Kategorie:Netzwerk/Angriffe: Unterschied zwischen den Versionen

TCP Syn Flooding (Land Attacks)

Kurzfassung: Bei einem DoS-Landangriff (Local Area Network Denial) sendet der Angreifer ein TCP SYN-Spoofed-Paket, bei dem Quell- und Ziel-IPs und -Ports identisch eingestellt sind. Wenn die Zielmaschine versucht zu antworten, tritt sie in eine Schleife ein und sendet wiederholt Antworten an sich selbst, was schließlich zum Absturz der betroffenen Maschine führt.

Ausführlich: Diese Attacke nutzt den Handshake-Mechanismus beim Aufbau einer TCP-Verbindung aus. Bevor eine Verbindung zwischen zwei Rechnern aufgebaut wird, sendet der Absender ein spezielles TCP-Pakete an den Empfänger, um eine Verbindung anzukündigen (SYN-Pakete, SYN = Synchronize). Der Empfänger sendet dann ein Antwort-Paket (SYN/ACK-Paket, ACK = Acknowledgement = Empfangsbestätigung) zurück an den Absender. Das SYN/ACK-Paket muss vom Initiant mit einem ACK-Paket bestätigt werden damit der Verbindungsaufbau komplett ist. Wenn der Absender eine falsche IP-Adresse benutzt, wird das SYN-ACK-Paket ins Nirgendwo geschickt und das Opfer sendet nach einem bestimmten Intervall die Quittung erneut, da er vom Verlust der Daten ausgeht.

Nach einer bestimmten Zeit wird der Verbindungsaufbau abgebrochen. Während dieser Zeit wird Speicherplatz und Rechenleistung benötigt. Führt nun ein Absender eine TCP Syn Flooding-Attacke aus, sendet er nicht, wie vom Empfänger erwartet, ein ACK-Paket aus, sondern bombardiert den Empfänger weiterhin mit SYN-Paketen. Der Empfänger quittiert alle diese SYN-Pakete. Hier tritt nun der Fehler bei entsprechend fehlerhaften TCP-Implementierungen auf, die bei einem weiteren SYN-Paket nicht nur für das gerade empfangene SYN-Paket ein SYN/ACK-Paket verschickt, sondern auch für alle bisher empfangenen. Wenn die gefälschte IP-Adresse des Angreifers dazu nicht existiert, sendet der Router ein ICMP-Unreachable-Paket (Host/Netzwerk unerreichbar) zurück. Auf diese Weise wird auf dem Empfänger-Netzwerk schnell ein hoher Datenverkehr erzeugt und das Opfer ist nicht mehr erreichbar.

Code (Nmap):

SYN/FIN-Scan-Technik

Ein Angreifer kann TCP/IP-Pakete mit den Kennzeichen SYN und FIN tcp/ip an ein Zielsystem senden, das sich über alle Ports erstreckt, um offene TCP/IP-Ports für weitere Angriffe zu finden. Das Zielsystem legt Pakete ab, die für offene Ports bestimmt sind, und sendet RST/ACK-Pakete für geschlossene Ports zurück. Der Angreifer kann Informationen aus den Systemantworten sammeln. Der SYN/FIN-Scan wird für das Scannen von Ports anstelle des SYN-Scans verwendet, bei dem einige ältere IDS-Systeme übergeben werden. Ein entfernter Angreifer kann ein Zielnetzwerk vor dem Start eines Angriffs auf bekannte Schwachstellen überprüfen.

Code (Nmap): nmap -sF -T4 docsrv.caldera.com nmap -sS -T4 docsrv.caldera.com

> FIN-Scan (-sF)

Setzt nur das TCP-FIN-Bit.

XMAS-Scan

In der Informationstechnologie ist ein Christbaumpaket ein Paket mit jeder einzelnen Option, die für das verwendete Protokoll festgelegt ist. Der Begriff leitet sich von einem phantasievollen Bild jedes kleinen Optionsbits in einem Header ab, das durch eine unterschiedlich gefärbte Glühbirne repräsentiert wird, die alle eingeschaltet sind, "das Paket wird wie ein Weihnachtsbaum beleuchtet". Es kann auch als Kamikazepaket, Nastygramm oder Lampentestsegment bezeichnet werden.

Weihnachtsbaumpakete können als eine Methode des TCP/IP-Stapel-Fingerabdrucks verwendet werden, um die zugrundeliegende Natur eines TCP/IP-Stapels offenzulegen, indem man die Pakete sendet und dann auf die Antworten wartet und sie analysiert. Bei der Verwendung als Teil des Scannens eines Systems hat der TCP-Header eines Weihnachtsbaumpakets die Kennzeichen FIN, URG und PSH gesetzt. Viele Betriebssysteme setzen ihre Konformität mit dem Internet-Protokoll-Standard (RFC 791) auf unterschiedliche oder unvollständige Weise um. Wenn man beobachtet, wie ein Host auf ein seltsames Paket, wie z.B. ein Weihnachtsbaumpaket, reagiert, kann man Rückschlüsse auf das Betriebssystem des Hosts ziehen. Versionen von Microsoft Windows, BSD/OS, HP-UX, Cisco IOS, MVS und IRIX zeigen Verhaltensweisen an, die sich vom RFC-Standard unterscheiden, wenn sie mit diesen Paketen abgefragt werden.

Eine große Anzahl von Weihnachtsbaumpaketen kann auch zur Durchführung eines DoS-Angriffs verwendet werden, indem die Tatsache ausgenutzt wird, dass Weihnachtsbaumpakete von Routern und Endhosts viel mehr Verarbeitung benötigen als die "üblichen" Pakete.

Weihnachtsbaumpakete können von Einbruchmeldeanlagen oder fortschrittlicheren Firewalls leicht erkannt werden. Aus Sicht der Netzwerksicherheit sind Christbaumpakete immer misstrauisch und deuten auf eine hohe Wahrscheinlichkeit von Netzwerkerkundungsaktivitäten hin.

Code (Nmap): nmap -sX -T4 scanme.nmap.org (<----Ziel)

Setzt nur das TCP-FIN-Bit.

> Xmas-Scan (-sX)

Setzt die FIN-, PSH- und URG-Flags und beleuchtet das Paket wie einen Weihnachtsbaum (engl. Xmas).

NULL Scan Attack

Der Angreifer sendet das illegale Paket mit seinem TCP-Index und der gesamten Kontrolle. Während der TCP-Verbindung und der Datenübertragung werden die Felder auf 0 gesetzt. Pakete mit allen Steuerfeldern, die auf 0 gesetzt sind, werden als illegale Pakete betrachtet. Pakete.

Code (Nmap): nmap -sN scanme.nmap.org (<----Ziel)

Setzt keinerlei Bits (der TCP-Flag-Header ist 0).

SYN Paket mit einem Quellport weniger als 1024

Der Angreifer sendet das illegale Paket mit dem Feld TCP SYN, das auf 1 gesetzt ist, und Quellport weniger als 1024.

Blat Attack

Der Angreifer sendet das illegale Paket mit Quellport und Ziel. Port auf Layer 4 gleich und sein URG-Feld auf 1 gesetzt, ähnlich dem Land Angriff wird die Systemleistung des angegriffenen Hosts reduziert, da die Der Host versucht zyklisch, eine Verbindung mit dem Angreifer aufzubauen.

Ping Flooding

Ping-Flooding ist eine DoS-Attacke. Es ist ein gezielter Angriff mit dem die Systemperformance von Servern stark beeinträchtigt wird oder der Server abstürzen kann. Das Ping-Flooding arbeitet wie das Ping-Pong-Verfahren.

Beim Ping-Flooding werden die Server mit unzähligen ICMP-Echo-Requests bombardiert. Durch die hohe Pingzahl sinkt das Antwortverhalten des Servers und die Netzverbindung wird stark belastet.

Besonders erfolgreich sind Ping-Attacken wenn dem Angreifer eine hohe oder höhere Bandbreite zur Verfügung steht als dem Attackierten. Bei ICMP-Datenpaketen belasten die Datenpakete mit den ICMP Echo-Antworten die Bandbreite, wodurch das System abstürzen kann.

Beim Ping Strangeness sendet der Benutzer einen Request als Echo-Request-Paket an eine bestimmte IP-Adresse. Ist die Zieladresse aktiv, sendet sie ein Reply in einem ICMP-Paket an die anfragende Station. Anhand des Zeitstempels des Echo-Reply kann die Round-Trip-Zeit ermittelt werden. Bei ungewöhnlichen Mustern der Reply-Datenpakete sollte diese genauer untersucht werden, da es sich um DoS-Attacken handeln könnte. Eine Variante des Ping-Flooding ist die Smurf-Attacke, die auf die Broadcast-Adresse eines Netzwerks zielt.

SYN/SYN-ACK Flooding

Ein SYN-Flood ist eine Form der Denial-of-Service-Attacke auf Computersysteme.

Der Angreifer verwendet eine gefälschte IP-Adresse, um TCP-Anfragepakete an die Server. Nach Erhalt der Abfragepakete antwortet der Server mit SYN-ACK-Pakete. Da die IP-Adresse gefälscht ist, erfolgt keine Antwort. Der Server sendet weiterhin SYN-ACK-Pakete. Wenn der Angreifer überfließende gefälschte Anforderungspakete sendet, wird die Netzwerkressource sein. böswillig beschäftigt und die Anfragen der Clients werden abgelehnt.

Mögliche Maßnahmen gegen SYN-Floods:

   Der SYN-Cookies-Mechanismus
   RST-Cookies
   Eine Echtzeitanalyse des Angriffs durch eine intelligente Firewall, welche verdächtige Angriffsmuster automatisch erkennt.
   Proxy Server
   Recyceln der ältesten halb-offenen TCP Verbindung
   SYN Cache

WinNuke Attack

Du bist eines Nachts im IRC und begegnest diesem Kerl. Ihr beide fangt an, euch zu zanken wie ein paar Schulmädchen. Der andere Typ sagte, dass er dich verbrennen wird, also forderst du ihn heraus, es zu tun! Plötzlich stürzt Ihre super K-rad Windows95 Box ab und Sie haben den blauen Bildschirm des Todes. "Was zum Teufel?!" Also, was ist gerade mit deinem Computer passiert? Ist deine Box wegen des anderen Lahmers abgestürzt? Wie hat er den Blue Screen verursacht? Während es üblich ist, einen Blue Screen zu bekommen, war das Timing einfach zu perfekt. Willkommen in der beschissenen Welt der WinNuke Damen und Herren.

Der blaue Bildschirm, den Sie gesehen haben, ist die Visitenkarte für einen jetzt berüchtigten DoS-Angriff (Denial of Service) namens WinNuke. Nur mit Win95 funktioniert es, indem es ein Paket mit "Out of Band"-Daten an den Port 139 des Zielhosts sendet. Zunächst einmal ist Port 139 der NetIOS-Port (siehe rfc1700 für Portzuweisungen) und akzeptiert keine Pakete, es sei denn, das Flag OOB ist im eingehenden Paket gesetzt. Der OOB steht für Out Of Band. Wenn Ihre Maschine dieses Paket akzeptiert, verursacht es einen Absturz Ihres Computers und hinterlässt Ihnen nichts anderes als einen blauen Bildschirm (wenn Sie zuvor Windows verwendet haben, haben Sie diesen blauen Bildschirm wahrscheinlich schon oft gesehen). Da das Programm, das die Pakete annimmt, nicht weiß, wie man mit Out Of Band-Daten angemessen umgeht, tut es das, was jedes gute Microsoft-Programm tut. Es stürzt ab.

Ping of Death

Der "Ping of Death" ist ein veralteter Denial-of-Service (DoS)-Angriff, der moderne Maschinen nicht betrifft. Ursprünglich wurde Mitte der 90er Jahre ein Fehler im TCP/IP-Framework vieler Betriebssysteme entdeckt, bei dem das Senden eines großen Pakets (größer als die maximal zulässige Größe von 65.535 Byte) an eine Zielmaschine dazu führen würde, dass es stark instabil wird, abstürzt oder neu startet.

Dieser Angriff wurde ermöglicht, weil ein so großes Paket auf der Empfangsmaschine wieder zusammengesetzt werden musste. Wenn Paketfragmente zu einem Paket zusammengebaut wurden, das größer als die maximal zulässige Größe von 65.535 Byte auf dem Zielcomputer ist, kam es zu einem Pufferüberlauf, der zu Instabilität, Absturz oder Neustart des Zielcomputers führte.

Smurf Attack

Smurf gehört zu den DoS-Attacken auf ein Netzwerk, die mit Pings arbeiten. Bei der Smurf-Attacke sendet der Angreifer ein oder mehrere ICMP-Datenpakete, Internet Control Message Protocol (ICMP), an die Broadcast-Adresse des Netzwerks.

Smurf-Attacken gehören zur Gruppe der Broadcast Storms, arbeiten aber auf eine etwas andere Weise. Bei einem Smurf Angriff sendet der Angreifer sehr viele ICMP-Pakete (z.B. Ping-Anfragen) an die Broadcast-Adresse eines Netzwerks, so dass dieses Paket von jedem Rechner innerhalb des Netzwerks empfangen wird. Der Angreifer tarnt sich jedoch nicht mit seiner eigenen oder einer nicht-existenten Adresse, sondern mit der Adresse des eigentlichen Opfers. Die ICMP-Anfragen werden nun um die Anzahl der Rechner im Netzwerk vervielfacht; das Netzwerk dient quasi als Sprungbrett. Ist das Netz korrekt konfiguriert, werden die ICMP-Antworten am Router des Netzwerks abgeblockt und gelangen nicht bis zum Rechner des Opfers. Erlaubt das Netz jedoch solche ICMP-Broadcasts gegen aussen, werden die multiplizierten ICMP-Antworten an das Opfer weitergeleitet. Dadurch können Angreifer mit geringer Leitungskapazität (Modem, BA-ISDN) Opfer mit breitbandigen Anschlüssen mit ICMP-Paketen überfluten. Die ICMP-Antworten belegen die gesamte Leitungskapazität und die reguläre Datenkommunikation wird unterbunden. Sehr häufig brechen auch die Server unter diesem Ansturm zusammen und müssen vorübergehend vom Netz getrennt werden. Die Angreifer selbst sind nur sehr schwer zu identifizieren, da sie sich als das Opfer tarnen (IP-Spoofing). Die einzige sichere Abwehr ist, die Administratoren der als Sprungbrett dienenden Netzwerke über ihr Sicherheitsloch zu informieren und zu überzeugen, ihre Netze korrekt zu konfigurieren, um das Nach-Aussen-Leiten von Broadcastpings (ICMP) zu unterbinden.

https://www.itwissen.info/Smurf-Attacke-smurf-attack.html

https://www.computerweekly.com/de/ratgeber/TCP-Port-Scanning-Das-sollten-Sie-ueber-die-unterschiedlichen-Techniken-wissen

https://nmap.org/book/scan-methods-null-fin-xmas-scan.html

https://security.radware.com/ddos-knowledge-center/ddospedia/land-attack/#collapseTwo1

https://www.computec.ch/archiv/dokumente/denial_of_service/ddos_attacken_tutorial.pdf