Комплексная защита объектов информатизации


РАЗДЕЛ IV – ИДЕНТИФИКАЦИЯ СЕТЕВЫХ СЕРВИСОВ И



Pdf просмотр
страница3/4
Дата14.11.2016
Размер1.28 Mb.
Просмотров1160
Скачиваний0
1   2   3   4
РАЗДЕЛ IV – ИДЕНТИФИКАЦИЯ СЕТЕВЫХ СЕРВИСОВ И
ПРИКЛАДНЫХ СЛУЖБ (SERVICES FINGERPRINTING)
Следующий (за определением статуса TCP/UDP портов) этап анализа защищенности – инвентаризация прикладных сетевых служб и приложений. Ввиду того, что большая часть уязвимостей приходится на уровень приложений, задача идентификации прикладных служб (сетевых приложений) является одной из важнейших. Соответствие TCP/UDP-портов прикладным службам регламентируется IANA (Internet Assigned Numbers Authority), с момента принятия в январе 2002 года RFC 3232 предусматривается ведение online базы такого соответствия (без закрепления в RFC).
Актуальная версия списка размещена на сайте
IANA http://www.iana.org/.
Номера TCP/UDP-портов разделены на три категории и находятся в диапазоне от 0 до 65535:
Таблица 8 – Категории TCP/UDP-портов
Номера портов
Категория
Описание
0 — 1023
Общеизвестные порты
Номера портов назначены IANA и на большинстве систем могут быть использованы исключительно процессами системы (или пользователя root).
1024 —
49151
Зарегистрированные порты
Номера портов включены в каталог IANA и на большинстве систем могут быть использованы процессами обычных пользователей или программами, запущенными обычными пользователями.
49152 —
65535
Динамически используемые порты.
Предназначены для временного использования в качестве клиентских портов, портов, используемых по согласованию для частных служб. Эти порты не могут быть зарегистрированы.
Часть TCP/UDP-портов закреплена за стандартными службами, часть используется в качестве диагностических и тестовых, для их использования не предназначены специальные программные средства, примерами таких портов являются ECHO (порт 7) и
DAYTIME (порт 13). Просмотреть локальную копию официального списка соответствия между сетевыми службами и номерами портов можно в файле /etc/services в ОС Unix/Linux или в файле
C:\Windows\system32\drivers\etc\services в ОС Windows.

66 linux:
$ less /etc/services
Однако, открытый TCP/UDP-порт не всегда соответствует стандартной прикладной сетевой службе. Причины использования нестандартного порта для службы могут быть самыми различными: отсутствие прав на использование стандартного порта службы, использование нескольких версий (например, для тестирования) одной службы, желание скрыть уязвимые службы от злоумышленников, ограничивающие доступ к защищенным портам настройки МЭ и т.д.
Для идентификации версий прикладных служб и сетевых приложений узла применяются следующие основные методы:
1.
Анализ баннеров служб;
2.
Исследование средствами команд прикладной службы;
3.
Исследование особенностей работы служб прикладного уровня
ISO OSI;
4.
Эвристические методы.

Практическая работа №13
ИДЕНТИФИКАЦИЯ ПРИКЛАДНЫХ СЛУЖБ. МЕТОД
АНАЛИЗА СТАНДАРТНЫХ ПРИГЛАШЕНИЙ (BANNER
GRABBING)

1. Цель работы

Ознакомиться с основами идентификации прикладных сетевых служб.
Получить практические навыки идентификации распространенных сетевых служб методом анализа стандартных приглашений.

2. Теоретические сведения. Методические рекомендации

Сбор баннеров (banner grabbing) - один из классических методов services fingerprinting (метод «снятия отпечатков пальцев» сетевых сервисов). Он заключается в опросе открытых в системе сервисов и

67 анализа возвращаемых ими стандартных приглашений (баннеров).
Очень часто стандартные приглашения содержат информацию о службе и ее версии, иногда предоставляют дополнительную возможность для определения версии ОС.
Так, например, приглашение ftp-сервиса proftpd (Debian
GNU/Linux) содержит следующую информацию: linux:
$ telnet 192.168.0.15 21
Trying 192.168.0.15 ...
Connected to localhost.
Escape character is '^]'.
220 ProFTPD 1.3.3d Server (Debian)
421 Login timeout (300 seconds): closing control connection
Connection closed by foreign host.
Заголовок веб-сервера получим следующим образом: linux:
$ echo ‘GET /HTTP/1.0 ’ | nc 192.168.0.9 80| grep "Server:"
Server: Apache/2.2.17 (Ubuntu) linux:
$ echo ‘GET /HTTP/1.0 ’ | nc www.vlsu.ru 80| grep "Server:"
Server: Apache/2.2.9 (Debian) PHP/5.2.6-1+lenny9 with Suhosin-Patch linux:
$ echo ‘GET /HTTP/1.0 ’ | nc www.microsoft.com 80| grep
"Server:"
Server: Microsoft-HTTPAPI/2.0
Заголовок почтового сервера можно получить так: linux:
$ telnet 192.168.0.9 25
Trying 192.168.0.9...
Connected to 192.168.0.9.
Escape character is '^]'.
220 VLAIZI427b ESMTP Postfix (Ubuntu) linux:
$ telnet vpti.vladimir.ru 25
Trying 10.4.2.244...
Connected to vpti.vladimir.ru.
Escape character is '^]'.
220 vpti.vladimir.ru ESMTP CommuniGate Pro 4.1.8
Не составляют исключения и защищенные службы удаленного управления: linux:
$ nc www.vlsu.ru 22
SSH-1.99-OpenSSH_5.1p1 Debian-5 linux:
$ nc www.bash.org.ru 22

68
SSH-2.0-OpenSSH_5.1p1 Debian-5
Из достоинств метода banner grabbing выделим простоту реализации, метод не требует специализированных программных инструментов - достаточно стандартных утилит ОС (telnet, netcat).
Однако необходимо учитывать, что многие службы позволяют администратору модифицировать свои стандартные приветствия, то есть рассмотренный метод получения баннеров не является достоверным, его использование рекомендуется в совокупности с другими методами.

3. Практическое задание

1. Необходимо обнаружить в сети лаборатории (диапазон IP адресов уточнить у преподавателя) узлы сети, на которых открыты следующие порты: 53/UDP, 80/TCP, 22/TCP, 23/TCP, 25/TCP, 57/TCP,
110/TCP, 143/TCP, 443/TCP.
2. Сделайте предположение о версии ПО соответствующих служб на основе анализа стандартных приглашений служб. Определите версии
ПО исследуемых служб локально. Сравните полученные результаты.
3. Определите версии ПО служб DNS, HTTP, HTTPS, SMTP серверов сети университета, популярных серверов Интернет (необходим доступ к сети Интернет).

69
Практическая работа №14
ИДЕНТИФИКАЦИЯ ПРИКЛАДНЫХ СЕТЕВЫХ СЛУЖБ
МЕТОДОМ АНАЛИЗА ОСОБЕННОСТЕЙ РЕАЛИЗАЦИИ
(SMTP)

1. Цель работы

Продолжить изучение методов идентификации сетевых служб.
Получить практические навыки идентификации сетевых служб методом анализа их реализации на примере службы электронной почты (SMTP).

2. Теоретические сведения. Методические рекомендации

Более достоверным является метод services fingerprinting основанный на анализе особенностей работы (реализации) прикладной службы. Суть метода заключается в отправке нестандартных запросов или применении малоиспользуемых опций и команд прикладного протокола.
Алгоритмы этого типа характеризуются высокой скоростью, достаточной точностью и слабой скрытностью. Т.е. попытка сбора информации может быть довольно легко обнаружена и пресечена исследуемой системой или системой обнаружения вторжений.

Протокол SMTP
SMTP (Simple Mail Transfer Protocol) — простой протокол передачи почты в сетях TCP/IP, описан в RFC 5321, RFC 821, RFC
1425, RFC 1985, используемый порт 25/TCP. Простой протокол передачи почты обеспечивает двухсторонний обмен сообщениями между локальным клиентом и удаленным сервером МТА. Стандарты
RFC определяют команды SMTP, допустимые аргументы, данные, сообщения об ошибках и т.д. Основные команды SMTP представлены в таблице 9.

70
Таблица 9 - Основные команды SMTP
Команда
Описание
HELO
Идентифицирует модуль-передатчик для модуля-приемника (hello).
MAIL
Начинает почтовую транзакцию, которая завершается передачей данных в один или несколько почтовых ящиков (mail).
RCPT
Идентифицирует получателя почтового сообщения (recipient).
DATA
Строки, следующие за этой командой, рассматриваются получателем как данные почтового сообщения. В случае SMTP, почтовое сообщение заканчивается комбинацией символов: CRLF-точка-CRLF.
RSET
Прерывает текущую почтовую транзакцию (reset).
NOOP
Требует от получателя не предпринимать никаких действий, а только выдать ответ ОК. Используется главным образом для тестирования (No operation).
QUIT
Требует выдать ответ ОК и закрыть текущее соединение.
VRFY
Требует от приемника подтвердить, что ее аргумент является действительным именем пользователя.
SEND
Начинает почтовую транзакцию, доставляющую данные на один или несколько терминалов (а не в почтовый ящик).
SOML
Начинает транзакцию MAIL или SEND, доставляющую данные на один или несколько терминалов или в почтовые ящики.
SAML
Начинает транзакцию MAIL и SEND, доставляющие данные на один или несколько терминалов и в почтовые ящики.
EXPN
Команда SMTP-приемнику подтвердить, действительно ли аргумент является адресом почтовой рассылки и если да, вернуть адрес получателя сообщения (expand).
HELP
Команда SMTP-приемнику вернуть сообщение-справку о его командах.
TURN
Команда SMTP-приемнику либо сказать ОК и поменяться ролями, то есть стать STMP- передатчиком, либо послать сообщение-отказ и остаться в роли SMTP-приемника.
В соответствии со спецификацией команды: HELO, MAIL,
RCPT, VRFY - обязаны присутствовать в любой реализации SMTP.
Остальные команды SMTP могут быть реализованы дополнительно.
Каждая SMTP-команда должна заканчиваться либо пробелом (если у нее есть аргумент), либо комбинацией CRLF.
Протокол SMTP требует, чтобы сервер отвечал на каждую команду
SMTP-клиента.
МТА-сервер отвечает трехзначной комбинацией цифр, называемой кодом ответа. Первая цифра в коде ответа означает, было ли выполнение команды успешно (2), неуспешно (5) или еще не закончилось (3). Как указано в приложении
Е документа RFC 821, SMTP-клиент может анализировать только первую цифру в ответе сервера, и на основании ее продолжать свои

71 действия. В том же RFC 821 приведены только коды команд, варианты значений ответов и описания могут отличаться в различных реализациях серверов.

Метод синтаксических искажений команд протокола SMTP
Процесс определении типа и версии программного обеспечения сервера может заключаться в отправке серверу определенного множества команд SMTP, в которых намеренно допущены различного рода синтаксические искажения (регистр, порядок команд, пропуск обязательных параметров и т.д.) и сравнении полученных данных с собранной базой ответов SMTP-серверов
(профилем серверов).
Примеры синтаксического искажения команд, выявляющего особенности реализации SMTP серверов:
Корректно заданная команда MAIL FROM без предварительной команды HELO;
Команда HELO без указания имени домена;
Команда MAIL FROM <имя> без символа «:»;
Команда MAIL FROM: с пустым адресатом;
Некорректный адрес отправителя в команде MAIL FROM.
Как правило, различаются не только значения кодов ответов
(результат ответа на команду HELO, например, может быть 501, а может – 250), но и по описанию кодов («501 5.5.2 Syntax error in parameters scanning» сервера sendmail или «501 Syntax error» SMTP relay под управлением Checkpoint).
Кроме этого рекомендуется исследовать реакцию сервера на малоиспользуемые команды, например команды VRFY и EXPN (при настройке безопасности почтового сервера они могут быть отключены). По спецификации команда VRFY предназначена для проверки существования пользователя. Команда EXPN предназначена для получения расширенной информации о пользователе (в том числе его реальной фамилии и имени) и почтовых группах.
И наконец, следует проверить поддержку сервером таких команд, как: HELP, TURN, SOML, SAML, NOOP, EHLO.

72

3. Практическое задание

1. Установите наиболее популярные свободно распространяемые сервера электронной почты: postfix, sendmail, qmail, exim4 (перечень и версии уточнить у преподавателя).
2. Экспериментально исследуйте особенности их работы: исследуйте ответы на синтаксически верные стандартные команды; исследуйте ответы на команды с ошибками; исследуйте ответы на команды VRFY и EXPN; исследуйте поддержку малоиспользуемых команд.
3. Варианты ответов оформите в виде таблицы.
4. Подготовьте профили каждого исследуемого сервера.
5.
Проведите исследование почтовых серверов Интернет / университета (адреса уточнить у преподавателя) рассмотренным методом.
6. Сравните полученные данные с подготовленными профилями.
Сделайте предположения в версиях ПО исследуемых серверов.

73
Практическая работа №15
ИДЕНТИФИКАЦИЯ СЛУЖБЫ ЭЛЕКТРОННОЙ ПОЧТЫ
МЕТОДОМ MAIL-BOUNCING

1. Цель работы

Продолжить изучение методов идентификации сетевых служб.
Овладеть практическими навыками идентификации службы электронной почты (SMTP) методом mail-bouncing.

2. Теоретические сведения. Методические рекомендации

Метод mail-bouncing
Метод основан на анализе заголовков электронных писем, полученных от SMTP-сервера. Наиболее информативны электронные письма для несуществующих пользователей, в ответ на такие письма сервер возвращает уведомления о невозможности доставки (NDR,
Non-Delivery Report):
Received: from VLA-HQ-EXC-01.hq.corp.vlsu.ru (10.1.21.21) by mx1.vlsu.ru
(10.1.25.32) with Microsoft SMTP Server (TLS) id 14.1.323.3; Sun,
18 Sep 2011 12:05:13 +0400
Received: from vpti.vladimir.ru (10.4.2.244) by VLA-HQ-EXC-
01.hq.corp.vlsu.ru
(10.1.21.21) with Microsoft SMTP Server id 14.1.323.3; Sun, 18 Sep
2011 12:05:35 +0400
Received: from [84.53.214.152] (account testuser@izi.vlsu.ru HELO
[192.168.1.27]) by vpti.vladimir.ru (CommuniGate Pro SMTP 4.1.8) with ESMTP id 28911459 for bvrbewbewrbr@mail.ru; Sun, 18 Sep 2011 12:05:34
+0400
Subject: Test mail-bouncing
From: Test User
To:
Content-Type: text/plain
Date: Sun, 18 Sep 2011 12:05:21 +0400
Message-ID: <1316333121.11201.1.camel@testuser-HP>
MIME-Version: 1.0

74
X-Mailer: Evolution 2.32.2
Content-Transfer-Encoding: 7bit
Return-Path: testuser@izi.vlsu.ru
Анализ таких уведомлений позволяет получить некоторую информацию о почтовых серверах, участвующих в процессе доставки письма. Структура записи о пути электронного письма (согласно RFC
821) имеет следующую структуру:
Received: from ОТПРАВИТЕЛЬ by ПОЛУЧАТЕЛЬ with ПРОТОКОЛ ID, Date,
Time, GMT
Рассмотрим несколько фрагментов уведомлений о невозможности доставки письма от различных серверов:
Received: from VLA-HQ-EXC-01.hq.corp.vlsu.ru (10.1.21.21) by mx1.vlsu.ru (10.1.25.32) with Microsoft SMTP Server (TLS) id
14.1.323.3; Sat, 17 Sep 2011 23:25:37 +0400
Received: from [192.168.1.27] ([84.53.214.255]) by mx.google.com with ESMTPS id f15sm9509130bke.2.2011.09.17.12.35.43 (version=SSLv3 cipher=OTHER); Sat, 17 Sep 2011 12:35:44 -0700 (PDT)
Received: from [84.53.214.255] (port=60181 helo=[192.168.1.27])by smtp8.mail.ru with psmtp id 1R50mv-0006Ho-00 for "cqk"@yandex.ru;
Sat, 17 Sep 2011 23:42:57 +0400
Received: by 10.204.143.17 with SMTP id s17mr633005bku.207.1316327084322; Sat, 17 Sep 2011 23:24:44 -0700
(PDT)
Несколько фрагментов уведомлений о невозможности доставки письма от одного сервера:
Received: from [84.53.214.152] (account mishin@izi.vlsu.ru HELO
[192.168.1.27]) by vpti.vladimir.ru (CommuniGate Pro SMTP 4.1.8) with ESMTP id 28911459 for bvrbewbewrbr@mail.ru; Sun, 18 Sep 2011 12:05:34 +0400
Received: from [84.53.214.152] (account mishin@izi.vlsu.ru HELO
[192.168.1.27]) by vpti.vladimir.ru (CommuniGate Pro SMTP 4.1.8) with ESMTP id 28911463 for vbkjvbwkjvwdvbwkdbvwkdvdw@mail.ru; Sun,
18 Sep 2011 12:05:49 +0400
Received: from [84.53.214.152] (account mishin@izi.vlsu.ru HELO
[192.168.1.27]) by vpti.vladimir.ru (CommuniGate Pro SMTP 4.1.8) with ESMTP id 28911469 for frgfwgwrgwgwrvrwvrw@mail.ru; Sun, 18 Sep
2011 12:09:25 +0400

75
Отличительным признаком может служить тег «ПРОТОКОЛ».
Пример демонстрирует, что вместо требуемого стандартом with
SMTP, разработчики предлагают следующее: with Microsoft SMTP
Server, with ESMTPS, with psmtp, with SMTP.
Особое внимание следует уделить тегу «ID», RFC 821 формат ID описывает следующим образом: ::= «ID» ,то есть RFC не накладывает жестких требований к формату тега «ID», и каждый разработчик почтовых серверов может использовать собственный формат.
Создадим сигнатуру, описывающую формат заголовка письма
(тег «ID»), уникальную для версии SMTP сервера. Сигнатура будет представлять бинарную последовательность, каждая позиция которой будет описывать наличие (1) или отсутствие (0) некоторого характерного признака ID-тега заголовка письма.
Пример возможных признаков:
Все символы ID-тега в верхнем регистре;
Все символы ID-тега в нижнем регистре;
Все символы ID-тега являются цифрами;
Среди символов ID-тега отсутствуют цифры;
Среди символов ID-тега присутствуют спецсимволы («-», «_»,
«.»,«,» и т.д.);
Среди спецсимволов ID-тега присутствуют только символы «.»;
Длина (количество символов) ID-тега (отведем 6 разрядов).
Опишем ID теги рассмотренных выше заголовков по предложенной схеме:
Таблица 10
ID-тег
Сигнатура
Тег «ПРОТОКОЛ»
14.1.323.3 001011001010
Microsoft SMTP
Server f15sm9509130bke.2.2011.09.17.12.35.43 010011100101
ESMTPS
1R50mv-0006Ho-00 000010010000 psmtp s17mr633005bku.207.1316327084322 010011100000
SMTP
28911459 001000001000
ESMTP
28911463 001000001000
ESMTP
28911469 001000001000
ESMTP


76
3. Практическое задание
1. Предложите 3-7 возможных признаков ID-тега заголовка электронного письма.
2. Получите по 5-7 уведомлений о невозможности доставки письма от серверов электронной почты: postfix, sendmail, qmail, exim4
(используйте экспериментальные установки предыдущей работы).
3. На основе полученных уведомлений рассчитайте сигнатуры, описывающие формат заголовков письма, для исследуемых версий
SMTP-серверов.
4. Сформируйте базу сигнатур (сигнатура, тег «Протокол») для дальнейшего исследования.
5.
Проведите исследование почтовых серверов Интернет / университета методом mail-bouncing
(адреса уточнить у преподавателя), сделайте предположение в версиях ПО исследуемых серверов Интернет / университета на основе собственной базы сигнатур. Сравните с результатами, полученными в предыдущих работах.

77
Практическая работа №16
СПЕЦИАЛИЗИРОВАННЫЕ ПРОГРАММНЫЕ СРЕДСТВА
ИДЕНТИФИКАЦИИ ПРИКЛАДНЫХ СЛУЖБ

1. Цель работы

Продолжить изучение методов удаленной идентификации прикладных служб.
Научиться применять на практике специализированные программные средства для идентификации прикладных сетевых служб: amap, strobe, nmap.

2. Теоретические сведения. Методические рекомендации

Amap
Amap
(Application
MAPper)
– один из первых специализированных инструментов для проведения активного
Services Fingerprinting в сетях TCP/IP (http://www.thc.org). Amap позволяет удаленно идентифицировать сетевые приложения и сервисы на основе методов TCP/IP Stack Fingerprinting и анализа баннеров. Несмотря на то, что методы идентификации прикладных служб в других сканерах (например, nmap) реализованы зачастую лучше, amap и сейчас может применяться совместно с другими инструментами.
Изначально Amap не был предназначен для Port detection, поэтому необходимо было определить статус портов исследуемого узла сети дополнительно. Пример совместного использования утилит amap и nmap: linux:
$ sudo nmap -sU -p 1-1024 -oM result.nmap 10.1.11.35 linux:
$ sudo amap -i result.nmap -o result.amap –m
На первом шаге средствами nmap определяются статусы первых
1024
UDP-портов узла 10.1.11.35, результаты сканирования сохраняются в файл «result.nmap». На втором шаге средствами amap производится идентификация сетевых приложений, использующих

78 найденные на первом шаге UDP-порты. Результат работы утилиты amap сохраняется в файл «result.amap».
Синтаксис утилиты amap: amap [Mode] [Options]
[
...]
Amap может работать в трех различных режимах (modes):
-A (Map applications): режим, при котором amap формирует специализированные запросы (triggers) на исследуемый порт и анализирует полученные ответы. Данный режим используется по умолчанию. Режим Map applications позволяет применять все опции amap.
-B (Banner): режим снятия стандартных приглашений прикладных служб. Могут применяться только опции, предназначенные для данного режима (в документации отмечены как «Banner»).
-P (Portscan): режим определения статуса порта. В режиме Portscan версии служб не определяются. Могут применяться только опции, предназначенные для данного режима (в документации отмечены как
«Portscan»).
Способы задание целевого узла amap:
-i : опция указывает amap получить целевые узлы сети для сканирования из файла. Файл может быть создан утилитой nmap;
and
:
целевой узел может быть задан как IP адресом, так и DNS именем. Целевой порт может быть задан числом от 1 до 65535 или диапазоном (например 22-85). По умолчанию amap работает с TCP портами удаленного узла сети.
Некоторые наиболее используемые опции amap:
-u: использование протокола UDP (по умолчанию используется TCP), опция применима для всех режимов;
-6: использование IPv6 (по умолчанию используется IPv4);
-v: подробный вывод, опция применима для всех режимов;
-b: вывод в режиме ACSII;
-o : сохранять результаты в файл;
-h: краткая справка.
Пример использования утилиты amap (режимы
-P, -B, -A
): linux:
$ amap -P -bqv izi.vlsu.ru 80

79 amap v5.4 (www.thc.org/thc-amap) started at 2011-10-01 19:51:41 -
PORTSCAN mode
Total amount of tasks to perform in plain connect mode: 1
Waiting for timeout on 1 connections ...
Port on 85.142.154.58:80/tcp is OPEN amap v5.4 finished at 2011-10-01 19:51:42 linux:
$ amap -B -bqv izi.vlsu.ru 22 amap v5.4 (www.thc.org/thc-amap) started at 2011-10-01 19:53:34 -
BANNER mode
Total amount of tasks to perform in plain connect mode: 1
Waiting for timeout on 1 connections ...
Banner on 85.142.154.58:22/tcp : SSH-2.0-OpenSSH_5.5p1 Debian-4\r\n amap v5.4 finished at 2011-10-01 19:53:35 linux:
$ amap -A www.vlsu.ru 80 amap v5.4 (www.thc.org/thc-amap) started at 2011-10-01 20:44:01 -
APPLICATION MAPPING mode
Protocol on 85.142.154.99:80/tcp matches http
Protocol on 85.142.154.99:80/tcp matches http-apache-2
Unidentified ports: none. amap v5.4 finished at 2011-10-01 20:44:07
Утилита strobe
Утилита strobe — это популярный сканер TCP-портов. К достоинствам strobe относят быстроту сканирования, высокую точность результатов. Основной метод, реализуемый утилитой - banner grabbing.
Из недостатков сканера выделяют легкое обнаружение сканирования на исследуемой системе (strobe выполняет
TCP сканирование методом connect), отсутствие поддержки протокола UDP.
Синтаксис утилиты strobe: strobe [Options] [host1 ... [hostn]]
Краткую справку по основным опциям утилиты strobe можно получить следующим образом: linux:
$ strobe -h

80
Пример использования утилиты strobe: linux:
$ strobe www.vlsu.ru –f –n 120 strobe 1.05 (c) 1995-1999 Julian Assange www.vlsu.ru 80 http www www-http World Wide Web HTTP www World Wide Web HTTP [TXL] www.vlsu.ru 111 sunrpc rpcbind SUN Remote Procedure Call linux:
$ strobe -p 80 www.vlsu.ru www.izi.vlsu.ru www.ya.ru -o
/out.txt
Результат сканирования будет сохранен в файл out.txt в домашней директории пользователя.
Сканер nmap (режим определения версий)
В предыдущих работах были рассмотрены практические примеры использования сетевого сканера nmap при обнаружении активных узлов сети, идентификации открытых портов. Для решения задачи идентификации прикладных сетевых служб, в сканере nmap предусмотрен режим определения версий (version-intensity). Сканер задействует собственные алгоритмы определения протокола службы, идентификации приложения, номер версии приложения и т.д.
Пример использования режима определения версий nmap: linux:
$ nmap -sV www.vlsu.ru
Starting Nmap 5.21 ( http://nmap.org ) at 2011-10-02 00:46 MSK
Nmap scan report for www.vlsu.ru (85.142.154.99)
Host is up (0.052s latency). rDNS record for 85.142.154.99: ip4host-154-99.vlsu.ru
Not shown: 993 closed ports
PORT STATE SERVICE VERSION
22/tcp open tcpwrapped
53/tcp open domain ISC BIND 9.6-ESV-R1 80/tcp open http Apache httpd 2.2.9 ((Debian)
PHP/5.2.6-1+lenny9 with Suhosin-Patch)
111/tcp open rpcbind 2 (rpc #100000)
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
445/tcp filtered microsoft-ds
Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 12.85 seconds
Опция -sV сканера указывает на использование функции определения версий сетевых служб.

81
При сканировании в режиме version-intensity, nmap отправляет на исследуемый порт узла сети серию тестовых запросов, ранжированных по девятибальной шкале (запросы с низким рангом эффективны для большинства типовых служб). Ранг запросов
(интенсивность сканирования), как правило, пропорционален вероятности корректной идентификации сетевой службы и обратно пропорционален времени сканирования (по умолчанию уровень интенсивности равен 7). Уровень интенсивности может быть изменен с помощью опции --version-intensity в интервале от 0 до 9.
Для отслеживания хода сканирования можно воспользоваться опциями
--version-trace или
--packet-trace, отображающими подробную отладочную информацию. Пример задания опций nmap: linux:
$ nmap -sV www.vlsu.ru --version-intensity 9 --version-trace
–o result.txt
3. Практическое задание
1. Установите утилиту amap (получите архив у преподавателя или с официального сайта разработчика программы http://www.thc.org/thc- amap/): linux:
$ cd linux:
$ wget http://freeworld.thc.org/releases/amap-5.4.tar.gz linux:
$ tar xzvf amap-5.4.tar.gz linux:
$ cd amap-5.4/ linux:
$ ./configure linux:
$ make linux:
$ sudo make install
2. Получите IP адреса всех узлов сети лаборатории, на которых открыты 80-TCP и 53-UDP порты. Используйте утилиту amap в режиме Portscan.
3. Проведите исследование открытых портов одного из найденных узлов сети. Используйте утилиту amap в режимах Banner и Map applications. Сравните результаты работы программы в различных режимах.
4. Установите TCP-сканер strobe. linux:
$ apt-get update && apt-get install strobe

82 5. Повторите исследование прикладной службы 80-TCP порта (узел сети предыдущего эксперимента) с помощью сканера strobe. Сравните результаты.
6. Повторите исследование средством сканера nmap. Результаты проведенных экспериментов оформите в виде таблицы. Сделайте выводы.
7. Проведите version-intensity сканирование десяти узлов сети лаборатории сканером nmap в режимах интенсивности 0, 7, 9.
Сравните результаты и время сканировани. Результаты оформите в виде таблицы.
Контрольные вопросы к разделу IV
1.
Задача идентификации сетевых служб. Соответствие TCP/UDP- портов и сетевых служб.
2.
Методы идентификации версий прикладных служб. Services fingerprinting.
3.
Метод banner grabbing. Достоинства и недостатки метода.
4.
Методы анализа особенностей реализации прикладной службы.
5.
Метод mail-bouncing. Идентификация службы электронной почты.
6.
Сканер amap. Синтаксис, опции и режимы работы.
7.
Утилита strobe. Синтаксис, опции и режимы работы.
8.
Режимы идентификации версий прикладных служб сканера nmap.
1   2   3   4


База данных защищена авторским правом ©nethash.ru 2019
обратиться к администрации

войти | регистрация
    Главная страница


загрузить материал