Ev  |  Erişimdüzeni  |  İçindekiler  |  Arama

Convert to GutenPalm or to PalmDoc tarafından Danilo Lujambio İçerik: TCP ile tarama yapmak, TCP'nin üçlü elsikisma (-sT seçenegi) SYN kullanilarak tarama yapmak (yari açik, -sS seçenegi) FIN kullanilarak tarama yapmak Tcpdump programinin faydali özelligi TCP (RFC 793) Sonuç Referanslar Bu yazı için görüş bildiriminde bulunabilirsiniz

Nmap ile ögrenme

Çeviri : Erdal MUTLU

Özet:

Ağ güvenliği için tarayıcıların önemi neden bu kadar fazladır? Bunun nedeni, sisteme saldıracak kişilerin vazgeçilmez araçları olduklarındandır. Bir saldırganın sisteme saldırmadan önce yaptığı hazırlıklar aşağıdaki gibidir :

• Hedef olan bilgisayarı veya ağı tara, hangi hizmetlerin sunulduğunu veya açık oldugunu ve hangi işletim sistemlerinde çalıştıklarına bakın ve bilinen bazı açıkların olup olmadığını denetle.
• Bilinen bir açığın ağ üzerinde veya bilgisayarlarin kullandigi isletim sistemlerinde olup olmadigini arastir. Tarama sirasinda bilinen sistem açiklari olan hizmetlerin sürüm numaralari bu sistemlerde olup olmadigina bak.

Sistem güvenligine önem veren sistem yöneticilerin, niyetleri iyi olmayanlarin sistem açiklarini kesfetmeden önce kendi sistemlerinde açik olup olmadigini sürekli denetlemeleri çok önemlidir.

Bu is için yazilmis birçok tarayici vardir. Ancak bu makalede nmap adli tarayicidan söz edecegiz. Nmap güvenlik araçlari ve tarayicilari arasinda en yeterli olanidir.

Nmap sayesinde sistem yöneticileri ag üzerinde tarama yaparak, hangi sunucularin hangi hizmetleri sunduklarini ögrenebilmektedirler. Bunun için nmap birçok teknik kullanmaktadir. Bu makalede bunlardan sinirli sayidakiler üzerinde çalisma yapacagiz. Bu arada TCP protokolünün bazi konularini gözden geçirecegiz veya ögretecegiz.

Bu makalenin stratejisi, sistemler hakkinda bilgi toplamak ve bunun paralelinde hedef sistem üzerinde tarama yapilacak yollari bulmak için, nmap programinin en çok kullanilan seklini göstermek olacaktir.

Nmap programini www.insecure.org adresinden edinmek mümkündür. Programi elde ettikten sonra asagidaki komutlari çalistirin:

tar zxvf nmap-2.30BETA17.tgz
cd ...../nmap-2.30BETA17/
./configure
make
make install

Nmap programinin çiktilari genellikle hedef bilgisayardaki "ilginç" (açik) olan portlarin bir listesi olmaktadir. Sunulan hizmetin adi, durumu ve hangi protokol oldugu bu portlardan ögrenmek mümkündür.

TCP ile tarama yapmak, TCP'nin üçlü elsikisma (-sT seçenegi)

Nmap ile tarama yapmanin en basit yolu -sT seçenegi ile olmaktadir. Bu yöntem TCP protokolündeki baglanti kurma yöntemine dayandirilmaktadir ve buna üçlü elsikisma adi verilmektedir. [1] nin adimlari kabaca asagidaki gibidir :

1. Sunucu baglanti kabul etmek için hazir olmak zorundadir (genellikle socket, bind ve listen fonksiyonlari yardimiyla).
2. Istemci connect() fonksiyonu yardimiyla aktif baglanti kurmaya baslamaktadir. Bu, istemcinin gönderecegi verilerin baslangiç sira numarasini haberdar etmek için sunucuya SYN paketi göndermektedir. SYN genellikle IP basligi - TCP basligi ve belki de bazi TCP seçenekleri içermektedir.
3. Sunucu aldigi SYN'ye karsilik SYN'in ve sira numarasinin da içerildigi (ayni TCP paketinde) bir ACK onaylama paketini istemciye göndermelidir.
4. Istemci sunucudan aldigi SYN'yi ACK ile onaylamalidir.

Bu sekilde tarama yapmanin iki avantaji vardir:

• hizlidir (nmap'in yavas baglantilarda kullanilmak üzere analiz yapmama seçenekleri de vardir.)
• taramanin yapildigi bilgisayarda özel haklara gereksinim yoktur

Nmap programinin -sT seçeneginin neler yaptigini hedef bilgisayarda tcpdump komutu yardimiyla görecegiz. Nmap 192.168.255.20 IP numarali bilgisayardan, house2.xxx.xxx.xxx bilgisayarina yöneltilmis olarak Ethernet ag üzerinden çalistirilmaktadir.

Bu sekilde nmap programinin hedef bilgisayarinin 110 (pop3) nolu portunun açik oldugunu nasil yakaladigini görmekteyiz.

Yukarida da belirtildigi gibi bu sekilde yapilan tarama yöntemini /var/log/messages dosyasina 5-8. satirlarindakine karsilik yazmis oldugu (bu tabii syslog.conf'taki ayarlara baglidir) asagidaki satirlardan anlasilmaktadir:

May 6 08:24:01 house2 in.pop3d[205]: connect
from root@192.168.255.20

SYN kullanilarak tarama yapmak (yari açik, -sS seçenegi)

Bu tarama sekli nmap programini -sS seçenegi ile çalistirildiginda olmaktadir. Kullanilan teknik, "yari baglanti" (: biz bir SYN gönderiyoruz ve eger ACK alirsak, hedef bilgisayarin bu portunun aktif oldugunu tespit etmekteyiz. Sonunda RESET göndererek baglantiyi kapatmaktayiz.) açmaktan geçmektedir. Eger, ACK yerine RST (RESET) alirsak, hedef bilgisayarin bu portunun kapali oldugu sonucuna varabiliriz. Bu tarama yönteminin dezavantaji root haklarina sahip olmayi gerektirmesidir. Ancak, karsi tarafin sizi farketmesi zorlasmaktadir.

Nmap programin yaptiklarini yukaridakine benzer bir analiz ile inceleyelim.Yine tcpdump programindan yararlanacagiz ve satirlari anlatim kolayligi açisindan numaralandiracagiz.

house2 bilgisayari üzerinde yapilan bu tarama, /var/log/messages dosyasina daha önce de belirtildigi gibi yansimamistir.

FIN kullanilarak tarama yapmak

Bu tarama yöntemi, hedef bilgisayarlarin kapali olan portlara FIN paketi gönderildiginde RST ile cevap verme gerçegine dayandirilmaktadir. Böylece, açik olan portlarin listesini, cevap almadigimiz portlardan olusturabiliriz. Microsoft yüklü bilgisayarsayarlarinda bu yöntem geçerli olmamaktadir. Çünkü, Microsoft TCP protokolunü standartlara uygun olarak uygulamamistir.

-sF, -sX ve -sN olmak üzere nmap'in kullandigi üç benzer yöntem vardir. Biz burada -sF seçenegini inceleyecegiz.

1. ve 2. satirlarda FIN paketinin hedef bilgisayardaki hareketleri görülmektedir. FIN 1. satirda (864 port numarasindan sonraki F dikkat ediniz) paketine karsilik 2. satirda hedef bilgisayar RST (2. satirdaki 35600 den sonraki R harfine dikkat ediniz.) paketini göndermistir. Böylece nmap programi hedef bilgisayardaki 864 portunun kapali oldugunu anlamaktadir.

3. ve 4. satirlar house2 bilgisayarindaki pop3 portunu örnek olarak göstermektedir. 3. satirda hedef bilgisayara FIN gönderilmis, ancak cevap alinamamistir. 4. satir ise, bir sürpriz, nmap programi porttan cevap alamayinca bir FIN paketi daha göndermistir, ancak sonuç olarak buna da cevap alamayacaktir. Bunun nedeni ise pop3 portunun açik olmasidir.

Tcpdump programinin faydali özelligi

"Üçlü elsikisma tarama yöntemi" bölümünde tarama yapildiginda arkasinda iz biraktigini, yani sistem loglarinda kayit tutuldugunu gördük. Daha sonra ise, -sS ve -sF seçenekleri kullanilmasiyla geride hiçbir iz kalmadigini da gördük. Bu sekilde yapilan saldirilari gözleyebilmek için tcpdump programindan yararlanabiliriz. Ancak, tcpdump programinin büyük bir dezavantaji, çok sayida veri üretmesidir ve bunun için çok fazla yere ihtiyaç vardir. Ayrica, bu verileri incelemek de oldukça zor ve zaman alici bir islemdir. Burada, olusan verileri aza indirmek ve incelemeyi kolaylastirici hale getirmek için, filtre özelligi tasiyan bazi ifadeler kullanilmistir.

Ifadelerin kolayca anlasilmasini saglamak için TCP'nin [2] paket yapisi gösterilmistir.

TCP (RFC 793)

0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|          Source Port          |        Destination Port       |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                         Sequence Number                       |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                      Acknowledgement Number                   |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|Offset |  Reserver |U|A|P|R|S|F|             Window            |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|           Checksum            |         Urgent Pointer        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                  Options                      |    Padding    |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                              Data                             |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

Sekilden de görüldügü gibi, 13. byte SYN, FIN vs. parametrelerin bulundugu yeri göstermektedir. Bu bilgiden hareketle ve ve (&) operatörü ile, bu parametreleri yakalayacak ifadeler için maskeler olusturabiliriz. Buna göre

tcpdump ' tcp[13] & 7 != 0 and dst 192.168.255.20 ' > /tmp/out7

ifadesi, aktif olan R,S ve F bitlerin (00000111 maskesi yardimiyla) yer aldigi 192.168.255.20 (tabi bu IP tespit edildikten sonra) bilgisayarindan gelen paketleri yakalamamizi saglamaktadir.

tcpdump ' tcp[13] & 1 != 0 and dst 192.168.255.20 ' > /tmp/out1

kullanilarak, nmap programinin -sF seçenegi ile çalistirilmasi halinde, aktif olan FIN bitlerinin (00000001 maskesi yardimiyla) yer aldigi paketleri yakalayabiliriz.

tcpdump ' tcp[13] & 2 != 0 and dst 192.168.255.20 ' > /tmp/out2

ifadesi yardimiyla da, nmap programini -sS seçenegi ile kullanilmasi durumunda aktif olan SYN bitlerinin yer aldigi paketleri yakalayabiliriz.

En son anlatilan (-sS seçenegi) grubu tarama yöntemi için, [3]'de kullanilabilecek çesitli programlar verilmistir.

Sonuç

Nmap gibi programlar sistem güvenligini saglamada çok faydali rol oynamaktadir. Bunlar sayesinde sisteme saldiracak kisilerin gözüyle ag üzerinde inceleme yapilabilmektedir. Nmap programinin kullandigi seçeneklerden çok az bir kismi üzerinde durduk. Ancak umariz ki bu bilgi ag üzerinde tarama yapma konusunda sizlere yardimci olmustur.

Referanslar

[1] W. Richard Stevens Unix Network Programming Volume 1
[2] RFC 793
[3] nmap programiyla birlikte gelen belgelere bakiniz.

Bu yazı için görüş bildiriminde bulunabilirsiniz

2001-07-23, generated by lfparser version 2.17