tấn công mạng máy tính

Tấn công mạng máy tínhTấn công mạng máy tính
 Port scan attackPort scan attack
 Eavesdropping attackEavesdropping attack
 IP spoofing attackIP spoofing attack
 ManMan inin thethe middle Attackmiddle Attack
Replay attackReplay attack

Replay attackReplay attack
 Hijacking AttackHijacking Attack
 Denial of Service / Distributed Denial Denial of Service / Distributed Denial
of Service (of Service (DoSDoS//DDoSDDoS) Attacks) Attacks
 CácCác loạiloại tấntấn côngcông phầnphần mềmmềm
11
Nguyên tắc truyền thông tinNguyên tắc truyền thông tin
 Cấu tạo gói tin TCP Cấu tạo gói tin TCP
 Phần giữa IP và ứng dụngPhần giữa IP và ứng dụng
22
 Cấu tạo gói tin IPCấu tạo gói tin IP
Nguyên tắc truyền thông tinNguyên tắc truyền thông tin
33
Nguyên tắc truyền thông tinNguyên tắc truyền thông tin
 Các gói tin chỉ ra địa chỉ, cổng đến từ Các gói tin chỉ ra địa chỉ, cổng đến từ
đó hệ thống mạng sẽ định hướng đó hệ thống mạng sẽ định hướng
chuyển gói tinchuyển gói tin
 Các gói tin chỉ ra nguồn gửi để nơi Các gói tin chỉ ra nguồn gửi để nơi
nhận có phản hồi phù hợpnhận có phản hồi phù hợp
nhận có phản hồi phù hợpnhận có phản hồi phù hợp
 Sử dụng chỉ số thứ tự để xác định Sử dụng chỉ số thứ tự để xác định
cách lắp ghépcách lắp ghép
 Sử dụng các bít cờ để xác định nội Sử dụng các bít cờ để xác định nội
dung dữ liệu, và trạng thái điều dung dữ liệu, và trạng thái điều

khiểnkhiển
44
Nguyên tắc truyền thông tinNguyên tắc truyền thông tin
 Các pha kết nốiCác pha kết nối
 thiết lập kết nối thiết lập kết nối
 truyền dữ liệu truyền dữ liệu
 kết thúc kết nối kết thúc kết nối
55
Nguyên tắc truyền thông tinNguyên tắc truyền thông tin
 CácCác trạngtrạng tháithái kếtkết nốinối
 LISTEN LISTEN
 SYNSYN SENT SENT
 SYNSYN RECEIVED RECEIVED
 ESTABLISHED ESTABLISHED
FINFIN

WAITWAIT

1 1

FINFIN

WAITWAIT

1 1
 FINFIN WAITWAIT 2 2
 CLOSECLOSE WAIT WAIT
 CLOSING CLOSING
 LASTLAST ACK ACK
 TIMETIME WAIT WAIT

 CLOSED CLOSED
66
Nguyên tắc truyền thông tinNguyên tắc truyền thông tin
 Mô tả thông tinMô tả thông tin
•• LISTENLISTEN
 đang đợi yêu cầu kết nối từ một TCP và đang đợi yêu cầu kết nối từ một TCP và
cổng bất kỳ ở xacổng bất kỳ ở xa
•• SYNSYN SENTSENT
đang đợi TCP ở xa gửi một gói tin TCP với đang đợi TCP ở xa gửi một gói tin TCP với

đang đợi TCP ở xa gửi một gói tin TCP với đang đợi TCP ở xa gửi một gói tin TCP với
các cờ SYN và ACK được bậtcác cờ SYN và ACK được bật
•• SYNSYN RECEIVEDRECEIVED
 đang đợi TCP ở xa gửi lại một tin báo nhận đang đợi TCP ở xa gửi lại một tin báo nhận
sau khi đã gửi cho TCP ở xa đó một tin báo sau khi đã gửi cho TCP ở xa đó một tin báo
nhận kết nốinhận kết nối
77
Nguyên tắc truyền thông tinNguyên tắc truyền thông tin
 Mô tả thông tinMô tả thông tin
•• ESTABLISHEDESTABLISHED
 cổng đã sẵn sàng nhận/gửi dữ liệu với TCP ở cổng đã sẵn sàng nhận/gửi dữ liệu với TCP ở
xa (đặt bởi TCP client và server)xa (đặt bởi TCP client và server)
•• TIMETIME WAITWAIT
đang đợi qua đủ thời gian để chắc chắn là đang đợi qua đủ thời gian để chắc chắn là

đang đợi qua đủ thời gian để chắc chắn là đang đợi qua đủ thời gian để chắc chắn là
TCP ở xa đã nhận được tin báo nhận về yêu TCP ở xa đã nhận được tin báo nhận về yêu
cầu kết thúc kết nối của nó. Theo cầu kết thúc kết nối của nó. Theo RFC RFC 793793, ,
một kết nối có thể ở tại trạng thái TIMEmột kết nối có thể ở tại trạng thái TIME
WAIT trong vòng tối đa WAIT trong vòng tối đa 4 4 phút.phút.

88
Kết nốiKết nối

Client: gửi gói tin SYN, tham số Client: gửi gói tin SYN, tham số sequence numbersequence number
được gán cho một giá trị ngẫu nhiên được gán cho một giá trị ngẫu nhiên XX. .
 Server: gửi lại SYNServer: gửi lại SYN ACK, tham số ACK, tham số acknowledgment acknowledgment
numbernumber X + 1, tham số X + 1, tham số sequence numbersequence number được gán được gán
ngẫu nhiên ngẫu nhiên YY
 Client: gửi ACK, tham số Client: gửi ACK, tham số sequence numbersequence number X + X +
1,tham số 1,tham số
acknowledgment numberacknowledgment number
Y + 1 Y + 1
1,tham số 1,tham số
acknowledgment numberacknowledgment number
Y + 1 Y + 1
99
Kết thúc phiênKết thúc phiên
 + Bước I: Client gửi đến FIN ACK+ Bước I: Client gửi đến FIN ACK
+ Bước II: Server gửi lại c ACK+ Bước II: Server gửi lại c ACK
+ Bước III: Server lại gửi FIN ACK+ Bước III: Server lại gửi FIN ACK
+ Bước IV: Client gửi lại ACK+ Bước IV: Client gửi lại ACK
1010
Gói tin UDPGói tin UDP

Cấu trúc UDPCấu trúc UDP
1111
Gói tin UDPGói tin UDP

IPv4 UDPIPv4 UDP
1212

Nguyên tắc Port scanNguyên tắc Port scan
 11. TCP Scan. TCP Scan
 Trên gói TCP/UDP có Trên gói TCP/UDP có 16 16 bit dành cho bit dành cho
Port Number điều đó có nghĩa nó có Port Number điều đó có nghĩa nó có
từ từ 1 1 –– 65535 65535 port. port.

Thường chỉ scan từ Thường chỉ scan từ
1 1

10241024


Thường chỉ scan từ Thường chỉ scan từ
1 1

10241024

 Một số phương pháp:Một số phương pháp:
1313
Nguyên tắc Port scanNguyên tắc Port scan
 SYN Scan: SYN Scan:
•• Gửi SYN với một thông số PortGửi SYN với một thông số Port
•• Nhận SYN/ACK thì Client biết Port đó Nhận SYN/ACK thì Client biết Port đó
trên Server được mở. trên Server được mở.
••
Ngược lại Client nhận gói RST/SYN.Ngược lại Client nhận gói RST/SYN.
••
Ngược lại Client nhận gói RST/SYN.Ngược lại Client nhận gói RST/SYN.
 FIN Scan: FIN Scan:
•• Client gửi gói FIN với số port nhất định. Client gửi gói FIN với số port nhất định.

•• Nhận ACK thì Server mở port đó, Nhận ACK thì Server mở port đó,
•• Server gửi về gói RST thì Client biết Server gửi về gói RST thì Client biết
Server đóng port đó.Server đóng port đó.
1414
Nguyên tắc Port scanNguyên tắc Port scan
 NULL Scan Sure: NULL Scan Sure:
•• Client gửi tới Server những gói TCP với Client gửi tới Server những gói TCP với
số port cần Scan không chứa thông số số port cần Scan không chứa thông số
Flag nào, Flag nào,
•• Server gửi lại gói RST thì tôi biết port đó Server gửi lại gói RST thì tôi biết port đó
trên Server bị đóng.trên Server bị đóng.
trên Server bị đóng.trên Server bị đóng.
 XMAS Scan Sorry: XMAS Scan Sorry:
•• Client gửi gói TCP với số Port nhất định Client gửi gói TCP với số Port nhất định
cần Scan chứa nhiều Flag như: FIN, cần Scan chứa nhiều Flag như: FIN,
URG, PSH. URG, PSH.
•• Nếu Server trả về gói RST tôi biết port Nếu Server trả về gói RST tôi biết port
đó trên Server bị đóng.đó trên Server bị đóng.
1515
Nguyên tắc Port scanNguyên tắc Port scan
 TCP Connect:TCP Connect:
•• gửi đến Server những gói tin yêu cầu kết nối gửi đến Server những gói tin yêu cầu kết nối
port cụ thể trên server. port cụ thể trên server.
•• Nếu server trả về gói SYN/ACK thì mở cổng Nếu server trả về gói SYN/ACK thì mở cổng
đó.đó.
 ACK Scan:ACK Scan:
•• Scan này nhằm mục đích tìm những Access Scan này nhằm mục đích tìm những Access
Controll List trên Server. Client cố gắng kết Controll List trên Server. Client cố gắng kết
nối tới Server bằng gói ICMP nối tới Server bằng gói ICMP
•• nhận được gói tin là Host Unreachable thì nhận được gói tin là Host Unreachable thì

client sẽ hiểu port đó trên server đã bị lọc.client sẽ hiểu port đó trên server đã bị lọc.
1616
Công cụ portscanCông cụ portscan
 Tự xây dựng dựa trên cấu mô tả Tự xây dựng dựa trên cấu mô tả
 RPC Scan: Kiểm tra dịch vụ RPCRPC Scan: Kiểm tra dịch vụ RPC
 Windows Scan: tương tự như ACK Windows Scan: tương tự như ACK
Scan, nhưng nó có thể chỉ thực hiện Scan, nhưng nó có thể chỉ thực hiện
trên một số port nhất định.trên một số port nhất định.
trên một số port nhất định.trên một số port nhất định.
 FTP Scan: Có thể sử dụng để xem FTP Scan: Có thể sử dụng để xem
dịch vụ FTP có được sử dụng trên dịch vụ FTP có được sử dụng trên
Server hay khôngServer hay không
 IDLE: cho phép kiểm tra tình trạng IDLE: cho phép kiểm tra tình trạng
của máy chủ. của máy chủ.
1717
Eavesdropping attackEavesdropping attack
 Nghe lénNghe lén
 Mục tiêu: thu nhận thông tin truyềnMục tiêu: thu nhận thông tin truyền
•• Nhận được các thông tin truyền không Nhận được các thông tin truyền không
mã hóamã hóa
••
Nhận được các thông tin đã mã hóa, từ Nhận được các thông tin đã mã hóa, từ
••
Nhận được các thông tin đã mã hóa, từ Nhận được các thông tin đã mã hóa, từ
đó phục vụ các tấn công khác (replay đó phục vụ các tấn công khác (replay
attack)attack)
 Không để dấu vếtKhông để dấu vết
 Khó phòng chốngKhó phòng chống
1818
Eavesdropping attackEavesdropping attack

 Sử dụng các phương pháp vật lýSử dụng các phương pháp vật lý
•• Nghe trộm qua đường truyền vật lýNghe trộm qua đường truyền vật lý
•• Qua hệ thống sống vô tuyếnQua hệ thống sống vô tuyến
 Nghe lén mạngNghe lén mạng
••
Tham gia vào mạngTham gia vào mạng
••
Tham gia vào mạngTham gia vào mạng
•• Nhận các gói tin được truyền đến cổng Nhận các gói tin được truyền đến cổng
mạngmạng
•• Nếu mạng sử dụng là switch thì cần Nếu mạng sử dụng là switch thì cần
phải sử dụng phương pháp man phải sử dụng phương pháp man –– in in ––
the the middlemiddle
 Nghe lén bằng phần mềm gián điệpNghe lén bằng phần mềm gián điệp
1919
Eavesdropping attackEavesdropping attack
 EttercapEttercap, Ethereal, , Ethereal, dsniffdsniff, , TCPdumpTCPdump, ,
SniffitSniffit, ,
 NhiềuNhiều côngcông cụcụ phầnphần cứngcứng kháckhác thamtham
giagia vàovào cáccác mạngmạng, , phươngphương thứcthức
truyềntruyền
truyềntruyền
2020
Eavesdropping attackEavesdropping attack
 Một số phương pháp phòng chống:Một số phương pháp phòng chống:
 Sử dụng switch thay cho hubSử dụng switch thay cho hub
 Giám sát địa chỉ MACGiám sát địa chỉ MAC
 Sử dụng cơ chế mã hóa truyền tin, Sử dụng cơ chế mã hóa truyền tin,
và mã hóa theo thời gianvà mã hóa theo thời gian
và mã hóa theo thời gianvà mã hóa theo thời gian

2121
Eavesdropping attackEavesdropping attack
 Sử dụng các dịch vụ mã hóa trong Sử dụng các dịch vụ mã hóa trong
liên kết: SSL (Secure Sockets Layer), liên kết: SSL (Secure Sockets Layer),
thiết lập IPSec và mạng riêng ảo VNP thiết lập IPSec và mạng riêng ảo VNP
(Virtual Private Network),… sử dụng (Virtual Private Network),… sử dụng
SSH (Secure Shell Host) thay cho SSH (Secure Shell Host) thay cho
SSH (Secure Shell Host) thay cho SSH (Secure Shell Host) thay cho
Telnet, Rlogin; dùng SFTP (secure Telnet, Rlogin; dùng SFTP (secure
FTP) thay vì FTP; dùng giao thức FTP) thay vì FTP; dùng giao thức
https thay cho http v.v…https thay cho http v.v…
2222
Eavesdropping attackEavesdropping attack
 Sử dụng các phần mềm phát hiện sự Sử dụng các phần mềm phát hiện sự
hoạt động của các chương trình nghe hoạt động của các chương trình nghe
lén trên mạng như AntiSniff, lén trên mạng như AntiSniff,
PromiScan, Promqry and PromqryUI, PromiScan, Promqry and PromqryUI,
ARPwatch, Ettercap, v.v… Riêng với ARPwatch, Ettercap, v.v… Riêng với
ARPwatch, Ettercap, v.v… Riêng với ARPwatch, Ettercap, v.v… Riêng với
Ettercap Ettercap
((), ),
 Các công cụ chống tấn công gián Các công cụ chống tấn công gián
điệpđiệp
2323
Eavesdropping attackEavesdropping attack
 Tạo ra các gói tin có địa chỉ IP giả Tạo ra các gói tin có địa chỉ IP giả
mạo không là địa chỉ máy gửi gói tinmạo không là địa chỉ máy gửi gói tin
 Vượt qua các kiểm soát về nguồn góc Vượt qua các kiểm soát về nguồn góc
địa chỉ ipđịa chỉ ip


Phục vụ các mô hình tấn công khác Phục vụ các mô hình tấn công khác

Phục vụ các mô hình tấn công khác Phục vụ các mô hình tấn công khác
•• Tấn công về phiênTấn công về phiên
•• Tấn công kiểu phản xạTấn công kiểu phản xạ
 Giải phápGiải pháp
•• Không sử dụng xác thực là địa chỉ IPKhông sử dụng xác thực là địa chỉ IP
•• Phát hiện các bất thường về kết nối Phát hiện các bất thường về kết nối
mạngmạng
2424
2525