Scanning Network

Module 3
 Mục Tiêu của Module
-Định nghĩa và các loại quét.
-Hiểu biết các phương pháp quét của
CEH.
-Kiểm tra hệ thống và các cổng mở
-Hiểu biết các kỹ thuật quét
-Một số công cụ để thực hiện quá
trình quét
-Hiểu kĩ thuật lấy thông tin về phiên bản
HĐH của 1 hệ thống mục tiêu.
- Dựng biểu đồ hệ thống mạng sau khi đã
phát hiện được lỗi các host.
- Chuẩn bị các proxy.
- Hiểu biết cách ẩn danh.
- Quét các biện pháp phòng chống của hệ
thống mục tiêu.
- Quét thử nghiệm.
 Quét Mạng
Địa chỉ IP và các Hệ điều hành và
Dịch vụ đang
cổng mở trên máy kiến
chạy trên máy
chủ trúc hệ thống

- Quét mạng dùng để chỉ các quy trình xác định địa chỉ các host, cổng,
hay các dịch vụ trên mạng
- Quét là một trong các thành phần của việc thu thập thông tin cho kẻ
tấn công để tạo ra một hồ sơ cá nhân của tổ chức, mục tiêu cần tấn công
 Các Loại Quét Mạng

Một loạt các tin nhắn Quét lỗ hổng là Quét mạng là một thủ
được gửi bởi một người quá trình tự động tục để xác định các máy
nào đó cố gắng đột nhập hóa chủ động xác định chủ hoạt độngtrên mạng
vào một máy tính để các lỗ hổng của hệ hoặc cho các mục
tìm hiểu về dịch các thống máy tính có mặt đích tấn công hoặc đánh
vụ mạng của máy tính. trong một mạng giá an ninh mạng
 Phương pháp quét mạng

Kiểm tra Lấy thông

Kiểm tra các cổng tin phiên
hệ thống mở bản HĐH

Dựng
Quét lỗ
Chuẩn bị biểu đồ
hổng bảo
proxy hệ thống
mật
mạng
 Kiểm Tra Hệ Thống – Quét ICMP

- Bản chất của quá trình này là gửi một ICMP Echo Request đến máy chủ đang muốn
tấn công
- Việc quét này rất hữu ích để định vị các thiết bị hoạt động hoặc xác định hệ thống có
tường lửa hay không
Ping Sweep được sử dụng để xác định các máy chủ còn “sống” từ một loạt
các địa chỉ IP bằng cách gửi các gói ICMP Echo Request đến tất cả các
IP đó. Nếu một máy chủ còn “sống ” nó sẽ trả lại một gói tin ICMP Reply
Một Số Công Cụ Ping Sweep
Một Số Công Cụ Ping Sweep
 Phương pháp quét mạng

Kiểm tra Lấy thông

Kiểm tra các cổng tin phiên
hệ thống mở bản HĐH

Dựng
Quét lỗ
Chuẩn bị biểu đồ
hổng bảo
proxy hệ thống
mật
mạng
 Cơ Chế Bắt Tay 3 Bước
TCP sử dụng cơ chế bắt tay ba bước để
thiết lập kết nối giữa máy chủ và máy
khách
Máy tính A khởi tạo một kết nối đến
máy chủ bằng một gói tin với cờ
SYN
Máy chủ sẽ trả lời bằng một gói tin
với cờ SYN và ACK
Cuối cùng, máy khách sẽ gởi lại cho
máy chủ một gói tin ACK.
Nếu ba bước trên được hoàn thành
mà không có biến chứng, sau đó một
kết nối TCP được thiết lập giữa máy
khách và máy chủ
 Cờ Giao Tiếp TCP

Được sử dụng để bắt Dùng để chỉ gói tin được

đầu một kết nối giữa các ưu tiên xử lí trước
máy tính

Được sử dụng để
Thông báo cho hệ thống từ
xác nhận đã nhận
xa kết thúc việc truyền tin
được một gói tin

Được sử dụng để yêu cầu hệ thống Được sử dụng để thiết lập

gửi tất cả dữ liệu đệm ngay lập tức lại một kết nối
Tùy chỉnh các cờ TCP trong gói tin
 Là các dòng lệnh để tạo các gói tin cho giao
thức TCP/IP

Công cụ kiểm toán bảo mật, kiểm tra tường

lửa và mạng lưới

Nó chạy trên cả hai hệ điều hành windows

và linux

Hping 3 là một kịch bản sử dụng ngôn ngữ

TLC, công cụ dòng lệnh tương thích với ping 2
Màn Hình Làm Việc của Hping 3
 Một Số Lệnh Hping

ICMP ping Quét SYN trên cổng 80

Hping3 –1 10.0.0.25 hping3 -8 50-56 –s 10.0.0.25 -v

Quét FIN, PUSH và URG trên

Quét ACK trên cổng 80
Hping3 –A 10.0.0.25 –p 80
cổng 80
hping3 –F –p -U 10.0.0.25 –p 80
Quét toàn bộ mạng cho máy
Quét UDP trên cổng 80
chủ trực tiếp
hing3 -2 10.0.0.25 –p 80
hping3 –1 10.0.0.x –rand-dest -I eth0

thu thập số thứ tự ban đầu Chặn tất cả các truy cập http
hing3 10.0.0.25 –Q 139 -s hping3 –9 HTTP -I eth0
Các Kĩ Thuật Quét
 Kết Nối TCP / Mở Quét Đầy Đủ
- Phát hiện kết nối TCP khi một cổng được mở bằng
cách hoàn thành việc bắt tay ba bước.
- Quét kết nối TCP thiết lập một kết nối đầy đủ và
bóc chỗ nối bằng cách gửi một gói tin RST
 Quét Tàng Hình (Quét Mở Một Nửa)
Kẻ tấn công sử dụng kỹ thuật quét tàng hình để bỏ qua các quy tắc tường
lửa, cơ chế đăng nhập , và ẩn mình như mạng lưới giao thông thông thường

1 Máy khách gửi một gói SYN duy

nhất cho máy chủ trên cổng thích hợp
Nếu cổng được mở ra, sau đó máy
2 chủ trả về một gói SYN / ACK
Nếu máy chủ trả lời với một gói
3 RST, sau đó các cổng từ xa là trong tình
trạng đóng cửa Máy khách sẽ gửi các gói tin RST để
4 đóng khởi đầu trước khi kết nối có thể
được thiết lập
-Xmas Scan sẽ gửi một gói tcp cho các
thiết bị ở xa với các cờ URG, ACK,
RST, SYN và cờ FIN.
- FIN Scan chỉ làm việc với các HĐH
Tcp/IP phát triển theo RFC 793.
- Nó sẽ không làm việc với bất kì phiên
bản hiện hành của Microsoft Windows
- FIN Scan sẽ gửi một gói tcp cho các
thiết bị ở xa với các cờ FIN.
- FIN Scan chỉ làm việc với các HĐH
Tcp/IP phát triển theo RFC 793.
- Nó sẽ không làm việc với bất kì phiên
bản hiện hành của Microsoft Windows
- FIN Scan chỉ làm việc với các HĐH
Tcp/IP phát triển theo RFC 793.
- Nó sẽ không làm việc với bất kì phiên
bản hiện hành của Microsoft Windows
 - Máy chủ luôn lắng nghe trên cổng tcp
chẳng hạn như máy chủ web trên cổng 80
và máy chủ mail trên cổng 25. Cổng được
coi là mở nếu một ứng dụng lắng nghe
nghe trên cổng.
- Một cách để xác định xem một cổng mở
là gửi một gói tin SYN (thành lập
phiên ) đến cổng đó.
- Các máy tính nhận được sẽ gửi lại một
gói SYN /ACK (phiên yêu cầu xác
nhận) nếu cổng đã đóng.
-Một máy tính nhận được một
gói SYN/ACK không được yêu cầu sẽ
trả lời với một RST. RST không được
yêu cầu sẽ bị bỏ qua.
- Mỗi gói tin IP trên mạng Internet
có một số nhận dạng.
-Nó là phương pháp quét cổng tcp cho
phép gửi các gói tin giả mạo đến một
máy tính thông qua công cụ phần
mềm như Nmap và Hping.
 IDLE Scan: Bước 1
1. Gởi gói tin SYN/ACK đến máy zombie để tìm số IP ID
2. Mỗi gói tin trên mạng đều có một số nhận dạng (IP ID), là một số
có 4 chữ số và tăng lên mỗi khi một máy chủ gửi gói tin IP.
3. Zombie sẽ gởi lại một gói tin RST, tiết lộ IP ID.
4. Phân tích các gói tin RST từ máy tính zombie để trích xuất IP ID
 IDLE Scan: Bước 2.1 (Mở Cổng)
Gửi gói tin SYN đến máy tính mục tiêu (port 80) giả mạo địa
chỉ IP của zombie
 IDLE Scan: Bước 2.1 (Đóng Cổng)
Máy tính mục tiêu sẽ gởi gói tin RST đến zombie nếu cổng đóng nhưng
zombie sẽ không gởi bất cứ điều gì trở lại
 IDLE Scan: Bước 3

Thăm dò lại IP ID của zombie

IPID tăng thêm 1 từ bước 1, do

đó cổng 80 phải được mở
- Đây không phải thực sự là quét
port, khi gói icmp không chứa
port cố đinh
- Nhưng trong một vài trường hợp
nó có thể hữu ích, và được dùng
để quyết định thiết bị đầu cuối
nào trên mạng đang được bật
bằng cách ping tới tất cả chúng
- Nmap –P cert.org/24
152.148.0.0/16
Kiểu quét này chỉ đơn giản tạo và
in ra một danh sách các IP hoặc
tên mà không cần ping hoặc quét
cổng chúng.
Việc phân giải tên miền DNS cũng
sẽ được thực hiện
 Quét SYN/FIN Sử Dụng Các Gói IP
-nó không phải là một phương pháp quét mớinhưng sửa đổi của các phương
pháp trước đó
-phần đầu TCP được chia ra thành nhiều gói tin để các bộ lọc gói
tin không thể phát hiện các gói dữ liệu có ý định dùng để quét

-Ở đây không thực hiện cơ chế bắt
tay ba bước TCP cho việc scan
UDP
- Hệ thống không phản hồi lại một
thông báo nào khi cổng được mở
-nếu một gói tin UDP được gửi để
mở cổng, hệ thống sẽ phản hồi với tin
nhắn không thể truy cập cổng ICMP.
- phần mềm gián điệp, trojan, và nhiều
ứng dụng độc hại khác sử dụng các
cổng UDP
 Inverse TCP Flag Scanning (Quét Đảo Ngược Cờ TCP)
Kẻ tấn công gửi các gói tin TCP thăm dò với cờ TCP khác nhau (FIN/URG/PSH) hoặc không
có cờ, Nếu máy đích không có phản ứng có nghĩa là cổng mở còn nếu máy đích gởi gói tin
RST/ACK có nghĩa là cổng đóng cửa
Kẻ tấn công gửi một gói tin thăm dò ACK với số thứ tự ngẫu nhiên, không phản ứng có
nghĩa là cổng được lọc (trạng thái hiện tại của firewal) và RST phản ứng có nghĩa là cổng
không phải là lọc
 Sử dụng đầy đủ các gói tin IP

Giả mạo địa chỉ IP của bạn khi tấn

công và theo dõi phản hồi từ máy chủ

sử dụng nguồn định tuyến (nếu có thể)

Kết nối với máy chủ proxy hoặc xâm nhập

vào các máy bị nhiễm trojan để khởi
động các cuộc tấn công
 Xác định chính xác các
loại tin nhắn ICMP phân
mảnh được xử lý và đáp
ứng bởi các máy chủ từ xa
- Nmap là phần mềm mã nguồn mở miễn phí cho thăm dò mạng.
- Các quản trị mạng có thể sử dụng nmap cho việc kiểm tra mạng, quản lí lịch
trình nâng cấp dịch vụ, giám sát máy chủ hoặc thời gian hoạt động của dịch vụ.
- Những kẻ tấn công có thể sử dụng nmap để trích xuất các thông tin như:

Các máy Các dịch vụ

chủ hoạt (tên ứng
động trên dụng và
mạng phiên bản)
HĐH(và
Các loại gói
phiên bản
tin
HĐH)
 Các Biện Pháp Phòng Chống
Cấu hình tường lửa và quy
tắc IDS để phát hiện và
chặn các thiết bị thăm dò Sử dụng tùy chỉnh tập rule
để khóa mạng
Chặn các cổng không
cần thiết trên tường lửa

Che giấu thông tin nhạy

cảm khỏi công chúng
 Các Biện Pháp Phòng Chống
Lọc các gói tin ICMP bên Nếu một bức tường lửa thương mại đang
trong và cả các gói được sử dụng, đảm bảo rằng :
ICMP bên ngoài không 1. các gói dịch vụ mới nhất được cài đặt
cho truy cập tại các bộ 2. các quy tắc chống giả
định tuyến và tường lửa mạo đã được định nghĩamột cách chính
xác
3. dịch vụ fastmode đều không được sử
dụng trongmôi trường kiểm tra tường
lửa - l

Đảm bảo rằng việc định Biết được cấu hình

tuyến và các cơ chế mạng và cổng truy cập của
lọc không bỏ mình bằng gởi các gói tin
qua bằng cách sử dụng thăm dò ICMP để quét các
cổng riêng hoặc kỹ thuật cổng TCP và UDP đối
định tuyến cụ thể với dãy địa chỉ IP của bạn
War Dialing bao Các công ty Nó làm việc bằng
gồm đến việc sử không kiểm Sử dụng công cách sử dụng một
dụng của một soát các cổng kết danh sách tên và
cụ xác định các số
chương trình kết mật khẩu người
nối điện thoại điện thoại và có
hợp với một dùng phổ biến
modem để thâm
như firewall ở thể tạo một kết
được xác định
nhập vào các hệ tường lửa và máy nối với một trước để cố gắng
thống dựa trên tính với modem modem mục tiêu được quyền truy
modem kèm theo cập vào hệ thống
 Nó không quan trọng “cửa trước” mạng của bạn mạnh đã được bảo vệ mạnh như
thế nào nếu như “cửa sau” bạn vẫn mở rộng

Làm modem của Không biết có truy cập

bạn tiết lộ thông tin với đến hệ thống
họ

Làm modem của bạn Modem của bạn uỷ quyền

có mật khẩu mặc định của mẫn cảm với một cuộc đột
nhà sản xuất nhập với wardialer

Bạn không thường xuyên một người nào đó trong tổ

kiểm tra trong tổ chức của chức của bạn gắn thêm một
bạn modem cho mạng của bạn
 Biện Pháp Phòng Chống War Dialing

Phát triển và thực hiện các Tiến hành trinh sát thủ
chính sách an ninh công mạng của bạn

Sử dụng điện thoại trong

một vùng khác từ hệ thống
PBX nội bộ của bạn

Kiểm tra các cấu hình trả

Ghi lại tất cả các lần đăng
lời tự động trên modem của
nhập thành công và thất bại
bạn
Sandtrap có thể phát hiện
War Dialing và thông báo
ngay cho người quản
trị bằng cách gọi, kết
nối, thông qua http gởi
cho máy chủ web
 Kiểm tra Lấy thông
Kiểm tra
các cổng tin phiên
hệ thống
mở bản HĐH

Dựng biểu
Quét lỗ
Chuẩn bị đồ hệ
hổng bảo
proxy thống
mật
mạng
OS fingerprinting phương pháp để xác định hệ điều hành chạy trên hệ thống mục tiêu. Có
hai loại OS fingerprinting : chủ động và thụ động.

-Các gói tin thủ công được gởi
cho các HĐH và chờ các phản
hồi trở lại
- Các phản hồi được so
sánh với một cơ sở dữ liệu để
xác định hệ điều hành
- Phản ứng từ các hệ điều hành
khác nhau sẽ khác nhau do sự
thay đổi cách sắp xếp trong
TCP/IP
-Lấy thông tin thụ động là kỹ
thuật sniffing để nắm bắt các
gói tin đi ra từ hệ thống
- Các gói tin bị bắt sau đó
được phân tích để lấy thông
tin OS
- Nó cũng dựa trên sự khác
biệt trong cách sắp xếp và
cách trả lời của HĐH
Đây là kĩ thuật thăm dò máy chủ http để xác định các thông tin của server
thông qua phần mào đầu của gói tin trả lời
- Id Serve sử dụng để xác
định ngôn ngữ, model, và
phiên bản của phần mềm
máy chủ web của bất kì
trang web nào
 Bạn có thể muốn thử bổ
sung thêm các yêu cầu để
lấy thông tin
Netcraft báo cáo hoạt động hệ
thống của một trang web,
máy chủ web, và cùng với
netblock owner, nếu có, một
bảng báo cáo kết quả kể từ lần
khởi động máy tính cuối cùng
để phục vụ các trang web
 Lấy thông
tin phiên
bản HĐH

Dựng biểu
Chuẩn bị đồ hệ Quét lỗ
proxy thống hổng bảo
mạng mật
 Lấy thông
tin phiên
bản HĐH

Dựng biểu Quét lỗ

Chuẩn bị đồ hệ hổng bảo
proxy thống mật
mạng
 Lấy thông
tin phiên
bản HĐH

Dựng biểu
đồ hệ Quét lỗ
Chuẩn bị
thống hổng bảo
proxy
mạng mật
 Lấy thông
tin phiên
bản HĐH

Dựng biểu
đồ hệ Quét lỗ
Chuẩn bị
thống hổng bảo
proxy
mạng mật