Skanowanie sieci i hostów

ITpedia

Najprostszą metodą skanowania sieci i hostów, pozwalającą uzyskać informacje, czy cel jest dostępny i aktywny, są tzw. ping sweeps.

Do najpopularniejszych z nich należy ICMP sweeps - test polegający na wysłaniu pakietu ICMP echo request (popularnego pinga).

Wysyłając do zdalnego systemu pakiet ICMP echo request, można określić, czy dany host jest dostępny czy nie - w przypadku dostępności pojawi się odpowiedś ICMP echo reply, brak odpowiedzi oznacza, że system jest niedostępny.

Odpowiedź na pakiety ICMP echo request jest często blokowana na ruterach brzegowych lub zaporach ogniowych.

Pochodną poprzedniej jest Broadcast ICMP - pakiet ICMP echo wysyłany na adres rozgłoszeniowy (okólnikowy) sieci.

Wysyłając taki pakiet na adres rozgłoszeniowy, można w pewnych warunkach określić liczbę komputerów w sieci. Większość systemów operacyjnych odpowiada na pakiet ICMP echo request nadany na adres okólnikowy (systemami, które nie reagują na taki pakiet, jest seria produktów Microsoft).

Blokowanie pakietów ICMP przychodzących na adres rozgłoszeniowy jest ważne ze względu na możliwość przeprowadzenia ataku typu DDoS (Distributed Denial of Service), Smurf lub podobnych. W celu określenia dostępności hosta docelowego można też skorzystać z innych rodzajów ICMP - takich jak TIMESTAMP czy ADRESS MASK REQUEST.

Istnieje też możliwość wykorzystania protokołu TCP jako pakietu ping - jest to tzw. TCP sweep. Mechanizm ten jest związany z procesem nawiązania połączenia TCP, nazywanym the three way handshake, który jest kombinacją trzech segmentów:

  1. Klient wysyła segment z flagą SYN na port nasłuchujący serwera, inicjując numer sekwencyjny.
  2. Jeżeli port (serwis) jest aktywny, serwer odpowiada własnym segmentem SYN, zawierającym początkowy numer sekwencyjny (initial sequence number). Serwer także potwierdza odebranie pakietu SYN klienta, wysyłając pakiet z flagą ACK z numerem sekwencyjnym zwiększonym o jeden. Jeżeli port nie jest aktywny, wysyła pakiet z flagą RESET.
  3. Klient odpowiada na pakiet SYN serwera pakietem ACK z ISN+1.

Pakiet RESET jest wysyłany wtedy, gdy odebrany segment nie jest zgodny z zainicjowanymi parametrami połączenia - czyli adresem IP, numerem portu, a także źródłowym numerem portu i adresem IP (RFC 793).

Podobnie wygląda wykorzystanie protokołu UDP - czyli UDP sweep. Metoda ta wykorzystuje fakt, iż wysłanie pakietu UDP na zamknięty port powoduje wysłanie pakietu ICMP PORT UNRECHABLE przez testowany host. Jeżeli port jest otwarty, odpowiedź nie jest wysyłana - dlatego próby te są podejmowane najczęściej w odniesieniu do wysokich numerów portów, na których nie ma usług pracujących z protokołem UDP.

Zobacz także

Źródło: "http://www.itpedia.pl/index.php/Skanowanie_sieci_i_host%C3%B3w"
-
-