0

اسکن شبکه و جمع آوری اطلاعات پروتکل ها – Scanning

اسکن شبکه و جمع آوری اطلاعات پروتکل ها – Scanning

اطلاعات به دست آمده در این فاز خیلی مهم بوده و در ادمه کار تست نفوذ کاربرد زیادی دارد. در این فاز اطلاعاتی از قیبل آدرس، نوع سیستم عامل سرویس ها و اپلیکیشن های نصب شده به دست می آید.

انواع اسکن

اسکن پورت: پروسه شناسایی پورت های باز و در دسترس tcp/ip می باشد. بر روی هر پورتی یک سرویس فعال است که در صورت اسکن پورت ها توسط هکر می تواند اطلاعات ارزشمندی به دست بیاورد به عنوان مثال باز بودن پورت ۲۱ به منزله فعال بودن ftp است. لیست پورت ها و سرویس های آن را می توانید مشاهده کنید.

پورت چیست؟

بهتر است بدانیم که در کل دو نوع پورت سخت افزاری و نرم افزاری داریم. پورت های سخت افزاری به یک نقطه اتصال فیزیکی می گویند که از طریق آن سایر دیوایس ها به کامپیوتر متصل می شوند. پورت های نرم افزاری هم میتواند نقطه اتصال برنامه ای باشند که از طریق آن ترافیک رد و بدل می شود.

شماره پورت چیست؟

در شبکه های کامپیوتری، شماره پورت های شبکه برای برنامه های مختلف استفاده می شود. پورت ها در تمام دستگاه های متصل به شبکه استاندارد شده اند و به هر پورت یک عدد اختصاص داده شده است. بیشتر پورت‌ها برای پروتکل‌های خاصی رزرو شده‌اند (برای مثال، همه پیام‌های پروتکل انتقال ابرمتن (HTTP) به پورت ۸۰ می‌روند).

سه نوع پورت مختلف برای شبکه وجود دارد که عبارتند از:

  1. Well-known Ports
  2. Registered Ports
  3. Dynamic Ports

پورتهای شناخته شده (Well-known Ports)

پورت های شناخته شده که بین ۰ تا ۱۰۲۴ هستند و معمولا پروتکل های tcp و udp از این پورت ها استفاده می کنند.

پورتهای ثبت شده (Registered Ports)

سری دوم، پورت های ثبت شده بین ۱۰۲۴ و ۴۹۱۵۱ هستند. این پورت ها توسط IANA برای خدمات خاص اختصاص داده شده است.

پورتهای پویا (Dynamic Ports)

آخرین بخش پورت ها در شبکه، پورت های پویا هستند که از ۴۹۱۵۲ تا ۶۵۵۶۵ را شامل میشوند. این پورت ها در شبکه و IANA ثبت نشده اند.

وضعیت پورت ها در شبکه

پورت های باز: پورتی است که به صورت فعال آماده پاسخگویی می باشد.

پورت های بسته: پورتی که روی آن سرویس دهی صورت نمی گیرد و توسط فایروال فیلتر نشده است.

پورت های فیلترشده: پورت هایی هستند که توسط فایروال یا برخی دیوایس های حفاظتی محافظت شده اند.

پورت های فیلتر نشده: پورت هایی که اسکنر ما (بعنوان مثال nmap) قادر به دسترسی به آن است ولی به هر دلیل قادر به تشخیص باز یا بسته بودن آن نیست.

پورت های باز/فیلتر شده: یک پورت باز/فیلترشده پورتی است که اسکنر ما (بعنوان مثال nmap) را به تردید انداخته ولی مطمئن است که یا فیلترشده یا باز است ولی نمی‌تواند به صورت دقیق تشخیص دهد که کدام وضعیت را دارد .

پورت های بسته/فیلترشده: پورتی است که اسکنر ما (بعنوان مثال nmap) را به تردید انداخته و مطمئن است که یا فیلترشده یا بسته است ولی نمی‌تواند به صورت دقیق تشخیص دهد که کدام وضعیت را دارد.

معرفی Sniffer های سخت افزاری

معرفی ابزار پورت اسکنر  Wireshark به عنوان Sniffer

Wireshark یک تحلیلگر بسته های شبکه است. یک تحلیل کننده ی بسته های شبکه سعی در ضبط بسته های شبکه دارد و تلاش می کند جزئیات آن بسته ها را تا جای ممکن به دست آورد.

با ابزار WinPcap ما به راحتی میتوانیم Packet های شبکه را بر روی یک کارت شبکه (network Interface Card) مشخصی ردیابی کنیم و به راحتی مسیر این Packet ها را نیز شناسایی نماییم.pcap مخفف packet capture نام دسته‌ای از کتابخانه‌های برنامه‌نویسی است که از طریق آنها می‌توان اقدام به ضبط کردن ترافیک شبکه کرد.

WinPcap یک نرم افزار آنالیز کننده Packet های شبکه است و متشکل از یک درایور است که سیستم عامل را برای دسترسی به سطح پایین شبکه و کتابخانه ای که برای دسترسی آسان به لایه های شبکه سطح پایین استفاده می شود ، گسترش می دهد.

این کتابخانه همچنین شامل نسخه ویندوز از libpcap Unix API معروف است.

همانطور که در تصویر زیر مشاهده می نمایید با کلیک بر روی آیکن مشخص شده ، وایر شارک شروع به آنالیز نمودن بسته ها در شبکه می نماید.

انواع Sniffing

  • Passive Sniffing

این نوع استراق سمع در دستگاه هاب “hub ” اتفاق می افتد. هاب وسیله ای است که ترافیک یک پورت را دریافت می کند و سپس آن ترافیک را در سایر پورت ها دوباره انتقال می دهد. 

در این حالت ، اگر دستگاه هاب در مرکز قرار گرفته باشد، تمام ترافیک شبکه می تواند مستقیماً توسط sniffer دریافت شود. اسنیفیر می تواند مدتها آنجا بدون شناسایی نشسته و از شبکه جاسوسی کند. از آنجا که این روزها از هاب استفاده نمی شود، این نوع حملات یک ترفند قدیمی برای اجرا خواهد بود. هاب ها با سوئیچ جایگزین می شوند و اینجاست که Sniffing به صورت فعال استفاده می شود.

  • Active Sniffing

این نوع استراق سمع در شبکه هایی صورت می پذیرد که سوییچ مستقر دارند. سوئیچ یک جدول بر اساس آدرس های فیزیکی سیستم های درون شبکه تشکیل می دهد که درون این سوئیچ جدولی به نام CAM TABLE تشکیل می شود که در آن آدرس mac مقصد مربوط به سیستم ها را دارد. بر اساس این جدول، سوییچ می تواند تصمیم بگیرد که پکت شبکه به کجا ارسال شود.

قابلیت Promiscuous Mode در کارت شبکه

در حالت عادی پس از اتصال کارت شبکه به شبکه، وقتی یک بسته (Packet) به کارت شبکه می‌رسد، کارت شبکه قسمت مربوط به Physical Address را مشاهده می‌کند. اگر در فیلد مذکور، Mac Address خودش را مشادهده کند، بسته را به لایه‌های بالاتر پروتکل اِستَک (یا همان پشته پروتکلی) TCP/IP ارسال می‌کند.

در غیر این صورت، یعنی در حالتی که Mac Address موجود در بسته متعلق به خودش نباشد، آن را به لایه‌های بالاتر پروتکل استک TCP/IP ارسال نمی‌کند.

در حالت عادی پس از اتصال کارت شبکه به شبکه، وقتی یک بسته (Packet) به کارت شبکه می‌رسد، کارت شبکه قسمت مربوط به Physical Address را مشاهده می‌کند. اگر در فیلد مذکور، Mac Address خودش را مشادهده کند، بسته را به لایه‌های بالاتر پروتکل اِستَک (یا همان پشته پروتکلی) TCP/IP ارسال می‌کند.

در غیر این صورت، یعنی در حالتی که Mac Address موجود در بسته متعلق به خودش نباشد، آن را به لایه‌های بالاتر پروتکل استک TCP/IP ارسال نمی‌کند.

اما در بسیاری از موارد نیاز است که تمام بسته‌های موجود در شبکه را دریافت کنیم نه فقط آن‌هایی که مربوط به سیستم ما می‌شود. منظور از دریافت بسته‌ها این است که حتی بسته‌هایی هم که Mac Address آن‌ها متعلق به ما نیست را به پروتکل استک TCP/IP ارسال کنیم و جزییات آن را بررسی کنیم.

دراین حالت، باید تمام بسته‌ها فارغ از اینکه Mac Addressشان به چه سیستمی اشاره می‌کند، باید توسط کارت شبکه دریافت شوند و به لایه‌های بالاتر پروتکل استک ارسال شوند.

پس متوجه شدیم که قابلیت Promiscuous در اصل متعلق به کارت شبکه است که با روشن کردن آن تمامی بسته‌ها به لایه‌های بالاتر TCP/IP ارسال می‌شود.

فعال کردن قابلیت Promiscuous در وایرشارک

سناریو : انجام عمل Sniffing توسط Wireshark بر روی سیستم هدف

شرح کار : ابتدا ترافیک خاصی به عنوان نمونه از نوع ICMP با ابزار Ping از سیستم با آی پی ۱۹۲٫۱۶۸٫۲۰۰٫۲۰۵به سمت سیستم با آی پی ۱۹۲٫۱۶۸٫۲۰۰٫۲۰۴ ارسال می نماییم و سپس با استفاده از ابزار Wireshark در سیستم عاملی کالی لینوکس نسبت به نمایش بسته ها اقدام می نماییم.

تصویر زیر ارسال بسته های ICMP از روی سیستم با آی پی ۱۹۲٫۱۶۸٫۲۰٫۲۰۵نمایش می دهد.

تصویر زیر نمایش بسته های ICMP از کامپیوتر با آی پی ۱۹۲٫۱۶۸٫۲۰۰٫۲۰۵ به کامپیوتر با آی پی ۱۹۲٫۱۶۸٫۲۰۰٫۲۰۴ را نمایش می دهد.

نکته : در نرم افزار Wireshark می توانیم در قسمت مشخص شده تصویر زیر جهت نمایش بهتر از ترافیک خاص از فیلتر استفاده نماییم.

پروتکل های آسیب پذیر در Sniffing

از بین همه پروتکل ها، برخی مستعد حملات اسنیفینگ هستند. نسخه امن پروتکل ها نیز موجود است اما اگر برخی از سیستم ها هنوز از نسخه های بدون امنیت استفاده می کنند، خطر نشت اطلاعات قابل توجه است. بیایید در مورد برخی از پروتکل های آسیب پذیر در برابر حملات اسنیفینگ صحبت کنیم.برخی از این پروتکل های آسیب پذیر عبارتند از :

۱. HTTP

۲. TELNET

۳. FTP

۴ POP

۵ SNMP

اسکن شبکه: این اسکن به منظور شناسایی تارگت های زنده (سیستم های در دسترس) در شبکه انجام می شود که لازمه اصلی این کار معمولا عمل پینگ کردن است. عملیات پینگ کردن یک سیستم به صورت دو طرفه می باشد که با استفاده از پروتکل icmp انجام می شود، این پروتکل پیغامی را به سمت هدف می فرستد و در صورتی که پیغام به دست هدف برسد جوابی را به سمت فرستنده ارسال می کند.

یکی از ساده ترین و عمومی ترین نرم افزار های شناخته شده در جهت اسکن نمون شبکه Advance IP Scanner می باشد.

انواع اسکن در شبکه

Tcp connect: این اسکن مطمئن ترین نوع اسکن است که اگر ارتباط ما برقرار شود به معنی باز بودن پورت می باشد.

Xmas scan: در این نوع اسکن flag های URG,FIN,PSH تنظیم می شود که اگر هدف پاسخی ندهد پورت باز و اگر با rst پاسخ دهد پورت بسته است. این اسکن در مورد هدف های ویندوزی جوابگو نیست.

Syn stealth scan: در این نوع اسکن پیام هایی با flag syn میفرستیم که اگر پورت باز باشد هدف با syn/ack پاسخ میدهد و اگر پورت بسته باشد rst پاسخ میدهد. این نوع اسکن برای دور زدن فایروال ها و مکانیزم های احراز هویت استفاده میشود و با این اسکن ترافیک شبکه را به صورت نرمال وانمود می کند.

Null scan: در این اسکن بسته ارسالی دارای هیچ فلگی نیست و اگر جوابی ارسال نشود پورت بسته و اگر rst/ack ارسال شود یعنی پورت بسته می باشد. این اسکن در مورد ویندوز جوابگو نیست.

Ack scan: در این اسکن پکت با فلگ ack ارسال میشود که اگر با جواب rst پاسخ داده شود پورت فیلتر نشده و اگر پاسخی دریافت نشود پورت توسط فایروال فیلتر شده است. این اسکن در مورد ویندوز جوابگو نیست.

Windows scan: همان ack scan میباشد منتها برای ویندوز هم جوابگو میباشد.

IDLE Scan: در این شما کارتان را از طریق یک سیستم واسط انجام می دهید که در اصطلاح امنیت و هک به این سیستم قربانی که اسکن از طرف آن ثبت و ضبط می شود Zombie گفته می شود.

هر بسته اطلاعاتی از نوع IP در اینترنت برای خودش دارای یک Fragment Identification Number یا IP ID می باشد که شناسه منحصر به فرد آن سیستم یا بسته اطلاعاتی نیز خواهد بود. با توجه به اینکه اکثر سیستم عامل های امروزی از مکانیزم افزایش مقدار IP ID در ارسال بسته های اطلاعاتی خودشان استفاده می کنند ، با شنود کردن IPID های سیستم های قربانی می توان تعداد بسته های اطلاعات و زمان و سایر اطلاعاتی از این قبیل را بدست آورد و در Idle Scan ما از این IPID برای اسکن کردن واسط استفاده می کنیم.

از طرف سیستم Zombie به سمت سیستم قربانی بر روی پورت مورد نظر یک بسته SYN ارسال کرد. بر حسب وضعیت پورت مورد نظر کامپیوتر هدف ممکن است باعث شود که IP ID بعدی اضافه شود یا نیازی به اضافه کردن آن نباشد و بدون تغییر بماند.

مجددا به دنبال IP ID جدید سیستم Zombie می گردیم و آن را ثبت می کنیم. برای بررسی کردن وضعیت پورت IP ID جدید را با IP ID قدیمی مقایسه می کنیم و متوجه می شویم که وضعیت پورت مورد نظر چگونه است زیرا سیستم قربانی درخواست را به سمت Zombie هدایت کرده است. این فرآیند برای همه پورت های مورد نظر مجددا از مرحله اول انجام می شود.

اگر عدد IP ID دو عدد زیاد شده باشد به منزله باز بودن پورت مورد نظر است زیرا سرور مقصد به سمت سیستم Zombie بسته اطلاعاتی بازگشتی داده است و درخواست برقراری ارتباط داده است. و اگر یک عدد اضافه شده باشد پورت بسته میباشد.

اسکن آسیب پذیری: اسکن آسیب پذیری پروسه شناسایی نقاط آسیب پذیر و حفره های امنیتی سیستم های کامپیوتری می باشد که ابتدا سیستم عامل و نسخه آن را شناسایی (شامل سرویس پک ها) و سپس نقاط آسیب پذیر در سیستم عامل را پیدا می کند. اسکن شبکه و آسیب پذیری معمولا میتواند شناسایی شود و دلیل آن هم این است که اسکنر بایستی با سیستم هدف مورد نظر تعامل برقرار کند.

ارسال دیدگاه

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *