III. Khám phá Cổng dịch vụ và Dịch vụ (Port & Service Discovery)

Bước tiếp theo trong quá trình rà quét mạng, sau khi những kẻ tấn công xác định được các mục tiêu đang hoạt động, chúng sẽ tiến hành rà quét sâu hơn để tìm các dịch vụ cũng như cổng dịch vụ đang chạy trên mục tiêu, lợi dụng các lỗ hổng để tiến hành tấn công thông qua đó.

1. Kỹ thuật khám phá Cổng và Dịch vụ

Các kỹ thuật rà quét cổng dịch vụ được phân loại theo loại giao thức được sử dụng để liên lạc.

Các kỹ thuật khám phá Cổng dịch vụ (Ports) chính:

• TCP Scanning
  • Open TCP Scanning Methods
    • TCP Connect/Full Open Scan

• Stealth TCP Scanning Methods

• Half-open Scan
• Inverse TCP Flag Scan
• ACK Flag Probe Scan

• Third Party and Spoofed TCP Scanning Methods
  • IDLE/IPID Header Scan

• UDP Scanning
• SCTP Scanning
  • SCTP INIT Scanning
  • SCTP COOKIE/ECHO Scanning
• SSDP Scanning
  • SSDP and List Scanning
• IPv6 Scanning

2. Ví dụ

• TCP Connect/Full Open Scan

Sau khi quá trình bắt tay 3 bước hoàn thành, ta có thể khẳng định là cổng dịch vụ TCP đang được mở và hoạt động trên host.

Dưới đây là cách sử dụng phần mềm NMAP rà quét các cổng dịch vụ TCP

• Stealth Scan (Half-open Scan)

Stealth scan là quá trình đặt lại một cách đột ngột kết nối TCP giữa máy khách (client) và máy chủ (server) trước khi kết nối tín hiệu bắt tay ba bước, do đó kết nối ở trạng thái nửa mở (half-open)

• Inverse TCP Flag Scan

Trong hình thức rà quét này, kẻ tấn công sẽ gửi gói tin TCP Probe (Các gói tin như FIN/URG/PSH/NULL) tới các địa chỉ, nếu không có phản hồi chứng tỏ cổng dịch vụ đang mở, còn nếu có gói tin RST hoặc ACK gửi lại chứng tỏ cổng dịch vụ đang đóng.

IV. Rà quét Hệ điều hành (Banner Grabbing/Operating System Fingerprinting)

Những kẻ tấn công sẽ tiến hành rà quét nhằm xác định chính xác loại hệ điều hành cùng phiên bản hiện thời của mục tiêu, qua đó sẽ phát hiện ra các lỗ hổng sẵn có và từ đó, lên phương án phù hợp nhất để tăng hiệu quả tấn công.

Có 2 phương pháp để khám phá hệ điều hành: thông qua việc kết nối trực tiếp đến mục tiêu thông qua dịch vụ nào đó (FTP, Web,..) hoặc tải xuống mã nhị phân của file/bin/ls nhằm kiểm tra kiến trúc của hệ thống.

Phân loại: gồm 2 loại là chủ động (Active) hoặc thụ động (Passive)

Ví dụ: Rà quét, khám phá HĐH bằng phần mềm NMAP và Unicornscan

V. Triển khai rà quét khi gặp IDS, tường lửa (Scanning Beyond IDS and Firewall)

Hệ thống phát hiện xâm nhập (Intrusion Detection Systems) và tường lửa (Firewall) là các cơ chế bảo mật nhằm ngăn kẻ tấn công truy cập vào mạng. Tuy nhiên, ngay cả IDS và tường lửa cũng có một số hạn chế về bảo mật. Những kẻ tấn công sẽ cố gắng để khai thác những hạn chế này dựa trên một số kỹ thuật.

Các kỹ thuật đối phó với hệ thống IDS và tường lửa nổi bật:

• Phân mảnh gói (Packet Fragmentation):

Đây là hình thức chia nhỏ 1 gói tin thăm dò thành nhiều gói tin nhỏ hơn trong khi gửi tới các mục tiêu, đây là hình thức cải tiến phương thức rà quét truyền thống. Với việc header của gói tin TCP bị phân mảnh thành các gói tin nhỏ hơn, các hệ thống filter sẽ mất dấu và không thể phát hiện được ý đồ xấu.

• Thay đổi nguồn định tuyến (Source Routing):

Trong hình thức này, hacker sẽ tiến hành thay đổi địa chỉ “next hop” nhằm tìm các đường khác tới đích và né tránh các con đường đi qua tường lửa.

• Thao túng cổng dịch vụ (Source Port Manipulation):

Kỹ thuật thao túng cổng dịch vụ là hình thức hacker tác động nhằm thay đổi cổng dịch vụ thực tế thành các cổng dịch vụ cơ bản nhằm né tránh hệ thống IDS hay tường lửa. Phương pháp này được sử dụng khi mà tường lửa được cấu hình cho phép các gói tin của các cổng cơ bản như HTTP, DNS, FTP,.. đi qua.

Ngoài ra, còn có các kỹ thuật khác như:

• Nhử địa chỉ IP (IP Address Decoy)
• Giả mạo địa chỉ IP (IP Address Spoofing)
• Chế tạo gói (Creating Custom Packets)
• Quét ngẫu nhiên thứ tự (Randomizing Host Order)
• Gửi gói tin lỗi (Sending Bad Checksums)
• Sử dụng máy chủ Proxy (Proxy Servers)
• Tấn công ẩn danh (Anonymizers)