Idle Scan

P

poiin2000

0
http://www.heise.de/security/artikel/41597

Dabei bedient sich der Scanner eines zweiten Systems, das derzeit keine eigenen Internet-Aktivitäten aufweist ("idle" heißt auf Deutsch soviel wie "untätig"). Das äußert sich bei Windows-Systemen (und einigen anderen) so, dass die IP-IDs der Pakete des Idle-Hosts sequenziell ansteigen. Jedes IP-Paket trägt eine eigene ID, damit der Empfänger eventuell fragmentierte Paketschnipsel richtig zuordnen kann. Die meisten Systeme setzen sie für jedes Paket um eins hoch:


# hping2 -S -p 80 192.168.0.2
...id=9289 sport=80 flags=SA ...
...id=9290 sport=80 flags=SA ...
...id=9291 sport=80 flags=SA ...


Dieses Feature lässt sich unter anderem auch zu heimlichen Lastmessungen ausnutzen (Details dazu finden Sie in c't 23/03, S. 212: "Wer zählt gewinnt").

Dann deckt der Scanner den Idle-Host mit einem kontinuierlichen Strom von Paketen ein, die eine Antwort erzeugen und wertet deren IP-IDs aus. Das können beispielsweise Ping-Anfragen und die dazughörigen Antworten sein. Jedes weitere Paket, das der Idle-Host jetzt verschickt, bewirkt einen Sprung in der IP-ID-Sequenz: 3, 4, 6, 7 bedeutet, dass der Rechner ein Paket mit der ID 5 an eine andere Adresse geschickt hat (sofern das Paket nicht verloren gegangen ist, was aber recht selten geschieht).

Im nächsten Schritt schickt der Scanner ein SYN-Paket mit der Absender-Adresse des Idle-Hosts an sein eigentliches Opfer, den Server. Ist auf dem angesprochenen Port ein Dienst aktiv, antwortet der Server mit SYN/ACK an den Idle-Host. Dieser weiß jedoch nichts von einer Verbindungs-Anfrage seinerseits und antwortet deshalb mit einem Reset-Paket. War der Port jedoch geschlossen, schickt der Server ein Reset an den Idle-Host, das dieser jedoch ignoriert.
Zum Vergrößern anklicken....

Soweit ich mich erinnern kann, ist dies aber schon länger bekannt.
Wie sieht das bei euch aus?
Irre ich mich nun wirklich so gewaltig?
gruss p2k
 
Ich kann mich auch dran erinnern vor längerem schon davon gehört zu haben... Aber erst mal so einen Rechner finden ;o) ...
 
Also mir war nur die Methode bekannt, anhand der TCP IDs die Anzahl der Hosts zu zählen, die sich hinter einem NAT-Server verstecken. Die Methode damit Portscans durchzuführen ist mir persönlich neu. Auf diese Art und Weise ist es aber IMHO nicht möglich, die Art des Dienstes zu erkennen, die auf einem Port läuft. Ich lasse meine Wartungsdienste doch nicht auf Standardports laufen.

Ich persönlich finde das Thema Portscans reichlich überbewertet. Warum laufen denn Dienste auf einem Server der aus dem Internet erreichbar ist ? Dafür dass man sie auch nutzt. Oder täusche ich mich da.

der Hesse
 
...da häb ich dann gleich mal die Frage warum mir der Großteil aller getesteten Maschinen immer "id=0" zurück liefert. Wird hier ein Paket, auf welches keine Antwort erwartet wird, absichtlich manipuliert?

Im Firmen-LAN ließ sich das ganze auf jeden Fall wunderbar unter Verwendung eines IdleDruckers nachvollziehen.
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben