 描述
敌人将设置了ACK标志的TCP段发送给远程主机的目的确定主机是否还活着。这是TCP之一“ping”类型。服务的RFC 793预期行为与RST回应“重置”任何主动ACK包段不属于一个现有的连接。所以通过发送ACK段一个港口,主持人还活着的对手可以识别寻找RST包。通常情况下,远程服务器会响应一个RST无论一个端口是打开的还是关闭。这样,TCP ACK ping无法发现远程端口的状态,因为是一样的在这两种情况下的行为。防火墙将查找ACK数据包状态表和丢弃部分,因为它并不对应任何一个活动连接。可以使用TCP ACK萍发现如果一个主机是活着通过RST响应从主机发送的数据包。
典型的严重性
先决条件
| 的能力将ACK数据包发送到远程主机和识别响应。创建ACK数据包没有建立一个完整的需要使用原始套接字连接。结果,是不可能从一些系统发送TCP ACK萍(Windows XP SP 2)不使用第三方的包像Winpcap司机。在其他系统上(BSD, Linux)管理权限需要为了写原始套接字。 |
| 目标必须使用无状态防火墙,缺乏一个规则集,拒绝主动ACK包。 |
| 对手的能力需要工艺定制TCP ACK段期间使用网络侦察。发送ACK萍要求能够访问“原始套接字”为了创建直接访问数据包报头的包。 |
所需资源
| ACK扫描可以通过使用一个端口扫描器或原始套接字操作使用的脚本或编程语言。为此包注入工具也非常有用。根据所使用的技术也需要嗅探网络为了看到响应。 |
后果
 这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
保密 |
其他 |
|
|
保密
访问控制
授权 |
旁路保护机制
隐藏活动 |
|
缓解措施
| 杠杆有状态的防火墙允许数据包的拒绝,不属于一个现有的连接。 |
分类法映射
CAPEC映射ATT&CK技术利用一个继承模型简化和减少直接CAPEC / ATT&CK映射。继承的映射表示文本说明父CAPEC有相关ATT&CK映射。注意,ATT&CK企业框架不使用一个继承模型的一部分映射到CAPEC。
引用
|
斯图尔特·麦克卢尔(REF-33)乔尔Scambray和乔治·库尔茨。“黑客暴露:网络安全机密和解决方案”。第二章:扫描、pg。49。第六版。麦格劳希尔》2009。 |
|
|
|
[REF-34]戈登“费奥多”里昂。“Nmap网络扫描:官方网络发现和安全扫描Nmap项目指南》。操作TCP ACK Ping, pg。61。第三“零天”版。Insecure.com LLC, ISBN: 978-0-9799587-1-7。2008年。 |
|
|
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2018-07-31
(版本2.12) |
CAPEC内容团队 |
manbetx客户端首页 |
| Attack_Prerequisites更新,描述,描述总结,Related_Weaknesses Resources_Required Solutions_and_Mitigations |
| 2019-09-30
(版本3.2) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
