Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 11. CRACKER-TOOLS AM BEISPIEL
Systeme sofort „gepatcht“ werden können, so daß die Script Kiddies nun mit einem fertigen Exploit
viele Server kompromittieren können 13 .
11.3.2 Probleme bei TCP
Wenn man sich den Aufbau einer TCP-Verbindung durch den sogenannten „dreifachen Handschlag“
(threeway handshake) und ihren Abbau ins Gedächtnis ruft, wie es z.B. in „TCP/IP Illustrated“
[Stephens 1994] erläutert ist, so fallen folgende Fälle ins Auge:
1. Wenn ein Host lediglich ein syn 14 an einen Server schickt, so kommt bei einem „offenen Port“ 15
ein ack zurück.
2. Wenn man auf einen offenen Port ein fin schickt, ohne daß eine Verbindung besteht, so kommt
kein Paket zurück, wohingegen auf einem geschlossenen Port laut rfc 793 (TCP) gefordert wird,
daß der Absender ein rst zurückerhält.
Beide genannten Verhaltensweisen des TCP-Protokolls bieten die Möglichkeit des sogenannten „Portscanning“,
d.h. des systematischen Prüfens eines Hostrechners auf „offene“ Server-Ports. Allerdings
halten sich z.B. Windows und OpenBSD nicht an die in dem RFC geforderte Verfahrensweise bei
geschlossenen Ports 16 . Im ersten Fall würde der Server erwarten, daß ein Client eine Verbindung
aufbauen will, aber ein Angreifer, der lediglich „portscannen“ möchte, muß nicht notwendigerweise
tatsächlich eine Verbindung öffnen wollen. Früher war die Regel, daß solche unvollständigen Verbindungsversuche
nicht in den Systemlogs auftauchten, weswegen ein Portscanner, der mit dieser
Technik arbeitete, unentdeckt bleiben konnte.
Auf eine dem Scannen durch halbgeöffnete Verbindungen verwandte Technik, wird in Abschnitt
11.6.1 eingegangen.
Neben Portscanning bietet sich auch noch die Möglichkeit, das angegriffene System daran zu hindern,
weitere TCP-Verbindungen anzunehmen, indem einfach bis zur maximalen Anzahl möglicher
Verbindungen syn Pakete an den Server geschickt werden, so daß der TCP-Stack mit unvollständigen
Verbindungen „vollgeladen“ ist (sogenanntes Syn-Flooding).
Weitere Probleme der TCP/IP-Protokollsuite sind:
Voraussagbarkeit von Sequenznummern: Eine Implementation des Protokollstacks muß für jedes
TCP-Paket neue Sequenznummern generieren. Wenn der Algorithmus, nach dem diese erzeugt
werden, so beschaffen ist, daß die jeweils nächste Sequenznummer leicht zu erraten ist, wird
es für einen Angreifer möglich, eine bestehende TCP-Verbindung zu übernehmen (sog. „Hijacking“)
17 .
13 Es gibt viele Argumente, die man für Mailinglisten wie bugtraq anführen kann, in denen Sicherheitsprobleme en detail
besprochen werden. Das wichtigste ist wohl, daß die Information jedem zur Verfügung steht, der seine Server sichern
möchte, ohne daß die Notwendigkeit besteht, einen Service Vertrag oder ähnliches abzuschließen. Aber diese Praxis führt
auch dazu, daß Script-Kiddies ohne jede Sachkenntnis an ihre „spl0itz“ kommen.
14 Ein „syn“ soll hier kurz ein beliebiges TCP-Segment bezeichnen, in dessen Optionen das syn Flag gesetzt ist, desgleichen
für alle anderen Flags, d.h. fin, ack, rst usw.
15 d.h. wenn auf dem Host ein Serverprozeß läuft, der auf diesem Port Verbindungen annimmt.
16 Die Nonkonformität könnte in diesem Falle bei den genannten Systemen unterschiedliche Gründe haben. Bei OpenBSD
ist bekannt, daß diese Art der Implementation aus Sicherheitserwägungen gewählt wurde.
17 Einzelheiten werden in [Bellovin 1989] erläutert.
174 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen