 描述
敌人使用SYN扫描来确定港口的地位在远程目标。SYN扫描是最常见的一种端口扫描,因为它的许多优点和一些缺点。因此,新手攻击者往往过于依赖SYN扫描在执行侦察系统。扫描方法,SYN扫描的主要优点是它的普遍性和速度。
扩展描述
RFC 793定义了所需的行为的任何TCP / IP设备传入连接请求以SYN包开始,进而必须遵循了SYN / ACK包的接收服务。出于这个原因,像TCP连接扫描,对任何TCP SYN扫描工作栈。与TCP连接扫描,可以扫描每秒数千港口使用这种方法。这种类型的扫描通常被称为“半开”扫描,因为它没有完成三方握手。扫描速度极快,因为没有时间浪费完成握手或拆除连接。这种技术允许攻击者扫描由于常见的配置有状态的防火墙,TCP SYN段为一个新的连接将被允许任何港口。TCP SYN扫描也可以立即检测到3的4个重要类型的端口状态:开放、关闭,过滤。
典型的严重性
执行流程
实验
-
敌人将SYN包发送到港口他们想扫描和检查响应没有完成TCP握手。
-
敌人使用来自目标的响应来确定端口的状态。敌人可以确定端口的状态基于以下回复。当发送SYN开放的端口和未过滤的港口,会产生一个SYN / ACK。当一个SYN数据包发送到关闭端口生成RST,表明港口关闭。当SYN扫描到一个特定端口生成没有响应,或当请求触发器ICMP类型3的错误,该端口过滤。
先决条件
| 这种扫描是不可能与一些操作系统(Windows XP SP 2)。在Linux和Unix系统上需要root特权使用原始套接字。 |
所需资源
| 的能力将TCP SYN片段发送到主机在网络侦察通过网络映射器或扫描仪的使用,或通过原始套接字编程脚本语言。为此包注入工具也非常有用。根据使用的方法可能需要嗅探网络为了看到响应。 |
后果
 这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
保密 |
其他 |
|
|
保密
访问控制
授权 |
旁路保护机制
隐藏活动 |
|
分类法映射
CAPEC映射ATT&CK技术利用一个继承模型简化和减少直接CAPEC / ATT&CK映射。继承的映射表示文本说明父CAPEC有相关ATT&CK映射。注意,ATT&CK企业框架不使用一个继承模型的一部分映射到CAPEC。
引用
|
斯图尔特·麦克卢尔(REF-33)乔尔Scambray和乔治·库尔茨。“黑客暴露:网络安全机密和解决方案”。第二章:扫描、pg。56。第六版。麦格劳希尔》2009。 |
|
|
|
[REF-34]戈登“费奥多”里昂。“Nmap网络扫描:官方网络发现和安全扫描Nmap项目指南》。5.32节TCP SYN扫描(隐形),pg》100。第三“零天”版。Insecure.com LLC, ISBN: 978-0-9799587-1-7。2008年。 |
|
|
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2018-07-31
(版本2.12) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Attack_Motivation-Consequences、描述描述总结、引用Related_Weaknesses Resources_Required |
| 2020-12-17
(版本3.4) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述,Execution_Flow |
| 2022-02-22
(版本3.7) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述,Extended_Description |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
