تحليل الهجوم (الجزء الثاني)

تحليل الهجوم (الجزء الأول)

دون باركر

لقد عرضنا لك في الجزء الأول المعلومات التي يمكن ملاحظتها أثناء فتح تسلسل الحزمة المرسلة بواسطة Nmap. يبدأ التسلسل المرسل باستجابة صدى ICMP لتحديد ما إذا كان قد تم تعيين عنوان IP للكمبيوتر أو الشبكة.

بالإضافة إلى ذلك، يمكننا أيضًا تخمين أن شبكة الكمبيوتر الذي تعرض للهجوم هي شبكة تعتمد على نظام التشغيل Windows من خلال النظر إلى TTL في حزمة استجابة صدى ICMP التي يرسلها. ما يجب فعله الآن هو الاستمرار في مراقبة الحزم المتبقية في ماسح Nmap، ومعرفة المعلومات المتبقية لتتمكن من معرفة ملف تعريف شبكة الضحية.

يكمل

10:52:59.078125 IP (tos 0x0, ttl 49, id 9808, offset 0, flags [none], proto: TCP (6), length: 40) 192.168.111.17.37668 > 192.168.111.23.80: ., cksum 0xfd46 (correct), ack 85042526 win 2048
0x0000: 4500 0028 2650 0000 3106 0407 c0a8 6f11 E..(&P..1.....o.
0x0010: c0a8 6f17 9324 0050 67d1 a55e 0511 a55e ..o..$.Pg..^...^
0x0020: 5010 0800 fd46 0000 P....F..

10:52:59.078125 IP (tos 0x0, ttl 128, id 397, offset 0, flags [none], proto: TCP(6), length: 40) 192.168.111.23.80 > 192.168.111.17.37668: R, cksum 0x6813 (correct), 85042526:85042526(0)win 0
0x0000: 4500 0028 018d 0000 8006 d9c9 c0a8 6f17 E..(..........o.
0x0010: c0a8 6f11 0050 9324 0511 a55e 0511 a55e ..o..P.$...^...^
0x0020: 5004 0000 6813 0000 0000 0000 0000 P...h.........

تأتي الحزمتان المذكورتان أعلاه بعد حزم ICMP التي لاحظناها في الجزء الأول. أرسل Nmap حزمة ACK إلى عنوان IP الخاص بشبكة الضحية 192.168.111.23 على المنفذ 80. وباعتبارها معلومات مزيفة، لا نحصل على الصورة الكاملة هنا. يُرى فقط أن حزمة الإقرار التي تم استلامها من المهاجم كانت حزمة RST استجابةً لذلك، نظرًا لأن هذا الإقرار لم يكن متوقعًا. إنه ليس في الأساس جزءًا من اتصال تم إنشاؤه مسبقًا. لا يزال لدينا ttl بقيمة 128 يتوافق مع ttl الذي لاحظناه من قبل.

10:52:59.296875 IP (tos 0x0, ttl 58, id 45125, offset 0, flags [none], proto: TCP (6), length: 40) 192.168.111.17.37644 > 192.168.111.23.21: S, cksum 0x37ce (correct), 2010644897:2010644897(0) win 3072
0x0000: 4500 0028 b045 0000 3a06 7111 c0a8 6f11 E..(.E..:.q...o.
0x0010: c0a8 6f17 930c 0015 77d8 01a1 0000 0000 ..o.....w.......
0x0020: 5002 0c00 37ce 0000 P...7...

10:52:59.296875 IP (tos 0x0, ttl 128, id 398, offset 0, flags [DF], proto: TCP (6), length: 44) 192.168.111.23.21 > 192.168.111.17.37644: S, cksum 0x4f58 (correct), 1685290308:1685290308(0) ack 2010644898 win 64240
0x0000: 4500 002c 018e 4000 8006 99c4 c0a8 6f17 E..,[email protected].
0x0010: c0a8 6f11 0015 930c 6473 7d44 77d8 01a2 ..o.....ds}Dw...
0x0020: 6012 faf0 4f58 0000 0204 05b4 0000 `...OX........

10:52:59.296875 IP (tos 0x0, ttl 128, id 110, offset 0, flags [none], proto: TCP(6), length: 40) 192.168.111.17.37644 > 192.168.111.23.21: R, cksum 0xca50 (correct), 2010644898:2010644898(0) win 0
0x0000: 4500 0028 006e 0000 8006 dae8 c0a8 6f11 E..(.n........o.
0x0010: c0a8 6f17 930c 0015 77d8 01a2 77d8 01a2 ..o.....w...w...
0x0020: 5004 0000 ca50 0000 P....P..

بعد تبادل حزمتي ACK وRST، يمكننا أن نرى أن حزمة SYN حقيقية قد أُرسلت من المخترق إلى شبكة الضحية، كما هو واضح في الحزمة ذات الحرف S الغامق. هذا يسمح لنا باستنتاج أن حزمة SYN/ACK تعود من شبكة الضحية على منفذها 21. ثم يتم إنهاء هذا التبادل بإرسال حزمة RST من جهاز كمبيوتر المخترق إلى شبكة الضحية. تحتوي هذه الحزم الثلاث الآن على قدر كبير من المعلومات حول المنتجات المزيفة.

لدينا أيضًا ttl 128 من جهاز الضحية، ولكن أيضًا win64240. على الرغم من أن هذه القيمة غير مدرجة، إلا أنها في الواقع حجم رأيته عدة مرات من قبل من Win32 (إصدارات 32 بت من Microsoft Windows مثل Win NT، و2K، وXP، و2K3). هناك قيد آخر لأجهزة الكمبيوتر التي تعمل بنظام Windows وهو أنها غير قابلة للتنبؤ بعدد معرفات IP. في هذه الحالة، لدينا قيمة معرف IP واحدة فقط. نحن بحاجة إلى قيمة واحدة على الأقل قبل أن نتمكن من القول بثقة أن هذا الكمبيوتر هو كمبيوتر يعمل بنظام Microsoft Windows. لاحظ أنه يجب عليك النظر إلى الحزم المتبقية من فحص Nmap.

10:52:59.312500 IP (tos 0x0, ttl 59, id 54025, offset 0, flags [none], proto: TCP (6), length: 40) 192.168.111.17.37644 > 192.168.111.23.80: S, cksum 0x3393 (correct), 2010644897:2010644897(0) win 4096
0x0000: 4500 0028 d309 0000 3b06 4d4d c0a8 6f11 E..(....;.MM..o.
0x0010: c0a8 6f17 930c 0050 77d8 01a1 0000 0000 ..o....Pw.......
0x0020: 5002 1000 3393 0000 P...3...

10:52:59.312500 IP (tos 0x0, ttl 128, id 399, offset 0, flags [DF], proto: TCP (6), length: 44) 192.168.111.23.80 > 192.168.111.17.37644: S, cksum 0x7913 (correct), 1685345101:1685345101(0) ack 2010644898 win 64240
0x0000: 4500 002c 018f 4000 8006 99c3 c0a8 6f17 E..,[email protected].
0x0010: c0a8 6f11 0050 930c 6474 534d 77d8 01a2 ..o..P..dtSMw...
0x0020: 6012 faf0 7913 0000 0204 05b4 0000 `...y.........

10:52:59.312500 IP (tos 0x0, ttl 128, id 111, offset 0, flags [none], proto: TCP(6), length: 40) 192.168.111.17.37644 > 192.168.111.23.80: R, cksum 0xca15 (correct), 2010644898:2010644898(0) win 0
0x0000: 4500 0028 006f 0000 8006 dae7 c0a8 6f11 E..(.o........o.
0x0010: c0a8 6f17 930c 0050 77d8 01a2 77d8 01a2 ..o....Pw...w...
0x0020: 5004 0000 ca15 0000 P.......

أول معلومة ينظر إليها المخترق هي معرفة ما إذا كان رقم معرف IP يرتفع إلى 399. هذا DI IP هو في الواقع 399 كما يمكننا أن نلاحظ في منتصف الحزمة. باستخدام هذه المعلومات، يكون المخترق واثقًا تمامًا من أن جهاز الكمبيوتر الضحية الذي يهاجمه هو Windows NT، أو 2K، أو XP، أو 2K3. كما لوحظ في تسلسل الحزمة هذا أن المنفذ 80 على شبكة الضحية يبدو أنه يحتوي على خدمة، كما يتضح من حزمة SYN/ACK، يتم تحديد حزمة SYN/ACK عن طريق فحص حقل العلم في رأس TCP، في هذه الحالة تكون القيمة السداسية المسطرة 12 أو 18 في النظام العشري. يمكن اكتشاف هذه القيمة عن طريق إضافة قيمة علم SYN 2 إلى قيمة علم ACK 16.

التعداد

بمجرد أن يعرف المخترق أن المنفذين 21 و80 مفتوحان للمؤسسة، فسوف يدخل حالة التعداد. ما يحتاج إلى معرفته الآن هو نوع خادم الويب الذي يستمع للاتصالات. سيكون من غير المجدي أن يستغل هذا المخترق ثغرة Apache على خادم الويب IIS. مع وضع ذلك في الاعتبار، سيفتح المهاجم جلسة cmd.exe ويكتشف نوع الشبكة.

C:\>nc.exe 192.168.111.23 80
GET slslslls
HTTP/1.1 400 Bad Request
Server: Microsoft-IIS/5.0
Date: Mon, 06 Aug 2007 15:11:48 GMT
Content-Type: text/html
Content-Length: 87

The parameter is incorrect.

C:\>

يمكننا ملاحظة نوع الشبكة المحدد أعلاه أو بناء جملة nc.exe الذي يكتبه المخترق في عنوان IP الخاص بالضحية بالإضافة إلى المنفذ 80. بمجرد الدخول، سيقوم المخترق بكتابة HTTP لطريقة GET متبوعًا ببعض الجمل غير الصحيحة نحويًا. يمكن أن يؤدي هذا الإجراء إلى دفع خادم الويب الخاص بشبكة الضحية إلى إرسال المعلومات إلى نظامه عندما لا يفهم ما هو الطلب. ولهذا السبب يقومون بشكل طبيعي بإدراج المعلومات التي يحتاجها المتسللون. يمكن للمخترق الآن رؤية أنه موجود في Microsoft IIS 5.0. أخبار أفضل لأن المتسللين لديهم العديد من الثغرات في هذا الإصدار.

الاستنتاج:

من خلال إجراء فحص لشبكة الضحية باستخدام Nmap، يمكن للمخترق بعد ذلك تلقي سلسلة من حزم البيانات المهمة. كما رأينا، تحتوي هذه الحزم من البيانات على قدر كبير من المعلومات التي يمكن للمتسللين استغلالها لثغرات في البنية التحتية، ونظام التشغيل، ونوع الشبكة، ونوع الخادم.

باختصار، بهذه الطريقة، يمكن للمتسللين الحصول على معلومات أساسية حول المضيف والهندسة المعمارية والخدمات المقدمة. وباستخدام هذه المعلومات، يستطيع المخترق شن هجوم على خادم الويب الخاص بشبكة الضحية. في القسم التالي سنقدم المزيد حول الهجمات التي يمكن أن يستخدمها المتسللون لمهاجمة المستخدمين في هذه الحالة.

تحليل الهجوم (الجزء الثالث)