Потрогай нежно

Александр Любимов aka Sashiks

Хакер, номер #084, стр. 084-068-5

[как они это делают?]

Да, действительно, довольно любопытно, какими же основными методами осуществляется OS-fingerprinting? К слову, этих методов довольно много: FIN-сканирование, ICMP-пакетная генерация, исследования полей ICMP и TCP-пакетов. Попробую объяснить на примере. Допустим мы наснифали (с помощью любого снифера - того же snort) пакет с данными. В его заголовке должно присутствовать множество полей вроде размера окна, TTL (время жизни пакета данных), DF (бит фрагментации), флага TOS (Type-Of-Service) и т.д. Именно эти данные и используют fingerprint-утилиты в своей работе. Например, если бит DF не установлен (присуще ОС OpenBSD), то в базе сигнатур отбрасываются все оси, для которых DF указан (обычный метод исключения). Далее под прицел попадает параметр TTL: для FreeBSD и Linux этот параметр равен 64. Опять же, круг потенциальных OS сужается - и так до тех пор, пока не останется минимум претендентов. Впрочем, в этом деле есть уйма тонкостей и процесс опознания версии операционки может не дать ожидаемых результатов. А вот как раз чтобы сбить взломщика с толку, многие эксперты рекомендуют менять часть установок TCP/IP на сервере. Для того же линукса в /proc/sys/net вместо «64» можно влепить другое число. Любителям же Windows команда RST (rst.void.ru) сделала дружеский подгон в виде программы r57BF (broken fingers), с помощью которой можно легко поменять предустановленные настройки TCP/IP. Список эмулируемых осей достаточно велик и можно прикинуться как BSD-тачкой, так и игровой приставкой Sony Playstation 2 :).

[великий и ужасный]

Многие спросят меня, почему я в этом обзоре не упомянул знаменитый сканер Федора (Fyodor) Nmap?

Для этого есть две причины. Ну, во-первых, про этот портсканер писали везде, где только можно. Во-вторых, как мне кажется, NetMapper не такая уж и универсальная программа. То есть она и в самом деле умеет многое: скрытое сканирование (-sS), определение оси (-O) и так далее; однако на практике использовать nmap не всегда удобно и резонно. Например, хакер получил рута через nobody-шелл и теперь ему необходимо как можно быстрее просканировать подсетку на наличие других машин и бажных сервисов.

Разве в этом случае кому-то придет в голову тянуть громоздкий дистр, устанавливать его в систему (причем еще удовлетворяя все зависимости) и ждать, пока он досканит всю подсеть? То же самое можно сделать небольшим набором утилит. Короче говоря, он не во всех ситуациях актуален. Тем не менее, как инструмент для аудита сетевой безопасности, nmap еще довольно долго будет находиться на лидирующих позициях.