Explorando o TCP

=============================[Introdução]=================================

Oi pessoal, este fazendo este tutrial com a finalidade de mostrar como detectar e *tabelar um Firewall, mostrar os estilos de scan que podemos realizar e quais pacotes são enviados e recebidos.

*Fazer uma lista das regras que estão inseridas em um Firewall.

==============================[Scanners]=================================

Daqui pra frente sera demonstrado as técnicas de varredura e explicando como cada uma funciona internamente. Para que não esta familiarizado com “handshake” eu recomendo que de uma estudada antes.

==============================[TCP Connect]==============================

É a forma mais básica de se realizar um scan (todo scan possuem esta opção). Uma vez que a porta esteja aberta o computador do atacante ira enviar um pacote SYN e terá que receber um SYN/ACK, em seguida enviar um ACK e um RST.

Obs: Muitos scan (ruins) enviam o pacote SYN e o SYN/ACK, mas esquecem de fechar a coneção com um RST.
Se a porta estiver fechada assim que for enviada um SYN ira receber um RST.

Porta Aberta
PC1 <———-<— SYN <———<—- PC2
PC1 —–>——–> SYN/ACK ——–>—–> PC2
PC1 <——<——- ACK< ————- PC2
PC1 <——-<—— RST <————- PC2

Porta Fechada
PC1 <———<—- SYN <——-<—— PC2
PC1 >——->—— RST >——->—— PC2

Comando no nmap:
nmap -sT IP

===============================[TCP SYN]===============================
Esta técnica é a que eu considero a melhor.
O computador envia um SYN e recebe um SYN/ACK e imediatamente envia um RST (diferentemente do TCP Connect que envia um ACK)
Esta técnica também é conhecida como Scan de meia coneção, pois ele não chega a realizar uma coneção completa com a porta.
Se a porta estiver fechada assim que for enviada um SYN ira receber um RST.

Porta Aberta
PC1 <———-<— SYN <———<—- PC2
PC1 —–>——–> SYN/ACK ——–>—–> PC2
PC1 <——-<—— RST <————- PC2

Porta Fechada
PC1 <———<—- SYN <——-<—— PC2
PC1 >——->—— RST >——->—— PC2
Comando no nmap:
nmap -sS IP

===========================[TCP Xmax Tree]===============================
A varredura Xmas Tree ou Arvore de Natal envia um SIN/URG/PSH, se não houver uma resposta a porta esta aberta, se receber um RST a porta esta fechada.

Porta Aberta
PC1 <———-<— FIN/URG/PSH <———<—- PC2
PC1 —–>——–> Sem resposta ——–>—–> PC2

Porta Fechada
PC1 <———<—- FIN/URG/PSH <——-<—— PC2
PC1 >——->—— RST >——->—— PC2
Comando no nmap:
nmap -sX IP

===============================[TCP Null]================================
Nesta varredura sera enviado uma flag nula (ativa), se não receber uma resposta a porta esta aberta, mas se receber um RST a porta estara fechada.

Porta Aberta
PC1 <———-<— Null <———<—- PC2
PC1 —–>——–> Sem resposta ——–>—–> PC2

Porta Fechada
PC1 <———<—- Nulo <——-<—— PC2
PC1 >——->—— RST >——->—— PC2

Comando no nmap:
nmap -sN

===============================[TCP ACK]===============================

Esta é uma varredura utilizada para detectar e tabelar Firewalls. Se for enviado um pacote ACK e tiver como resposta um RST a porta pode esta aberta ou fechada, se receber um ICMP Tipo 3 quer dizer que tem um firewall rejeitando os pacotes, e se não receber uma resposta o Firewall estará negando.

Porta Aberta ou Fechada
PC1 <———<—- ACK <——-<—— PC2
PC1 >——->—— RST >——->—— PC2

Firewall Rejeitando
PC1 <———<—- ACK <——-<—— PC2
PC1 >——->—— ICMP Tipo 3 >——->—— PC2

Firewall Negando
PC1 <———<—- ACK <——-<—— PC2
PC1 >——->—— Sem Resposta >——->—— PC2

Comando no nmap:
nmap -sA IP

=============================[TCP FIN/ACK]==============================
Idem ao TCP ACK. Se for enviado um pacote FIN/ACK e tiver como resposta um RST a porta pode esta aberta ou fechada, se receber um ICMP Tipo 3 quer dizer que tem um firewall rejeitando os pacotes, e se não receber uma resposta o Firewall estará negando.

Porta Aberta ou Fechada
PC1 <———<—- FIN/ACK <——-<—— PC2
PC1 >——->—— RST >——->—— PC2

Firewall Rejeitando
PC1 <———<—- FIN/ACK <——-<—— PC2
PC1 >——->—— ICMP Tipo 3 >——->—— PC2

Firewall Negando
PC1 <———<—- FIN/ACK <——-<—— PC2
PC1 >——->—— Sem Resposta >——->—— PC2

=============================[Mais detalhes]===============================
Varredura Porta aberta Porta fechada
TCP SYN SYN/ACK RST
TCP Connect SYN/ACK RST
TCP FIN/URG/PSH Sem resposta RST
TCP Null Sem resposta RST

Para detecção de Firewalls
Varredura Porta aberta Porta fechada Rejeitando Negando
TCP ACK RST RST ICMP 3 S/Resposta
TCP FIN/ACK RST RST ICMP 3 S/Resposta
TCP SYN/ACK RST RST ICMP 3 S/Resposta

===============================[FIM]===================================
Espero que tenham gostado, até a proxima.