Revizija lokalne mreže pomoću Nmapa i Wiresharka jedan je od najefikasnijih načina da shvatite šta se zaista dešava u vašoj infrastrukturi, otkrijete preeksponirane servise i vidite kojim informacijama bi napadač mogao pristupiti ako bi dobio pristup vašem mrežnom segmentu. Ovo su dva dobro etablirana alata, koja široko koriste i administratori i testeri penetracije. Kada se efikasno kombinuju, omogućavaju vam da pređete sa jednostavnog skeniranja otvorenih portova na detaljnu analizu svakog paketa u tranzitu.
U ovom članku ćemo pokriti sve što vam je potrebno za provođenje potpune revizije lokalne mreže: od koncepata skeniranja portova, TCP zastavica i tipova skeniranja u Nmap-u, do naprednog filtriranja pomoću Wiresharka za detekciju ovih skeniranja i igranje mačke i miša s tehnikama izbjegavanja. Također ćete vidjeti primjere okruženja za podučavanje s virtualnim mašinama, tipične laboratorijske vježbe (ping sweep, SYN scan, NULL scan, MITM s Bettercapom) i nekoliko dodatnih alata koji nadopunjuju Nmap i Wireshark.
Šta je skeniranje portova i zašto je važno u reviziji?
Skeniranje portova je automatizirani proces koji šalje pakete na sve ili neke od 65.535 TCP/UDP portova na jednom ili više računara kako bi se vidjelo koji portovi reagiraju i kako. Iz ovih odgovora možemo zaključiti koje su usluge aktivne, koji operativni sistem bi mogao biti pokrenut, pa čak i da li zaštitni zidovi filtriraju promet.
Za napadača, dobro skeniranje portova je način lociranja "ulaznih tačaka" i slabosti : pogrešno konfigurisanih servisa, zastarjelih verzija sa poznatim ranjivostima ili protokola koji su ostali nezaštićeni poput Telneta, FTP-a ili HTTP-a. Za administratora ili revizora, isto skeniranje služi za identifikaciju onoga što je izloženo, šta treba zatvoriti i šta treba bolju zaštitu.
Važno je shvatiti da otvaranje više portova nego što je potrebno nije dobra ideja . Mnogi ruteri, serveri ili aplikacije mogu ostaviti portove otvorenima "samo zato" ili zato što ih je neko otvorio za testiranje i niko ih više nije zatvorio. Skeniranje vaše mreže pomoću Nmapa pomaže vam da dobijete tačan popis onoga što je dostupno i unutar i izvan vaše mreže.
Pored inventara, važno je koristiti zaštitne zidove (firewall) i sisteme za detekciju upada koji filtriraju neželjeni pristup i evidentiraju sumnjive pokušaje povezivanja. I, naravno, redovno ažurirajte sisteme, rutere i usluge kako biste smanjili uticaj bilo kojih portova koje, iz poslovnih razloga, apsolutno morate držati otvorenima.
Šta je Nmap i šta može da uradi na lokalnoj mreži?
Nmap (Network Mapper) je besplatni uslužni program otvorenog koda dizajniran za otkrivanje računara na mreži, analizu otvorenih portova i servisa koji osluškuju u pozadini. Pokreće se iz komandne linije na Linuxu, Windowsu i macOS-u, a ima i opcioni grafički interfejs pod nazivom Zenmap.
Pomoću Nmapa možete detektovati hostove i na vašoj lokalnoj mreži i preko interneta : računare, rutere, prekidače, IoT uređaje, servere itd. Pored navođenja otvorenih ili filtriranih portova, Nmap može pokušati identificirati operativni sistem, verziju servisa i pokrenuti sigurnosne skripte (NSE) koje automatiziraju testiranje penetracije.
Među njegovim najrelevantnijim karakteristikama je podrška za različite vrste skeniranja : TCP (SYN, connect, FIN, NULL, Xmas…), UDP, ICMP i neke naprednije metode koje pokušavaju zaobići određene zaštitne zidove. Također omogućava rad s IPv4 i IPv6 protokolima i skeniranje jednog hosta, IP raspona ili cijelih podmreža.
Jedna od Nmap-ovih snaga je njegova sposobnost efikasnog skeniranja velikih količina ciljeva . Omogućava vam kontrolu nivoa agresivnosti, brzine prijenosa paketa i stepena paralelizma. Ovo je korisno i za planirane revizije korporativnih mreža i za simulacije u obrazovnim laboratorijama.
Stanja portova i vrste skeniranja u Nmap-u
Kada Nmap završi skeniranje , klasificira svaki port u jedno od nekoliko stanja koja je važno razumjeti, jer je njihova interpretacija ključna za reviziju:
- otvorenoPostoji aplikacija koja prihvata veze na tom portu (TCP ili UDP). Ovo je očigledna površina za napad.
- zatvorenPort odgovara, ali nijedan servis ne sluša. Host je aktivan, ali taj određeni port ne pruža nikakav promet. Idealno bi bilo da ga blokira zaštitni zid (firewall).
- filtriraniZaštitni zid ili filter sprečavaju Nmap da utvrdi da li je otvoren ili zatvoren (nema jasnog odgovora).
- otvoreno|filtriranoNije moguće znati da li je otvoren ili filtriran, što je tipično za određena posebna UDP ili TCP skeniranja (FIN, NULL, Xmas).
- zatvoreno|filtrirano: dvosmisleno stanje koje se koristi u vrlo specifičnim tehnikama kao što je skeniranje IP adrese u stanju mirovanja.
U pravoj reviziji obično počinjemo brzim skeniranjem najčešćih portova kako bismo dobili početni pregled:
nmap 192.168.1.2
Ako želimo da idemo do kraja, moguće je prisilno skenirati svih 65.535 portova hosta:
nmap -p 1-65535 192.168.1.2
Također je vrlo uobičajeno ograničiti raspon na određene portove ili blokove koji nas zanimaju. Na primjer, od 20 do 200:
nmap -p 20-200 192.168.1.2
Pored statusa porta, Nmap omogućava detekciju operativnog sistema i verzije servisa jednom komandom, ali uz cijenu nešto većeg šuma:
nmap -A -v 192.168.1.2
Ova detekcija operativnog sistema nije savršena, ali je obično prilično precizna. U svijetu Linuxa, precizno određivanje modela i specifične verzije je sasvim druga priča.
TCP zastavice, vrste skeniranja i kako ih otkriti
Nmap koristi različite TCP zastavice (SYN, ACK, FIN, RST, PSH, URG, itd.) za izvođenje manje ili više prikrivenih skeniranja. Na primjer, u izazovima tipa CTF, obično se koristi "prikriveno" SYN skeniranje. U obrambenim okruženjima važno je prepoznati ove obrasce u logovima ili Wiresharku.
Da biste razumjeli skeniranje, morate razumjeti klasični TCP handshake : SYN → SYN/ACK → ACK. Odatle se mogu koristiti varijacije koje šalju ili zadržavaju određene zastavice i prekidaju vezu sa RESET umjesto normalnog završetka ciklusa.
Mnoga objašnjenja dodjeljuju numeričke vrijednosti TCP zastavicama kako bi se mogle sumirati i filtrirati. Na primjer:
| Header | hrabrost |
|---|---|
| SYN | 1 |
| SYN/ACK | 2 |
| ACK | 4 |
| PODACI | 8 |
| FIN | 16 |
| RESET | 32 |
S ovom metodom kodiranja moguće je, na primjer, koristiti polje u Wiresharku tcp.completeness i filtrirajte prema zbiru oznaka koje se pojavljuju u određenom toku kako biste pronašli obrasce skeniranja.
Potpuno TCP rukovanje (skeniranje veze)
U "potpunom" skeniranju pomoću Nmapa (ono što je poznato kao Skeniranje TCP veze, opcija -sT), klijent uspostavlja cijelu vezu sa serverom: SYN → SYN/ACK → ACK i, nakon razmjene dijela prometa, zatvara je sa RESET-om ili normalnim FIN-om.
Ako snimite ovaj niz u Wiresharku i sumirate vrijednosti zastavica prema gornjoj tabeli (npr. SYN + SYN/ACK + ACK + RESET), možete filtrirati sa tcp.completeness = 39 da biste locirali veze koje su uspostavljene i potpuno prekinute.
Ova vrsta skeniranja je najlakša za otkrivanje, jer Ostavlja trag u servisnim zapisnicima. (web, FTP, Telnet, IMAP, itd.) i u sistemskim datotekama zapisnika. U tipičnoj laboratoriji, ako imate pokrenut rsyslog, vidjet ćete poruke u /var/log/syslog, /var/log/auth.log, /var/log/daemon.log i slične usluge kada Nmap završi rukovanje sa uslugama kao što su in.fingerd, inetd, telnetd, ftpd, dovecot o postfix/smtpd.
SYN "prikriveno" skeniranje
El SYN skeniranje ili "prikriveno" skeniranje (opcija -sSOvo je jedna od najčešće korištenih metoda jer je brza i, u principu, manje upadljiva. Ovdje Nmap šalje SYN signal. Ako je port otvoren, server odgovara sa SYN/ACK, i umjesto odgovora sa ACK za dovršetak veze, skener prekida vezu sa RESET-om.
Sa stanovišta Wiresharka, tipičan redoslijed otvorenog porta će biti SYN → SYN/ACK → RST, čiji bi zbir zastavica prema prethodnoj shemi bio (1 + 2 + 32) = 35. Filtriranjem po toj vrijednosti tcp.completeness Moguće je locirati veze koje izgledaju kao SYN skeniranja bez potpunog rukovanja.
Na nivou logova aplikacije, ova metoda je diskretnija jer većina servisa ne evidentira sesije . Međutim, ako sistem ima pravila zaštitnog zida koja evidentiraju SYN pakete za inicijalizaciju veze, pojavit će se unosi pokušaja veze.
NULL skeniranje i druga „čudna“ skeniranja
Druga klasična tehnika je NULL skeniranje (opcija -sN), u kojem Nmap šalje TCP pakete bez ikakvih aktivnih zastavica. Iako može zvučati čudno, neki TCP stekovi različito reagiraju na otvorene ili zatvorene portove, što omogućava Nmapu da zaključi stanje porta.
U NULL skeniranju, Ako je port zatvoren, obično vraća RST.Iako ako je otvoren ili filtriran, možda neće odgovoriti. Da biste to otkrili pomoću Wiresharka, možete koristiti filtere na... tcp.flags i ostavite samo one segmente sa svim zastavicama postavljenim na nulu.
U istom smislu, imamo skeniranja poput Xmas skeniranja (FIN + PSH + URG), FIN skeniranja ili sličnih kombinacija, koje pokušavaju iskoristiti nijanse TCP standarda ili specifične implementacije kako bi otkrile portove bez praćenja tipičnih obrazaca rukovanja.
Kontroliranje veličine prozora kao Nmap hint
Još jedna karakteristika koja se može koristiti za detekciju skeniranja je veličina TCP prozora , veličina prozora koju host oglašava kao količinu podataka koju može primiti. Određene verzije Nmapa koriste fiksne vrijednosti za neke vrste skeniranja.
Na primjer, uobičajeno je da SYN paketi u standardnom Nmap SYN skeniranju imaju veličinu prozora od 1024 bajta , dok se u "normalnim" konekcijama određenog sistema koriste različite vrijednosti (kao što su 64240 ili 65535, ovisno o OS-u i konfiguraciji).
U Wiresharku možete primijeniti filter poput tcp.window_size == 1024 u kombinaciji s određenim zastavicama za lociranje sumnjivih obrazaca. Kao napadač ili tester penetracije, Nmap vam omogućava da modificirate ovo ponašanje parametrima kao što su --win kako bi se izbjeglo ostavljanje tako očiglednog potpisa.
Detekcija i analiza Wireshark skeniranja i "neobičnih" portova
Wireshark je vodeći analizator protokola u svijetu mrežne sigurnosti. Hvata pakete, dekodira ih sloj po sloj (Ethernet, IP, TCP/UDP, HTTP, TLS, itd.) i omogućava vam primjenu vrlo finih filtera kako biste izolovali samo promet koji vas zanima.
Vrlo praktičan način za otkrivanje skeniranja je filtriranje aktivnosti na neobičnim portovima . Ako imate legitimni web server, normalno je vidjeti promet na portovima 80 ili 443. Ono što nije tako normalno je primjećivanje mnogih pokušaja nasumičnih portova poput 1234, 31337 ili 4444.
U korporativnoj mreži možete kreirati listu "sumnjivih" portova povezanih sa zlonamjernim okvirima ili uobičajenim alatima za napad i filtrirati Wireshark prema tim portovima kako biste provjerili neočekivane sonde ili veze. Ovo se može podržati javnim proračunskim tablicama koje sastavljaju portove povezane sa zlonamjernim softverom i iskorištavaju okvire.
Sa defanzivne tačke gledišta, Wireshark vam takođe omogućava da vidite kako se ponašaju različite vrste Nmap skeniranja koje sami pokrećete u svom laboratoriju, kako biste naučili kako ih prepoznati: broj paketa po portu, zastavice, vremena između paketa, sistemski odgovori itd.
Kombinovanje filtera kao što su tcp.completeness, tcp.flagsBroj različitih portova dodirnutih u kratkom vremenu i veličine prozora omogućavaju vam da ručno kreirate pravila ili dobijete inspiraciju za IDS/IPS pravila.
Tipična laboratorijska vježba: skeniranje pomoću Nmap-a i snimanje pomoću Wiresharka
U mnogim obrazovnim okruženjima, a virtualizirano mrežno okruženje s VirtualBoxom praktikovati skeniranje i analizu prometa bez rizika. Tipičan primjer uključuje tri GNU/Linux mašine na internoj mreži: interno1 (192.168.100.11), interno2 (192.168.100.22) y observador (192.168.100.33), svaki sa fiksnom MAC adresom.
Servisi koji su ostavljeni da rade po defaultu na ovim mašinama su obično brojni: Apache 2, Telnet, SSH, FTP, Finger, MySQL, SMTP (Postfix), POP3 i IMAP (Dovecot), DNS (BIND) ... idealno za skener poput Nmapa da ima dobar broj portova za pronaći.
Prvi korak u toj laboratoriji je obično Omogući rsyslog na internal1 za snimanje svega što se događa: aktivira se sa systemctl enable rsyslog y systemctl start rsyslogStoga se log datoteke počinju popunjavati /var/log como syslog, auth.log, daemon.log o kernel.log.
Sa posmatračkog računara, Nmap-om se pokreće ping test kako bi se otkrilo koji su uređaji aktivni na mreži 192.168.100.0/24:
nmap -sP 192.168.100.0/24
Nakon što su identificirani aktivni hostovi (isključujući samog posmatrača), TCP skeniranje veze se vrši na svakom od njih kako bi se vidjelo koji su portovi otvoreni i koje usluge rade:
nmap -sT -v -T4 192.168.100.11
nmap -sT -v -T4 192.168.100.22
Proces se zatim ponavlja za internal1, dodajući detekciju operativnog sistema i verzije servisa:
nmap -sT -O -sV -T4 192.168.100.11
Zatim se konsultuju logovi interno1, na primjer sa tail -200 /var/log/syslog | lessprovjeriti Kako su snimljeni ti snimci? u raznim demonima i servisima, te cijeniti trag koji ostavlja skeniranje TCP veze.
Poređenje bučnih i "prikrivenih" skeniranja sa zaštitnim zidovima i logovima
Da bi se vidjela razlika u tragovima između različitih Nmap tehnika, u istoj laboratorijskoj vježbi je dodano iptables pravilo u internal1 koje bilježi svaki pokušaj iniciranja TCP veze (SYN paketi sa statusom NEW) s lako prepoznatljivim prefiksom:
iptables -A INPUT -i enp0s3 -p tcp \
--tcp-flags SYN SYN -m state --state NEW \
-j LOG --log-prefix "INICIO CONEXION:"
Dok se datoteka prati /var/log/syslog con tail -fOd strane posmatrača, tri različita skeniranja se testiraju u odnosu na internal1:
- Skeniranje TCP veze (
-sT). Generira unose "START CONNECTION:" i, dodatno, evidentira servise koji dovršavaju rukovanje. - SYN skeniranje (
-sS). Proizvodi unose „START CONNECTION:“, ali većina servisa ne evidentira sesiju jer veza nije završena. - NULL skeniranje (
-sNNe podiže SYN zastavicu, stoga ne odgovara pravilu zaštitnog zida i Prefiks se ne pojavljuje u zapisnicima, što ga čini diskretnijim u očima te specifične politike.
Ovo poređenje nam pomaže da shvatimo da se ne otkrivaju sve vrste skeniranja istim pravilima i da, kao branioci, moramo ići dalje od "samo SYN" ako želimo vidjeti više kamufliranih pokušaja.
Od skeniranja do MITM-a: Bettercap, Wireshark i šifrirane usluge
U drugom dijelu prakse, mašina za posmatranje se koristi za Izvodite ARP i MITM napade trovanja sa Bettercapom, a zatim analizirati snimljeni promet sa Wiresharkom ili samim modulom net.sniff od Bettercapa. Cilj je uporediti izloženost transparentnih protokola (Telnet, HTTP) u odnosu na šifrirane alternative (SSH, HTTPS).
Prije ovoga, SSL podrška je omogućena u Apacheu na interno2, generirajući samopotpisani certifikat con make-ssl-cert prema /etc/apache2/ssl/apache.pem, konfigurisanje default-ssl.conf Da biste koristili tu datoteku kao certifikat i ključ, aktivirajte SSL modul sa a2enmod ssl i zadanu SSL stranicu sa a2ensite default-ssli ponovno pokretanje Apachea.
U početnoj provjeri, tshark se pokreće u režimu posmatrača , osluškujući interni mrežni interfejs. U međuvremenu, Telnet i HTTP sesije se otvaraju od internal1 do internal2. Budući da nema napada "čovjek u sredini", promet teče direktno između internal1 i internal2, a tshark gotovo ništa ne detektuje. Ovo pokazuje da, bez dodatnih trikova, treći host na istoj mreži ne detektuje uvijek vanjski promet.
Ako pregledate ARP tabele za internal1 i internal2 (arp -n), posmatra se kako svako povezuje IP adresu drugog sa svojom stvarnom MAC adresom, već kao posmatrač samo sa svojom IP adresom i MAC adresom, bez ikakvih smetnji.
Trovanje ARP-om i hvatanje prometa
Sljedeći korak je pokretanje Bettercapa u modu posmatrača i aktiviranje modula net.recon y net.probe Za otkrivanje uređaja na mreži i provjeru da li se 192.168.100.11, 192.168.100.22 i 192.168.100.33 pojavljuju sa svojim odgovarajućim MAC adresama. Opcionalno, Bettercap web interfejs se može omogućiti, iako to nije neophodno iz praktičnih razloga.
Paralelno s tim, ponovo se pokreće ajkula u posmatraču da vidite koji se ARP okviri pojavljuju. Ciljevi modula se konfigurišu iz Bettercap konzole. arp.spoof (unutrašnje1 i unutrašnje2) i napad se aktivira sa:
set arp.spoof.internal true
set arp.spoof.targets 192.168.100.11,192.168.100.22
arp.spoof on
U tom trenutku, Bettercap počinje slati lažne ARP odgovore , uvjeravajući svaku mašinu da IP adresa drugog hosta (internal1 ili internal2) odgovara MAC adresi posmatrača. Uzimajući u obzir Pitanje 1 , poslane ARP poruke su u suštini "besplatni" (neželjeni) odgovori koji ažuriraju ARP keš memoriju žrtava. Rezultat je da u ARP tabelama internal1 i internal2, IP adresa druge mašine sada ukazuje na MAC adresu 08:00:27:33:33:33 (MAC adresa posmatrača), efektivno stvarajući situaciju "čovjek u sredini".
Poređenje Telneta, SSH-a, HTTP-a i HTTPS-a pod MITM-om
Kada je MITM aktivan, modul se koristi net.sniff iz Bettercapa Za prebacivanje prometa između internal1 i internal2 u različite .pcap datoteke ovisno o testiranoj usluzi, isključujući ARP pomoću filtera:
set net.sniff.filter "not arp"
set net.sniff.output /tmp/telnet.pcap
net.sniff on
U međuvremenu, iz internal1 se otvara Telnet sesija prema internal2 s korisničkim imenom „korisničko ime“ i lozinkom „korisničko ime“, datoteke se popisuju i sesija se završava. Datoteka /tmp/telnet.pcap Zatim se analizira pomoću Wiresharka i lako je vidjeti vjerodajnice i naredbe u običnom tekstu prateći odgovarajući TCP tok.
Eksperiment se ponavlja korištenjem SSH-a, spremanjem u /tmp/ssh.pcapI ovaj put, iako se može primijetiti uspostavljanje SSH veze i razmjena ključeva, Podaci o korisničkom imenu i lozinki su šifrirani.Nije moguće vidjeti vjerodajnice u Wiresharku, samo šifrirane okvire.
Isto važi i za HTTP u odnosu na HTTPS: sa net.sniff dampom u /tmp/http.pcap, navigacija pomoću Lynxa ili grafičkog preglednika prema http://interno2.ssi.net Ostavlja HTTP zahtjeve i odgovore potpuno čitljivim (zaglavlja, kolačiće, parametre itd.). Međutim, kada se ponovi sa https://interno2.ssi.net i analiziranje /tmp/https.pcap, primjećuje se da TLS rukovanje (ClientHello, ServerHello, certifikati, itd.) a zatim samo šifrirani promet označen kao TLS 1.3.
Sa filterom u ruci, možete fokusirati svoj pogled na tls Unutar Wiresharka, pratite odgovarajući TCP tok i provjerite da, iako sav promet prolazi kroz napadača, nema pristup sadržaju u otvorenom tekstu osim ako ne uspije nekako probiti ili zloupotrijebiti enkripciju.
Prilagođavanje, Nmap NSE i integracija s drugim rješenjima
Jedan od razloga zašto je Nmap i danas tako moćan je njegov visok stepen prilagođavanja i automatizacije . Na nivou komandne linije, gotovo sve je konfigurabilno: specifični portovi, vremenska ograničenja, broj ponovnih pokušaja, stepen paralelizma, nivo prikrivenosti (profili T0 do T5), fragmentacija paketa, lažne izvorne IP i MAC adrese i tako dalje.
Pored toga, tu je i Nmap Scripting Engine (NSE) , ekosistem skripti koji vam omogućava da idete daleko dalje od pukog provjeravanja "port otvoren/zatvoren". Postoje skripte za brute-forsiranje SSH ili FTP-a, otkrivanje nesigurnih konfiguracija, provjeru poznatih ranjivosti, dobijanje detaljnih banera, testiranje na web serverima, Sambi, DNS-u i još mnogo toga.
Na primjer, da biste pokušali napad grubom silom na SSH port 22 određenog hosta koristeći dva rječnika, možete koristiti:
nmap -p 22 --script ssh-brute --script-args userdb=usuarios.txt,passdb=claves.txt,ssh-brute.timeout=4s 99.99.99.99
Slično tome, za provjeru da li FTP server dozvoljava anonimni pristup ili bruteforce pristup podacima, postoje skripte kao što su ftp-anon o ftp-brute. Ovi su lansirani lancem za -sV -sC ili pojedinačno, prema potrebi.
Još jedna prednost je ta Nmap se odlično integriše s drugim alatima. Rezultati se mogu sačuvati u više formata (običan tekst, XML, grep-friendly, kombinovano sa -oA) a zatim unositi podatke u naknadnu obradu, kontrolne ploče ili čak alate poput Metasploita, sistema za inventuru ili mehanizama za korelaciju događaja.
Na nivou preduzeća, implementacija Nmapa kao dijela sigurnosnog programa uključuje definiranje politika korištenja, zakazivanje skeniranja, analizu rezultata i osiguravanje kontinuiranih ažuriranja . Jedno skeniranje i pohranjivanje rezultata nije baš efikasno; potrebno je ponoviti skeniranje, uporediti rezultate i djelovati na osnovu nalaza.
Zajedno, korištenje Nmapa i Wiresharka za reviziju lokalne mreže, dopunjeno drugim alatima, pruža vrlo potpunu sliku o tome kako se servisi ponašaju, šta je zapravo izloženo i koje informacije napadač može vidjeti ili manipulirati, što jasno pokazuje zašto se isplati ulagati u enkripciju (SSH, HTTPS), zatvaranje nepotrebnih portova, dobru konfiguraciju zaštitnog zida i stalno praćenje logova i mrežnog prometa.