scanning Flashcards
Stealth portscan
half-open scan/ SYN scan.
Somente os pacotes com a flag SYN sao mandados, nao se completa o handshake, ou seja, nao ha conexao (furtivo). Se espera a mesma resposta que a conexao completa
arquivo SAM
contem as senhas das contas locais do windows (encriptadas)
tipos de scan de porta
sao definidos por 3 caracteristicas: flags, respostas esperadas, stealthy
full connect stealth inverse tcp flag xmas ACK probe IDLE
NetBIOS name
string de 16 caracteres ASCII.
Os 15 caracteres definem o nome, o 16 eh reservado para o tipo de servico
TFTP
69udp
tipos de portas
well-known 0-1023
regisered 1024-49.151
dynamic 49.152-65.535
Direitos de usuario/ permissoes
Capacidades de realizar ACOES no sistema / determina quais RECURSOS um usuario pode acessar
tipos ICMP
0: echo reply
3: destination unreachable(codigos 0,1,6,7,9,10,13)
8: echo request (ping)
11: time exceeded (codigo 0 -> TTL expirado)
ACK probe portscan
2 versoes: envia a flag ACK e observa o cabecalho TTL ou Window.
Se o TTL do pacote RST retornado for menor que 64 a porta esta aberta.
Se o tamanho WINDOW for qualquer valor diferente de zero, a porta esta aberta
Banner Grabbing definicao
Enviar requisicoes nao-solicitadas para portas abertas com a intencao de ver se alguma resposta padrao (banner) eh retornada.
Metodo comum, telnet, netcat
Codigos NetBIOS
nbtstat Codigo Tipo 1B UNIQUE 1C UNIQUE 1D GROUP 1E GROUP participa do NetBIOS 00 UNIQUE nome do pc 00 GROUP nome dominio 03 UNIQUE 20 UNIQUE compartilhamento de impressora e arquivos ativado
XMAS portscan
Todas as flags estao ativadas. As respostas sao as mesmas que o inverse TCP scan.
Nao funcionam em maquinas Windows
UDP scan
envia uma udp para uma porta e analisa a resposta. Se nao houver handshake a posta esta aberta. Se ela estiver fechada, voce recebera uma msg ICMP port unreachable
DNS
53 udp
tamanho cabecalho udp
8bytes (porta origem, destino, tamanho, checksum)
DHCP
67 udp
Banner Grabbing realizacao
nc
telnet
payload do ICMP
normalmente somente codigo ascii suficiente para preencher o pacote
SID/ RID
Metodo pelo qual o Windows associa uma conta a suas permissoes e direitos (Security Id/ Resource Id) 500 -> admin
todos os usuarios criados para o sistema comecam no 1000
flags do cabecalho tcp
syn (sincronizar, indica negociacao de parametros e numeros de sequencia)
ack (reconhecimento da flag syn, esta presente em todos os segmentos apos a flag syn inicial)
rst (forca a finalizacao da comunicacao)
fin (fechamento da comunicacao)
psh (forca a entrega de informacoes antes do buffer ser carregado)
urg (indica que a informacao que esta sendo enviada esta fora da banda)
NetBIOS
137-139 tcp e udp
Packet Builder
programa para construir pacotes
NetBIOS
Network Basic Input Output System.
Basicamente promove 3 servicos para um segmento de rede: nome, comunicacao connectionless, e algumas coisas da camada de sessao
strings padrao SNMP
read-only -> public
read-write -> private
alguns equipamentos possuem outras strings padrao. Vale a pena conferir antes
Dois tipos de objeto no SNMP
Scalar -> define um unico objeto
Tabular -> define multiplos objetos agrupados juntos em tabelas MIB
metodologia de scanning
1 Achar sistemas ativos 2 achar portas abertas 3 scan alem dos IDS 4 banner grabbing -> descobrir qual o sistema operacional das maquinas e os servicos rodando 5 scan vulnerabilidades 6 Diagrama da rede 7 Preparar proxies (se manter anonimo)
Full Connect portscan
realiza o 3-way-handshake em todas as portas.
Portas abertas vao responder com o SYN/ACK e portas fechadas com o RST.
Inverse tcp flag portscan
Utiliza as flags FIN, URG ou PSH. Se a porta estiver aberta, nao havera resposta, se estiver fechada, a resposta sera um RST/ACK
SMB
445 tcp
estado de porta CLOSE_WAIT/ TIME_WAIT
close_wait mostra que o lado remoto da conexao esta fechado enquanto time_wait significa que o nosso lado da conexao foi fechado. A conexao eh mantida aberta por um tempo para que pacotes atrasados sejam recebidos
LDAP
389 tcp e udp
para que servem os numero de sequencia?
manter a legitimidade e unicidade da comunicacao/sessao
RPC
135 tcp
IDLE portscan
utiliza um endereco IP spoofado
