[ HowTo ] Application Mapping / Banner-Grabbing
Schönen guten Tag,
ich habe grade ein Tutorial übers Application Mapping und Banner-Grabbing für einen Freund geschrieben und vielleicht kann der eine oder andere von euch das auch gebrauchen ;) Habs noch etwas umgeschrieben und gekürzt, sodass es für die meisten verständlich sein sollte...
Inhalt:
1 Was ist überhaupt Application Mapping
2 Arten von Application Mapping
2.1 Banner-Grabbing
2.2 kurze Erklärung von Pattern Matching
Application Mapping, was muss man sich darunter vorstellen? Nehmen wir ein Szenario, beispielsweise setzt ihr euch an den Server einer etwas größeren Firma. Als erstes (oft nicht das intelligenteste) führen wir Portscans durch um die offenen Ports zu finden und die darauf angebotenen Dienste zu erkennen. Dies ist normalerweise nicht schwer da faule Admins meistens die Standarts der IANA (Internet Assigned Numbers Authority) benutzen. Das bedeutet der FTP läuft über Port 21 oder der Webserver über Port 80 (http) etc. Gehen wir erstmal von dieser
Gattung der faulen Admins aus. Nun, um eventuelle Schwachstellen im benutzten Protokoll zu finden, wäre erstmal das benutzte Protokoll und die Versionsnummer als Basiswissen von Vorteil. Hier bieten uns die klassischen Dienste wie zum Beispiel SMTP oder FTP die Möglichkeit des Banner-Grabbings. Banner-Grabbing ist eigentlich nichts weiter als eine Freundlichkeit des Protokolls auszunutzen.
Nehmen wir unser fiktives Szenario. Wir bauen eine Telnet Verbindung zu, sagen wir mal hier, einem Mailserver auf. Das ganze sollte dann unter Windows so ähnlich aussehen.
C:\Dokumente und Einstellungen\Computername> telnet mail.euerserver.domain 25
Als Antwort erhaltet ihr ein 220 wenn alles glatt gelaufen ist. Dieser sagt euch, dass euer Request erfolgreich verarbeitet wurde.Hier mal ein Beispiel wie der Server antworten könnte:
220 mail.euerserver.domain ESMTP
Sendmail 7.18.3/7.18.3 taifun -1.0;
Darunter folgen meist noch Angaben über Datum und Uhrzeit etc. Hier legen wir unser Augenmerk aber auf das Protokoll das verwendet wird (in diesem Fall SMTP] und die Versionsnummer (in diesem Fall 7.18.3) Nun könnt ihr in euer Exploitsammlung stöbern.
Das wars schon, was es zum Banner-Grabbing grob zu sagen gab.
Kommen wir nun zum zweiten Fall. Die klassischen Protokolle sind alle auf dem neusten Stand und uns stehen keine Exploits der neusten Versionen zur Verfügung. Was jetzt? Nun nehmen wir uns die nicht so bekannten Dienste vor. Problem hier ist, dass diese Dienste nicht so freundlich sind, uns ein "Willkommensbanner" vor die Nase zu setzten uns somit sich und ihre Version zu verraten.
Auch könnte ein fleißiger Admin die Situation erschweren, indem er die IANA Vorgaben missachtet. In diesem Fall müssen wir auf Pattern Matching zurückgreifen. Ich werde nur kurz darauf eingehen, da man es nur sehr selten manuell benutzt. Es gibt Programme die das für einen übernehmen. Trotzdem, ganz kurz. Warum geht es beim Pattern Matching?
Das Pattern Matching ist ein Vefahren um den Dienst hinter einem Port mittels Ausschlussverfahren zu ermitteln. Dazu werden verschieden Parameter, wie zum Beispiel die unterschiedliche Timeout Zeit von Diensten verwendet.
Beispiel: FTP trennt die bestehende Verbindung nach einer Anzahl bestimmen NOOP ( No Operation Kommando, das die Leitung zwischen Client und Server "warmhält" um ein Timeout zu verhindern) Kommandos während beispielsweise Telnet gar kein Timeout besitzt. Ein
anderer Parameter wären beispielsweise bestimmte Befehle, die nur bestimmte Dienste beherrschen.
Durch Pattern Matching kann man den Dienst zumindest eingrenzen und mit vielen Parametern auch herausfinden. Allerdings brauch man dies heutzutage nicht mehr manuell machen. Es gibt genügend Programme zum Beispiel "amap" welches in Anlehnung an "nmap"
entwickelt wurde. Das wars auch schon. Kurz und ich hoffe gut verständlich.
Autor: Mupfel
