|
|
| (73 dazwischenliegende Versionen von 4 Benutzern werden nicht angezeigt) |
| Zeile 1: |
Zeile 1: |
| Null-Scan (-sN)
| | [[Kategorie:Netzwerk/Sicherheit]] |
| | | [[Kategorie:IT-Sicherheit/Bedrohung]] |
| Setzt keinerlei Bits (der TCP-Flag-Header ist 0).
| |
| | |
| | |
| LAND-Angriff
| |
| | |
| Bei einem DoS-Landangriff (Local Area Network Denial) sendet der Angreifer ein TCP SYN-Spoofed-Paket, bei dem Quell- und Ziel-IPs und -Ports identisch eingestellt sind. Wenn die Zielmaschine versucht zu antworten, tritt sie in eine Schleife ein und sendet wiederholt Antworten an sich selbst, was schließlich zum Absturz der betroffenen Maschine führt.
| |
| | |
| | |
| Code (Nmap):
| |
| | |
| | |
| | |
| SYN/FIN-Scan-Technik
| |
| | |
| Ein Angreifer kann TCP/IP-Pakete mit den Kennzeichen SYN und FIN tcp/ip an ein Zielsystem senden, das sich über alle Ports erstreckt, um offene TCP/IP-Ports für weitere Angriffe zu finden. Das Zielsystem legt Pakete ab, die für offene Ports bestimmt sind, und sendet RST/ACK-Pakete für geschlossene Ports zurück. Der Angreifer kann Informationen aus den Systemantworten sammeln. Der SYN/FIN-Scan wird für das Scannen von Ports anstelle des SYN-Scans verwendet, bei dem einige ältere IDS-Systeme übergeben werden. Ein entfernter Angreifer kann ein Zielnetzwerk vor dem Start eines Angriffs auf bekannte Schwachstellen überprüfen.
| |
| | |
| Code (Nmap):
| |
| nmap -sF -T4 docsrv.caldera.com
| |
| nmap -sS -T4 docsrv.caldera.com
| |
| | |
| ----> FIN-Scan (-sF)
| |
| Setzt nur das TCP-FIN-Bit.
| |
| | |
| | |
| | |
| XMAS-Scan
| |
| | |
| In der Informationstechnologie ist ein Christbaumpaket ein Paket mit jeder einzelnen Option, die für das verwendete Protokoll festgelegt ist. Der Begriff leitet sich von einem phantasievollen Bild jedes kleinen Optionsbits in einem Header ab, das durch eine unterschiedlich gefärbte Glühbirne repräsentiert wird, die alle eingeschaltet sind, "das Paket wird wie ein Weihnachtsbaum beleuchtet". Es kann auch als Kamikazepaket, Nastygramm oder Lampentestsegment bezeichnet werden.
| |
| | |
| Weihnachtsbaumpakete können als eine Methode des TCP/IP-Stapel-Fingerabdrucks verwendet werden, um die zugrundeliegende Natur eines TCP/IP-Stapels offenzulegen, indem man die Pakete sendet und dann auf die Antworten wartet und sie analysiert. Bei der Verwendung als Teil des Scannens eines Systems hat der TCP-Header eines Weihnachtsbaumpakets die Kennzeichen FIN, URG und PSH gesetzt. Viele Betriebssysteme setzen ihre Konformität mit dem Internet-Protokoll-Standard (RFC 791) auf unterschiedliche oder unvollständige Weise um. Wenn man beobachtet, wie ein Host auf ein seltsames Paket, wie z.B. ein Weihnachtsbaumpaket, reagiert, kann man Rückschlüsse auf das Betriebssystem des Hosts ziehen. Versionen von Microsoft Windows, BSD/OS, HP-UX, Cisco IOS, MVS und IRIX zeigen Verhaltensweisen an, die sich vom RFC-Standard unterscheiden, wenn sie mit diesen Paketen abgefragt werden.
| |
| | |
| Eine große Anzahl von Weihnachtsbaumpaketen kann auch zur Durchführung eines DoS-Angriffs verwendet werden, indem die Tatsache ausgenutzt wird, dass Weihnachtsbaumpakete von Routern und Endhosts viel mehr Verarbeitung benötigen als die "üblichen" Pakete.
| |
| | |
| Weihnachtsbaumpakete können von Einbruchmeldeanlagen oder fortschrittlicheren Firewalls leicht erkannt werden. Aus Sicht der Netzwerksicherheit sind Christbaumpakete immer misstrauisch und deuten auf eine hohe Wahrscheinlichkeit von Netzwerkerkundungsaktivitäten hin.
| |
| | |
| Code (Nmap):
| |
| nmap -sX -T4 scanme.nmap.org (<----Ziel)
| |
| | |
| Setzt nur das TCP-FIN-Bit.
| |
| ----> Xmas-Scan (-sX)
| |
| Setzt die FIN-, PSH- und URG-Flags und beleuchtet das Paket wie einen Weihnachtsbaum (engl. Xmas).
| |
| | |
| | |
| NULL Scan Attack
| |
| | |
| Der Angreifer sendet das illegale Paket mit seinem TCP-Index und der gesamten Kontrolle.
| |
| Während der TCP-Verbindung und der Datenübertragung werden die Felder auf 0 gesetzt.
| |
| Pakete mit allen Steuerfeldern, die auf 0 gesetzt sind, werden als illegale Pakete betrachtet.
| |
| Pakete.
| |
| | |
| | |
| | |
| SYN Paket mit seinem Quellport
| |
| weniger als 1024
| |
| | |
| Der Angreifer sendet das illegale Paket mit dem Feld TCP SYN, das auf 1 gesetzt ist, und
| |
| Quellport weniger als 1024.
| |
| | |
| Blat Attack
| |
| | |
| Der Angreifer sendet das illegale Paket mit Quellport und Ziel.
| |
| Port auf Layer 4 gleich und sein URG-Feld auf 1 gesetzt, ähnlich dem Land
| |
| Angriff wird die Systemleistung des angegriffenen Hosts reduziert, da die
| |
| Der Host versucht zyklisch, eine Verbindung mit dem Angreifer aufzubauen.
| |
| | |
| Ping Flooding
| |
| | |
| Ping-Flooding ist eine DoS-Attacke. Es ist ein gezielter Angriff mit dem die Systemperformance von Servern stark beeinträchtigt wird oder der Server abstürzen kann. Das Ping-Flooding arbeitet wie das Ping-Pong-Verfahren.
| |
| | |
| Beim Ping-Flooding werden die Server mit unzähligen ICMP-Echo-Requests bombardiert. Durch die hohe Pingzahl sinkt das Antwortverhalten des Servers und die Netzverbindung wird stark belastet.
| |
| | |
| Besonders erfolgreich sind Ping-Attacken wenn dem Angreifer eine hohe oder höhere Bandbreite zur Verfügung steht als dem Attackierten. Bei ICMP-Datenpaketen belasten die Datenpakete mit den ICMP Echo-Antworten die Bandbreite, wodurch das System abstürzen kann.
| |
| | |
| Beim Ping Strangeness sendet der Benutzer einen Request als Echo-Request-Paket an eine bestimmte IP-Adresse. Ist die Zieladresse aktiv, sendet sie ein Reply in einem ICMP-Paket an die anfragende Station. Anhand des Zeitstempels des Echo-Reply kann die Round-Trip-Zeit ermittelt werden. Bei ungewöhnlichen Mustern der Reply-Datenpakete sollte diese genauer untersucht werden, da es sich um DoS-Attacken handeln könnte. Eine Variante des Ping-Flooding ist die Smurf-Attacke, die auf die Broadcast-Adresse eines Netzwerks zielt.
| |
| | |
| SYN/SYN-ACK Flooding
| |
| | |
| Ein SYN-Flood ist eine Form der Denial-of-Service-Attacke auf Computersysteme.
| |
| | |
| Der Angreifer verwendet eine gefälschte IP-Adresse, um TCP-Anfragepakete an die
| |
| Server. Nach Erhalt der Abfragepakete antwortet der Server mit SYN-ACK-Pakete. Da die IP-Adresse gefälscht ist, erfolgt keine Antwort. Der Server sendet weiterhin SYN-ACK-Pakete. Wenn der Angreifer überfließende gefälschte Anforderungspakete sendet, wird die Netzwerkressource sein.
| |
| böswillig beschäftigt und die Anfragen der Clients werden abgelehnt.
| |
| | |
| Mögliche Maßnahmen gegen SYN-Floods:
| |
| | |
| Der SYN-Cookies-Mechanismus
| |
| RST-Cookies
| |
| Eine Echtzeitanalyse des Angriffs durch eine intelligente Firewall, welche verdächtige Angriffsmuster automatisch erkennt.
| |
| Proxy Server
| |
| Recyceln der ältesten halb-offenen TCP Verbindung
| |
| SYN Cache
| |
| | |
| | |
| | |
| | |
|
| |
| | |
| WinNuke Attack
| |
| | |
| Du bist eines Nachts im IRC und begegnest diesem Kerl. Ihr beide fangt an, euch zu zanken wie ein paar Schulmädchen. Der andere Typ sagte, dass er dich verbrennen wird, also forderst du ihn heraus, es zu tun! Plötzlich stürzt Ihre super K-rad Windows95 Box ab und Sie haben den blauen Bildschirm des Todes. "Was zum Teufel?!" Also, was ist gerade mit deinem Computer passiert? Ist deine Box wegen des anderen Lahmers abgestürzt? Wie hat er den Blue Screen verursacht? Während es üblich ist, einen Blue Screen zu bekommen, war das Timing einfach zu perfekt. Willkommen in der beschissenen Welt der WinNuke Damen und Herren.
| |
| | |
| Der blaue Bildschirm, den Sie gesehen haben, ist die Visitenkarte für einen jetzt berüchtigten DoS-Angriff (Denial of Service) namens WinNuke. Nur mit Win95 funktioniert es, indem es ein Paket mit "Out of Band"-Daten an den Port 139 des Zielhosts sendet. Zunächst einmal ist Port 139 der NetIOS-Port (siehe rfc1700 für Portzuweisungen) und akzeptiert keine Pakete, es sei denn, das Flag OOB ist im eingehenden Paket gesetzt. Der OOB steht für Out Of Band. Wenn Ihre Maschine dieses Paket akzeptiert, verursacht es einen Absturz Ihres Computers und hinterlässt Ihnen nichts anderes als einen blauen Bildschirm (wenn Sie zuvor Windows verwendet haben, haben Sie diesen blauen Bildschirm wahrscheinlich schon oft gesehen). Da das Programm, das die Pakete annimmt, nicht weiß, wie man mit Out Of Band-Daten angemessen umgeht, tut es das, was jedes gute Microsoft-Programm tut. Es stürzt ab.
| |
| | |
| | |
| | |
| | |
| Ping of Death
| |
| | |
| Der "Ping of Death" ist ein veralteter Denial-of-Service (DoS)-Angriff, der moderne Maschinen nicht betrifft. Ursprünglich wurde Mitte der 90er Jahre ein Fehler im TCP/IP-Framework vieler Betriebssysteme entdeckt, bei dem das Senden eines großen Pakets (größer als die maximal zulässige Größe von 65.535 Byte) an eine Zielmaschine dazu führen würde, dass es stark instabil wird, abstürzt oder neu startet.
| |
| | |
| Dieser Angriff wurde ermöglicht, weil ein so großes Paket auf der Empfangsmaschine wieder zusammengesetzt werden musste. Wenn Paketfragmente zu einem Paket zusammengebaut wurden, das größer als die maximal zulässige Größe von 65.535 Byte auf dem Zielcomputer ist, kam es zu einem Pufferüberlauf, der zu Instabilität, Absturz oder Neustart des Zielcomputers führte.
| |
| | |
| Smurf Attack
| |
| | |
| Smurf gehört zu den DoS-Attacken auf ein Netzwerk, die mit Pings arbeiten. Bei der Smurf-Attacke sendet der Angreifer ein oder mehrere ICMP-Datenpakete, Internet Control Message Protocol (ICMP), an die Broadcast-Adresse des Netzwerks.
| |
| | |
| | |
| | |
| | |
| | |
| | |
| | |
| | |
| | |
| | |
| | |
| | |
| https://www.itwissen.info/Smurf-Attacke-smurf-attack.html
| |
| | |
| https://www.computerweekly.com/de/ratgeber/TCP-Port-Scanning-Das-sollten-Sie-ueber-die-unterschiedlichen-Techniken-wissen
| |
| | |
| https://nmap.org/book/scan-methods-null-fin-xmas-scan.html
| |
| | |
| https://security.radware.com/ddos-knowledge-center/ddospedia/land-attack/#collapseTwo1
| |