Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 35
В теоретическом введении ошибка:
если внимательно прочитать статью в википедии на которую дана ссылка, можно увидеть что в TCP заголовке два номера, один считает байты одной стороны, другой — второй стороны соединения.
Эти номера выбираются случайным образом при установлении соединения и имеют смысл только для этого соединения.
id на который ты смотришь, это 16-битный id из IP заголовка.
Как можно увидеть на википедии, каждому отправляемому TCP пакету назначается его номер, хранимый в специальном 32х битном поле. При переполнении поля счет начинается с нуля. Сделав 2 замера номеров TCP пакета можно судить о сетевой активности по протоколу TCP наблюдаемого компьютера.
если внимательно прочитать статью в википедии на которую дана ссылка, можно увидеть что в TCP заголовке два номера, один считает байты одной стороны, другой — второй стороны соединения.
Эти номера выбираются случайным образом при установлении соединения и имеют смысл только для этого соединения.
id на который ты смотришь, это 16-битный id из IP заголовка.
Да, номера два, верно, подзабыл.
Но все же поле имеет смысл не только для этого соединения. Проверенно на практике.
Но все же поле имеет смысл не только для этого соединения. Проверенно на практике.
Прочитай хотя бы внимательно пункт ru.wikipedia.org/wiki/Tcp#.D0.A3.D1.81.D1.82.D0.B0.D0.BD.D0.BE.D0.B2.D0.BA.D0.B0_.D1.81.D0.BE.D0.B5.D0.B4.D0.B8.D0.BD.D0.B5.D0.BD.D0.B8.D1.8F по своей ссылочке.
Интересно.
Но хочется отметить что оно будет работать если сканируемый и сканирующий хосты находятся в одной подсети или если в разных то сканирующий и подставной хосты должны находятся в одной подсети (в противном случае маршрутизатор скорее всего отвергнет пакет с адресом не соответствующим интерфейсу)
Но хочется отметить что оно будет работать если сканируемый и сканирующий хосты находятся в одной подсети или если в разных то сканирующий и подставной хосты должны находятся в одной подсети (в противном случае маршрутизатор скорее всего отвергнет пакет с адресом не соответствующим интерфейсу)
Ну я же не обзор существующих методов сканирования пишу, а всего лишь частный случай :)
Тем более что я сомневаюсь что nmap способен на такой трюк (то есть через не контролируемого посредника). Я буду только рад, если Вы меня поправите.
Тем более что я сомневаюсь что nmap способен на такой трюк (то есть через не контролируемого посредника). Я буду только рад, если Вы меня поправите.
nmap с ключом -sI
-sI zombie host[:probeport] (idle scan).
This advanced scan method allows for a truly blind TCP port scan of the target (meaning no packets are sent to the
target from your real IP address). Instead, a unique side-channel attack exploits predictable IP fragmentation ID
sequence generation on the zombie host to glean information about the open ports on the target. IDS systems will
display the scan as coming from the zombie machine you specify (which must be up and meet certain criteria). This
fascinating scan type is too complex to fully describe in this reference guide, so I wrote and posted an informal
paper with full details at nmap.org/book/idlescan.html.
habrahabr.ru/blogs/personal/40413/ на хабре было два года назад.
Наверно потому что nmap действует от лица машины, на которой он запущен.
Не особо понятен смысл данного действия. В сканировании портов нет ничего опасного и поэтому незачем прятаться.
Каждый публично доступный сервер в интернете каждый день сканируется десятки, сотни раз. Это боты ищут уязвимости. И никто на эти сканы не реагирует, только если это не сайт пентагона какого-нибудь.
Я одно время развлекался с автобаном любого IP, обратившегося на 21ый порт. Я точно знаю, что telnet'а у меня наружу нет, если кто-то постучался, значит что-то сканит.
Для злоумышленника с большой вероятностью это означает, что при линейном сканировании все порты будут закрыты (все используемые порты находятся выше), при рандомном сканировании хост просто перестанет отвечать через некоторое время.
Для злоумышленника с большой вероятностью это означает, что при линейном сканировании все порты будут закрыты (все используемые порты находятся выше), при рандомном сканировании хост просто перестанет отвечать через некоторое время.
Одно дело развлекаться, а другое: стали бы вы внедрять эту схему на сервер хостинга с парой сотен клиентов?
Это я все к чему? К тому что нет никакого смысла скрывать работающие сервисы. Принцип «безопасность через неясность» не работает.
Это я все к чему? К тому что нет никакого смысла скрывать работающие сервисы. Принцип «безопасность через неясность» не работает.
Именно там бы и стал, если бы руки дошли. В нормальной ситуации не должно быть обращения к посторонним портам, особенно если исключить невинные класса finger/whois. Если на хостинг кто-то стучится по 3389 порту (а там линух внутрях), то это явный злоумышленник, или направленный им клиент. Забанить на 5 минут — вполне разумное решение.
Ну вот смотрите. Вы забанили злоумышленника на 5 минут. Он сразу это понимает и берет из пачки другой 3-х долларовый впс и начинает исследовать ваш хост дальше, уже более аккуратно. Плюс он сейчас знает, что админ параноик и надо действовать очень осторожно. Т.е. увеличения безопасности вашей системы не произошло.
Кроме того, IDS сами часто имеют серьезные уязвимости. Например, Snort Unified1 Output Remote Denial Of Service Vulnerability
Плюс я сам несколько раз сталкивался с ложными срабатываниями IDS когда банился «дружественный» хост и диагностировать эту плавающую причину пропадания коннекта весьма сложно.
Кроме того, IDS сами часто имеют серьезные уязвимости. Например, Snort Unified1 Output Remote Denial Of Service Vulnerability
Плюс я сам несколько раз сталкивался с ложными срабатываниями IDS когда банился «дружественный» хост и диагностировать эту плавающую причину пропадания коннекта весьма сложно.
то есть, пардон, 23ий. Попутал.
Спасибо, интересно!
А почему злоумыщленник — принтер? о_0
Да, интересный способ =)
спасибо!
очень интересно, понятно написано
очень интересно, понятно написано
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Анонимное сканирование портов при помощи hping3