Page 13

Có thể bạn sẽ thắc mắc điều gì sẽ xảy ra nếu như ICMP bị khóa bởi một vị trí mục tiêu. Một câu hỏi rất hay. Thông thường chúng ta không mấy khi gặp những site được bảo mật kỹ càng lại khóa ICMP tại cầu dẫn hoặc firewall. Khi ICMP có thể bị khóa, ta có thể sử dụng một số công cụ và thủ thuật hỗ trợ nhằm xác định xem hệ thống có thực sự hoạt động không. Tuy vậy những thủ thuật và công cụ này cũng không thể chính xác và hữu ích như một ping sweep thông thường. Khi luồng thông tin ICMP bị khóa, port scanning (quét cổng) là kỹ thuật đầu tiên nhằm xác định những mày chủ đang kết nối trực tiếp. (Quét cổng sẽ được nghiên cứu kỹ trong phần cuối Chương này). Qua thao tác quét đối với các cổng thông thường trên các địa chỉ IP tiềm năng, ta có thể xác định những máy chủ nào đang hoạt động nếu như ta có thể xác định được những cổng mở và nghe trên hệ thống mục tiêu. Thủ thuật này rất tốn thời gian và thường không thu được kết quả như mong muốn. Một công cụ sử dụng nhằm hỗ trợ thủ thuật quét cổng đó là nmap. Như đã đề cập trước đó, nmap có tính năng thực thiện thao thác quét ICMP. Tuy nhiên nó cũng đưa ra sự lựa chọn cao cấp hơn có tên TCP ping scan. Một TCP ping scan được khởi chạy bằng lựa chọn đối số -PT và số của cổng ví dụ như 80. Chúng ta sử dụng 80 là vì đó là cổng thông dụng mà các site sẽ cho phép qua cầu dẫn biên vào những hệ thống trên vùng phi quân sự (DMZ), thậm chí có thể qua cả firewall. Lựa chọn này gửi những gói tin TCP ACK sang một mạng đích và đợi cho tới khi RST xác định là máy chủ đang hoạt động. Các gói tin ACK được gửi đi bởi nó có nhiều khả năng có thể vượt qua được firewall không kiên cố. [tsunami] nmap -sP -PT80 192.168.1.0/24 TCP probe port is 80 Starting nmap V.2.53 Host (192.168.1.0) appears to be up. Host (192.168.1.1) appears to be up. Host shadow (192.168.1.10) appears to be up. Host (192.168.1.11) appears to be up. Host (192.168.1.15) appears to be up. Host (192.168.1.20) appears to be up. Host (192.168.1.50) appears to be up. Host (192.168.1.101) appears to be up. Host (192.168.1.102) appears to be up. Host (192.168.1.255) appears to be up. Nmap run completed (10 hosts up) scanned in 5 seconds

Ta có thể thấy rằng phương pháp này rất hiệu quả giúp xác định hệ thống nào đang hoạt động nếu như site khóa ICMP. Do vậy chúng ta nên thử tiến hành quét lặp lại với một số cổng thông thường như SCTP (25), POP (110), AUTH (113), IMAP (143) hoặc một số loại cổng khác đặc trưng duy nhất cho site này.

Bảo mật mạng và bí quyết giải pháp[bookbooming.com]  
Bảo mật mạng và bí quyết giải pháp[bookbooming.com]  
Advertisement