:: 포트 스캐닝 ::
취약점 분석을 위해 공격자가 침입 전, 대상 호스트에 어떤 포트가 활성화 되어있는지 확인하는 기법.
포트 스캐닝의 여러가지 방법
1. TCP Connect 스캔 (Open 방식)
2. TCP SYN 스캔 (Half-Open 방식)
3. TCP FIN Scan
4. TCP NULL Scan
5. TCP Xmas 스캔
6. TCP ACK 스캔
7. UDP 스캔
8. Decoy 스캔
1. TCP Connect 스캔 (Open 방식)
:: 일반 사용자 권한으로 connect 시스템 호출을 통해 정상적 TCP 연결 과정을 수행하여 스캔하는 방식
-> Target 호스트에 직접 연결하는 시스템콜 과정을 거치기 때문에 시스템 로그에 스캔 흔적이 남음.
패킷 조작을 위해서는 관리자 권한이 추가로 필요함.
일반 사용자 권한으로는 TCP Connect 스캔을 사용함.
2. TCP SYN 스캔 (Half-Open 방식)
:: 관리자 권한으로 TCP raw 패킷에서 헤더부분의 제어비트를 직접 조작 후,
3-way handshaking을 완전히 수행하지 않는 TCP 포트 스캔 방식.
-> 시스템콜 과정을 거치지 않고, 3-way Handshaking(세션 연결 방식)을 완전히 성립되지 않은 상태에서
스캔하는 방식이기 때문에 시스템 로그에 남지않아 스텔스 스캔에 해당됨.
3. TCP FIN Scan
:: 스텔스 스캔 방식, FIN 제어비트만 설정하여 스캔 수행.
4. TCP NULL Scan
:: 스텔스 스캔 방식, 제어비트를 설정하지 않고 스캔 수행.
5. TCP Xmas 스캔
:: 스텔스 스캔 방식, URG, PSH, FIN 제어비트를 설정하여 스캔 수행.
*** URG, PSH, FIN : 급하게, 밀어서, 끝냄 == Xmas
6. TCP ACK 스캔
:: 타겟 대상의 포트 오픈 여부에 대한 판단이 아닌 방화벽 필터링 정책을 알아내기 위한 스캔 방식
-> ACK 제어비트를 보내어 돌아오는 답에 따라 결정함.
필터링 되어 있을 시 :: 응답 없음 or Destination Unreachable 수신.
필터링이 되어있지 않을 시 :: 포트 오픈 여부와 관계 없이 RST 응답 수신.
7. UDP 스캔
:: UDP 포트 오픈 여부를 확인하는 스캔
-> 포트 오픈 시 :: 응답이 없거나, 정상 UDP 응답
-> 포트 Close 시 :: ICMP Unreachable. (Type:3 - Destination Unreacable, Code:3 - Port Unreachable)
8. Decoy 스캔
:: 포트 스캔 시, 실제 스캐너 주소 외에 다양한 위조 IP로 스캔하는 방식.
-> nmap Scanner의 -D RND 옵션을 통해 위조된 IP로 설정한 스캐닝 가능.
댓글