portscan[stealthscan]

Stealthscan

- 3Way Handshaking 연결 기법을 이용한 것이 아님

- TCP 헤더를 조작하여 특수한 패킷을 만들어 스캔 대상의 시스템에 보내어 그 응답으로 포트 활성화 여부를 알아내는 기법

- TCP 헤더를 조작하여 특수한 패킷을 만들어 스캔 대상의 시스템에 보내어 그 응답으로 포트 활성화 여부를 알아내는 기법

- 공격 대상의 시스템 관리자는 어떤 IP를 가진 공격자가 시스템을 스캔 했는지 확인 할 수 없음

 

 

 

1-1. tcp half open scan ($nmap –sS [대상IP] )

- tcp full open scan의 단점인 타겟에 로그가 남는 것을 보안한 기법임

- 타겟으로부터 syn/ack 패킷을 받으면 공격자는 rst패킷을 보내 연결을 강제로 끊음[=완전한세션연결x]

- 로그를 남기지 않아 추적이 불가능 하도록 함

 

칼리가 rst플래그 값보내는 패킷을 확인하기 위해 디스플레이 필터링

rst플래그를 활성화하여 보내는것을 확인

1-2. FIN scan ($nmap –sF [대상IP]) 

- tcp헤더 내에서 fin플래그를 설정하여 공격 대상으로 메시지를 전송

- 포트가 열려있는 경우 응답x <- 정상적으로 포트가 열려있는 경우에는 세션이 연결되지도 않았는데 fin플래그를 보내면 이상하니 응답을 안함

메타에서 열린포트목록

보내는 tcp헤더의 플래그값에 fin이 활성화 된것을 확인

와이어샤크로 확인한 결과 열려있는포트는 응답을안하고 닫혀있는 포트는 응답을 하는것을 확인 할 수 있음

1-3. xmas scan

- tcp헤더내에서 ack, fin, rst, syn, urg 플래그를 모두 설정하여 전송

- 마찬가지로 열린 포트는 응답x

 

1-4. null scan

- tcp헤더 내에 플래그 값을 설정하지 않고 패킷을 전송

- 마찬가지로 열린포트인 경우 응답x