Bài giảng môn Hệ điều hành mạng

Module 1: Sniffers Phạm Minh Thuấn NỘI DUNG Định nghĩa1 Các kiểu Sniff2 Các biện pháp phòng chống Sniff3 Các công cụ sử dụng trong Sniff và ARP4 1. Định nghĩa Sniff là hình thức nghe lén trên hệ thống mạng, dựa trên những đặc điểm của cơ chế TCP/IP Sniff có thể là phần mềm hoặc thiết bị được sử dụng để chụp lại các thông tin lưu thông qua mạng Sử dụng Sniff để lấy cắp các thông tin:  Tài khoản  Mật khẩu  Các thông tin nhạy cảm khác Giao thức có thể Sniff Các giao thức dễ bị Sniff:  Telnet và Rlogin: Username và Password.  HTTP: Dữ liệu được gửi đi dưới dạng rõ.  SMTP: Password và dữ liệu được gửi đi dưới dạng rõ.  NNTP: Password và dữ liệu được gửi đi dưới dạng rõ.  POP: Password và dữ liệu được gửi đi dưới dạng rõ.  FTP: Password và dữ liệu được gửi đi dưới dạng rõ.  IMAP: Password và dữ liệu được gửi đi dưới dạng rõ.  2. Các kiểu Sniff Passive Sniff Môi trường:  Chủ yếu hoạt động trong môi trường không có các thiết bị chuyển mạch gói.  Phổ biến hiện nay là các mạng sử dụng Hub, các mạng không dây. Cơ chế hoạt động:  Dựa trên cơ chế Broadcast gói tin thông qua Hub Đặc điểm:  Khó phát hiện Active Sniff Môi trường:  Chủ yếu hoạt động trong môi trường có các thiết bị chuyển mạch gói  Phổ biến hiện nay là các mạng sử dụng Switch Cơ chế hoạt động:  Sử dụng cơ chế ARP Spoofing và MAC Flooding Đặc điểm:  Chiếm nhiều băng thông mạng  Có thể dẫn đến nghẽn mạng hay gây quá tải trên chính NIC của máy đang dùng Sniff Address Resolution Protocol (ARP) Là giao thức lớp mạng được sử dụng để chuyển đổi từ địa chỉ IP sang địa chỉ vật lý (MAC). Để có được địa chỉ vật lý, host thực hiện broadcast một ARP request tới toàn bộ mạng. Host nhận được ARP request sẽ gửi trả lại yêu cầu với địa chỉ IP và địa chỉ MAC của mình. ARP Spoofing MAC Flooding 3. Các biện pháp phòng chống Sniff Active Sniff (quản trị):  Công cụ: • Kiểm tra băng thông: Do khi Sniff có thể gây nghẽn mạng. • Bắt gói tin: Các Sniffer phải đầu độc ARP nên sẽ gửi ARP đi liên tục, nếu dùng các công cụ này có thể thấy được ai đang Sniff trong mạng.  Thiết bị: • Lọc MAC • Sử dụng VLAN Trunking, Port Security với Switch  Cấu hình SSL 3. Các biện pháp phòng chống Sniff Active Sniff (người dùng):  Sử dụng ARP dạng tĩnh  Sử dụng công cụ phát hiện Sniff  Tắt chức năng NetBios 3. Các biện pháp phòng chống Sniff Passive Sniff:  Thay việc sử dụng Hub bằng sử dụng Switch 4. Một số công cụ sử dụng trong Sniff và ARP Wireshark Cain & Abel Ethereal Switch Sniffer Wireshark Cain & Abel Ethereal Switch Sniffer Module 2: Scanning Phạm Minh Thuấn www.themegallery.com NỘI DUNG Định nghĩa Scanning1 Các kiểu Scanning2 Các bước Scanning3 Các công cụ sử dụng để Scanning4 1. Định nghĩa Scanning Scanning là một trong ba giai đoạn Information Gathering mà Hacker cần thực hiện trước khi tiến hành một cuộc tấn công Các thông tin cần tìm kiếm trong giai đoạn Scanning: www.themegallery.com  Địa chỉ IP của hệ thống đích  Hệ điều hành  Kiến trúc hệ thống  Các cổng mở và các dịch vụ đang chạy trên hệ thống 2. Các kiểu Scanning  Có 3 kiểu Scanning:  Port Scanning: Quét cổng để xác định cổng/dịch vụ đang trong trạng thái active  Network Scanning: Quét dải mạng để xác định các host trên mạng đang hoạt động  Vulnerability Scanning: Quét lỗ hổng của hệ điều hành, của các ứng dụng đang hoạt động 3. Các bước Scanning 3. Các bước Scanning  Checking for live system:  Sử dụng giao thức ICMP: Ping  Có thể tham tham số -t để ping không giới hạn  Check for Open Ports:  Áp dụng cơ chế bắt tay ba bước  Sử dụng các Flag trong gói tin TCP khi quét theo kiểu TCP  Xác định gói tin ICMP type 3 code 3 khi quét theo kiểu UDP  Identity Services:  Dựa vào các Open Ports để xác định Service  Banner Grabbing/OS Fingerprinting  Sử dụng Telnet  Sử dụng công cụ: Nmap, SuperScan,  Scan for Vulnerability  Sử dụng công cụ để phát hiện ra điểm yếu: Nessus, Retina, GFI LANGuard, Acunetix, Cấu tạo gói tin TCP  SYN: Yêu cầu kết nối giữa hai máy tính  ACK: Trả lời kết nối hai máy tính có thể bắt đầu thực hiện  FIN: Kết thúc quá trình kết nối giữa hai máy tính  RST: Kết nối không thể sử dụng  PSH & URG: Thiết lập độ ưu tiên Cơ chế bắt tay ba bước Bước 1: Client bắn đến Server một gói tin SYN Bước 2: Server trả lời tới Client một gói tin SYN/ACK Bước 3: Client nhận được gói tin SYN/ACK sẽ gửi lại server một gói ACK.  Quá trình trao đổi thông tin giữa hai máy bắt đầu Các kiểu Port Scanning SYN Scan FIN Scan NULL Scan XMAS Scan TCP Connect Scan ACK Scan RPC Scan Windows Scan FTP Scan  TCP Scan: Các kiểu Port Scanning Nếu một port bị đóng, khi Server nhận được gói ICMP từ client nó sẽ cố gắng gửi một gói ICMP type 3 code 3 port với nội dung là “unreachable” về Client. UDP Scan: 4. Các công cụ sử dụng để Scanning Nmap Super Scan Retina Network Security Scanner Nessus Acunetix Web Vulnerability GFI LANGuard Network Security Nmap –sT: TCP scan –sU: UDP Scan –sP: Ping Scan –sF: FIN Scan –sX: XMAS Scan –sN: NULL Scan –sV: Scan tên các ứng dụng và version –SR: RPC Scan Cấu trúc: nmap [Scan Type(s)][Option] -O: Scan hệ điều hanh -P: Giải Port sử dụng để Scan -V: Sử dụng Scan 2 lần -P0: Không sử dụng Ping để Scan -6: Scan IPv6 Super Scan  Có thể sử dụng để quét 1 địa chỉ hoặc quét 1 dải địa chỉ  Có thể sử dụng để quét theo kiểu Ping, Banner Grabbing, Retina Network Security Scanner Là công cụ sử dụng để phát hiện ra các máy đang hoạt động trong mạng, quét lỗ hổng của hệ điều hành và lỗ hổng trên ứng dụng Acunetix Web Vulnerability Là công cụ được sử dụng để phát hiện ra các lỗ hổng của Website Module 3: Footprinting Phạm Minh Thuấn NỘI DUNG Giới thiệu về Footprinting1 Phương pháp thực hiện Footprinting2 Các công cụ được sử dụng trong Footprinting3 Google Hacking4 1. Giới thiệu về Footprinting  Footprinting là kỹ thuật giúp tìm kiếm thông tin về một doanh nghiệp, cá nhân hay tổ chức.  Footprinting là một trong 3 giai đoạn cần phải làm trước khi thực hiện một cuộc tấn công.  Một kẻ tấn công dành 90% thời gian cho việc tìm kiếm thông tin về mục tiêu tấn công và 10% khác để thực hiện tấn công.  Kết quả của quá trình Footprinting là lấy được các thông tin cơ bản của mục tiêu tấn công:  Tên, địa chỉ công ty  Website công ty  Các thành viên trong công ty  Sơ đồ mạng 1. Giới thiệu về Footprinting Các thông tin cần tìm kiếm cụ thể: 2. Phương pháp thực hiện Footprinting Có 2 phương pháp thực hiện Footprinting:  Passive Footprinting • Tìm kiếm thông qua các bài báo, trang web, hoặc từ các đối thủ với mục tiêu,  Active Footprinting • Liên hệ trực tiếp với mục tiêu, tìm hiểu các thông tin cần thiết 2. Phương pháp thực hiện Footprinting Website: www.google.com www.whois.net www.tenmien.vn www.archive.org Whois: Microsoft.com Whois Vietnam: actvn.edu.vn Archive: Ngoài ra còn rất nhiều các Website khác:        2. Phương pháp thực hiện Footprinting 3. Các công cụ được sử dụng trong Footprinting Sam Spide Super Email Spider VitualRoute Trace Google Earth Whois Site Digger Maltego . Sam Spade Cho phép người sử dụng có thể thực hiện các hành động:  Ping  Nslookup  Whois  Traceroute  Super Email Spider Tìm kiếm thông tin về địa chỉ Email của cơ quan/ tổ chức sử dụng Search Engine:  Google  Lycos  iWon  Exiter  Hotbot  MSN  AOL  VitualRoute Trace Hiển thị đường kết nối và địa chỉ, khu vực đường kết nối đi qua. Maltego Là công cụ được sử dụng để phát hiện ra các liên kết giữa:  Người sử dụng  Cơ quan  Tổ chức  Website  Domain  Dải mạng  Địa chỉ IP 4. Google Hacking  Google Hacking là gì?  Là thuật ngữ được sử dụng khi Hacker tìm cách tìm lỗ hổng của mục tiêu hoặc dữ liệu nhạy cảm thông qua bộ máy tìm kiếm Google.  Google Haking Database là một cơ sở dữ liệu lưu trữ những câu lệnh để thực thi nhiệm vụ trên.  Hacker có thể làm được gì?  Tìm ra các lỗ hổng của Server: Lỗi phiên bản, bug,  Các thông tin nhạy cảm từ các thông báo đưa ra  File chứa mật khẩu  Thư mục nhạy cảm: thư mục chứa code lỗi,  Trang đăng nhập vào hệ thống  Trang chứa thông tin về cấu hình mạng, firewall như log firewall, 4. Google Hacking Những cú pháp tìm kiếm nâng cao với Google: [intitle:]  Giúp Google giới hạn kết quả tìm kiếm về những trang có chứa từ đó trong tiêu đề.  VD: intitle:login password, allintitle:login password [inurl:]  Giới hạn kết quả tìm kiếm về những địa chỉ URL có chứa từ khóa tḿ kiếm.  VD: inurl:etc/password, allinurl:etc/password [site:]  Giới hạn Google chỉ truy vấn những từ khóa xác định trong một site hoặc tên miền riêng biệt.  VD: site:actvn.edu.vn [filetype:]  Giới hạn Google chỉ tìm kiếm những files trên internet có phần mở rộng riêng biệt (như: doc, pdf hay ppt v.v...)  VD: filetype:doc 4. Google Hacking [link:]  Liệt kê những trang web mà có các liên kết đến đến những trang web chỉ định  VD: link:www.securityfocus.com [intext:]  Tìm kiếm các từ trong một website riêng biệt.  VD: intext:hacker  Một số thuật ngữ kết hợp sử dụng trong Google Hacking:  Index of /admin  Index of /passwd  Index of /password  Index of /mail  "Index of /" +passwd  "Index of /" +password.txt  "Index of /" +.htaccess  "Index of /secret“  "Index of /confidential“  "Index of /root“  "Index of /cgi-bin“  "Index of /credit-card“  "Index of /logs“  "Index of /config" 4. Google Hacking Các công cụ sử dụng trong Google Hacking:  Gooscan  GoogleHacks  Sige Digger Website GHDB: www.hackersforcharity.org Module 4: System Hacking Phạm Minh Thuấn NỘI DUNG Xác thực - Authentication1 Các phương pháp xác thực trong Windows2 Các kiểu tấn công Password3 Các công cụ sử dụng trong System Hacking4 1. Xác thực - Authentication Là một quá trình nhận dạng người sử dụng Hầu hết các phương thức xác thực dựa trên:  Những gì bạn biết (Username & Password)  Những gì bạn có (Smart Card, Certificated)  Những gì là bạn (Vân tay, mống mắt, ) 2. Các phương pháp xác thực trong Windows LM, NTLMv1 và NTLMv2 Attribute LM NTLMv1 NTLMv2 Password case sensitive No Yes Yes Hash key length 56bit + 56bit - - Password hash algorithm DES (ECB mode) MD4 MD4 Hash value length 64bit + 64bit 128bit 128bit C/R key length 56bit + 56bit + 16bit 56bit + 56bit + 16bit 128bit C/R algorithm DES (ECB mode) DES (ECB mode) HMAC_MD5 C/R value length 64bit + 64bit + 64bit 64bit + 64bit + 64bit 128bit Xác thực LM và NTLM Xác thực Kerberos 3. Các kiểu tấn công Password Các kiểu Password:  Password chỉ chứa ký tự: ABCDEF, abcdef  Password chỉ chứa số: 01234567  Password chỉ chứa các ký tự đặc biệt: !@#$%^  Password chỉ chứa ký tự và số: abc123def  Password chỉ chứa ký tự và ký tự đặc biệt: abc!@#  Password chỉ chứa ký tự đặc biệt và số: !@#1234  Password chứa cả ký tự, số và ký tự đặc biệt: Ab5!@3fT Các kiểu tấn công:  Passive Online Attack  Active Online Attack  Offline Attack Passive Online Attack 1. Nghe lén trên đường truyền: Sniffing 2. Đợi cho đến khi có hành động xác thực 3. Bắt các gói tin có chứa yêu cầu xác thực Ưu điểm:  Khó phát hiện  Không tốn nhiều công sức Nhược điểm:  Khó thành công  Kẻ tấn công phải là người bên trong mạng  Tiêu tốn nhiều băng thông Active Online Attack Thử các Password khác nhau cho tới khi tìm được 1 Password đúng Ưu điểm:  Dễ thực hiện  Thành công với các mật khẩu dễ đoán Nhược điểm:  Khó thành công  Tốn nhiều thời gian  Cần thử một lượng lớn mật khẩu  Dễ bị phát hiện Offline Attack Truy cập vào hệ thống copy file chứa thông tin người sử dụng về: SAM Sử dụng một số biện pháp để crack password:  Dictionary Attack  Hybird Attack  Brute-force Attack Ưu điểm:  Dễ thành công kể cả với các Password mạnh Nhược điểm:  Tốn nhiều thời gian  Khó thực hiện 4. Một số công cụ sử dụng trong System Hacking Cain & Abel L0phtCrack WinPassword Pro PWDump OphCrack CHAOS Generator Cain & Abel Là công cụ cho phép bắt gói tin đi qua theo giao thức:  FTP  HTTP  IMAP  Telnet  Có thể sử dụng để crack các mật khẩu mã hóa. Có thể crack mật khẩu từ file SAM hoặc file dump. L0phtCrack  Là công cụ được sử dụng để crack password từ:  Local  Máy tính khác trong mạng  File SAM  File PWDump  File chương trình tự Sniff  .  Crack Password theo kiểu:  Dictionary  Hybird  Brute Force WinPassword Pro Là công cụ được sử dụng để Crack Password, tương tự L0phtCrack. Có thể Crack Password theo kiểu:  Brute Force  Dictionary PWDump Là công cụ cho phép xem và trích xuất file SAM của Windows CHAOS Generator Là công cụ cho phép sinh ra các từ ngẫu nhiên Chiều dài từ sinh ra phụ thuộc vào phần Length người sử dụng nhập vào Có thể sinh ra các từ chỉ chứa các ký tự in, ký tự thường, số, ký tự đặc biệt hoặc kết hợp.