Praktikum IT-Sicherheit

Transkript

1 Praktikum IT-Sicherheit - Versuchshandbuch - Aufgaben Bevor ein Angreifer in ein System eindringen kann, muss er sich Informationen über dieses System beschaffen. Er muss wissen, welche Ports offen sind, welche Anwendungen hinter diesen Ports laufen und wo die Schwachstellen des Systems liegen. Um dies herauszufinden, gibt es verschiedene Möglichkeiten. Welche dies sind, soll in dieser Übung vermittelt werden. Darüber hinaus sollen einige Gegenmaßnahmen, mit denen der Angreifer verunsichert werden soll, vorgestellt werden. B.Sc. M.Sc. AI M.Sc. EB 10 IT-Sicherheit

2 Aufgabe 1 Erkennen des Betriebssystems User@angreifer: angreifer Passwort@angreifer: angreifer User@zielsystem1: zielsystem1 Passwort@zielsystem1: zielsystem1 User@zielsystem2: zielsystem2 Passwort@zielsystem2: a) Was verstehen Sie unter dem Begriff Stack-Fingerprinting? b) Stellen Sie mit einem aktiven Stack-Fingerprinting fest, welches Betriebssystem auf den beiden Zielsystemen läuft. Verwenden Sie hierzu das Programm nmap. c) Aktives Stack-Fingerprinting wird von den meisten IDS / IPS erkannt. Deswegen soll an dieser Stelle das passive Stack-Fingerprinting gezeigt werden. Hierfür verwenden Sie das Programm p0f. Starten Sie das Programm p0f auf dem Angreifer mit dem Befehl: sudo p0f. Wechseln Sie nun auf die Zielsysteme und greifen Sie auf die Website des Angreifers zu (Zielsystem1: wget). Schauen Sie auf dem Angreifersystem, welche Betriebssysteme erkannt werden. 2

3 Aufgabe 2 Fragen zu Port-Scanning a) Was ist ein Portscan? b) Welche verschiedenen Arten von Portscans kennen Sie? c) Welche Zustände kann ein Port haben? d) Erklären Sie die Funktionsweise eines TCP-SYN-, eines TCP-FIN und eines TCP- Xmas-Scans? 3

4 Aufgabe 3 Durchführen von verschieden Portscans a) Führen Sie von dem Angreifersystem aus einen TCP-SYN-Scan auf das Windowsund das Linux-Zielsystem aus. Verwenden Sie dazu das Programm nmap und scannen nur die TCP-Ports von Welche Ports sind auf welchem System offen? b) Führen Sie einen TCP-Xmas-Scan auf die beiden Zielsysteme aus. Scannen Sie wieder die Ports Kommen die gleichen Ergebnisse heraus? Begründen Sie ihre Antwort. Tipp: Schauen Sie sich die Kommunikation mit wireshark an. c) Führen Sie einen Idle-Scan mit nmap durch. Scannen Sie das Linux-Zielsystem mit Hilfe des Windows-Zielsystems. Die TCP-Ports sollen gescannt werden. Worin liegt der große Vorteil eines Idle-Scans? 4

5 d) Wechseln Sie auf das Linux-Zielsystem und stellen Sie die Firewall (iptables) so ein, dass nicht erkannt werden kann, ob ein Port geschlossen oder offen ist. Verwenden Sie dazu den folgenden Befehl: sudo iptables -I OUTPUT 1 -p tcp -tcp-flags RST,ACK RST,ACK -j DROP e) Nun wollen wir den Angreifer verwirren, indem wir ihm vorspielen, dass alle gescannten Ports geöffnet sind. Dafür verwenden wir das Programm shroud.c. Übersetzen Sie das Programm, indem Sie folgenden Befehl in einem Terminal des Linux-Zielsystems ausführen: sudo gcc $(libnet-config - -defines) -o shroud shroud.c -lnet -lpcap Durch diesen Befehl erhalten Sie das ausführbare Programm shroud. Dieses führen Sie nun aus. sudo./shroud <eigene IP-Adresse> Nachdem das Programm shroud läuft, wechseln Sie auf das Angreifersystem und führen einen TCP-SYN-Scan auf das Linux-Zielsystem aus. Wie erklären Sie sich das Ergebnis? Was macht das Programm shroud? 5

6 Aufgabe 4 Banner Grabbing a) Was verstehen Sie unter Banner Grabbing? b) Die Portscans in Aufgabe1 zeigen doch bereits an, was für ein Dienst hinter welchem Port steckt. Warum ist es trotzdem notwendig Banner Grabbing einzusetzen? c) Führen Sie einen TCP-SYN-Scan auf das Linux-Zielsystem aus. Scannen Sie nur den TCP-Port 21. Was zeigt nmap an, welcher Dienst hinter dem Port 21 läuft? d) Führen Sie nun Banner Grabbing auf denselben Port aus. Verwenden Sie dazu das Programm amap (mit der Option -d). Was steckt in Wirklichkeit hinter dem Port? Warum wurde bei dem durchgeführten Portscan in c) ein anderer Dienst angezeigt? 6

7 Aufgabe 5 Schwachstellenscan a) Was verstehen Sie unter einem Schwachstellenscan? b) Die beiden Zielsysteme sollen auf mögliche Schwachstellen geprüft werden. Hierzu wird das Programm Nessus verwendet. Führen Sie in einem Terminal den Befehl NessusClient /home/angreifer/nessus/win_lin_scan.nessus aus. Hierdurch wird die GUI für Nessus mit einem voreingestellten Profil (Win_Lin_Scan.nessus) gestartet. Drücken Sie nun im linken unteren Eck auf den Button Connect und verbinden Sie sich mit der lokalen Verbindung. (falls gefragt: Passwort = nessus) Wenn dies erfolgreich verlaufen ist, wählen Sie links die IP-Adresse von Zielsystem2 und rechts die Windows Policy. Starten Sie nun den Scan und notieren Sie, welche kritischen (rot gekennzeichnet) Schwachstellen gefunden wurden. (Der Scan kann bis zu 5 Minuten dauern) 7

8 c) Auf dem Zielsystem2 läuft ein FTP-Server, welcher noch nicht auf Schwachstellen geprüft wird. Ändern Sie die Windows Policy so ab, dass auch der FTP-Server miteinbezogen wird. Bevor Sie den Scann ausführen, wechseln sie auf das Zielsystem2 und starten dort den FTP-Server (FileZilla) neu. Verwenden Sie hierfür das XAMPP Control Panel welches auf dem Desktop zu finden ist. Starten Sie nun einen erneuten Scann. Werden hierdurch weitere kritische Schwachstellen erkannt, wenn ja welche? 8