Разведка сети

Прежде чем отправить сообщение, установить сеанс связи, требуется узнать сетевой адрес абонента, убедиться в наличии и активности сетевого узла и нужной сетевой службы. Для получения этой информации написано и успользуется множество утилит. В некоторых случаях получение информации о доступности сетей, узлов и протоколов транспортного уровня является прелюдией к сетевой атаке.

Наиболее простая и известная команда ping использует специальный протокол icmp и служит длязондирования эхо-запросами сетевых узлов для установления их наличия и доступности.

ping <параметры> <адрес_хоста> <номер_порта>

<параметры> (в зависимости от типа ОС могут использоваться иные символы):

-l count или -c count – отправка указанного числа пакетов. По умолчанию (в зависимости от версии ОС) посылается либо один пакет, либо бесконечная серия пакетов с интервалом в одну секунду. Непрерывная отправка прерывается нажатием Ctrl – C,

-s count_byte – общее количество байтов в icmp -пакете с эхо-запросом (длина заголовка icmp -пакета – 8 байтов),

-i timeout – временной интервал в следовании пакетов в секундах,

-f – направление пакетов с максимально возможной скоростью (только с правами root),

<адрес_хоста> – доменное имя или IP – адрес целевого компьютера,

<номер_порта> – номер, закрепленный за сетевой службой, запущенной на удаленном компьютере (смотри файл /etc/services).

Например, команда

ping –c 3 –i 5 192.168.1.2 21

направляет 3 стандартных icmp -пакета с пятисекундным интервалом в адрес FTP-сервера (порт 21) на узле с IP-адресом 192.168.1.2.

Утилита выводит данные построчно в следующем порядке: число байтов в принятом пакете, IP-адрес исследуемого узла, порядковый номер пакета, счетчик «жизни» пакета и время возврата.

Более сложным инструментом для сетевой разведки является утилита nmap (netmap – карта сети). Она использует девять различных видов сканирования сетевых узлов. Принципы сканирования основаны на передаче в адрес интересующего узла сетевых пакетов с определенным «наполнением» и анализом отклика. При этом используются особенности в реализации стека протоколов TCP/IP, присущие известным операционным системам и сетевым службам. Направляемые пакеты могут имитировать процесс установления или завершения сеанса, направление дейтаграммы, различные ошибочные ситуации и др.

Команда для сетевого сканирования выглядит так:

nmap <тип_сканирования> <параметры> <список узлов или сетей>

<тип_сканирования>

-sT – обычное TCP-сканирование с установлением соединения. Используется по умолчанию и может запускаться обычным пользователем,

-sP – обычное ping-сканирование,

-sS – TCP-сканирование с помощью сообщений SYN. Утилита инициирует установление TCP–сеанса, отправляя в адрес узел:порт первый пакет с установленным битом SYN. Адресат отвечает пакетом с установленными битами SYN и ACK, чем обозначает себя. Но вместо согласия на установление соединения утилита посылает пакет с установленным битом RST, чем разрывает соединение. Считается наилучшим из методов TCP-сканирования,

-sU – UDP-сканирование, при котором в адрес каждого порта направляется пустой UDP–пакет. Если порт закрыт, адресат отправляет клиенту пакет с установленным битом RST. Если порт открыт, он принимает пакет без ответа,

-sF – FIN-сканирование. Направляется пакет, сигнализирующий о разрыве соединения TCP (которое еще не было установлено). Если указанный порт закрыт, система отвечает пакетом с установленным битом RST, если открыт – пакет не направляется (кроме ОС Windows*),

-sN – нуль-сканирование. Направляется пакет, в котором не установлено ни одного битового флага. Результат аналогичен FIN-сканированию.

<параметры>

-O – режим изучения откликов для определения типа удаленной операционной системы. Большинство ОС обладают своей спецификой при управлении сетевыми протоколами. Для установления типа ОС программа посылает определенные пакеты в адреса конкретных портов и фиксирует реакцию на них,

-p <диапазон> – диапазон портов, которые будут сканироваться (указываются через запятую или дефис),

-v (–vv) – режим вывода подробной информации,

-T <число> – темп сканирования от «0» – очень медленно (один пакет в пять секунд) до «5» – максимально быстро (один пакет за 0.3 секунды).

<список узлов или сетей>

Доменные имена в списке указываются через запятую. Диапазон IP–адресов указывается в виде номера сети и сетевой маски, например 192.168.1.00/24. Любое число можно заменить символом звездочки *. Диапазон адресов в любом из октетов можно указывать в виде начального и конечного значения, через дефис, например 1–24. Наконец, нужные числовые значения можно указать через запятую, без пробела, например 192.168.2.3,7,17,24.

Исчерпывающую информацию о программе nmap можно получить в [3].

Дата добавления: 2015-03-31