 描述
敌人使用TCP圣诞扫描来确定端口关闭在目标机器上。这种扫描是通过发送TCP段与所有可能的旗帜在数据包头部中设置,生成数据包根据RFC 793是非法的。RFC 793的预期行为,任何州外国旗的TCP段发送到一个开放的端口被丢弃,而段与其他州旗送到关闭端口应该处理RST的回应。这种行为应该允许攻击者扫描关闭端口通过发送特定类型的违规包(不同步或不允许TCB)和检测关闭端口通过RST包。
扩展描述
除了相对速度与其他类型的扫描相比,其主要优点是它能够扫描无状态防火墙或ACL过滤器。这种过滤器配置封锁港口通常通过防止SYN包,从而阻止任何试图建立一个连接。圣诞节包,像其他州的鳍或ACK包,往往通过这些设备未被发现。因为开放端口通过没有反应生成,推断出一个无法区分一个开放的端口和端口过滤没有进一步分析。例如,圣诞节扫描系统通过一个有状态的防火墙保护可能表明所有端口被打开。因为他们的明显的违规性质,圣诞扫描被几乎所有的入侵预防标记或入侵检测系统。
典型的严重性
执行流程
实验
-
敌人发送设置所有标志的TCP包而不是到目标端口与一个现有的连接。
-
敌人使用来自目标的响应来确定端口的状态。如果没有收到响应端口是打开的。如果收到RST包端口是关闭的。
先决条件
| 对手需要逻辑访问到目标网络。圣诞节扫描需要使用原始套接字,因此不能从一些Windows系统执行(例如,Windows XP SP 2)。在Unix和Linux,原始套接字操作需要root特权。 |
所需资源
| 这种攻击可以进行网络映射器或扫描仪,或者通过原始套接字编程脚本语言。为此包注入工具也非常有用。根据使用的方法可能需要嗅探网络为了看到响应。 |
后果
 这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
保密 |
其他 |
|
|
保密
访问控制
授权 |
旁路保护机制
隐藏活动 |
|
|
可用性 |
不可靠的执行 |
|
缓解措施
| 雇佣一个健壮的网络防御姿态,包括管理IDS / IPS。 |
笔记
其他
许多操作系统没有实现完全RFC 793,为此圣诞扫描对这些设备不能正常工作。一些操作系统,就像微软的Windows操作系统,发送一个RST包在回应任何TCP段不同步(或畸形)收到一个监听套接字(而不是把数据包通过RFC 793),从而防止敌人区分开启和关闭端口。圣诞节扫描范围是有限的对工作平台。
分类法映射
CAPEC映射ATT&CK技术利用一个继承模型简化和减少直接CAPEC / ATT&CK映射。继承的映射表示文本说明父CAPEC有相关ATT&CK映射。注意,ATT&CK企业框架不使用一个继承模型的一部分映射到CAPEC。
引用
|
斯图尔特·麦克卢尔(REF-33)乔尔Scambray和乔治·库尔茨。“黑客暴露:网络安全机密和解决方案”。第二章:扫描、pg。56。第六版。麦格劳希尔》2009。 |
|
|
|
[REF-34]戈登“费奥多”里昂。“Nmap网络扫描:官方网络发现和安全扫描Nmap项目指南》。5.5节TCP鳍,NULL,圣诞扫描,pg》107。第三“零天”版。Insecure.com LLC, ISBN: 978-0-9799587-1-7。2008年。 |
|
|
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2018-07-31
(版本2.12) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Attack_Prerequisites、描述描述总结、引用Related_Weaknesses, Resources_Required Solutions_and_Mitigations |
| 2020-12-17
(版本3.4) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述、Execution_Flow笔记 |
| 2022-02-22
(版本3.7) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述,Extended_Description |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
