2.2. Типи сканування

Перш ніж перейти до опису конкретних засобів, використовуваних для сканування портів, необхідно приділити небагато часу огляду методів сканування, відомих у даний час. Одним з піонерів реалізації різних методів сканування є відомий хакер Федір (Fyodor). Численні прийоми сканування були реалізовані їм в утиліті nmap. Багато хто з описаних у даній книзі методів сканування були запропоновані самим Федором.

TCP-сканування підключенням (TCP connect scan). При такому типі сканування здійснюється спроба підключення по протоколі TCP до порту, що нас цікавить з проходженням повної процедури узгодження параметрів (handshake), яка полягає в обміні повідомленнями SYN, SYN/ACK і АСК. Спроби такого сканування дуже легко виявляються. На рис. 1 показана діаграма обміну повідомленнями в процесі узгодження параметрів.

TCP-сканування за допомогою повідомлень SYN (TCP SYN scan). Цей метод називається також скануванням з незавершеним відкриттям сеансу (half-open scan ning), тому що при його використанні повне TCP-з'єднання не встановлюється. Замість цього на досліджуваний порт відправляється повідомлення SYN. Якщо у відповідь надходить повідомлення SYN/ACK, це означає, що даний порт знаходиться в стані LISTENING. Якщо ж відповідь приходить у вигляді повідомлення RST/ACK, то, як правило, це говорить про те, що досліджуваний порт відключений. Одержавши відповідь, комп'ютер, що виконує сканування, відправляє досліджуваному вузлу повідомлення RST/ACK, тому повне з'єднання не встановлюється. Цей метод забезпечує більш високу скритність у порівнянні з повним підключенням. Багато систем не реєструють такі спроби, тому вони досить часто можуть залишатися непоміченими.

Р ис.1. Процедура узгодження параметрів при встановленні ТСР-з'єднання

TCP-сканування за допомогою повідомлень FIN (TCP FIN scan). У цьому випадку досліджуваній системі відправляється пакет FIN. Відповідно до документа RFC 793 (http://www.ieff.org/rfc/rfc0793.txt), у відповідь вузол повинний відправити пакет RST для всіх закритих портів. Даний метод спрацьовує тільки для стека протоколів TCP/IP, реалізованого в системі UNIX.

TCP-сканування за методом "різдвяної ялинки" (TCP Xmax Tree scan). При використанні даного методу на досліджуваний порт відправляються пакети FIN, URG і push. Відповідно до документа RFC 793, досліджуваний вузол у відповідь повинний відправити повідомлення RST для всіх закритих портів.

TCP нуль-сканування (TCP Null scan). Цей метод складається у відправленні пакетів з відключеними прапорами. Згідно RFC 793, досліджуваний вузол повинний відповісти відправленням повідомлення rst для всіх закритих портів.

TCP-сканування за допомогою повідомлень АСК (TCP ACK scan). Цей метод дозволяє одержати набір правил використовуваних брандмауером. Таке сканування допоможе визначити, чи виконує брандмауера просту фільтрацію пакетів лише визначених з'єднань (пакетів із установленим прапором АСК) чи забезпечує розширену фільтрацію пакетів, що надходять.

TCP-сканування розміру вікна (TCP Windows scan). Такий метод дозволяє виявити відкриті, а також фільтруємі/нефільтруємі порти деяких систем (наприклад, AIX і Free BSD), у залежності від отриманого розміру вікна протоколу TCP.

TCP-сканування портів RPC (TCP RFC scan). Цей метод застосуємий тільки для систем UNIX і використовується для виявлення портів RPC (Remote Procedure Call — віддалений виклик процедур), зв'язаних з ними програм і їхніх версій.

UDP-сканування (UDP scan). Даний метод полягає у відправленні на досліджуваний вузол пакетів за протоколом UDP. Якщо у відповідь надходить повідомлення про те, що порт ICMP недоступний (ICMP port unreachable), це означає, що відповідний порт закритий. З іншого боку, якщо такого повідомлення ні, можна припустити, що даний порт відкритий. У зв'язку з тим, що протокол UDP не гарантує доставки, точність даного методу дуже сильно залежить від безлічі факторів, що впливають на використання системних і мережних ресурсів. Крім того, UDP-сканування — дуже повільний процес, що особливо позначається при спробах сканування пристроїв, у яких реалізований могутній алгоритм фільтрації пакетів. Тому, плануючи використовувати UDP-сканування, приготуйтеся до того, що результати можуть виявитися ненадійними.

Деякі реалізації IP-протоколу володіють однією неприємною властивістю: пакети RST відправляються назад для всіх портів, що скануються незалежно від того, чи знаходяться відповідні порти в режимі чекання запитів. Враховуйте цей факт при використанні описаних методів. Однак у той же час, сканування підключенням і сканування з використанням повідомлень SYN можуть застосовуватися для усіх вузлів.