Анализируем сетевую кровь

Иван Скляров (www.sklyaroff.ru)

Хакер, номер #080, стр. 080-102-3

На рисунке 4 можно увидеть множество попыток установить TCP-соединение на различные порты узла 172.23.115.22. Большинство записей имеют следующий вид:

12:00:17.899408 eth0 < 192.168.10.35.2878 > 172.23.115.22.340: S 3477705342:3477705342 (0) win 64240 <mss 1460,nop,nop,sackOK> (DF)

12:00:17.899408 eth0 > 172.23.115.22.340 > 192.168.10.35.2878: R 0:0 (0) ack 3477705343 win 0 (DF)

В первой строке передается TCP SYN-запрос, а во второй отсылаются в ответ пакеты TCP RST - это говорит о том, что подключение к данному порту невозможно. В листинге также встречается такая цепочка записей:

12:00:17.899408 eth0 < 192.168.10.35.2879 > 172.23.115.22.ssh: S 3477765723:3477765723 (0) win 64240 <mss 1460,nop,nop,sackOK> (DF)

12:00:17.899408 eth0 > 172.23.115.22.ssh > 192.168.10.35.2879: S 3567248280:3567248280 (0) ack 3477765724 win 5840 <mss 1460,nop,nop,sackOK> (DF)

12:00:17.899408 eth0 < 192.168.10.35.2879 > 172.23.115.22.ssh: . 1:1(0) ack 1 win 64240 (DF)

12:00:17.899408 eth0 < 192.168.10.35.2879 > 172.23.115.22.ssh: R 3477765724:3477765724(0) win 0 (DF)

Здесь аналогично: в первой строке передается SYN-запрос на ssh-порт (22/tcp) узла 172.23.115.22. Затем в следующей строке показано, что узел 172.23.115.22 посылает ответ с установленными флагами SYN и ACK, при этом значение поля Acknowledgment Number в TCP заголовке увеличено на единицу (3477765723+1). В третьей строке узел 192.168.10.35 подтверждает получение ответа. И в последней строчке соединение закрывается узлом 192.168.255.20 посылкой RST. Таким образом, трехэтапное рукопожатие TCP (TCP three-way handshake) не было корректно осуществлено. На рисунке 4 зафиксировано TCP-сканирование узла 172.23.115.22.

С большой вероятностью можно предположить, что работает сканер nmap (с установленным флагом '-sT'), так как номера портов, на которые приходят запросы, увеличиваются не последовательно на единицу, как в случае большинства других сканеров, а совершенно случайным образом (хотя так поступает не только один nmap).

На рисунке 5 листинг похож на предыдущий. На узел 172.20.100.100 поступают SYN-запросы, и в случае закрытого порта в ответ отсылаются пакеты с флагом RST. Однако реакция на открытые порты отличается по сравнению с предыдущим листингом:

12:44:17.899408 eth0 < 192.168.99.200.2879 > 172.20.100.100.http: S 1045782751:1045782751 (0) win 4096

12:00:17.899408 eth0 > 172.20.100.100.http > 192.168.99.200.2879: S 2341745720:2341745720 (0) ack 1045782752 win 5840 <mss 1460> (DF)