Ev  |  Eri�imd�zeni  |  ��indekiler  |  Arama

Convert to GutenPalm or to PalmDoc taraf�ndan Danilo Lujambio ��erik: TCP ile tarama yapmak, TCP'nin ��l� elsikisma (-sT se�enegi) SYN kullanilarak tarama yapmak (yari a�ik, -sS se�enegi) FIN kullanilarak tarama yapmak Tcpdump programinin faydali �zelligi TCP (RFC 793) Sonu� Referanslar Bu yaz� i�in g�r�� bildiriminde bulunabilirsiniz

Nmap ile �grenme

�eviri : Erdal MUTLU

�zet:

A� g�venli�i i�in taray�c�lar�n �nemi neden bu kadar fazlad�r? Bunun nedeni, sisteme sald�racak ki�ilerin vazge�ilmez ara�lar� olduklar�ndand�r. Bir sald�rgan�n sisteme sald�rmadan �nce yapt��� haz�rl�klar a�a��daki gibidir :

• Hedef olan bilgisayar� veya a�� tara, hangi hizmetlerin sunuldu�unu veya a��k oldugunu ve hangi i�letim sistemlerinde �al��t�klar�na bak�n ve bilinen baz� a��klar�n olup olmad���n� denetle.
• Bilinen bir a����n a� �zerinde veya bilgisayarlarin kullandigi isletim sistemlerinde olup olmadigini arastir. Tarama sirasinda bilinen sistem a�iklari olan hizmetlerin s�r�m numaralari bu sistemlerde olup olmadigina bak.

Sistem g�venligine �nem veren sistem y�neticilerin, niyetleri iyi olmayanlarin sistem a�iklarini kesfetmeden �nce kendi sistemlerinde a�ik olup olmadigini s�rekli denetlemeleri �ok �nemlidir.

Bu is i�in yazilmis bir�ok tarayici vardir. Ancak bu makalede nmap adli tarayicidan s�z edecegiz. Nmap g�venlik ara�lari ve tarayicilari arasinda en yeterli olanidir.

Nmap sayesinde sistem y�neticileri ag �zerinde tarama yaparak, hangi sunucularin hangi hizmetleri sunduklarini �grenebilmektedirler. Bunun i�in nmap bir�ok teknik kullanmaktadir. Bu makalede bunlardan sinirli sayidakiler �zerinde �alisma yapacagiz. Bu arada TCP protokol�n�n bazi konularini g�zden ge�irecegiz veya �gretecegiz.

Bu makalenin stratejisi, sistemler hakkinda bilgi toplamak ve bunun paralelinde hedef sistem �zerinde tarama yapilacak yollari bulmak i�in, nmap programinin en �ok kullanilan seklini g�stermek olacaktir.

Nmap programini www.insecure.org adresinden edinmek m�mk�nd�r. Programi elde ettikten sonra asagidaki komutlari �alistirin:

tar zxvf nmap-2.30BETA17.tgz
cd ...../nmap-2.30BETA17/
./configure
make
make install

Nmap programinin �iktilari genellikle hedef bilgisayardaki "ilgin�" (a�ik) olan portlarin bir listesi olmaktadir. Sunulan hizmetin adi, durumu ve hangi protokol oldugu bu portlardan �grenmek m�mk�nd�r.

TCP ile tarama yapmak, TCP'nin ��l� elsikisma (-sT se�enegi)

Nmap ile tarama yapmanin en basit yolu -sT se�enegi ile olmaktadir. Bu y�ntem TCP protokol�ndeki baglanti kurma y�ntemine dayandirilmaktadir ve buna ��l� elsikisma adi verilmektedir. [1] nin adimlari kabaca asagidaki gibidir :

1. Sunucu baglanti kabul etmek i�in hazir olmak zorundadir (genellikle socket, bind ve listen fonksiyonlari yardimiyla).
2. Istemci connect() fonksiyonu yardimiyla aktif baglanti kurmaya baslamaktadir. Bu, istemcinin g�nderecegi verilerin baslangi� sira numarasini haberdar etmek i�in sunucuya SYN paketi g�ndermektedir. SYN genellikle IP basligi - TCP basligi ve belki de bazi TCP se�enekleri i�ermektedir.
3. Sunucu aldigi SYN'ye karsilik SYN'in ve sira numarasinin da i�erildigi (ayni TCP paketinde) bir ACK onaylama paketini istemciye g�ndermelidir.
4. Istemci sunucudan aldigi SYN'yi ACK ile onaylamalidir.

Bu sekilde tarama yapmanin iki avantaji vardir:

• hizlidir (nmap'in yavas baglantilarda kullanilmak �zere analiz yapmama se�enekleri de vardir.)
• taramanin yapildigi bilgisayarda �zel haklara gereksinim yoktur

Nmap programinin -sT se�eneginin neler yaptigini hedef bilgisayarda tcpdump komutu yardimiyla g�recegiz. Nmap 192.168.255.20 IP numarali bilgisayardan, house2.xxx.xxx.xxx bilgisayarina y�neltilmis olarak Ethernet ag �zerinden �alistirilmaktadir.

Bu sekilde nmap programinin hedef bilgisayarinin 110 (pop3) nolu portunun a�ik oldugunu nasil yakaladigini g�rmekteyiz.

Yukarida da belirtildigi gibi bu sekilde yapilan tarama y�ntemini /var/log/messages dosyasina 5-8. satirlarindakine karsilik yazmis oldugu (bu tabii syslog.conf'taki ayarlara baglidir) asagidaki satirlardan anlasilmaktadir:

May 6 08:24:01 house2 in.pop3d[205]: connect
from [email protected]

SYN kullanilarak tarama yapmak (yari a�ik, -sS se�enegi)

Bu tarama sekli nmap programini -sS se�enegi ile �alistirildiginda olmaktadir. Kullanilan teknik, "yari baglanti" (: biz bir SYN g�nderiyoruz ve eger ACK alirsak, hedef bilgisayarin bu portunun aktif oldugunu tespit etmekteyiz. Sonunda RESET g�ndererek baglantiyi kapatmaktayiz.) a�maktan ge�mektedir. Eger, ACK yerine RST (RESET) alirsak, hedef bilgisayarin bu portunun kapali oldugu sonucuna varabiliriz. Bu tarama y�nteminin dezavantaji root haklarina sahip olmayi gerektirmesidir. Ancak, karsi tarafin sizi farketmesi zorlasmaktadir.

Nmap programin yaptiklarini yukaridakine benzer bir analiz ile inceleyelim.Yine tcpdump programindan yararlanacagiz ve satirlari anlatim kolayligi a�isindan numaralandiracagiz.

house2 bilgisayari �zerinde yapilan bu tarama, /var/log/messages dosyasina daha �nce de belirtildigi gibi yansimamistir.

FIN kullanilarak tarama yapmak

Bu tarama y�ntemi, hedef bilgisayarlarin kapali olan portlara FIN paketi g�nderildiginde RST ile cevap verme ger�egine dayandirilmaktadir. B�ylece, a�ik olan portlarin listesini, cevap almadigimiz portlardan olusturabiliriz. Microsoft y�kl� bilgisayarsayarlarinda bu y�ntem ge�erli olmamaktadir. ��nk�, Microsoft TCP protokolun� standartlara uygun olarak uygulamamistir.

-sF, -sX ve -sN olmak �zere nmap'in kullandigi �� benzer y�ntem vardir. Biz burada -sF se�enegini inceleyecegiz.

1. ve 2. satirlarda FIN paketinin hedef bilgisayardaki hareketleri g�r�lmektedir. FIN 1. satirda (864 port numarasindan sonraki F dikkat ediniz) paketine karsilik 2. satirda hedef bilgisayar RST (2. satirdaki 35600 den sonraki R harfine dikkat ediniz.) paketini g�ndermistir. B�ylece nmap programi hedef bilgisayardaki 864 portunun kapali oldugunu anlamaktadir.

3. ve 4. satirlar house2 bilgisayarindaki pop3 portunu �rnek olarak g�stermektedir. 3. satirda hedef bilgisayara FIN g�nderilmis, ancak cevap alinamamistir. 4. satir ise, bir s�rpriz, nmap programi porttan cevap alamayinca bir FIN paketi daha g�ndermistir, ancak sonu� olarak buna da cevap alamayacaktir. Bunun nedeni ise pop3 portunun a�ik olmasidir.

Tcpdump programinin faydali �zelligi

"��l� elsikisma tarama y�ntemi" b�l�m�nde tarama yapildiginda arkasinda iz biraktigini, yani sistem loglarinda kayit tutuldugunu g�rd�k. Daha sonra ise, -sS ve -sF se�enekleri kullanilmasiyla geride hi�bir iz kalmadigini da g�rd�k. Bu sekilde yapilan saldirilari g�zleyebilmek i�in tcpdump programindan yararlanabiliriz. Ancak, tcpdump programinin b�y�k bir dezavantaji, �ok sayida veri �retmesidir ve bunun i�in �ok fazla yere ihtiya� vardir. Ayrica, bu verileri incelemek de olduk�a zor ve zaman alici bir islemdir. Burada, olusan verileri aza indirmek ve incelemeyi kolaylastirici hale getirmek i�in, filtre �zelligi tasiyan bazi ifadeler kullanilmistir.

Ifadelerin kolayca anlasilmasini saglamak i�in TCP'nin [2] paket yapisi g�sterilmistir.

TCP (RFC 793)

0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|          Source Port          |        Destination Port       |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                         Sequence Number                       |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                      Acknowledgement Number                   |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|Offset |  Reserver |U|A|P|R|S|F|             Window            |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|           Checksum            |         Urgent Pointer        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                  Options                      |    Padding    |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                              Data                             |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

Sekilden de g�r�ld�g� gibi, 13. byte SYN, FIN vs. parametrelerin bulundugu yeri g�stermektedir. Bu bilgiden hareketle ve ve (&) operat�r� ile, bu parametreleri yakalayacak ifadeler i�in maskeler olusturabiliriz. Buna g�re

tcpdump ' tcp[13] & 7 != 0 and dst 192.168.255.20 ' > /tmp/out7

ifadesi, aktif olan R,S ve F bitlerin (00000111 maskesi yardimiyla) yer aldigi 192.168.255.20 (tabi bu IP tespit edildikten sonra) bilgisayarindan gelen paketleri yakalamamizi saglamaktadir.

tcpdump ' tcp[13] & 1 != 0 and dst 192.168.255.20 ' > /tmp/out1

kullanilarak, nmap programinin -sF se�enegi ile �alistirilmasi halinde, aktif olan FIN bitlerinin (00000001 maskesi yardimiyla) yer aldigi paketleri yakalayabiliriz.

tcpdump ' tcp[13] & 2 != 0 and dst 192.168.255.20 ' > /tmp/out2

ifadesi yardimiyla da, nmap programini -sS se�enegi ile kullanilmasi durumunda aktif olan SYN bitlerinin yer aldigi paketleri yakalayabiliriz.

En son anlatilan (-sS se�enegi) grubu tarama y�ntemi i�in, [3]'de kullanilabilecek �esitli programlar verilmistir.

Sonu�

Nmap gibi programlar sistem g�venligini saglamada �ok faydali rol oynamaktadir. Bunlar sayesinde sisteme saldiracak kisilerin g�z�yle ag �zerinde inceleme yapilabilmektedir. Nmap programinin kullandigi se�eneklerden �ok az bir kismi �zerinde durduk. Ancak umariz ki bu bilgi ag �zerinde tarama yapma konusunda sizlere yardimci olmustur.

Referanslar

[1] W. Richard Stevens Unix Network Programming Volume 1
[2] RFC 793
[3] nmap programiyla birlikte gelen belgelere bakiniz.

Bu yaz� i�in g�r�� bildiriminde bulunabilirsiniz

2001-07-23, generated by lfparser version 2.17