Skanowanie portów
ITpedia
Jednym z kroków ataku jest określenie dostępnych usług: które z nich są w stanie nasłuchu na połączenie TCP lub UDP. W tym celu wykonuje się skanowanie portów.
Identyfikacja portów nasłuchujących pozwoli określić:
- Konfigurację serwisów.
- Wersje oprogramowania pracujące jako dany serwis.
Informacje te są niezbędne do przeprowadzenia skutecznego ataku. Jedną z prostych technik skanowania portów jest metoda TCP connect. Nazwa wywodzi się od funkcji systemowej connect, służącej do nawiązania połączenia z danym portem. Nawiązanie połączenia przebiega w trzech etapach:
- Strona próbująca nawiązać połączenie wysyła pakiet TCP z flagą SYN do docelowego hosta i interesującego ją portu.
- Następnie oczekuje, jaki pakiet zostanie odesłany w odpowiedzi:
- SYN/ACK - zwykle oznacza, że port jest otwarty i jest w stanie nasłuchu (listening).
- RST/ACK - oznacza, że port jest zamknięty i połączenie zostaje zerwane.
Trzystopniowy etap połączenia (three way handshake) jest kończony - jeżeli odebrany został pakiet SYN/ACK - przez wysłanie potwierdzenia odebrania tego pakietu (wysyłanie pakietu potwierdzającego ACK). Połączenie jest zamykane pakietem RST.
Nieco bardziej zaawansowaną metodą jest tzw. Technika półotwarcia - TCP SYN. Technika ta jest odmianą techniki connect. Inicjowana jest tylko połowa procedury połączenia TCP: po wysłaniu pakietu SYN oczekuje się odpowiedzi - jeżeli zostanie otrzymany pakiet SYN/ACK, oznacza to, że port jest otwarty, jeżeli RST/ACK - port jest zamknięty. Po SYN/ACK jest wysyłany natychmiast RST kończący połączenie.
