Nätverksskanningstekniker
Nätverksskanning avser processen för att få ytterligare information och utföra en mer detaljerad rekognosering baserat på den insamlade informationen i fotavtrycksfas .
I denna fas används ett antal olika procedurer med målet att identifiera värdar, portar och tjänster i målnätverket. Hela syftet är att identifiera sårbarheter i kommunikationskanaler och sedan skapa en attackplan.
Typer av nätverksskanning
Skanning har tre typer:
- Port skanning - används för att lista öppna portar och tjänster
- Nätverksskanning - används för att lista IP-adresser
- Sårbarhetsskanning - används för att upptäcka förekomsten av kända sårbarheter
Skanningstekniker
Portskanningstekniker är extremt användbara när det gäller att identifiera öppna portar. Skanningstekniker representerar olika kategorier som används baserat på protokolltyper. De kategoriseras i tre kategorier:
- Skannar ICMP-nätverkstjänster
- Skannar TCP-nätverkstjänster
- Skannar UDP-nätverkstjänster
Skannar ICMP-nätverkstjänster
ICMP-skanning
ICMP-skanning används för att identifiera aktiva enheter och bestämma om ICMP kan passera genom en brandvägg.
Ping Sweep
Ping-svep används för att bestämma intervallet för IP-adresser som mappas till aktiva enheter. Det gör det möjligt för hackare att beräkna undernätmasker och identifiera antalet närvarande värdar i undernätet. Detta gör det i sin tur möjligt för dem att skapa en inventering av aktiva enheter i undernätet.
ICMP Echo Scanning
ICMP Echo Scanning används för att bestämma vilka värdar som är aktiva i ett målnätverk genom att pinga alla maskiner i nätverket.
Skannar TCP-nätverkstjänster
TCP Connect
TCP-anslutningsskanning som används för att upptäcka öppna portar när trevägshandskakningen är klar. Det fungerar genom att skapa en fullständig anslutning och sedan släppa den genom att skicka ett RST-paket.
Stealth Scan
Stealth scan används för att kringgå brandvägg och loggningsmekanismer. Det fungerar genom att återställa TCP-anslutningen innan trevägshandskakningen är klar, vilket i sin tur gör anslutningen halv öppen.
Invers TCP-flaggsökning
Invers TCP-flaggsökning fungerar genom att skicka TCP-sondpaket med eller utan TCP-flaggor. Baserat på svaret är det möjligt att avgöra om porten är öppen eller stängd. Om det inte finns något svar är porten öppen. Om svaret är RST är porten stängd.
Xmas Scan
Xmas-skanning fungerar genom att skicka en TCP-ram med FIN-, URG- och PUSH-flaggor inställda på målenheten. Baserat på svaret är det möjligt att avgöra om porten är öppen eller stängd. Om det inte finns något svar är porten öppen. Om svaret är RST är porten stängd. Det är viktigt att notera att denna genomsökning endast fungerar för UNIX-värdar.
ACK-flaggprobskanning
ACK-flaggsondskanning fungerar genom att skicka TCP-sondpaket med ACK-flaggset för att avgöra om porten är öppen eller stängd. Detta görs genom att analysera TTL- och WINDOW-fältet i det mottagna RST-paketets rubrik. Porten är öppen om TTL-värdet är mindre än 64.
På samma sätt anses porten också vara öppen om WINDOW-värdet inte är 0 (noll). I annat fall anses hamnen vara stängd.
ACK-flaggprob används också för att bestämma filtreringsreglerna för målnätverket. Om det inte finns något svar betyder det att en statlig brandvägg finns. Om svaret är RST filtreras inte porten.
Skannar UDP-nätverkstjänster
IDLE / IPID Header Scan
IDLE / IPID header scan fungerar genom att skicka en falsk källadress till målet för att avgöra vilka tjänster som är tillgängliga. I den här genomsökningen använder hackare IP-adressen till en zombiemaskin för att skicka ut paketen. Baserat på packarens IPID (fragmentidentifieringsnummer) är det möjligt att avgöra om porten är öppen eller stängd.
UDP-skanning
UDP-skanning använder UDP-protokoll för att testa om porten är öppen eller stängd. I denna skanning finns det ingen flaggmanipulation. I stället används ICMP för att avgöra om porten är öppen eller inte. Så om ett paket skickas till en port och ICMP-portens oåtkomliga paket returneras, betyder det att porten är stängd. Om det emellertid inte finns något svar är porten öppen.
SSDP och listavläsning
SSDP, eller Simple Service Discovery Protocol, svarar på frågor som skickas över IPv4- och IPv6-sändningsadresser. Angripare använder denna skanning för att utnyttja UPnP-sårbarheter och utföra buffertöverskridning eller DoS-attacker. Listskanning upptäcker indirekt värdar. Den här skanningen fungerar genom att lista ut IP-adresser och namn utan att pinga värdarna och genomföra en omvänd DNS-upplösning för att identifiera namnen på värdarna.
