213

−утилиты fping;

−утилиты ping и широковещательной ICMP-посылки;

−утилиты icmpush (тип ICMP-пакетов13 и 17);

−утилиты ping и многоадресной рассылки;

−утилиты arping;

−утилиты hping3 и методов TCP- и UDP-разведки;

−утилиты arp и метода ARP-кэша;

−утилиты Ethereal и метода прослушивания сети. Напишите сценарий, выводящий список IP-адресов сетевых узлов, извлеченных из перехваченных

ссетевого интерфейса пакетов (рекомендуется воспользоваться консольным вариантом утилиты Ethereal – tethereal).

4.По результатам сделайте вывод о возможности идентификации сетевых узлов в исследуемой сети различными методами, заполните строку 3 таблицы 8.2.

8.5. Сканирование портов и идентификация ОС

Для сканирования портов и для идентификации версий ОС и сервисов можно использовать утилиту nmap, которая реализует большое количество методов и техник сканирования портов и идентификации ресурсов. Утилита nmap позволяет формировать результаты сканирования в формате XML для просмотра web-обозревателем с использованием XSL-преобразования.

Для решения задачи обнаружения открытых TCP- и UDP-портов, а также ОС, сервисов и их версий на удаленном сетевом узле 192.168.10.1 можно воспользоваться командой nmap –sS –sU –sV –O --osscan-guess 192.168.10.1, выполняемой на станции сканирования Linux. Ключ -sS указывает на сканирование TCP-портов, ключ -sU — на сканирование UDPпортов, ключ -sV указывает на идентификацию сетевых сервисов, ключ -O — на идентификацию ОС, использование ключа -ossccan-guess предполагает «агрессивную» идентификацию ОС.

По умолчанию применяется техника случайного сканирования, то есть тестирование портов происходит в случайном порядке.

# nmap -sS -sU -sV -O --osscan-guess 192.168.10.1

Starting Nmap 4.20RC1 ( http://insecure.org ) at 2006-12-01 22:16 YEKT Interesting ports on 192.168.10.1:

Not shown: 3144 closed ports

1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at http://www.insecure.org/cgi-bin/servicefp-submit.cgi : SF-Port53-UDP:V=4.20 … (часть вывода вырезана)

MAC Address: 00:0C:29:37:7B:86 (VMware) Device type: general purpose

Running (JUST GUESSING) : Microsoft Windows 2003|XP|2000 (94%) Aggressive OS guesses: Microsoft Windows 2003 Server SP1 (94%), Microsoft Windows XP SP2 (92%), Microsoft Windows XP SP2 (firewall disabled) (91%),

Microsoft Windows 2000 Server SP4 (90%), Microsoft Windows 2000 SP3 (90%), Microsoft Windows 2000, SP0, SP1, or SP2 (89%), Microsoft Windows 2000 SP4 (88%), Microsoft Windows Server 2003 Enterprise Edition 64-Bit SP1 (87%)

No exact OS matches for host (If you know what OS is running on it, see http://insecure.org/nmap/submit/).

TCP/IP fingerprint: OS:SCAN(V=4.20RC1%D=12/1%OT=21%CT=1%CU=1%PV=Y%DS=1%G=Y%M=000C29%...%DLI=S) (часть вывода удалена)

Network Distance: 1 hop

Service Info: Host: server.alpha.local; OSs: Windows, Windows 2000

OS and Service detection performed. Please report any incorrect results at http://insecure.org/nmap/submit/ .

Nmap finished: 1 IP address (1 host up) scanned in 151.541 seconds

Из приведенных результатов работы утилиты nmap можно сделать вы-

вод, что на узле 192.168.10.1 открыты TCP-порты 21, 25, 53, 80, 88, 110 и т.д.,

причём были идентифицированы следующие сервисы, использующие эти порты:

−порт 25 — почтовый сервер ESMTP, производитель Microsoft;

−порт 53 — DNS-сервер, производитель Microsoft;

−порт 80 — web-сервер IIS, версия 6.0, производитель Microsoft;

−порт 88 — сервер Kerberos для Microsoft Windows, производитель Microsoft;

215

−порт 110 — почтовый сервер POP3 для Microsoft Windows 2003, производитель Microsoft

−…

UDP-порты 53, 67, 68 и др. открыты, причем если указано состояние «open», то порт явно открыт. Если состояние «open|filtered», то порт может быть открыт, а может быть отфильтрован межсетевым экраном. Различить эти состояния не представляется возможным вследствие особенностей реализованного метода UDP-сканирования (при тестировании порта не было получено ICMP-сообщение «порт недоступен»).

Была идентифицирована большая часть сервисов, использующих перечисленные UDP-порты. Однако идентификация сервиса, функционирующего на UDP-порту 53, не прошла корректно вследствие большого количества запросов к серверу. Тем не менее, если провести повторное сканирование с по-

мощью команды nmap -sU -p U:53 -sV 192.168.10.1, где опция -p U:53 указывает, что обследоваться должен только один UDP-порт 53, то можно идентифицировать версию сервиса.

# nmap -sU -p U:53 -sV 192.168.10.1

После перечня открытых портов nmap возвращает следующую информацию:

− MAC-адрес производителя сетевого адаптера (в соответствии с префиксом MAC-адреса). Обратите внимание, что если бы станция сканирования Linux и сетевой узел 192.168.10.3 находились в различных IP-сетях (были связаны через маршрутизатор), то этот адрес был бы неизвестен, так как для его определения используется протокол ARP:

MAC Address: 00:0C:29:37:7B:86 (VMware)

− выявленный тип обследуемого устройства, в данном случае указано, что это устройство общего назначения (другие возможные значения router – маршрутизатор, switch – коммутатор, game console – игровая консоль и др.):

Device type: general purpose

Утилита nmap в примере не смогла точно идентифицировать тип и версию ОС. Тем не менее указано, что вероятней всего (с уровнем доверия 94 %) это версия Microsoft Windows 2003, XP либо 2000. Проанализировав тип почтового сервиса POP3, можно сделать вывод, что на обследуемой системе запущена ОС Windows Server 2003. В выводе также указываются степени доверия относительно других ОС, полученные путём «агрессивной» идентификации ОС.

216

Далее в выводе указывается «сетевое расстояние» (network distance), то есть количество промежуточных IP-сетей. В приведённом примере этот параметр равен единице, так как станция сканирования Linux и сетевой узел 192.168.10.1 находятся в одной IP-подсети:

Network Distance: 1 hop

Service Info: Host: server.alpha.local; OSs: Windows, Windows 2000

Параметр «Service Info» содержит краткую информацию об имени узла,

атакже предполагаемый тип и версию ОС.

Вконце вывода команды приводится информация о количестве просканированных IP-адресов и о суммарном времени сканирования.

Сиспользованием ключа -oX <имя xml-файла> результаты сканирования можно сохранить в формате XML для дальнейшего удобного изучения с помощью web-обозревателя или для дальнейшей автоматической обработки.

ВЫПОЛНИТЬ!

5.С помощью утилиты nmap проведите сканирование портов сетевых узлов, найденных на предыдущем шаге. Сформируйте списки открытых TCP- и UDP-портов, идентифицируйте версии ОС и запущенных сервисов. По результатам сделайте вывод о возможности обнаружения открытых портов и идентификации типа и версии ОС, а также сетевых сервисов на сетевых узлах исследуемой сети, заполните строку 4 табл. 8.2.

8.6.Использование DNS для обнаружения и выяснения назначения сетевых узлов

Использование DNS-серверов позволяет аудитору (в рамках модели «черного ящика») получить информацию о назначении сетевых узлов исследуемых сегментов ЛВС и внешних сетевых узлов организации. Например, наличие в базе DNS записи типа MX для узла «smtp.example.ru» дает аудитору информацию о том, что указанный узел является почтовым сервером. Обратный DNS (записи типа PTR) позволяет получить одно из имен сетевого узла по IP-адресу.

Для взаимодействия с DNS-сервером могут быть использованы стандартные системные утилиты nslookup (ОС Windows и UNIX), host или dig (ОС

UNIX).

Непрерывный набор пространства имен DNS называется зоной DNS. Для получения зоны DNS можно использовать протокол переноса зоны DNS (DNS zone transfer известен так же, как AXFR).

Рассмотрим пример переноса зоны DNS с использованием утилиты dig. Для этого необходимо указать тип запроса – axfr и параметр «@имя_сервера», указывающий на сервер, с которого будет произведен перенос зоны DNS.

217

$ dig axfr examp1.si.ru @ns.examp1.si.ru

; <<>> DiG 9.2.4 <<>> axfr examp1.si.ru @ns.examp1.si.ru

n.examp1.si.ru. 2006102601 86400 7200

2419200 604800

;;Query time: 5 msec

;;SERVER: 127.0.0.1#53(localhost)

;;WHEN: Thu Nov 2 13:01:11 2006

;;XFR size: 19 records

Вприведенном примере c помощью утилиты dig был произведен пере-

нос зоны DNS с DNS-сервера «ns.examp1.si.ru».

Вывод команды представляется в табличной форме, которая повторяет структуру базы DNS. Первая строка таблицы является записью типа SOA (Start of Authority) которая, в частности, идентифицирует имя домена или зо-

ны DNS: «examp1.si.ru.n.examp1.si.ru». Все имена, которые не заканчиваются точкой, дополняются именем домена для зоны DNS. Например, если бы в примере встретилось имя «example.ru» (без заключительной точки), то оно бы трансформировалось в имя «example.ru.example1.si.ru». Затем указан серийный номер, интервал времени, через который происходит обновление первичного DNS-сервера, и интервал, через который необходимо проводить обновление, если первая попытка обновления была неудачной.

Две последующие строки указывают на имена DNS-серверов «ex1.pp.ru» и «ns.secondary.net.ua», которые являются авторитетными для данного домена (то есть такими DNS-серверами, которые содержат информацию об этой зоне).

Следующая запись типа A отображает имя сетевого узла examp1.si.ru на его IP-адрес 145.23.211.2.

Запись типа MX идентифицирует почтовый сервер. Основываясь на проведенном листинге можно сделать вывод, что для домена «examp1.si.ru» почтовым сервером является «ex.miti.ru» с числом предпочтения 10 (используемым для выбора того либо иного сервера при маршрутизации почты). Дру-

218

гими словами, если адрес получателя письма будет иметь вид «user@exam1.si.ru», то оно будет передано на почтовый сервер «ex.miti.ru».

Запись типа CNAME отображает псевдоним сетевого узла на его каноническое имя. Основываясь на листинге, можно сделать вывод, что «icq.examp1.si.ru» является псевдонимом для «examp1.si.ru» и, следовательно, соответствует серверу с IP-адресом 145.23.211.2.

Последней записью в таблице является запись типа SOA, что соответствует строгому определению зоны DNS: зона DNS — это серия записей DNS, начинающаяся с записи типа SOA для запрашиваемого имени, продолжающаяся любым количеством записей, отличных от SOA, заканчивающаяся повторным вхождением записи SOA.

Приведенная команда возвращает также время выполнения запроса, адрес DNS-сервера, к которому был произведен запрос, время, когда был произведен запрос, и количество записей, которые были возвращены. Ключевое слово «IN» в строках вывода указывает на то, что используется адресация и схема именования, применяемая в Интернет.

Одной из возможных записей в таблице DNS может быть запись типа SRV. Записи типа SRV предназначены для идентификации сетевых узлов, на которых присутствует заданный сервис. Эта запись позволяет пользователям, зная имя домена и имя нужного сервиса, получать имя узла и порт, на котором этот сервис запущен.

Например, наличие записи «_http._tcp.example.com. IN SRV 0 5 80 www.example.com.» указывает на то, что сервис HTTP использует порт 80 сервера «www.example.com». Элемент «_http» указывает на тип сервиса – HTTP. Элементы «_ftp» и «_ldap» — другие часто встречающиеся значения, указывающие соответственно на FTP- и LDAP-сервисы. Элемент «_tcp» указывает, что в качестве транспортного протокола для этого сервиса используется TCP. Значения 0, 5 и 80 указывают соответственно на приоритет, вес и номер порта, который используется сервисом.

Таким образом, осуществляя анализ информации, полученной путем переноса зоны DNS, можно получить подробную информацию о системном ландшафте (т.е. о составе и назначении серверов) организации.

В целях затруднения инвентаризации ресурсов системного ландшафта злоумышленником возможность переноса зоны DNS на недоверенные узлы должна быть запрещена.

ВЫПОЛНИТЬ!

6.Убедитесь, что настройки DNS-сервера, функционирующего на узле «Сервер», разрешают передачу зоны DNS. Для проверки и включения этого параметра выполните команду dnsmgmt.msc /s (можно через меню Пуск Администрирование DNS), в левой панели появившегося окна раскройте список «Forward Lookup Zones», из контекстного меню зоны alpha.local выберите пункт Свойства (Properties), перейдите в закладку