Анализируем сетевую кровь

Иван Скляров (www.sklyaroff.ru)

Хакер, номер #080, стр. 080-102-5

13:44:46.361688 eth0 > 172.18.10.23.30310 > 192.168.91.130.56528: R 0:0(0) win 0 (DF)

13:44:46.361688 eth0 < 192.168.91.130.56528 > 172.18.10.23.275: . 1114201130:1114201130(0) ack 0 win 3072

13:44:46.361688 eth0 >172.18.10.23.275 > 192.168.91.130.56528: R 0:0(0) win 0 (DF)

13:44:46.361688 eth0 < 192.168.91.130.56528 > 172.18.10.23.nntp: . 1114201130:1114201130(0) ack 0 win 2048

На рисунке 7 показана Smurf-атака. Хакер посылает широковещательный ICMP-запрос (echo request) в сеть 172.23.115.0 от имени жертвы (192.168.10.1). Каждый компьютер сети (в листинге показан только узел 172.23.115.1), получивший широковещательный запрос, генерирует ответ (echo reply) на адрес жертвы, вызывая "отказ в обслуживании". Периодическое повторение запроса позволяет поддерживать проведение атаки против хоста 192.168.10.1. Утилита tcpdump после имени интерфейса (eth0) предупреждает опцией B, что идет прием широковещательного запроса. Есть разновидность атаки Smurf под названием Fraggle (осколочная граната), в которой используется UDP, а не ICMP:

08:34:18.899408 eth0 B 192.168.10.22.34904 > 172.23.115.255.echo: udp 64

08:34:18.899408 eth0 > 172.23.115.255.echo > 192.168.10.22.34904: udp 64

08:34:18.520602 eth0 B 192.168.10.22.34904 > 172.23.115.255.echo: udp 64

Атакующий посылает поддельные UDP-пакеты на широковещательной адрес усиливающей сети (обычно на echo-порт 7/udp). Каждая система сети, в которой разрешен ответ на эхо-пакеты, возвратит пакеты системе-жертве, в результате чего будет сгенерирован большой объем трафика.

Иногда в поступающих пакетах могут быть установлены нестандартные сочетания флагов, например, взаимоисключающие флаги SF (SYN+FIN), где SYN - устанавливает соединение, FIN - завершает. Также могут быть указаны резервные флаги [ECN-Echo,CWR] и идущие подряд флаги FIN без предшествующих SYN, например:

11:16:22:899931 eth0 < 192.168.10.35.2879 > 172.23.115.22.491: SF 3477765723:3477765723 (0) win 1024

11:16:22:899931 eth0 < 192.168.10.35.2880 > 172.23.115.22.1351: S [ECN-Echo,CWR] 3477800253:3477800253 (0) win 4096

11:16:22:899931 eth0 < 192.168.10.35.2881 > 172.23.115.22.2880: SFR 3477835208:3477835208 (0) win 4096

Такие запросы злоумышленник может использовать в двух целях. Во-первых, нестандартные комбинации флагов могут вывести узел из строя или способствовать обходу систем обнаружения атак и межсетевых экранов. А, во-вторых, нестандартные флаги используются для идентификации ОС узла. Разные оси реагируют по-разному на пакеты несоответствующие стандартам RFC - эту возможность практикуют утилиты nmap, queso и пр.

Эти и другие атаки в качестве тренировки ты сможешь поискать в листингах tcpdump в головоломках из моей книги "Головоломки для хакера". К тому времени, когда ты читаешь эту статью, книга должна уже быть в продаже.