Using Metasploit to Detect Idle Hosts

تعتبر طريقة الفحص التي تسمى IDLE Scan ربما الى اليوم أحد أقوى طرق الفحص وذلك لأنه يمكن عملها ومن دون أن يرسل المهاجم ولا حُزمة واحدة الى الهدف وبالتالي ممكن تتجاوز فيها الكثير من الأمور، وأيضاً الفحص بشكل سري وغير مكشوف الى حد ما … لكن من بين الأمور التي تجعل هذا الفحص صعب التنفيذ هو إيجاد ضحية خاملة (Idle Host) نستخدمها في عملية فحص الهدف … وهنا يأتي دور Metasploit التي وفرت لنا أداة نستطيع من خلالها فحص الشبكة لكشف الأجهزة التي ممكن تفيدنا في تنفيذ Idle Scan … الأداة هذه هي ipidseq والموجودة في ظمن موديولات الـ auxiliary …

لنلقي نظرة كيف يمكن العمل بها:

msf > use auxiliary/scanner/ip/ipidseq

بعد ذلك لنرى خيارات الموديول ipidseq والتي هي:

msf auxiliary(ipidseq) > show options
Module options:
  Name       Current Setting  Required  Description
   ----       ---------------  --------  -----------
   INTERFACE                   no        The name of the interface
   RHOSTS                      yes       The target address range or CIDR identifier
   RPORT      80               yes       The target port
   SNAPLEN    65535            yes       The number of bytes to capture
   THREADS    1                yes       The number of concurrent threads
   TIMEOUT    500              yes       The reply read timeout in milliseconds

Continue reading

Idle Scan بالتفصيل !

السلام عليكم ورحمة الله وبركاته

قبل فترة طويلة من الزمن ربما شهر أو أثنين قام أحد الأخوة بطلب مني أن أشرح له عملية المسح الساكن، أو ما يعرف بالـ Idle Scan ولظروف عدة لم تسنح لي الفرصة بعمل ذلك وكذلك في الكثير من الأحيان نسيت الأمر للأمانة (سامحني ياطيب) … ولهذا أتمنى أن يعذرني على تقصيري هذا … لقد حاولت في الموضوع أن أبسطه في أبسط صورة ممكنة وأجعله مفهوماً للجميع … وكذلك استعنت بكتاب Nmap Network Scanning في الكثير من جوانبه وكذلك فكرة الشرح الذي بالصور بالأسفل … أتمنى أن ينال على رضاكم وإعجابكم ويكون مفيد ولو بشكل بسيط لكم … ندخل في الموضوع …

ما هو المسح الساكن، أو ما يعرف بالـ Idle Scan؟
وهو إحدى التقنيات المستعملة لعمل مسح/scan لهدف من دون أن يتم إرسال ولو حزمة واحدة للهدف، وبالتالي يكون الهدف أعمى عن حقيقة من قام بالمسح!

هذه الطريقة تعمد على إختيار الفاحص (الشخص الذي يقوم بالمسح) بإختيار ضحية يجب ان تكون Idle أي إنها متصلة بالشبكة ولكنها في حالة سكون (لا يوجد إرسال أو إستقبال في تلك اللحظة) … السبب في ذلك لكي نستطيع أن نخمن ما هو رقم الـ IP ID للحزمة التالية … فكما يعرف الجميع لكل حزمة هناك IP ID وهذا الرقم يكون فريد أو وحيد (unique) … من خلال هذا الرقم نستطيع أن نخمن رقم الحزمة القادمة وهكذا … هذه الطريقة في الفحص تجعل أجهزة أو انظمة كشف الإختراقات تسجل بإنه حصلت عملية فحص من قبل جهاز الضحية، وذلك لعدم معرفتها بإنه فعليا الفحص تم من جهاز آخر (جهاز الفاحص)!
Continue reading

Controlling Nmap Scan Speed

السلام عليكم ورحمة الله وبركاته

موضوع الأخ مصطفى ذكرني أكتب عن nmap والتي هي أفضل Scanner بأن أقوم بكتابة القليل عن هذه الأداة الرائعة …

بعض الأحيان حين تقوم بعمل فحص على هدف ما تحتاج الى أن تكون بطيء الى حد ما أو ربما تحتاج الى سرعة إضافية أثناء عملية الفحص … جميع هذه الطلبات يوفرها لك nmap من خلال خيارات عدة …

أهم 5 خيارات أو الأكثر شيوعاً هي:
Paranoid: هذا الخيار يقوم بإرسال الحزم كل خمسة دقائق وذلك لكي تكون خارج مجال الـ Time Sample الخاص بالـ IDS (في حالة كان هناك واحد على الهدف) وبالتالي يصعب إكتشاف الشخص الذي يقوم بعملية الفحص … هذه الطريقة تقوم بإرسال الحزم بشكل متسلسل Sequential وليس بشكل متزامن أو متوازي Parallel … أي حزمة بعد حزمة وهكذا …

Sneaky: يقوم بإرسال الحزم كل 15 ثانية … وكما في الطريقة السابقة لا يتم الإرسال بشكل متوازي وإنما حزمة بعد حزمة …

Polite: يتم إرسال الحزمة كل 0.4 ثانية، وأيضاً حزمة بعد حزمة … تم عمل هذا الخيار من أجل تخفيف الضغط على الشبكات حين تتم عملية الفحص ولكي لا تسبب بإنهيار الطرف المستهدف …

Normal: هذه هي الطريقة الأساسية التي يعتمدها الفاحص nmap … تعمل بشكل سريع جداً لكن بنفس الوقت لا تقوم بإغراق الجهة المستهدفة أو الشبكة … تحاول هذه الطريقة أن تكتشف أكبر قدر ممكن من الأجهزة والمنافذ المفتوحة … هذه الطريقة تقوم بإرسال الحزم بشكل متوازي Parallel أي مجموعة حزم ترسل الى مجموعة منافذ مرة واحدة وهكذا …

Aggressive: في هذه الطريقة تقوم nmap بفحص الجهة المستهدفة خلال 5 دقائق فقط بعدها تنتقل للهدف الآخر … هذه الطريقة تنتظر 1.25 ثانية من أجل الحصول على جواب … يعني حين تقوم بالفحص إذا لم يأتي جواب خلال هذه الفترة، تعتبر الجهة أو المنفذ مغلق وتنتقل للفحص التالي … طبعاً من دون أن أذكر أو أوضح، هذه الطريقة واضح إنها تستعمل Parallel في عملية إرسال الحزم …

Insane: في هذه الطريقة تقوم nmap بفحص الجهة المستهدفة خلال 75 ثانية فقط بعدها تنتقل للهدف الآخر … وتنتظر حوالي 0.3 ثانية للحصول على جواب … طبعاً هذه الطريقة ربما لا تستطيع إكتشاف الكثير من الأهداف وذلك للسرعة العالية التي تنفذ بها … ولهذا ينصح إستعمالها على الشبكات السريعة جداً جداً … وأيضاً نقطة أخيرة وهي بإنه ممكن هذه الطريقة تعمل مشاكل على الشبكة “غرق الشبكة” والجهة المستهدفة أيضاً بسبب سرعتها العالية … Continue reading

Howto install and configure Snort on Debian Lenny

السلام عليكم ورحمة الله وبركاته

قمت بكتاب هذا المستند في العمل وذلك لأجل التوثيق ولكي يسهل على من ياتي بعدي في العمل حين يحتاج الى تنصيب مثلاً برنامج Snort … ولهذا أحببت أن أجعل نسخة منه هنا لمن يود إستعمالها أو الإستفادة من المادة البسيطة التي فيها …

الشرح يخص تنصيب برنامج Snort الخاص بإكتشاف الهجمات والدخلاء IDS والتصدي لهم IPS على نظام Debian Lenny الأخير 5.0.3 … مع عمل الإعدادات اللازمة له لكي يعمل بشكل صحيح على Sensor واحد فقط …
Continue reading