Sicherheit in vernetzten Systemen - RRZ UniversitÃ¤t Hamburg

Weitere Magazine

Empfehlungen

Info

KAPITEL 11. CRACKER-TOOLS AM BEISPIEL nmap Im folgenden sieht man das Ergebnis eines Scans, bei dem ein einzelner Host geprüft wurde. Mit dem angegebenen Parameter „-I“ wurde zusätzlich auf jedem offenen Port eine Abfrage an den „identd“ des Zielhosts gestellt, so daß im Ergebnis erkennbar ist, unter welchen Rechten das Programm (vermutlich) läuft. 24 > nmap -I xxxxxx Starting nmap V. 2.12 by Fyodor (fyodor@dhp.com, www.insecure.org/nmap/) Interesting ports on xxxxxx.xxxxx.xxxxxxxxxxx.de (nnn.nnn.nn.nn): Port State Protocol Service Owner 25 open tcp smtp root 79 open tcp finger root 80 open tcp http root 111 open tcp sunrpc bin 113 open tcp auth nobody 139 open tcp netbios-ssn root 515 open tcp printer root 2049 open tcp nfs root 6000 open tcp X11 root Nmap run completed -- 1 IP address (1 host up) scanned in 3 seconds In der Regel kann man an einer solchen Bildschirmausgabe schon sehen, welchen Dienst man als Cracker genauer betrachten sollte, um sich Zugang mit root-Privilegien zu verschaffen, und welche wahrscheinlich weniger lohnend sind. 11.6 Portscanner-Attacken am Beispiel nmap Nmap bietet unter anderem folgende Funktionen: „Stealth“ Portscanning: Es wird nicht gescannt, indem der volle „threeway handshake“ durchgeführt wird, sondern z.B. durch halbgeöffnete Verbindungen, oder mit ungewöhnlichen TCP- Flags. Dadurch kann der Scan auf vielen ungesicherten UNIX-Systemen verschleiert (stealth) werden, da ein Eintrag in die „Logs“ durch den „inetd“ oder durch den Dienst selbst erst nach einem ordentlichen Verbindungsaufbau geschieht. Ident Lookups: Wie im vorherigen Beispiel gesehen, kann nmap auch Portscans mit ident Abfragen kombinieren. „Sweep-Scans“: Man kann einen kompletten Netzbereich (nicht nur A-, B- oder Class C Netzwerke, sondern z.B. auch mehrere Class B Netze oder Subnetze) angeben. Obwohl sich der Autor Fyodor ausdrücklich von Script-Kiddie-Verhalten distanziert (siehe auch [Fyodor 1998]), finden die dieses nmap-Feature sicherlich praktisch. Insbesondere die Möglichkeit, sehr große Netzbereiche zu scannen, ist nur für Script-Kiddies sinnvoll, da diese möglichst schnell viele verwundbare Systeme finden möchten. 24 Die Auskunft des ident Dienstes sind nicht verläßlich, da grundsätzlich beliebige Informationen über das auth-Protokoll zurückgesendet werden können. Typischerweise sind dies jedoch die Benutzerkennungen, unter denen die Dienste ausgeführt werden. 182 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen
11.6. PORTSCANNER-ATTACKEN AM BEISPIEL NMAP Decoys: Mittels IP-Spoofing werden Portscans von beliebigen IP-Adressen vorgetäuscht, um die Herkunft des eigentlichen „Portscans“ zu verschleiern. (Siehe Abschnitt 11.6.3) UDP-Portscanning: Die Prüfung von offenen UDP-Ports ist vor allem zeitaufwendiger als die von TCP-Services, da ein offener Port kein Antwortpaket auf einen Verbindungsversuch zurückgibt, so daß über die ausbleibende Reaktion mittels „Timeouts“ entschieden werden muß, ob ein UDP-Dienst auf dem Port Verbindungen annimmt. GUI-Frontend: Nmap besitzt auch auch ein grafisches Frontend. Script-Kiddies, die nicht gerne Kommandozeilen bedienen, haben damit auch eine Möglichkeit „Portscans“ durchzuführen. Im Folgenden werden beispielhaft noch drei weitere Möglichkeiten des Tools nmap genauer vorgestellt. 11.6.1 Fin-Scans Wie bereits in Abschnitt 11.3.2 angedeutet, verlangt die rfc 793 das in Abbildung 11.3 gezeigte Verhalten: Ein offener Port sendet (ähnlich wie bei einem Verbindungsversuch bei einem geöffneten UDP-Port) kein Feedback auf ein Fin-Paket zurück, sofern zu diesem Paket keine offene Verbindung existiert, während der geschlossene ein rst zurückliefert. Anhand eines Timeouts wird entschieden, ob ein Server auf dem entsprechenden TCP-Port lauscht. Diese Art des Kontaktversuchs wird von vielen älteren Systemen nicht aufgezeichnet. Attacker Victim Attacker Victim FIN FIN RST Offener Port Geschlossener Port Abbildung 11.3: Zeitlicher Ablauf einer Probe mit gesetztem fin-Flag 11.6.2 Betriebssystemerkennung Der TCP-Stack verschiedener Betriebssysteme liefert auf bestimmte IP-Pakete erkennbar unterschiedliche Ergebnisse, so daß Rückschlüsse auf das Betriebssystem durch folgende Tests gezogen werden können: ¯ „Probes“ mit verschiedenen Flags (auch ungültigen) und SYN-Floods, ¯ Beobachten des Verhaltens und der Vorhersagbarkeit von Sequenznummern und der TCP-Fenstergröße, ¯ Prüfen der im ACK Feld enthaltene Informationen bei Antworten auf „Scan-Probes“, ¯ Verhalten bezügl. verschiedener ICMP-Pakete, ¯ Reaktion des TCP-Stacks auf das TOS (Type of Service) Feld, SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 183
Seite 1 und 2:
Fachbereich Informatik der Universi
Seite 3 und 4:
Zusammenfassung Der vorliegende Ban
Seite 5:
Vorwort Die Motivation zur Durchfü
Seite 9 und 10:
Inhaltsverzeichnis 1 Grundlagen: In
Seite 11 und 12:
INHALTSVERZEICHNIS 4 Policy, Vorfal
Seite 13 und 14:
INHALTSVERZEICHNIS 8 Hochgeschwindi
Seite 15:
INHALTSVERZEICHNIS 11.6Portscanner-
Seite 18 und 19:
KAPITEL 1. GRUNDLAGEN: INTERNET-PRO
Seite 20 und 21:
Seite 22 und 23:
Seite 24 und 25:
Seite 26 und 27:
Seite 28 und 29:
Seite 30 und 31:
Seite 32 und 33:
Seite 34 und 35:
Seite 36 und 37:
LITERATURVERZEICHNIS 1.5 vorgestell
Seite 38 und 39:
KAPITEL 2. SICHERHEITSPROBLEME 2.2
Seite 40 und 41:
KAPITEL 2. SICHERHEITSPROBLEME daß
Seite 42 und 43:
KAPITEL 2. SICHERHEITSPROBLEME Netz
Seite 44 und 45:
KAPITEL 2. SICHERHEITSPROBLEME Eine
Seite 46 und 47:
KAPITEL 2. SICHERHEITSPROBLEME PING
Seite 48 und 49:
KAPITEL 2. SICHERHEITSPROBLEME ein
Seite 50 und 51:
KAPITEL 2. SICHERHEITSPROBLEME Clie
Seite 52 und 53:
KAPITEL 2. SICHERHEITSPROBLEME Date
Seite 55 und 56:
Kapitel 3 Übersicht über Lösungs
Seite 57 und 58:
3.3. PERSONELLE SICHERHEIT Da auch
Seite 59 und 60:
3.4. HOSTSICHERHEIT Diese Schutzma
Seite 61 und 62:
3.4. HOSTSICHERHEIT 3.4.7 Verschlü
Seite 63 und 64:
3.5. NETZWERKSICHERHEIT Eine Firewa
Seite 65 und 66:
3.6. POLICY Proxy-Server können f
Seite 67 und 68:
3.7. ZUSAMMENFASSUNG 3.7 Zusammenfa
Seite 69 und 70:
Kapitel 4 Policy, Vorfallsbearbeitu
Seite 71 und 72:
4.2. AUFBAU EINER POLICY Um nun die
Seite 73 und 74:
4.2. AUFBAU EINER POLICY „Herr Sc
Seite 75 und 76:
4.3. ZUSÄTZLICHE DOKUMENTE Eine m
Seite 77 und 78:
4.4. ERSTELLUNG UND UMSETZUNG Der e
Seite 79 und 80:
4.4. ERSTELLUNG UND UMSETZUNG Die M
Seite 81 und 82:
4.4. ERSTELLUNG UND UMSETZUNG Beson
Seite 83 und 84:
4.5. GESCHICHTE UND ENTWICKLUNG DER
Seite 85 und 86:
Kapitel 5 Kryptographische Verfahre
Seite 87 und 88:
5.2. GRUNDLEGENDE BEGRIFFE 5.2.3 De
Seite 89 und 90:
5.3. SYMMETRISCHE CHIFFREN man den
Seite 91 und 92:
5.3. SYMMETRISCHE CHIFFREN funktion
Seite 93 und 94:
5.3. SYMMETRISCHE CHIFFREN entweder
Seite 95 und 96:
5.4. ASYMMETRISCHE CHIFFREN OFB (Ou
Seite 97 und 98:
5.4. ASYMMETRISCHE CHIFFREN Sicherh
Seite 99 und 100:
5.6. WEITERE NOTWENDIGE ALGORITHMEN
Seite 101 und 102:
5.6. WEITERE NOTWENDIGE ALGORITHMEN
Seite 103 und 104:
5.7. SCHLUSSBEMERKUNG die Verschlü
Seite 105 und 106:
Kapitel 6 Keymanagement und Kommuni
Seite 107 und 108:
6.2. VERFAHREN ZUR ABSICHERUNG VON
Seite 109 und 110:
6.3. KEYMANAGEMENT-PROTOKOLLE Modif
Seite 111 und 112:
6.3. KEYMANAGEMENT-PROTOKOLLE Proto
Seite 113 und 114:
6.3. KEYMANAGEMENT-PROTOKOLLE Das T
Seite 115 und 116:
LITERATURVERZEICHNIS Nach erfolgrei
Seite 117 und 118:
Kapitel 7 „Klassische“ Firewall
Seite 119 und 120:
7.2. ELEMENTE EINES FIREWALLS 3. TC
Seite 121 und 122:
7.3. FIREWALL-ARCHITEKTUREN Clients
Seite 123 und 124:
7.3. FIREWALL-ARCHITEKTUREN Eine we
Seite 125 und 126:
7.3. FIREWALL-ARCHITEKTUREN Vor- un
Seite 127 und 128:
7.4. FIREWALL-ARCHITEKTUREN IN DER
Seite 129:
LITERATURVERZEICHNIS ¯ Firewalls b
Seite 132 und 133:
KAPITEL 8. HOCHGESCHWINDIGKEITS-FIR
Seite 134 und 135:
Seite 136 und 137:
Seite 138 und 139:
Seite 141 und 142:
Kapitel 9 „Active Content“ und
Seite 143 und 144:
9.2. ACTIVE CONTENT Im Gegensatz zu
Seite 145 und 146:
9.2. ACTIVE CONTENT JavaScript Bei
Seite 147 und 148: 9.2. ACTIVE CONTENT Im Rahmen diese
Seite 149 und 150: 9.2. ACTIVE CONTENT Andere Angriffe
Seite 151 und 152: 9.2. ACTIVE CONTENT Allerdings sind
Seite 153 und 154: 9.2. ACTIVE CONTENT On-Access-Viren
Seite 155 und 156: 9.2. ACTIVE CONTENT Erlaubt man die
Seite 157 und 158: 9.3. MOBILER CODE (AGENTEN) ihm nac
Seite 159 und 160: 9.4. FAZIT Die Autoren wenden das b
Seite 161 und 162: Kapitel 10 Public-Key-Zertifizierun
Seite 163 und 164: 10.2. EINFÜHRUNG IN PUBLIC-KEY-VER
Seite 165 und 166: 10.3. PUBLIC-KEY-ZERTIFIZIERUNG 10.
Seite 167 und 168: 10.4. ZERTIFIZIERUNGSINSTANZEN 10.4
Seite 169 und 170: 10.5. PUBLIC-KEY-INFRASTRUKTUREN de
Seite 171 und 172: 10.5. PUBLIC-KEY-INFRASTRUKTUREN ei
Seite 173 und 174: 10.6. PKI-PRAXIS des ITU-Standards
Seite 175 und 176: 10.6. PKI-PRAXIS die Zertifikate f
Seite 177 und 178: 10.7. AUSBLICK 10.7.1 Entwicklungsr
Seite 179: LITERATURVERZEICHNIS [TLS] Dierks,
Seite 182 und 183: KAPITEL 11. CRACKER-TOOLS AM BEISPI
Seite 202: LITERATURVERZEICHNIS [Cert] http://
Alle anzeigen

Sicherheit in vernetzten Systemen - RRZ UniversitÃ¤t Hamburg

Erfolgreiche ePaper selbst erstellen

Template löschen?

Als Template speichern?