3 Получение информации от сетевых сервисов

Введение

Если в прошлой главе мы собирали информацию о целевой организации только из открытых источников, то в данном разделе мы перейдем непосредственно к получению информации от внутренних сетевых сервисов целевой организации.

На предыдущем шаге наши действия было практически невозможно обнаружить ни одним из известных инструментов, используемых в целях предотвращения атак, однако сейчас, когда мы общаемся с сервисами напрямую, нашу активность достаточно легко заметить.

Учитывая вышесказанное, если вашей задачей является проведение аудита ИС таким образом, чтобы об этом не узнал персонал одела ИТ, вам следует уделить повышенное внимание своей анонимности. Это можно сделать, используя различные прокси-серверы или такое ПО, как Tor.

Сканирование портов

Сканирование портов является самым первым этапом активной разведки и, пожалуй, одним из основных. Данный метод позволяет выявить активные машины, работающие в сети целевой организации, а также установленное на них ПО, запущенные сетевые сервисы и, в некоторых случаях, версию операционной системы.

Сканирование TCP-портов основано на «трехстороннем рукопожатии» (three-way handshake). Сканер посылает пакет SYN на сканируемый порт и в случае, когда порт открыт, получает в ответ пакет ACK, а если порт закрыт — пакет RST.

Сканирование UDP-портов имеет свою особенность, так как протокол UDP, в отличие от TCP, не гарантирует надежной доставки информации и не использует «рукопожатий».

Сканирование портов  41

Если при сканировании обнаруживается, что порт закрыт, сканер получает назад сообщение «порт недоступен». В свою очередь, отсутствие такого сообщения позволяет сканеру принять решение о том, что порт открыт. Но тут есть одна проблема: если перед сервером стоит брандмауэр, который блокирует идущие от сканера запросы, то сканер не будет получать сообщение о неудачном подключении и примет неверное решение о том, что порт открыт.

Определение активных хостов

Определение активных хостов помогает сократить время, которое требуется для проведения аудита. Хорошо, если сеть состоит из 5–10 адресов, но что, если из 2–3 тысяч? Определив активные хосты и сконцентрировавшись только на них, мы можем сэкономить большое количество времени и уменьшить объем работы. Для определения активных хостов можно использовать команду ping:

--- google.com ping statistics ---

6 packets transmitted, 6 received, 0% packet loss, time 5009ms rtt min/avg/max/mdev = 100.708/103.112/106.570/1.985 ms

Ping — стандартная утилита, которая входит в состав любой ОС. Однако у данного метода есть один недостаток — очень часто ICMP, на основе которого и работает ping, заблокирован на уровне брандмауэра. И в этом случае хост, на который мы отправляем запросы, не будет на них отвечать, пусть даже мы точно знаем, что он работает и что к нему можно подключиться из любой точки мира.

Данную ситуацию можно продемонстрировать на примере сайта microsoft.com.

root@kali:~# ping microsoft.com

PING microsoft.com (104.43.195.251) 56(84) bytes of data.

--- microsoft.com ping statistics ---

6 packets transmitted, 0 received, 100% packet loss, time 4999ms

Сканирование портов  43

Поскольку мы послали UDP-пакет на определенный порт и не получили ответа, это означает, что порт открыт. Однако если порт закрыт, мы должны получить ICMP-ответ «порт недоступен».

NMAP

NMAP — кроссплатформенный, бесплатный и многофункциональный сканер портов. На наш взгляд, это один из лучших сканеров.

Самый простой способ просканировать сервер, например 192.168.10.15, на наличие открытых портов — это ввести команду nmap 192.168.10.15.

Итак, мы видим, что было найдено 9 открытых портов, но дело в том, что когда мы запускаем данную утилиту, она не сканирует хост на все открытые порты, а только на самые популярные.

Для того, чтобы nmap просканировал нужный хост на все открытые порты, запустим его с дополнительным параметром (-р).

Итак, мы видим, что, запустив упомянутую программу с дополнительным параметром и указав полный диапазон портов, мы получили дополнительный результат и полную картину о сетевых сервисах, к которым мы можем подключиться.

Но согласитесь, если перед нами достаточно большая сеть, сканировать каждую отдельную машину будет очень неудобно и долго. Для того чтобы оптимизировать этот процесс, мы можем использовать символ * вместо последнего октета в сетевом адресе.

А теперь попробуем получить информацию об установленной ОС на одном из найденных серверов, используя параметр «-О»:

root@kali:~# nmap -O 192.168.10.15

Starting Nmap 7.25BETA1 ( https://nmap.org ) at 2016-10-20 07:55 EDTNmap scan report for mail.org.com (192.168.10.15)Invalid target host specification: 139Host

o:linux:linux_kernel:2.6.22OS details: Linux 2.6.22, Linux 2.6.9 — 2.6.27Network Distance: 3 hopsOS detection performed. Please report any incorrect results at http://nmap.org/submit/ Nmap done: 1 IP address (1 host up) scanned in 2.08 seconds

Мы видим, что наш сервер работает под управлением ОС Linux с версией ядра 2.6.22. К сожалению, эта функция не всегда выдает точный результат и может сбить вас с толку.

Также с помощью nmap можно собрать еще больше информации, используя параметр «–А».

root@kali:# nmap -O 192.168.10.15

Starting Nmap 7.25BETA1 ( https://nmap.org ) at 2016-10-20 08:01 EDTNmap scan report for mail.org.com (192.168.10.15)Host is up (0.0015s latency).Not shown: 991 closed portsPORT STATE SERVICE VERSION22/tcp open ssh OpenSSH 4.1 (protocol 2.0)| ssh-hostkey: 2048 36:af:f0:d8:c9:69:2b:eb:b6:c8:d2:d6:b5:d4:ce

SIZE 47700000, ETRN, STARTTLS, AUTH CRAM-MD5 DIGEST-MD5 LOGIN PLAIN, AUTH=CRAM-MD5 DIGEST-MD5 LOGIN PLAIN, ENHANCEDSTATUSCODES, 8BITMIME, DSN, | ssl-cert: Subject: commonName= mail.org.com /organizationName=Org.com/stateOrProvinceName=Spain/ countryName=SP| Not valid before: 2012-05-20T09:02:09+00:00|_Not valid after: 2014-05-18T09:02:09+00:00|_ssl-date: 2013-06-29T14:18:46+00:00; -3s from local

risky methods: TRACE|_See http://nmap.org/nsedoc/scripts/http-methods.html|_http-

risky methods: TRACE|_See http://nmap.org/nsedoc/scripts/http-methods. html|_http-title: Site doesn't have a title (text/html; charset=UTF-8).| sslcert: Subject: commonName=localhost.localdomain/organizationName=SomeOrganiza tion/stateOrProvinceName=SomeState/countryName=--| Not valid before: 2011-05- 27T11:04:52+00:00|_Not valid after: 2012-05-26T11:04:52+00:00|_ssl-date: 2013-06-

Snort httpd|_http-methods: No Allow or Public header in OPTIONS response (status code 501)|_http-title: snortd| ssl-cert: Subject: commonName=SnortServerDefaultC ert/organizationName=SnortUser| Not valid before: 2012-02-03T11:18:41+00:00|_Not valid after: 2015-02-02T11:18:41+00:00|_ssl-date: 2013-06-29T14:18:46+00:00; -3s from local time.|_sslv2: server still supports SSLv2

Device type: general purposeRunning: Linux 2.6.XOS CPE: cpe:/o:linux:linux_ kernel:2.6OS details: Linux 2.6.9 — 2.6.27Network Distance: 3 hopsService Info: Hosts: mail.org.com; OS: Unix

nmap.org/submit/ .Nmap done: 1 IP address (1 host up) scanned in 28.98 seconds

Просим обратить внимание на то, что данный метод позволяет собирать все баннеры (то, что система сама может о себе рассказать) со всех открытых сетевых сервисов.

В результате мы получили много интересной информации, а именно: имя и версию почтового агента, имя и версию веб-сервера, точное название ОС и много другой полезной информации.

Ниже мы приведем таблицу других дополнительных параметров, которые помогут провести сканирование намного эффективнее. Эта таблица содержит не все возможные параметры, а только самые основные. Более подробную информацию можно получить в документации к данной утилите.