zurück zum Artikel

Mit den so genannten Idle-Scans ist es möglich, scheinbar unmögliches zu realisieren: herauszufinden, ob auf einem Rechner im Internet ein Dienst aktiv ist oder nicht, ohne ihn selbst anzusprechen.

Ein Port-Scan stellt fest, auf welchen Ports eines Systems Dienste lauschen, die Pakete entgegennehmen. Sie ähneln in der Funktionsweise den Klingelstreichen von Kindern: Kommt eine Antwort, ist jemand zuhause. Anders als die Klingelputzer sind jedoch Einbrecher nicht an großem Getöse interessiert. Insbesondere wollen sie vermeiden, dass ihre IP-Adresse, die sich im Zweifelsfall zu ihnen zurückverfolgen lässt, in irgendwelchen Log-Dateien auftaucht. Deshalb wurden im Lauf der letzten Jahre verschiedene Scan-Techniken entwickelt worden, die weniger "Lärm" verursachen.

Die grundsätzliche Funktionsweise ist immer gleich: Der Scanner sendet ein Paket an einen Port und registriert etwaige Antworten darauf. Primitive Scans bauen eine richtige Verbindung auf, deren Verursacher dann oft schon in den Log-Dateien des angesprochenen Dienstes auftaucht. Deshalb brechen sogenannte SYN- beziehungsweise halb offene Scans den aus drei Schritten bestehenden Verbindungsaufbau (TCP Three Way Handshake) nach dem zweiten Schritt ab. So kommt keine Verbindung und auch kein Log-File-Eintrag zustande.

Dazu sendet der Scanner ein TCP-Paket mit einer Aufforderung zur Synchronisierung (gesetztes SYN-Flag) an den Server. Läuft dort ein Dienst auf dem angesprochenen Port, bestätigt das Betriebssystem den Eingang (ACK-Flag) und bittet seinerseits um Synchronisierung (SYN-Flag). Läuft kein Dienst auf dem Port schickt es statt dessen ein Reset (RST-Flag). Wertet der Empfänger die Antwort-Pakete aus, hat er bereits die gewünschte Information und kann das ACK-Paket weglassen, mit dem die Verbindung dann zustande käme.

Mittlerweile erkennen jedoch Intrusion Detection Systeme und (Personal) Firewalls auch solche SYN-Scans und registrieren die IP-Adresse des Verursachers. Das gleiche gilt für die so genannten FIN-, XMAS- und NULL-Scans, die mit speziellen Kombinationen der verschiedenen TCP-Flags arbeiten. Diese registrieren zum Beispiel verdächtige Häufungen von Paketen an verschiedene Ports. Manche IDSe arbeiten auch mit Trigger-Ports, die normalerweise nicht genutzt werden. Und es gibt auch bereits Ansätze, die versuchen Port-Scans als statistische Anomalie zu erkennen.

Um die eigene IP-Adresse nicht zu verraten, werden Port-Scans oft sehr langsam und in zufälliger Reihenfolge durchgeführt. Kommt nur jede Stunde ein solches Paket an, sind die Chancen gut, dass es der Aufmerksamkeit des Wächters entgeht. Ein Paket an einen Trigger-Port löst aber unter Umständen trotzdem Alarm aus.

Auch die entgegengesetzte Strategie kommt zum Einsatz: Scanner versuchen die eigenen Spuren in einer Flut von vorgetäuschten Scans zu verbergen. Dazu schickt der Scanner riesige Mengen von Paketen mit gefälschten Absenderadresse an den Server. Der Haken dabei: die Antwortpakete gehen an die vorgetäuschte Adresse, der wahre Absender erfährt nichts über den Status des abgefragten Ports. Deshalb muss mindestens eines der Pakete die richtige Adresse tragen.

Idle-Scans

Idle-Scans

Aus Sicht eines Angreifers sind all diese Techniken unbefriedigend, da sie nicht zuverlässig verhindern können, dass seine IP-Adresse registriert wird. Ideal wäre es, wenn er gar keine Pakete mit seiner wahren Adresse an sein Opfer schicken müsste. Und genau das ermöglicht der so genannte Idle-Scan.

Dabei bedient sich der Scanner eines zweiten Systems, das derzeit keine eigenen Internet-Aktivitäten aufweist ("idle" heißt auf Deutsch soviel wie "untätig"). Das äußert sich bei Windows-Systemen (und einigen anderen) so, dass die IP-IDs der Pakete des Idle-Hosts sequenziell ansteigen. Jedes IP-Paket trägt eine eigene ID, damit der Empfänger eventuell fragmentierte Paketschnipsel richtig zuordnen kann. Die meisten Systeme setzen sie für jedes Paket um eins hoch:

# hping2 -S -p 80 192.168.0.2
...id=9289 sport=80 flags=SA ...
...id=9290 sport=80 flags=SA ...
...id=9291 sport=80 flags=SA ...

Dieses Feature lässt sich unter anderem auch zu heimlichen Lastmessungen ausnutzen (Details dazu finden Sie in c't 23/03, S. 212: "Wer zählt gewinnt").

Dann deckt der Scanner den Idle-Host mit einem kontinuierlichen Strom von Paketen ein, die eine Antwort erzeugen und wertet deren IP-IDs aus. Das können beispielsweise Ping-Anfragen und die dazughörigen Antworten sein. Jedes weitere Paket, das der Idle-Host jetzt verschickt, bewirkt einen Sprung in der IP-ID-Sequenz: 3, 4, 6, 7 bedeutet, dass der Rechner ein Paket mit der ID 5 an eine andere Adresse geschickt hat (sofern das Paket nicht verloren gegangen ist, was aber recht selten geschieht).

Im nächsten Schritt schickt der Scanner ein SYN-Paket mit der Absender-Adresse des Idle-Hosts an sein eigentliches Opfer, den Server. Ist auf dem angesprochenen Port ein Dienst aktiv, antwortet der Server mit SYN/ACK an den Idle-Host. Dieser weiß jedoch nichts von einer Verbindungs-Anfrage seinerseits und antwortet deshalb mit einem Reset-Paket. War der Port jedoch geschlossen, schickt der Server ein Reset an den Idle-Host, das dieser jedoch ignoriert.

Der Scanner sieht also bei einem offenen Port einen Sprung in der IP-ID-Sequenz des Idle-Hosts (das RST-Paket), bei einem geschlossenen Port tut sich nichts. Eventuelle Paketverluste kann man durch Wiederholen der Scans auf den fraglichen Ports erkennen.

Offener Port

Geschlossener Port

Dieser doch recht komplizierte Vorgang lässt sich natürlich automatisieren. Der Port-Scanner nmap hat diese Scan-Technik sogar soweit perfektioniert, dass er selbstständig erkennt, ob ein designierter Idle-Host tatsächlich linear ansteigende IP-IDs liefert.

Da es kein Problem darstellt, solche Idle-Hosts aufzupüren, sind Port-Scan-Alarme nutzlos geworden. Die einzigen, die man damit noch fängt, sind Script-Kiddies -- Klingelputzer eben. Echte Einbrecher kennen und nutzen die Idle-Scan-Technik längst. Bei einer Strafverfolgung beziehungsweise bei disziplinarischen Maßnahmen gegen vermeintliche Verursacher von Port-Scans ist zu beachten, dass die Fährten auch bewusst falsch gelegt worden sein können.

Statt Zeit und Mühe auf Port-Scans zu verschwenden, sollte man sich statt dessen auf die Log-Einträge konzentrieren, bei denen tatsächlich ein Verbindungsaufbau erfolgt ist, also beispielsweise eine Web-Seite abgerufen wurde. Ein solcher Verbindungsaufbau lässt sich nur dann mit einer gefälschten IP-Adresse durchführen, wenn der Angreifer die sogenannte Sequenzstartnummer (Initial Sequence Number) erraten kann. Das ist erstens nicht mehr ohne weiteres möglich und zweitens auch nicht effizient, weil der Angreifer die abgerufenen Daten nicht bekommt.

Siehe dazu auch:

• Fyodors Beschreibung des Idle-Scans in nmap [1]
• Der Port-Scanner nmap [2]
• Universelles Ping [3]
  

(ju [4])

URL dieses Artikels:
https://www.heise.de/-270332

Links in diesem Artikel:
[1] http://www.insecure.org/nmap/idlescan.html
[2] http://www.heise.de/software/download/nmap/3724
[3] http://www.heise.de/software/download/hping/22995
[4] mailto:ju@ct.de

Copyright © 2003 Heise Medien