nmap的D.o.S攻击

/ns/hk/hacker/data/20010128152834.htm

nmap的D.o.S攻击

摘要：

广受欢迎的扫描器nmap可以进行与众不同的网络扫描，这可以导致广泛的不同种类的对为数众多的操作系统的D.o.S攻击。

注意：

这类攻击不同于一般的IP堆栈碎片所造成的D.o.S攻击。

具体描述：

端口扫描工具nmap具有秘密扫描的功能，这一功能的本意是避免系统入侵检测的记录。当这些功能被应用时，nmap会产生一些不寻常的IP包（例如预料之外的FIN包、“圣诞树”包等）以及一些不寻常次序的包（例如建立连接用SYN后紧跟一个RST等）。Nmap被广泛的应用着(http://www.insecure.org/nmap)。nmap的内置功能允许它同时对大量目标系统进行扫描。 安全专家实验室发现了nmap的半开扫描模式('nmap -sS')可以使大量操作系统inetd进程失效，着其中包括某些版本的Solaris（包括2.6）和某些版本的Linux。安全专家实验室的工作还示范了这种扫描模式可以导致WINDOWS98显示危机错误（蓝屏），从而是WIN98工作站丧失全部网络连接。

另外一份独立的报告也指出nmap扫描可以导致另外的某些操作系统的类似inetd失败，包括HP-UX,AIX, SCO, and FreeBSD。更多的报告指出在一些系统中RPC portmapper也会受到影响。附加报告指出另一种模式的扫描(UDP扫描 with 'nmap -sU')会导致Cisco IOS version 12.0 (包括 12.0T, 12.0S等)当机。还有报告说某些模式的扫描会导致NeXTStep 3.3崩溃或重起。

安全专家实验室的测试证实了Solaris 2.6和少数LINUX确实可被攻击，Cisco IOS漏洞亦被证实有效。而FreeBSD, HP-UX, AIX, SCO, 和 NeXTStep的报告仍未完全确证。

这些种类的攻击使得安全专家实验室相信还有更多的系统可能存在类似的可被攻击性。

根据安全专家实验室的研究，这些个攻击都不会在系统日志上留下任何痕迹，除非特别安装了外部入侵检测装置。

安全专家实验室已经通知了受影响系统的公司，并且还会进行进一步的测试和提供补救措施。

总结：

a.通过inetd失效来达到D.o.S
攻击者可以使受影响的服务器进程停止工作，inetd进程失败通常会导致所有FTP、TELNET对系统的接近失效，RLOGIN和RSH同样会失效。在少数情况下，inetd进程失败还会导致BOOTP服务器、WEB服务器、Radius以及其他验证服务器失效。

b.通过portmapper失效来达到D.o.S
攻击者可以使受影响的服务器进程停止工作，portmapper进程失败通常会导致NFS、NIS等服务失效。

c.通过内核挂起和崩溃来达到D.o.S
如果nmap可以导致内核挂起和崩溃被证实的话，那么攻击者就可以使所有服务失效。

解决方法：

1.安装系统卖方的最新补丁。

2.用未受影响的系统做防火墙。

后记：

对安全专家实验室所提及的漏洞的验证：

FreeBSD 2.2.7 xinetd 用 nmap -sT 扫描后未见当机。

Solaris 在 Solaris 7 之前的早期版本 nmap -sS 扫描后当机。

Irix 5.3, 6.2, 6.3 inetd 用nmap -vv 扫描后死掉。

Irix 6.5SE inetd 用 nmap -F 扫描后死掉。

SunOS 4.1.3 用 nmap -vv 扫描后重起。

UNICOS 10 inetd 用 nmap -F 扫描后有时会死掉。

对 Windows 98 扫描后未见异常。

OpenBSD 2.4 不受影响。




本文由D4RKSuN成员Isn0翻译改编。http://isno.yeah.net