Kategorie:Netzwerk/Angriffe: Unterschied zwischen den Versionen

TCP Syn Flooding (Land Attacks)

Kurzfassung: Bei einem DoS-Landangriff (Local Area Network Denial) sendet der Angreifer ein TCP SYN-Spoofed-Paket, bei dem Quell- und Ziel-IPs und -Ports identisch eingestellt sind. Wenn die Zielmaschine versucht zu antworten, tritt sie in eine Schleife ein und sendet wiederholt Antworten an sich selbst, was schließlich zum Absturz der betroffenen Maschine führt.

Code (Nmap):

SYN/FIN-Scan-Technik

Ein Angreifer kann TCP/IP-Pakete mit den Kennzeichen SYN und FIN tcp/ip an ein Zielsystem senden, das sich über alle Ports erstreckt, um offene TCP/IP-Ports für weitere Angriffe zu finden. Das Zielsystem legt Pakete ab, die für offene Ports bestimmt sind, und sendet RST/ACK-Pakete für geschlossene Ports zurück. Der Angreifer kann Informationen aus den Systemantworten sammeln. Der SYN/FIN-Scan wird für das Scannen von Ports anstelle des SYN-Scans verwendet, bei dem einige ältere IDS-Systeme übergeben werden. Ein entfernter Angreifer kann ein Zielnetzwerk vor dem Start eines Angriffs auf bekannte Schwachstellen überprüfen.

Code (Nmap):

nmap -sF -T4 docsrv.caldera.com
nmap -sS -T4 docsrv.caldera.com

Erklärung:

> FIN-Scan (-sF)

Setzt nur das TCP-FIN-Bit.

XMAS-Scan

In der Informationstechnologie ist ein Christbaumpaket ein Paket mit jeder einzelnen Option, die für das verwendete Protokoll festgelegt ist. Der Begriff leitet sich von einem phantasievollen Bild jedes kleinen Optionsbits in einem Header ab, das durch eine unterschiedlich gefärbte Glühbirne repräsentiert wird, die alle eingeschaltet sind, "das Paket wird wie ein Weihnachtsbaum beleuchtet". Es kann auch als Kamikazepaket, Nastygramm oder Lampentestsegment bezeichnet werden. Bei der Verwendung als Teil des Scannens eines Systems hat der TCP-Header eines Weihnachtsbaumpakets die Kennzeichen FIN, URG und PSH gesetzt.

Code (Nmap):

nmap -sX -T4 scanme.nmap.org (<----Ziel)

Erklärung: Setzt nur das TCP-FIN-Bit.

> Xmas-Scan (-sX)

Setzt die FIN-, PSH- und URG-Flags und beleuchtet das Paket wie einen Weihnachtsbaum (engl. Xmas).

NULL Scan Attack

Der Angreifer sendet das illegale Paket mit seinem TCP-Index und der gesamten Kontrolle. Während der TCP-Verbindung und der Datenübertragung werden die Felder auf 0 gesetzt. Pakete mit allen Steuerfeldern, die auf 0 gesetzt sind, werden als illegale Pakete betrachtet. Pakete.

Code (Nmap):

nmap -sN "scanme.nmap.org" ("scanme.nmap.org"<----Ziel----> ohne " ")

Erklärung Setzt keinerlei Bits (der TCP-Flag-Header ist 0).

SYN Paket mit einem Quellport weniger als 1024

Der Angreifer sendet das illegale Paket mit dem Feld TCP SYN, das auf 1 gesetzt ist, und Quellport weniger als 1024.

Blat Attack

Der Angreifer sendet das illegale Paket mit Quellport und Ziel. Port auf Layer 4 gleich und sein URG-Feld auf 1 gesetzt, ähnlich dem Land Angriff wird die Systemleistung des angegriffenen Hosts reduziert, da die Der Host versucht zyklisch, eine Verbindung mit dem Angreifer aufzubauen.

Ping Flooding

Ping-Flooding ist eine DoS-Attacke. Es ist ein gezielter Angriff mit dem die Systemperformance von Servern stark beeinträchtigt wird oder der Server abstürzen kann. Das Ping-Flooding arbeitet wie das Ping-Pong-Verfahren.

Beim Ping-Flooding werden die Server mit unzähligen ICMP-Echo-Requests bombardiert. Durch die hohe Pingzahl sinkt das Antwortverhalten des Servers und die Netzverbindung wird stark belastet.

Besonders erfolgreich sind Ping-Attacken wenn dem Angreifer eine hohe oder höhere Bandbreite zur Verfügung steht als dem Attackierten. Bei ICMP-Datenpaketen belasten die Datenpakete mit den ICMP Echo-Antworten die Bandbreite, wodurch das System abstürzen kann.

Beim Ping Strangeness sendet der Benutzer einen Request als Echo-Request-Paket an eine bestimmte IP-Adresse. Ist die Zieladresse aktiv, sendet sie ein Reply in einem ICMP-Paket an die anfragende Station. Anhand des Zeitstempels des Echo-Reply kann die Round-Trip-Zeit ermittelt werden. Bei ungewöhnlichen Mustern der Reply-Datenpakete sollte diese genauer untersucht werden, da es sich um DoS-Attacken handeln könnte. Eine Variante des Ping-Flooding ist die Smurf-Attacke, die auf die Broadcast-Adresse eines Netzwerks zielt.

SYN/SYN-ACK Flooding

Ein SYN-Flood ist eine Form der Denial-of-Service-Attacke auf Computersysteme.

Der Angreifer verwendet eine gefälschte IP-Adresse, um TCP-Anfragepakete an die Server. Nach Erhalt der Abfragepakete antwortet der Server mit SYN-ACK-Pakete. Da die IP-Adresse gefälscht ist, erfolgt keine Antwort. Der Server sendet weiterhin SYN-ACK-Pakete. Wenn der Angreifer überfließende gefälschte Anforderungspakete sendet, wird die Netzwerkressource sein. Böswillig beschäftigt und die Anfragen der Clients werden abgelehnt.

Mögliche Maßnahmen gegen SYN-Floods:

Der SYN-Cookies-Mechanismus
RST-Cookies
Eine Echtzeitanalyse des Angriffs durch eine intelligente Firewall, welche verdächtige Angriffsmuster automatisch erkennt.
Proxy Server
Recyceln der ältesten halb-offenen TCP Verbindung
SYN Cache

WinNuke Attack

Du bist eines Nachts im IRC und begegnest diesem Kerl. Ihr beide fangt an, euch zu zanken wie ein paar Schulmädchen. Der andere Typ sagte, dass er dich verbrennen wird, also forderst du ihn heraus, es zu tun! Plötzlich stürzt Ihre super K-rad Windows95 Box ab und Sie haben den blauen Bildschirm des Todes. "Was zum Teufel?!" Also, was ist gerade mit deinem Computer passiert? Ist deine Box wegen des anderen Lahmers abgestürzt? Wie hat er den Blue Screen verursacht? Während es üblich ist, einen Blue Screen zu bekommen, war das Timing einfach zu perfekt. Willkommen in der beschissenen Welt der WinNuke Damen und Herren.

Der blaue Bildschirm, den Sie gesehen haben, ist die Visitenkarte für einen jetzt berüchtigten DoS-Angriff (Denial of Service) namens WinNuke. Nur mit Win95 funktioniert es, indem es ein Paket mit "Out of Band"-Daten an den Port 139 des Zielhosts sendet. Zunächst einmal ist Port 139 der NetIOS-Port (siehe rfc1700 für Portzuweisungen) und akzeptiert keine Pakete, es sei denn, das Flag OOB ist im eingehenden Paket gesetzt. Der OOB steht für Out Of Band. Wenn Ihre Maschine dieses Paket akzeptiert, verursacht es einen Absturz Ihres Computers und hinterlässt Ihnen nichts anderes als einen blauen Bildschirm (wenn Sie zuvor Windows verwendet haben, haben Sie diesen blauen Bildschirm wahrscheinlich schon oft gesehen). Da das Programm, das die Pakete annimmt, nicht weiß, wie man mit Out Of Band-Daten angemessen umgeht, tut es das, was jedes gute Microsoft-Programm tut. Es stürzt ab.

Ping of Death

Der "Ping of Death" ist ein veralteter Denial-of-Service (DoS)-Angriff, der moderne Maschinen nicht betrifft. Ursprünglich wurde Mitte der 90er Jahre ein Fehler im TCP/IP-Framework vieler Betriebssysteme entdeckt, bei dem das Senden eines großen Pakets (größer als die maximal zulässige Größe von 65.535 Byte) an eine Zielmaschine dazu führen würde, dass es stark instabil wird, abstürzt oder neu startet.

Dieser Angriff wurde ermöglicht, weil ein so großes Paket auf der Empfangsmaschine wieder zusammengesetzt werden musste. Wenn Paketfragmente zu einem Paket zusammengebaut wurden, das größer als die maximal zulässige Größe von 65.535 Byte auf dem Zielcomputer ist, kam es zu einem Pufferüberlauf, der zu Instabilität, Absturz oder Neustart des Zielcomputers führte.

Smurf Attack

Smurf gehört zu den DoS-Attacken auf ein Netzwerk, die mit Pings arbeiten. Bei der Smurf-Attacke sendet der Angreifer ein oder mehrere ICMP-Datenpakete, Internet Control Message Protocol (ICMP), an die Broadcast-Adresse des Netzwerks.

Smurf-Attacken gehören zur Gruppe der Broadcast Storms, arbeiten aber auf eine etwas andere Weise. Bei einem Smurf Angriff sendet der Angreifer sehr viele ICMP-Pakete (z.B. Ping-Anfragen) an die Broadcast-Adresse eines Netzwerks, so dass dieses Paket von jedem Rechner innerhalb des Netzwerks empfangen wird. Der Angreifer tarnt sich jedoch nicht mit seiner eigenen oder einer nicht-existenten Adresse, sondern mit der Adresse des eigentlichen Opfers. Die ICMP-Anfragen werden nun um die Anzahl der Rechner im Netzwerk vervielfacht; das Netzwerk dient quasi als Sprungbrett. Ist das Netz korrekt konfiguriert, werden die ICMP-Antworten am Router des Netzwerks abgeblockt und gelangen nicht bis zum Rechner des Opfers. Erlaubt das Netz jedoch solche ICMP-Broadcasts gegen aussen, werden die multiplizierten ICMP-Antworten an das Opfer weitergeleitet. Dadurch können Angreifer mit geringer Leitungskapazität (Modem, BA-ISDN) Opfer mit breitbandigen Anschlüssen mit ICMP-Paketen überfluten. Die ICMP-Antworten belegen die gesamte Leitungskapazität und die reguläre Datenkommunikation wird unterbunden. Sehr häufig brechen auch die Server unter diesem Ansturm zusammen und müssen vorübergehend vom Netz getrennt werden. Die Angreifer selbst sind nur sehr schwer zu identifizieren, da sie sich als das Opfer tarnen (IP-Spoofing). Die einzige sichere Abwehr ist, die Administratoren der als Sprungbrett dienenden Netzwerke über ihr Sicherheitsloch zu informieren und zu überzeugen, ihre Netze korrekt zu konfigurieren, um das Nach-Aussen-Leiten von Broadcastpings (ICMP) zu unterbinden.

Quellenangaben

https://www.itwissen.info/Smurf-Attacke-smurf-attack.html

https://www.computerweekly.com/de/ratgeber/TCP-Port-Scanning-Das-sollten-Sie-ueber-die-unterschiedlichen-Techniken-wissen

https://nmap.org/book/scan-methods-null-fin-xmas-scan.html

https://security.radware.com/ddos-knowledge-center/ddospedia/land-attack/#collapseTwo1

https://www.computec.ch/archiv/dokumente/denial_of_service/ddos_attacken_tutorial.pdf