До того как перейти к описанию определенных препаратов, используемых для сканирования портов, требуется уделить слегка времени обзору методов сканирования, известных сейчас. Одним из пионеров претворении в жизнь разных методов сканирования является раньше упоминавшийся Федор (Fyodor). Многочисленные приемы сканирования были реализованы им в утилите nmар. Многие из описанных в этой книжке методов сканирования были предложены самим Федором.
TCP-сканирование подключением (TCP connect scan). При таком типе сканирования производится попытка подключения по протоколу TCP к интересующему нас порту с прохождением полной процедуры согласования параметров (handshake), состоящей в обмене сообщениями SYN, SYN/ACK и АСК. Старания подобного сканирования крайне без труда выявляются. На рис. 2.2 показана диаграмма обмена сообщениями в ходе согласования параметров.
TCP-сканирование при помощи сообщений SYN (TCP SYN scan). Данный способ называется тоже сканированием с незавершенным открытием сеанса (half-open scanning), так как при его использовании полное TCP-соединение не устанавливается. Вместо данного на исследуемый порт отправляется сообщение SYN. Если в реакция поступает сообщение SYN/ACK, это значит, что этот порт располагается в состоянии LISTENING. Если же реакция приходит в виде сообщения RST/ACK, то, чаще всего, это утверждает о том, что исследуемый порт отключен. Получив реакция, компьютер, выполняющий сканирование, отправляет исследуемому узлу сообщение RST/ACK, по этой причине полное соединение не устанавливается. Данный способ обеспечивает более высокую скрытность в сравнении с полным подключением. Многие системы не регистрируют подобные старания, потому они достаточно нередко могут оставаться незамеченными.
Рис. 2.2. При установке TCP-соединения случается обмен 3-мя сообщениями: (1) клиент отправляет серверу пакет SYN, (2) приобретает от сервера пакет SYN/ACK и (3) отправляет серверу пакет АСК
TCP-сканирование при помощи сообщений FIN (TCP FIN scan). В этом случае исследуемой системе отправляется пакет FIN. По документу RFC 793 (http://www.ieff.org/rfc/rfc0793.txt), в реакция узел обязан отослать пакет RST для всех закрытых портов. Этот способ срабатывает лишь для стека протоколов TCP/АЙПИ, реализованного в системе UNIX.
TCP-сканирование по методу "рождественской елочки" (TCP Xmax Tree scan). При использовании этого способа на исследуемый порт отправляются пакеты FIN, URG и PUSH. По документу RFC 793, исследуемый узел в реакция обязан отослать сообщения RST для всех закрытых портов.
TCP нуль-сканирование (TCP Null scan). Данный способ заключается в отправке пакетов с отключенными флагами. По RFC 793, исследуемый узел обязан ответить отправкой сообщения RST для всех закрытых портов.
TCP-сканирование при помощи сообщений АСК (TCP ACK scan). Данный способ дает возможность получить набор правил, используемых брандмауэром. Такое сканирование поможет установить, выполняет ли брандмауэр простую фильтрацию пакетов только конкретных соединений (пакетов с установленным флагом АСК) или обеспечивает расширенную фильтрацию поступающих пакетов.
TCP-сканирование размера окна (TCP Винда scan). Подобный метод дает возможность обнаружить открытые, и фильтруемые/нефильтруемые порты некоторых систем (к примеру, AIX и FREEBSD), в зависимости от полученного размера окна протокола TCP.
TCP-сканирование портов RFC (TCP RFC scan). Данный способ применим лишь для систем UNIX и применяется для выявления портов RFC (Remote Procedure Call - удаленный вызов процедур), соединенных с ними программ и их версий.
А UDP-сканирование (UDP scan). Этот способ состоит в отправке на исследуемый узел пакетов по протоколу UDP. Если в реакция поступает сообщение о том, что порт ICMP недоступен (ICMP port unreachabie), это значит, что соответствующий порт закрыт. В то же время, если подобного сообщения нет, возможно сделать предположение, что этот порт открыт. В связи с тем, что протокол UDP не гарантирует доставки, точность этого способа весьма находится в зависимости от множества факторов, влияющих на применение системных и сетевых ресурсов. К тому же, UDP-сканирование - крайне медленный процесс, что в особенности сказывается при попытках сканирования устройств, в которых реализован мощный алгоритм отбора пакетов. Потому, планируя применять UDP-сканирование, приготовьтесь к тому, что итоги могут оказаться ненадежными. Определенные претворении в жизнь АЙПИ-протокола наделены одним неприятным качеством: пакеты RST отправляются обратно для всех сканируемых портов независимо от того, располагаются ли соответствующие порты в режиме ожидания запросов. Учитывайте данный факт при использовании описанных методов. Хотя в то же время сканирование сканирование и подключением с использованием сообщений SYN могут использоваться для всех узлов.
Главная 