a. Um handshake dem anda duas

m ensagens TCP por por t a.

A var r edur a é facilm ent e det ect ável. Não é pr eciso nenhum pr ivilégio

(8)

TCP Connect

Um a m ensagem SYN é enviada.

Se a por t a e st iv e r ( a be r t a ) ou v in do

com u m se r v iço, a conexão se suceder á.

Um SYN é r e t or n a do est abelecendo o

n ú m e r o de se qu ê n cia in icia l. Um ACK

consider a o ca m po n u m é r ico de

(9)

TCP Connect

Se a por t a e st ive r ( fe ch a da ) se m

se r v iço ou v in do, um a m ensagem RST é r e t or n a da , par a r e in icia r o pe dido de con e x ã o.

A m áquina- alvo m ost r ar á um a

conexão que falhou, por que a por t a não est á ouvindo, em est ado de

(10)

TCP Connect

Por t Scanner s - Nm ap

(11)
(12)

TCP SYN

Técnica m uit o usada.

O scanner envia um a m ensagem

SYN, com o se est iv esse pedindo um a conexão.

Um a respost a da m áquina- alvo com SYN/ ACK indica que a por t a se

(13)

TCP SYN

Um RST indica que a por t a não est á ouv indo. O handshake é cancelado. A t écnica ser conhecida com o

conexão sem i- aber t a, pois a explor ação não dem anda um

(14)

TCP SYN

N m a p usa essa lógica.

Mas, é com um encont r ar m os

scanner s m al escr it os que não enviam o RST após o SYN/ ACK.

É com o se o scanner não t ivesse r ecebido o SYN/ ACK.

I st o m ot iva o scanner a realizar um a segunda m ensagem RST.

(15)

TCP SYN

Por t Scanner s

- N e t st a t ( Window s) - N e t ca t

- Am a p ( ideal par a leit ur a de

banner s)

- Bla st e r - H pin g2

- N m a p ( pode ser com binado com o

(16)
(17)

Varr eduras baseadas na RFC 793

Com por t a s fe ch a da s ( sem ser viço) , ao r eceber em TCP FI N , ou

m ensagem com pr ior idade TCP

FI N / URG/ PSH , ou m ensagem TCP N ULL ( sem nenhum flag at ivo) , o

host - alvo r esponde com um TCP

(18)

Varr eduras baseadas na RFC 793

Quando a por t a e st ive r a be r t a

( e x ist e se r viço) , eles são ignor ados. O h os- a lvo n ã o r e spon de .

O scanner não recebe nenhum a r espost a, pois n ã o pode m

(19)

Varr eduras baseadas na RFC 793

Convém que um I DS na m áquina-alvo, possa ident ificar var r edur as baseadas na RFC 793.

Se um I DS só ident ifica var redur as de início de conexão ( TCP Connect e TCP SYN) , a t écnica RFC 793 passa

(20)

Varr eduras baseadas na RFC 793

Não funcionam em pilhas TCP/ I P

Micr osoft w are, pois essas não seguem a RFC 793.

Pilhas TCP/ I P M icr osoft w a r e

r e spon de m com TCP RST , t ant o

par a por t a s a be r t a s, com o par a

(21)

Varr eduras baseadas na RFC 793

em pilhas TCP/ I P Micr osoft w ar e

(22)

Varr eduras baseadas na RFC 793

Por t Scanner s - Hping2

(23)
(24)

Var r edur a Xm as Tr ee

Equivale a TCP FI N.

Com por t a s a be r t a s ( com ser viço) , e m ensagem com pr ior idade TCP

(25)

Var r edur a Xm as Tr ee

Com por t a s fe ch a da s ( sem ser viço) , e m ensagem com pr ior idade TCP

FI N / URG/ PSH , o host - alvo

(26)

Var r edur a Xm as Tr ee

Por t Scanner s - Hping2

(27)
(28)

TCP Null ( sem flags at ivos)

Equivalent e a TCP FI N.

Tem - se r espost a TCP RST par a

por t a s fe ch a da s.

(29)

TCP Null ( sem flags at ivos)

Por t Scanner s - Hping2

(30)
(31)
(32)
(33)

Var r edur as ACK

Técnica usada par a ident ificar Fir ew alls.

Um TCP ACK, que não per t ença a nehum a conexão est abelecida, é ger ado pelo

scanner .

(34)

Var r edur as ACK

Sendo um I CMP 3 ou nenhum a r espost a é dev olvida, é assum ido que as por t as são filt r adas, ou sej a exist e Fir ew all.

Por t Scanner Hping2

Ex em plo:

(35)
(36)
(37)

Var r edur a TCP Window

Técnica avançada.

Tem com o obj et iv o ident ificar por t as pr ot egidas por Fir ew all, e não por t as aber t as com out r os ser viços.

Nm ap envia ACK- w in. Volt ando RST,

(38)

Var r edur a TCP Window

N ã o t e n do r e spost a ou v olt a n do

I CM P 3 , a por t a est á filt r ada e assim

exist e Fir ew all. Por Scanner

- Nm ap

(39)
(40)
(41)

Var r edur as FI N/ ACK

For m a de ident ificar um Fir ew all. Bit FI N at ivo.

Com por t am ent o sim ilar à var r edur a ACK. Por t Scanner s

- Hping2 - Nm ap Ex em plos:

hping2 ip.ip.ip.ip –fin –ack –p < por t a

(42)

Escondendo um Fir ew all

Enganar um scanner com o o Nm ap. Se N m a p r e ce be r u m TCP RST

com o r espost a, ele envia dois pacot es.

Par a esses dois pacot es enviados,

(43)

Escondendo um Fir ew all

Se N m a p r e ce be I CM P 3 com o

r espost a, ele a ssu m e qu e a por t a é

filt r a da por u m Fir e w a ll que rej eit a

(44)

Escondendo um Fir ew all

Se N m a p n ã o r e ce be n e n h u m a

r e spost a , ele envia m ais quat r o

pacot es e, não obt endo nenhum a

r espost a, e le a ssu m e a por t a com o

(45)

Escondendo um Fir ew all

Definindo- se um a polít ica pa r a o fir e w a ll, em que a por t a 22 som ent e aceit e

conexões I P j á pr é- definidas, qualquer out r o pacot e I P ser á r ej eit ado.

Na polít ica, definim os o fir e w a ll n ã o

r e j e it a r pa cot e s com I CM P ( não

(46)

Escondendo um Fir ew all

I st o, faz com que sej a ger ado um

fa lso n e ga t ivo, ou sej a, um a

infor m ação t al que, a ocor r ência exist e, m as não é ident ificada ( o

(47)
(48)

Var r edur as UDP

Técnica que descobr e os ser viços UDP

at ivos, ou sej a, as por t as UDP aber t as em um host .

Dat agr am as de 0 by t es são em it idos a cada por t a da m áquina- alvo.

(49)

Var r edur as UDP

Por t Scanner s - Net st at

(50)

Var r edur as RPC

Varr edur a baseada em ser viço. Lav ant ando dados de RPC com Nm ap:

(51)

Var r edur a Bounce

Técnica que consist e em ut ilizar um ser viço de um det er m inado host par a levant ar infor m ações sobr e out r os

(52)

Varr eduras baseadas

(53)
(54)
(55)

Varr eduras Fur t iva Tem por izadas

Tam bém conhecida com o “ Slow Scan” .

Te m por iz a o envio de pacot es.

Obt idas at ravés do N m a p com a opção - T.

(56)
(57)
(58)
(59)

Fe r r a m e n t a s de At a qu e

Const r ói- se ou escolhe- se as fer ram ent as par a a inv asão. Root kit s:

- Sniffer - Tr oj an

(60)

Par a concr et izar um At aque

I nst alação de Sn iffe r s.

Técnicas de Ba ck door .

Apa ga m e n t o de r a st r os ou for j a r logs,

elim inando o r ast r o do invasor ou dificult ando a audit or ia ( CleanLogs) .

At a qu e s D oS,

(61)

At aques sem int r usão

Exist em for m as de at aque que não t êm obj et iv os de int r usão.

Exem plos:

- Spam em ser vidor es que

(62)

At aques sem int r usão

Algum as supost as invasões ocor r em sem nenhum a int r usão no sist em a. Com o nos casos de at aques de

(63)

Par a Aut o- Monit or am ent o

Ver ificador es de Senha ( Joh n t h e

Rippe r ) ,

Audit or ia de Segur ança de Sist em as ( N m a p) ,

Scanner de Segur ança par a ident ificar vulner abilidades ( N e ssu s) .

Fir ew alls, Web Proxy

(64)

Melhor Pr ot eção

Est abelecim ent o de Polít icas de Segur ança.

I nfor m ações Cr ipt ogr afadas em

pr ot ocolos ( S/ MI ME, SSH, SSL, TSL, I PSec... ) .

Figure

Updating...

References

Related subjects :