-[ 0x0E ]-------------------------------------------------------------------- -[ Fingerprinting Pasivo ]--------------------------------------------------- -[ by ca0s ]---------------------------------------------------------SET-31-- ########################################## Evadiendo el Fingerprinting Pasivo by ca0s ca0s@getrewted.com.ar http://www.getrewted.com.ar ########################################## --[ Contenidos 1 - Introduccion 2 - Que es el Fingerprinting de Red ? 2.1 - Fingerprinting Activo 2.2 - Fingerprinting Pasivo 2.3 - Fingerprinting por Tiempo 3 - Razones para evadir el Fingeprinting Pasivo 3.1 - Tecnica Anti-Forense 3.2 - Privacidad y Estadistica 3.3 - Ataques automatizados 4 - Tecnicas de Fingerprinting Pasivo 4.1 - Flags y opciones mas comunes 4.2 - Herramientas usadas 5 - Evadiendo el Fingerprinting Pasivo 5.1 - Linux LKMs 5.2 - /proc filesystem 5.3 - POM & MANGLE 5.4 - Packet Purgatory 5.5 - Divert Sockets 5.6 - Netfilter QUEUE 6 - Algunas conclusiones 7 - Referencias --[ 1 - Introduccion Este articulo tiene como objetivo, explicar el funcionamiento de las tecnicas de fingerprinting pasivo para un Sistema Operativo, plantear las razones por las que querriamos realizar una evasion, y analizar las diferentes tecnologias que podriamos usar para lograr la evasion. Con cada tecnologia analizada, veremos hasta donde se puede llegar con ella, y mostraremos algunos simples ejemplos de evasion. En un segundo articulo sobre esta misma tematica, iremos mas a fondo con el camino elegido, y veremos algunas tecnicas mas avanzadas de evasion. La idea principal de este articulo, es introducirnos en el tema, para luego seguir trabajando con las tecnicas de evasion. Espero que disfruten de la lectura, y ya que hay altas probabilidades de que encuentren errores, cualquier comentario sera mas que bienvenido ;) --[ 2 - Que es el Fingerprinting de Red ? La tecnica del "fingerprinting" de red se basa en encontrar diferencias en los paquetes que un sistema envia o recibe, y a partir de comparar estas diferencias realizar una identificacion. Podemos hacer diferentes aplicaciones de esta tecnica, pero en general es usada para identificar servicios, programas, o un Sistema Operativo. Un ejemplo muy basico, y que todos conoceran, es diferenciar un Windows de un Linux usando el comando PING: foo# ping 192.168.1.10 64 bytes from 192.168.1.10: icmp_seq=1 ttl=128 time=5.46 ms 64 bytes from 192.168.1.10: icmp_seq=2 ttl=128 time=5.27 ms foo# ping 192.168.1.163 64 bytes from 192.168.1.163: icmp_seq=1 ttl=64 time=2.36 ms 64 bytes from 192.168.1.163: icmp_seq=2 ttl=64 time=2.34 ms En el primer ejemplo, identificamos al sistema Windows porque la TTL es de 128, y en el segundo ejemplo identificamos al Linux porque la TTL es de 64. Claro que este metodo no es muy confiable, ya que tambien hay otros SOs que utilizan esos mismos valores de TTL. Por esta razon, es que a mayor cantidad de diferencias, mas precisa sera nuestra identificacion. Las tecnicas mas conocidas de fingerprinting de un SO, son mediante el metodo Activo, Pasivo y por Tiempo. A continuacion veremos un ejemplo, y una breve explicacion de cada una de ellas. 2.1. Fingerprinting Activo La forma Activa del fingerprinting, es la mas conocida y usada por todos. Trabaja enviando paquetes especialmente modificados a un sistema, y escuchando por su respuesta. Como cada SO posee su propia implementacion del TCP/IP stack, podemos comparar las diferentes respuestas, y en base a las diferencias, identificar el SO que posee. Hay varias herramientas que podemos utilizar, pero compartiran conmigo que la mas popular es Nmap [Ref. 1]. Veamos un ejemplo del fingerprinting que realiza: foo# nmap -sS -T4 -O docsrv.caldera.com Starting nmap 3.70 ( http://www.insecure.org/nmap/ ) at 2005-01-29 21:21 UTC Interesting ports on docsrv.caldera.com (216.250.128.247): (The 1657 ports scanned but not shown below are in state: filtered) PORT STATE SERVICE 80/tcp open http 113/tcp closed auth 507/tcp open crs Device type: general purpose Running: NCR BSD-misc, SCO UnixWare OS details: NCR S26 server (i386) running NCR MP-RAS SVR4 UNIX System, SCO UnixWare 7.1.0 x86 Uptime 225.442 days (since Fri Jun 18 11:31:44 2004) Una de las razones por la que la forma activa sea tan usada, se debe a que a la hora de comprobar la seguridad de un sistema, muchas vulnerabilidades dependen directamente de un SO en particular, por lo que hacer un reconocimiento de este se vuelve fundamental. 2.2. Fingerprinting Pasivo Esta otra variante de fingerprinting tambien puede ser usada para reconocer un SO, pero la forma y el proposito para hacerlo es totalmente diferente. Como su nombre lo indica, al contrario del fingerprinting Activo donde enviamos pedidos a un equipo, en este metodo solamente vamos a escuchar las conexiones generadas por otros sistemas, y en base a las diferentes opciones y flags que cada conexion posee vamos a intentar identificar un SO. Lo obvio, y fundamental de este metodo, es que al solo estar escuchando las conexiones, nunca vamos a ser detectados. Al contrario del metodo Activo, que suele ser muy ruidoso. Tambien hay varias herramientas para hacer fingerprinting Pasivo, pero la mejor de su clase es sin duda p0f [Ref. 2]. Veamos un ejemplo de p0f en accion: foo# p0f p0f - passive os fingerprinting utility, version 2.0.5 (C) M. Zalewski , W. Stearns p0f: listening (SYN) on 'any', 231 sigs (13 generic), rule: 'all'. 192.168.1.163:32768 - Linux 2.4/2.6 <= 2.6.7 (up: 0 hrs) -> 65.108.147.27:80 (distance 0, link: ethernet/modem) Hay muchos usos que le podemos dar a esta tecnica, como veremos mas adelante, pero es muy interesante como se la ha comenzado a utilizar en soluciones de IDS/IPS para reducir los falsos positivos. Varios productos comerciales de Deteccion/Prevencion de Intrusos, entre ellos el ISS RealSecure por ejemplo, realizan escaneos de vulnerabilidades en los sistemas que protegen para luego correlacionar esta informacion contra los ataques recibidos. De esta forma es posible verificar si un ataque puede ser exitoso, ya que se cuenta con el patron de ataque que se ha recibido, y las vulnerabilidades anteriormente conocidas en los servidores. La idea es buena, pero agrega una gran latencia en la red debido a que constantemente hay que escanear los servidores en busca de vulnerabilidades. Aqui es donde entra esta tecnica para innovar, la empresa Sourcefire que utiliza toda la tecnologia de Snort para sus soluciones de IDS/IPS, creo un dispositivo que realiza Fingerprinting Pasivo para obtener informacion de los sistemas y sus vulnerabilidades, y luego correlacionarla con los ataques recibidos. Gracias a esto, no agrega ningun tipo de latencia a la red, ya que todo lo obtiene escuchando pasivamente en un puerto de trunk del switch de la LAN. 2.3. Fingerprinting por Tiempo Esta tecnica es relativamente nueva, y se la describe como "Medio-Pasiva". Su funcionamiento, se basa en analizar el tiempo de retransmision por timeout de los paquetes en un handshake de TCP. Dentro de las pocas herramientas que realizan este tipo de analisis, encontramos a Snacktime [Ref. 11], un simple Perl script, pero que cumple su proposito: foo# iptables -A OUTPUT -p tcp --dport 80 --tcp-flags RST RST -j DROP foo# iptables -A INPUT -p tcp --sport 80 --tcp-flags SYN SYN -j DROP foo# perl snacktime.pl -t www.sun.com -p 80 -v -m It's snacktime for 209.249.116.195 on port 80... 209.249.116.195 gave me a snack! Yum! [SYN-ACK Time: 1117238093.881357] 209.249.116.195 gave me a snack! Yum! [SYN-ACK Time: 1117238097.245171] 209.249.116.195 gave me a snack! Yum! [SYN-ACK Time: 1117238103.995990] 209.249.116.195 gave me a snack! Yum! [SYN-ACK Time: 1117238117.515720] 209.249.116.195 gave me a snack! Yum! [SYN-ACK Time: 1117238144.494415] 209.249.116.195 gave me a snack! Yum! [SYN-ACK Time: 1117238198.492660] 209.249.116.195 gave me a snack! Yum! [SYN-ACK Time: 1117238258.490415] First snack at: 1117238093.881357 Retry 1 delta: 3.363814 secs 1117238097.245171 Retry 2 delta: 6.750819 secs 1117238103.99599 Retry 3 delta: 13.51973 secs 1117238117.51572 Retry 4 delta: 26.978695 secs 1117238144.494415 Retry 5 delta: 53.998245 secs 1117238198.49266 Retry 6 delta: 59.997755 secs 1117238258.490415 Alright guess: 209.249.116.195 is SunOS_5.5.1 (7) Runner up (Lame guess): Generic_Perfect_RFC_2988_Stack (2) Esta tecnica es muy interesante, pero dada la complejidad de la evasion, la vamos a cubrir en el proximo articulo sobre tecnicas avanzadas, igualmente ya tienen lo necesario si desean investigar por su cuenta. --[ 3 - Razones para evadir el Fingeprinting Pasivo Hay muchas razones por las cuales querriamos evadir un fingerprinting pasivo, a continuacion veremos algunas de ellas, las que se me han ocurrido a mi, pero todo depende de la imaginacion de cada uno de ustedes. 3.1. Tecnica anti-forense Esta es la razon por la cual comenze a investigar sobre este tema, me atraia lo interesante de las arquitecturas de honeypots, y me preguntaba como alguien podria evadir uno de estos sistemas. Descubri que formas de detectar y hackear honeypots hay muchas, daria para un articulo aparte, pero si todo el trafico de red era capturado, nada impedia que un analista forense pueda descubrir cuales fueron las acciones de un atacante y realizar un perfil de este. The Honeynet Project [Ref. 3] es una de las organizaciones que mas ha incursionado en el estudio de las herramientas, tacticas y motivos que posee el atacante de un sistema. Para ello han creado lo que se conoce como una Honeynet, que es una de las soluciones mas complejas y reales de honeypots. Una Honeynet no puede ser emulada, todo debe ser real, y puede involucrar hasta una red entera de honeypots. El desafio es grande, ya que un atacante debe poder interactuar con todos estos sistemas, sin dudar en ningun momento del lugar donde se encuentra. Al mismo tiempo debe ser una red controlada, para que no se pueda atacar sistemas fuera de ella, y por supuesto, se pueda capturar toda la informacion que paso por su interior. A partir de toda esta compleja arquitectura, The Honeynet Project ha escrito muchos documentos, y hasta un libro. Uno de sus whitepapers, que tiene el nombre "Know Your Enemy: Passive Fingerprinting" [Ref. 4], esta dedicado exclusivamente al analisis forense de red usando la tecnica del fingerprinting pasivo. Aunque solo se enfoca en la deteccion del SO del atacante. Podemos encontrar varias razones por las que un analista forense desee conocer el SO que un atacante utilizaba, todo depende de las circunstancias, y de cada caso en particular. Pero si al hecho de haber reconocido el SO, le sumamos otra informacion que se haya podido conseguir, como las herramientas utilizadas, las acciones que se realizaron, el objetivo que se perseguia, etc. se podria llegar a sacar un perfil bastante aproximado de un atacante, que hasta podria ser usado en una futura instancia judicial. Muchos autores de virus, han logrado ser identificados tras encontrar patrones en los archivos de una de sus creaciones, que permitian identificar que el mismo codigo de programacion, o las mismas librerias, habian sido utilizadas en otros virus. En un analisis forense de red podria pasar algo similar, pero en vez de buscar patrones en el archivo de un virus, lo estariamos buscando en el trafico de red. 3.2. Privacidad y Estadistica Con respecto a la privacidad, creo que no hace falta demasiada explicacion, y ya se imaginaran hacia adonde apunto. No hace falta ser hacker ni abogado para darse cuenta de los abusos que muchos gobiernos y empresas realizan en contra del derecho a la privacidad que cada uno de nosotros posee. Con solo leer los diarios de vez en cuando cualquiera se puede dar cuenta de ello. La estadistica esta directamente relacionada a la privacidad, pero a veces no nos damos cuenta de ello, y simplemente dejamos que las cosas pasen. El ejemplo mas simple, lo encontramos cada vez que navegamos por alguna pagina web, y al mismo tiempo estamos revelando informacion personal, como el SO que usamos, en cada lugar que visitamos. Para hacer una simple demostracion, vamos a entrar con diferentes browsers a Google, y con Ngrep [Ref. 5] a capturar el paquete directamente de la red: foo# ngrep interface: eth1 (192.168.1.0/255.255.255.0) * Usando "Links" desde Linux: T 192.168.1.16:32797 -> 64.233.161.104:80 [AP] GET / HTTP/1.1 User-Agent: Links (2.1pre11; Linux 2.4.22 i686; 100x37) * Usando "Internet Explorer" desde Windows: T 192.168.1.23:1787 -> 64.233.161.104:80 [AP] GET / HTTP/1.1 User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.1.4322) * Usando "Firefox" desde Windows: T 192.168.1.23:1782 -> 10.1.0.92:80 [AP] GET / HTTP/1.1 User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.0; en-US; rv:1.7.8) * Usando "Firefox" desde Linux: T 192.168.1.16:32792 -> 64.233.161.147:80 [AP] GET / HTTP/1.1 User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.5) * Usando "Lynx" desde Linux: T 192.168.1.16:32794 -> 64.233.161.104:80 [AP] GET / HTTP/1.0 User-Agent: Lynx/2.8.5rel.1 libwww-FM/2.14 SSL-MM/1.4.1 OpenSSL/0.9.7d Como podran observar, excepto Lynx, el resto de los browsers que usamos revelan cual es nuestro SO. Tal vez puedan considerar que esta no es una informacion lo suficientemente importante, para tomarse la molestia de usar Proxys o cambiar de browser. Pero este tipo de informacion, es muy valiosa para empresas que la usan para crear perfiles de sus usuarios, con innumerables propositos, y aqui la gran pregunta: Quien quiere ser una estadistica ? 3.1. Ataques automatizados Para explicar este punto, les contare una historia, asi que les pedire que usen un poco bastante su imaginacion, y supongamos esta hipotetica situacion: Un "black hat" malvado, descubre una vulnerabilidad en un SO con un pobre dise~o de seguridad, puede ser cualquier SO que conozcamos, pero utilizaba el SP 3. Tras este gran descubrimiento, nuestro black hat decide ir en busca de codigos de homebanking, o numeros de tarjetas de credito que algun usuario despistado guarde en su PC, o que puedan ser sustraidos utilizando un keylogger. Sabe que su recien codeado exploit no fallara, pero si comienza a escanear grandes redes en busca de PCs con un SO en particular, es probable que alguien lo detecte y termine en la carcel. O peor aun, otro black hat, aun mas malvado que el, descubra su 0 day, venda la vulnerabilidad a iDEFENSE, y el no solo pierda su tiempo de investigacion y los creditos, si no tambien el dinero! El problema era simple, si escaneaba grandes redes en busca de sus victimas, seria descubierto, y no lograria su objetivo. Entonces, como no podia buscarlos, deberia atraerlos. Para ello monta un sitio web en un servidor que ya controlaba, sube las ultimas fotos y videos de Jenna Jameson, y comienza a hacer propaganda de la mejor web de contenidos XXX de Internet, en cuanto IRC, lista de correo y foro encontraba. Nuestro black hat sabia que su 0 day, al comenzar a atacar sistemas, tendria una vida util muy corta. Por ello, es que la precision jugaba un papel fundamental. Si habia abandonado la idea de escanear grandes redes, tampoco se arriesgaria a correr su exploit contra cuanta victima visitara su web XXX, y de la cual desconocia si poseia el SO vulnerable. Como ingenio le sobrava a nuestro black hat, decidio hacer un script automatizado para que cuando una victima entrara a la web, primero detectaria su SO haciendo un fingerprinting pasivo de la conexion que este habia iniciado, y si poseia el SO vulnerable, recien alli el exploit se ejecutaria, y entonces un backdoor seria instalado en la victima. La historia termina aqui, el black hat utilizando una tecnica, que generalmente es usada para otros propositos, gano tiempo, y consiguio una mayor cantidad de victimas. La moraleja es que si no quieres ser la victima, de un black hat malvado jugando con su 0 day, debes poder evadir la deteccion de tu SO en un fingerprinting pasivo. Bueno, les adverti que debian usar su imaginacion ;) --[ 4 - Tecnicas de Fingerprinting Pasivo Ahora veremos como se realiza el Fingerprinting Pasivo de un SO, analizando las conexiones TCP/IP. Los que ya posean buenos conocimientos de TCP/IP, pueden saltar al punto 4.2, aunque nunca esta de mas refrescar algunos conceptos. 4.1. Flags y opciones mas comunes En TCP/IP vamos a encontrar muchos flags y opciones de los protocolos que nos van a permitir diferenciar un SO de otro, a continuacion veremos una breve descripcion de los mas usados. - TTL (Time To Live): El proposito del campo TTL es prevenir que un datagrama termine en un loop infinito. Esto puede suceder, cuando por ejemplo, un router crashea o la conexion entre dos routers se pierde, entonces a los protocolos de ruteo les puede tomar un tiempo detectar cual es la ruta perdida y buscar una nueva. Durante este tiempo, puede pasar que el datagrama termine dando vueltas en un loop de ruteo. El campo TTL entonces, pondra un limite a las vueltas que el datagrama puede dar dentro de este loop. Cada router que recibe un datagrama, debe decrementar el TTL en 1, o en la cantidad de segundos que tardo en procesarlo. Como la mayoria de los routers tarda menos de un segundo en hacerlo, el campo TTL termina siendo un muy efectivo contador de saltos, que se decrementa de uno en uno por cada router por el que pasa. Un programa que basa su funcionamiento en el TTL, es el muy conocido traceroute, el cual comienza enviando un datagrama con el TTL en 1, y lo va incrementando hasta llegar a su destino. Como por cada router por donde pasa el datagrama, el TTL se decrementa, cuando este llega a 0, el router devuelve un mensaje ICMP de time exceeded in-transit, y de esta forma el traceroute se entera por donde paso el datagrama. Para saber cuando el datagrama llega al host destino, el traceroute espera a que este le envie un mensaje ICMP de echo-reply, si uso el protocolo ICMP, o de port-unreachable, si utilizo el protocolo UDP, ya que para UDP usa puertos muy altos que no suelen ser utilizados. Para dejarlo mas claro, como el TTL trabaja en el protocolo IP, podemos hacer un traceroute utilizando diferentes tipos de protocolos. Las implementaciones mas comunes del traceroute, utilizan UDP e ICMP, en Unix y compatibles, e ICMP, en el tracert de Windows. Por ejemplo, otro protocolo con el que podriamos hacer un traceroute seria con TCP. Llendome un poco del tema, un traceroute con TCP es muy util, porque suele pasar que un router o firewall filtre el trafico UDP hacia una red, y si el admin medianamente sabe lo que hace, tambien va a filtrar ICMP, otra gran fuente de fingerprinting [Ref. 6]. Pero por suerte, siempre vamos a encontrar un servicio TCP escuchando al final del camino, como por ejemplo un servidor web, razon por la que podriamos hacer un traceroute TCP al puerto 80 de este servidor, y pasariamos sin ser filtrados. Esta de mas decir que si hacemos un traceroute con TCP, en vez de esperar un mensaje ICMP de port-unreachable, o echo-reply cuando el paquete llega al host destino, lo que recibiriamos seria un SYN/ACK en respuesta a nuestro SYN. Veamos un ejemplo del traceroute. Con UDP o ICMP(flag -I), vamos a recibir la misma respuesta que aparece a continuacion: foo# traceroute -n -I www.telefonica.es traceroute to www.telefonica.es (194.224.55.24), 30 hops max, 38 byte packets 1 192.168.1.1 2.529 ms 2.458 ms 2.508 ms 2 x.x.x.x 18.660 ms 19.878 ms 19.525 ms 3 200.x.x.x 20.366 ms 19.569 ms 20.094 ms 4 200.x.x.x 19.759 ms 20.018 ms 20.804 ms 5 200.x.x.x 23.999 ms 22.366 ms 22.182 ms 6 200.3.49.121 23.871 ms 22.119 ms 22.466 ms 7 * * * 8 * * * 9 195.22.199.73 209.609 ms * 175.036 ms 10 195.22.216.169 184.849 ms 185.579 ms 186.585 ms 11 213.140.52.153 207.172 ms * 184.275 ms 12 213.140.37.189 290.499 ms 271.434 ms 270.237 ms 13 213.140.36.133 291.821 ms 313.774 ms 311.341 ms 14 213.140.50.126 291.692 ms 289.924 ms 311.334 ms 15 194.69.226.60 291.652 ms 328.648 ms 289.771 ms 16 193.152.56.22 286.145 ms 288.765 ms 310.180 ms 17 * * * 18 * * * 19 * * * 20 * * * Como pueden ver, nunca llegamos a nuestro destino, saltos 17 en adelante, porque seguramente hay un dispositivo filtrando UDP e ICMP delante del servidor web, posiblemente un firewall. En los saltos 7 y 8 solamente John Chambers debe saber lo que pasa... Ahora veamos el mismo ejemplo, pero haremos el traceroute utilizando TCP hacia el puerto 80 de www.telefonica.es, utilizando el famoso Hping [Ref. 7]: foo# hping www.telefonica.es -n -S -p 80 -t 1 -z HPING www.telefonica.es (eth0 194.224.55.24): S set, 40 headers + 0 data bytes TTL 0 during transit from ip=192.168.1.1 2: TTL 0 during transit from ip=x.x.x.x 3: TTL 0 during transit from ip=200.x.x.x 4: TTL 0 during transit from ip=200.x.x.x 5: TTL 0 during transit from ip=200.x.x.x 6: TTL 0 during transit from ip=200.3.49.121 9: TTL 0 during transit from ip=195.22.199.73 10: TTL 0 during transit from ip=195.22.216.169 11: TTL 0 during transit from ip=213.140.52.153 12: TTL 0 during transit from ip=213.140.37.189 13: TTL 0 during transit from ip=213.140.36.133 14: TTL 0 during transit from ip=213.140.50.126 15: TTL 0 during transit from ip=194.69.226.60 16: TTL 0 during transit from ip=193.152.56.22 17: TTL 0 during transit from ip=194.224.52.16 18: len=46 ip=194.224.55.24 ttl=233 DF id=15879 sport=80 flags=SA seq=34 win=9112 rtt=312.7 ms len=46 ip=194.224.55.24 ttl=233 DF id=15882 sport=80 flags=SA seq=37 win=9112 rtt=313.6 ms len=46 ip=194.224.55.24 ttl=233 DF id=15883 sport=80 flags=SA seq=38 win=9112 rtt=291.5 ms Como pueden ver, el dispositivo que nos estaba filtrando, y que logramos descubrir, tiene la IP 194.224.52.16 en el salto 17. Luego, en el salto 18 ya recibimos la respuesta (SYN/ACK) de la web de www.telefonica.es. Volviendo al uso del TTL en el fingerprinting, vimos al comienzo de este articulo, un simple ejemplo en el que usando el comando PING podiamos diferenciar entre un Linux y un Windows, porque los TTLs eran de 64 y 128 en cada caso. Ahora vemos, que en la respuesta del comando HPING, el servidor web responde con un TTL de 233. Los valores de inicio del TTL, en la mayoria de los SOs, son en general de 30, 32, 60, 64, 128 y 255. Por lo que podemos presumir que el TTL del servidor web es de 255, ya que si a los 233 de respuesta, le sumamos los 18 saltos de distancia a los que me encuentro, mas algunos saltos dentro de la red interna de telefonica.es, vamos a llegar a ese numero. Como habiamos comentado, es muy burdo intentar identificar un SO unicamente por el valor de su TTL, pero de querer hacerlo, podriamos consultar, entre otras fuentes, por un whitepaper llamado "Default TTL Values in TCP/IP" [Ref. 8], en donde vamos a encontrar que el TTL de 255 corresponde a Solaris. Buscando un poco mas de informacion, podemos asociar este valor de TTL a las versiones de Solaris entre la 2.5 y la 2.7. Esta tecnica es la misma que utiliza la conocida web Netcraft [Ref. 9] para identificar el SO de un website, solo que ademas, tambien toma los banners del HTTP Server, entre otras cosas. Si consultamos en Netcraft por el SO de la web de www.telefonica.es, vamos a comprobar que efectivamente es un Solaris. - Window Size: En una conexion entre un cliente y un servidor, el Window Size, es la cantidad de datos que el cliente puede enviarle al servidor, antes de recibir un reconocimiento indicando que ha recibido todo o parte de estos datos. Para mantenerlo simple, si por ejemplo tenemos a dos hosts hablando sobre una conexion TCP con un Window Size de 64KB, el cliente puede mandar solamente 64KB de datos, luego debe parar, y esperar a recibir un reconocimiento por parte del servidor. Si el servidor reconoce que recibio todos los datos, entonces el cliente puede volver a enviar 64KB. Si al contrario, el servidor solo reconoce 32KB, porque supongamos que los otros 32KB se perdieron en el camino, entonces el cliente debe volver a mandar solamente los ultimos 32KB perdidos, porque no puede pasarse de los 64KB acordados al principio. En el caso del fingerprinting, nuestra atencion estara puesta sobre el valor, que diferentes SOs, le fijan al Window al iniciar una conexion, y luego como esta va cambiando. - DF (Don't Fragment): Cuando la capa IP recibe un datagrama, primero verifica porque interfaz local lo va a rutear, y luego obtiene el MTU que esta posee. El MTU es el "Maximun Transfer Unit" que un tipo de red en particular tiene, en redes Ethernet por ejemplo, el MTU es de 1500 bytes. Una vez que IP tiene el valor del MTU, lo va a comparar con el tama~o del datagrama, y si es necesario, fragmentara el datagrama. Hay varios campos en el IP Header que entran en juego con la fragmentacion, uno de ellos es el llamado "Don't Fragment". Cuando este campo esta activado, el protocolo IP no fragmentara el datagrama. Una vez que el datagrama ha sido enviado con el DF bit activado, si en algun punto es necesario fragmentar el datagrama, este sera descartado, y un mensaje ICMP de error "fragmentation needed but don't fragment bit set" sera enviado al origen de la conexion. La mayoria de los SOs poseen el campo DF activado, por lo que no nos servira de mucho para identificar un SO en particular, pero si nos permitira reconocer mas facilmente, a aquellos SOs que no posean este campo activado por default, como es el caso de SCO o OpenBSD. - MSS (Maximum Segment Size): El MSS es la cantidad maxima de datos que TCP puede enviar hacia el otro lado. En el momento en que una conexion se establece, cada lado tiene la opcion de anunciar el MSS que espera recibir. Si uno de los lados no recibe el MSS del otro, se asume un valor de 536 bytes. Este valor permite que un IP Header de 20 bytes y un TCP Header de 20 bytes, entren en un datagrama IP de 576 bytes. Por ejemplo, si tenemos un host conectado a una red Ethernet, el MSS que enviara sera de 1460 bytes, ya que al MTU de 1500 bytes le restamos los 40 bytes del IP y TCP Header; y si del otro lado, tenemos un host conectado con PPP o SLIP que poseen un MTU de 296 bytes, el MSS que enviara sera de 256 bytes. En esta conexion, el host conectado a la red Ethernet, por mas que haya anunciado un MSS de 1460 bytes, jamas podra enviar un datagrama mayor a 256 bytes. El fingerprinting con respecto al MSS, pasa por el valor que algunos SO's poseen por default. La mayoria de los SO's usan un MSS de 1460 bytes, pero por ejemplo, hay algunas implementaciones de BSD que pueden usar un MSS multiplo de 512 bytes, o tambien Novell, que generalmente usa un MSS de 1368 bytes. 4.2. Herramientas usadas Como ya lo hemos venido comentando a lo largo de este articulo, la herramienta mas popular para realizar un Fingerprinting Pasivo de un SO es el p0f, por esta razon, nuestro analisis pasara por conocer como trabaja esta herramienta, y en la siguiente seccion, como podemos evadir la deteccion que realiza. A partir de la version 2.0, el p0f ha incorporado nuevas tecnicas mas avanzadas de deteccion, y se ha vuelto mucho mas preciso. Aun asi, esta lejos de ser tan preciso como Nmap, debido a que solo puede escuchar las conexiones que un host realiza, y no verificar como este responde a paquetes invalidos o modificados. El p0f puede realizar la deteccion de un SO utilizando tres modos diferentes: - Conexiones entrantes, este es el modo por default, y se basa en escuchar los paquetes SYN del inicio de una conexion. - Conexiones salientes, escucha los paquetes SYN+ACK, que son las respuestas a los paquetes SYN. - Conexiones salientes rechazadas, escucha los paquetes RST+ que pueden ser la respuesta, por ejemplo, a un SYN dirigido a un puerto que estaba cerrado. El principal desarrollo del p0f se encuentra en el primer modo, con los paquetes SYN, ya que estos son los mas ricos en flags y opciones, mientras que los otros modos, estan enfocados a casos mas particulares y son menos exactos, por ello es que no tienen tanta investigacion y mantenimiento de firmas. Nosotros vamos a trabajar solamente con el primer modo. Dentro del archivo de SYN fingerprints del p0f, las firmas tienen este formato: wwww:ttt:D:ss:OOO...:QQ:OS:Details donde cada campo, de principio a fin, significa lo siguiente: wwww - window size ttt - TTL inicial D - don't fragment bit ss - tama~o del paquete SYN OOO - orden y valores de opciones QQ - flags extra~os que pueden aparecer OS - sistema operativo details - detalles del sistema operativo Para comprender mejor como el p0f realiza la deteccion usando las firmas, vamos a analizar un ejemplo practico con la ayuda del famoso Tcpdump [Ref. 10]. En este ejemplo, nosotros realizamos una conexion hacia la web de 198.81.129.100, por lo que el p0f va analizar que SO posee nuestro host basado en el paquete SYN que nosotros enviamos para iniciar la conexion. Si quisieramos saber el SO de los hosts que se conectan a nuestro web server local, este ejemplo seria igual de valido. Tras haber accedido el sitio web, veamos que ha detectado el p0f: foo# p0f p0f - passive os fingerprinting utility, version 2.0.5 (C) M. Zalewski , W. Stearns p0f: listening (SYN) on 'eth1', 231 sigs (13 generic), rule: 'all'. 192.168.1.133:32784 - Linux 2.4/2.6 <= 2.6.7 (up: 2 hrs) -> 198.81.129.100:80 (distance 0, link: ethernet/modem) Como vemos, escuchando el paquete SYN, el p0f ha detectado que nuestro SO es un "Linux 2.4/2.6 <= 2.6.7", es una identificacion bastante amplia, pero comprobemos si es cierta: foo# uname -a Linux foo 2.4.22 #6 Tue Sep 2 17:43:01 PDT 2003 i686 unknown unknown GNU/Linux Efectivamente, nuestro SO se encuentra dentro del amplio rango que detecto el p0f. Ahora veamos como llego a esta conclusion analizando la firma utilizada, en conjunto con el paquete SYN capturado por tcpdump: S4:64:1:60:M*,S,T,N,W0:.:Linux:2.4/2.6 <= 2.6.7 foo# tcpdump -n -vvv 21:21:49.068588 IP (tos 0x0, ttl 64, id 52779, offset 0, flags [DF], length: 60) 192.168.1.133.32784 > 198.81.129.100.80: S 2948542712:2948542712(0) win 5840 Cada campo de la firma esta separado por un ":", asi que vamos a comenzar de principio a fin. S4 (window size): Esto significa que el valor del window size es un multiplo de 4 del valor del MSS. Como vemos, el MSS es de 1460, y si lo multiplicamos por 4 nos va a dar 5840 que es el valor con el que aparece el window size. 64 (TTL): Ninguna explicacion, la TTL aparece en el paquete con un valor de 64. 1 (don't fragment bit): El DF puede ser 0 o 1, como en este caso esta activado el valor es de 1. En la salida de tcpdump vemos que aparece "[DF]", esto significa que esta activado, si no lo estuviera no apareceria. 60 (tama~o del paquete SYN): Tama~o total del paquete en bytes, en tcpdump lo vemos como "length: 60". M*,S,T,N,W0 (orden y valores de opciones): Este campo posee diferentes valores de las opciones del paquete, separados por una coma o un espacio, en el orden en que aparecen en el paquete. La "M*" corresponde al MSS y generalmente aparece con una wildcard, la "S" significa que el flag del Selective ACK permitted esta activado y en el tcpdump aparece como "sackOK", la "T" se refiere al timestamp que en el caso que fuera 0 apareceria como T0, la "N" corresponde a la NOP option, y la "W0" se refiere al Window Scaling que permite escalar el window size. . (flags extra~os que pueden aparecer): Cuando aparece un punto es porque no hay ninguno de estos flags, que en general aparecen en implementaciones que poseen el TCP/IP stack con bugs. Linux:2.4/2.6 <= 2.6.7 (sistema operativo): Esta es la descripcion del sistema operativo que corresponde a la firma antes analizada. En conclusion, en nuestro ejemplo, el p0f escucho el primer paquete SYN enviado, parseo cada uno de sus flags y opciones, y los comparo con su archivo de firmas para identificar nuestro SO. Si desean conocer mas profundamente como trabajo el p0f, la documentacion que posee es muy buena, y leer el codigo fuente tambien ayuda. --[ 5 - Evadiendo el Fingerprinting Pasivo Como ya comente anteriormente, cuando comenze a investigar todo esto encontre que hay mucha informacion sobre las tecnicas del fingerprinting, pero muy poca o nula sobre las tecnicas para evadirlas. La mayoria eran solo comentarios de que tal vez se podria hacer de una forma, o de que tal vez se podria hacer de otra, pero absolutamente nada en concreto. A causa de esto, el primer objetivo que me propuse, seria definir las diferentes tecnologias que podrian ser usadas para la evasion, y elegir entre ellas la mas apropiada para seguir trabajando. Con todas las tecnologias que vamos a ver a continuacion, se podria realizar una evasion del fingerprinting, pero no a todas las investigue a fondo, directamente le dedique mas esfuerzo a las que parecian mas viables. Para que tengan el concepto, nuestro problema, es como hacer para modificar los paquetes que salen de nuestro SO, y que esto sea totalmente transparente para nosotros. 5.1. Linux LKMs Para el problema que tenemos que resolver, una de las primeras cosas en la que vamos a pensar, es en escribir un modulo de Kernel (LKM) que haga la tarea. Es probable que el resultado final seria positivo, pero hay muchas cosas a evaluar antes de seguir por este camino. Con un LKM, lo primero que me viene en mente es usar los hooks de Netfilter para realizar nuestra tarea, y calculo que con eso alcanzaria, pero en el caso de tener la necesidad de modificar el TCP/IP stack, ya tendriamos problemas, porque estariamos modificando el Kernel mismo, y ya no seria un LKM, si no un patch del Kernel, con todos los problemas que ello trae. Otra cosa que debemos tener en cuenta, es que un LKM no es facil de desarrollar, y que estariamos perdiendo la posibilidad de trabajar con los paquetes en user space, lo que es fundamental para la dificil tarea que tenemos. 5.2. /proc filesystem El /proc es un sistema de archivos virtual con una directa representacion del sistema en memoria. Por esta razon, puede ser utilizado como un centro de control e informacion del Kernel. Por ejemplo, usar el comando "lsmod" seria lo mismo que hacer "cat /proc/modules". Lo que vamos a intentar ahora, es ver hasta donde podemos llegar utilizando el /proc para modificar parametros del Kernel relacionados al TCP/IP stack. El parametro mas conocido por todos, es el que nos permite modificar la TTL: echo 'numero' > /proc/sys/net/ipv4/ip_default_ttl Como ya comentamos antes, Linux posee una TTL de 64. Ahora vamos a cambiar este valor, y vamos a ver como se comporta el p0f antes y despues del cambio: foo# p0f p0f - passive os fingerprinting utility, version 2.0.5 (C) M. Zalewski , W. Stearns p0f: listening (SYN) on 'eth1', 231 sigs (13 generic), rule: 'all'. 192.168.1.13:32769 - Linux 2.4/2.6 <= 2.6.7 (up: 0 hrs) -> 65.108.147.27:80 (distance 0, link: ethernet/modem) foo# echo 128 > /proc/sys/net/ipv4/ip_default_ttl foo# p0f p0f - passive os fingerprinting utility, version 2.0.5 (C) M. Zalewski , W. Stearns p0f: listening (SYN) on 'eth1', 231 sigs (13 generic), rule: 'all'. 192.168.1.13:32772 - UNKNOWN [S4:128:1:60:M1460,S,T,N,W0:.:?:?] (up: 0 hrs) -> 65.108.147.27:80 (link: ethernet/modem) Como veran, luego de hacer un cambio en la TTL, el p0f ya no puede identificar al SO y lo muestra como "UNKNOWN", porque los flags del paquete dejaron de ser exactamente iguales a los que tiene en su firma. Obviamente, esto es facilmente identificable por un analista forense, por ello nuestro objetivo siempre sera modificar todos los valores posibles que nos permitan evadir el fingerprinting, y que por supuesto, nos aseguren un correcto funcionamiento de nuestro trafico de red. Otros parametros que podemos modificar para dificultar aun mas la deteccion por un analista, son algunos flags de las IP options, que van a convertir a nuestros paquetes mucho mas genericos. Lo que vamos a hacer, es desactivarlos, y veremos como reacciona el p0f y que nos muestra el tcpdump, antes y despues de los cambios: foo# p0f p0f - passive os fingerprinting utility, version 2.0.5 (C) M. Zalewski , W. Stearns p0f: listening (SYN) on 'eth1', 231 sigs (13 generic), rule: 'all'. 192.168.1.13:32773 - Linux 2.4/2.6 <= 2.6.7 (up: 1 hrs) -> 65.108.147.27:80 (distance 0, link: ethernet/modem) foo# tcpdump -n -vvv tcpdump: listening on eth1, link-type EN10MB (Ethernet), capture size 68 bytes 20:28:42.497538 IP (tos 0x0, ttl 64, id 13698, offset 0, flags [DF], length: 60) 192.168.1.13.32773 > 65.108.147.27.80: S 1186188016:1186188016(0) win 5840 foo# echo 128 > /proc/sys/net/ipv4/ip_default_ttl foo# sysctl -w net.ipv4.tcp_window_scaling=0 net.ipv4.tcp_window_scaling = 0 foo# sysctl -w net.ipv4.tcp_sack=0 net.ipv4.tcp_sack = 0 foo# sysctl -w net.ipv4.tcp_timestamps=0 net.ipv4.tcp_timestamps = 0 foo# p0f p0f - passive os fingerprinting utility, version 2.0.5 (C) M. Zalewski , W. Stearns p0f: listening (SYN) on 'eth1', 231 sigs (13 generic), rule: 'all'. 192.168.1.13:32776 - UNKNOWN [S4:128:1:44:M1460:.:?:?] -> 65.108.147.27:80 (link: ethernet/modem) foo# tcpdump -n -vvv tcpdump: listening on eth1, link-type EN10MB (Ethernet), capture size 68 bytes 20:31:29.953475 IP (tos 0x0, ttl 128, id 4444, offset 0, flags [DF], length: 44) 192.168.1.13.32776 > 65.108.147.27.80: S [tcp sum ok] 1351504256:1351504256(0) win 5840 Pueden ver que es una modificacion interesante, pasamos de la firma estandar que el p0f tienen para nuestro SO: S4:64:1:60:M*,S,T,N,W0:.:Linux:2.4/2.6 <= 2.6.7 a lo que detecto en la red, que es bastante diferente: UNKNOWN [S4:128:1:44:M1460:.:?:?] En este punto, la evasion ya la hicimos, y estariamos comenzando a confundir a un analista forense analizando nuestro trafico de red. Si quieren investigar un poco mas, pueden ver: /usr/src/linux/Documentation/networking/ip-sysctls.txt 5.3. POM & MANGLE Netfilter/Iptables posee un sistema llamado Patch-O-Matic "POM" que permite aplicar patches a las ultimas versiones del Kernel o de Iptables. Dentro de estos patches, muchos programadores han agregado nuevas features que podrian servir para nuestro proposito, ya que nos darian la posibilidad de modificar ciertas opciones o flags de un paquete, que de otra forma no podriamos hacerlo. Usando el POM, podriamos lograr algunos de nuestros objetivos, pero tiene varios problemas que no la hacen una solucion escalable. Por ejemplo, hay que recompilar el Kernel para instalarlo, muchos de estos patchs tienen bugs, y recuerden que los estamos aplicando en el Kernel, y ha dejado de ser oficialmente mantenido por Netfilter. Tambien podriamos hacer algunas modificaciones con el target MANGLE en Iptables, pero tampoco son demasiadas las cosas que podemos modificar, como para intentar usar este metodo para nuestra solucion. Igualmente, si quieren jugar con todo esto, no deja de ser interesante. 5.4. Packet Purgatory Packet Purgatory [Ref. 17] es una libreria que permite capturar paquetes de la red y pasarlos a "user space" para modificarlos. Trabaja usando una interfaz virtual, cambiando el ruteo hacia esta interfaz, y seleccionando el trafico a capturar con reglas de firewall. Esta libreria esta basada en libpcap y libdnet para comunicarse con el Kernel. Los creadores de Packet Purgatory, tambien han desarrollado un programa llamado Morph [Ref. 17], que tiene como objetivo evadir el fingerprinting de un SO y que sea portable a diferentes plataformas. Hasta ahora, Morph solo puede evadir el fingerprinting Activo de un SO, y se planea en un futuro que tambien pueda evadir el fingerprinting Pasivo. Morph aun se encuentra en desarrollo, y no es estable, para utilizarlo en el fingerprinting Activo, por lo que se puede pensar que van a tardar bastante en lograr que pueda evadir el metodo Pasivo. Morph y Packet Purgatory, pueden ser una gran alternativa, para en el futuro, lograr la evasion del fingerprinting Activo y Pasivo de un SO. Pero actualmente, aun se encuentran en desarrollo, no poseen mucha documentacion, es de dificil implementacion, y no sabemos si los desarrolladores van a seguir trabajando en ella. Sera cuestion de esperar y ver que pasa. 5.5. Divert Sockets Los Divert Sockets trabajan de una forma similiar a la que vamos a ver con el Netfilter QUEUE. Mediante una regla de firewall, vamos a elegir un tipo de trafico, y lo vamos a pasar directamente a "user space", una vez alli, podemos modificarlo y enviarlo nuevamente al Kernel. Para trabajar con esta tecnologia, tenemos que aplicar unos patches al Kernel y al Ipchains. Hay un documento llamado Divert Sockets mini-HOWTO [Ref. 16] que explica mas detalladamente este proceso, y muestra algunos ejemplos. Sin duda, este tipo de tecnologia es a la que tenemos que apuntar para lograr nuestro proposito, pero dado que Netfilter QUEUE trabaja de una forma similar, pero mucho mejor, no vamos a profundizar con los Divert Sockets. 5.6. Netfilter QUEUE Netfilter provee un mecanismo llamado "queue", que permite enviar un paquete recibido por el stack hacia "user space", para luego devolverlo al Kernel pero con un veredicto indicando si se lo acepta o se lo descarta. Cuando el paquete esta en user space, tambien podemos modificarlo antes de enviarlo al Kernel. Para trabajar con el QUEUE de Netfilter, vamos a usar Libipq, una libreria en desarrollo, que nos brindara una API para poder comunicarnos con el QUEUE. Un popular programa que utiliza el QUEUE de Netfilter, es Snort Inline [Ref. 12], una version modificada de Snort [Ref. 13], pero trabajando en modo "Prevention". La forma en que trabaja Snort es la misma, solo que captura los paquetes con libipq en vez de hacerlo con libpcap [Ref. 10]. Esto le agrega la posibilidad de poder decidir que el paquete sea dropeado, rechazado, modificado o con permiso de pasar, osea, convierte el IDS en un IPS. Nosotros vamos a usar el QUEUE, para modificar nuestros paquetes salientes, y de esta forma, intentar evadir la deteccion del SO que usamos. El primer paso, es cargar los modulos necesarios para que el QUEUE funcione: foo# modprobe iptable_filter foo# modprobe ip_queue Una vez hecho esto, le decimos a Iptables que paquetes queremos enviar a user space, marcandolos con el target QUEUE: foo# iptables -A OUTPUT -p tcp -j QUEUE En este ejemplo, estamos indicando que todas las conexiones TCP salientes sean enviadas al QUEUE, pero tambien podriamos especificar otros protocolos, o un puerto en particular. Al tener la posibilidad de pasar los paquetes a "user space", podemos modificar estos con cualquier lenguaje de programacion. Con libipq tendriamos que hacerlo en C, pero tambien existen ports de libipq para Python y Perl. Para los ejemplos de este articulo, decidi usar la API de Perl, llamada Perlipq [Ref. 14], simplemente porque nos permitira usar algunos modulos de Perl para trabajar con paquetes en modo raw, de una manera mucho mas sencilla que con C. A continuacion voy a copiar el script de Perl que usaremos de ejemplo, es muy sencillo asi que con solo leer el codigo pueden darse una idea de como trabaja: ------------ comienzo ------------ use IPTables::IPv4::IPQueue qw(:constants); use NetPacket::IP qw(:ALL); use NetPacket::TCP qw(:ALL); use constant TIMEOUT => 1_000_000 * 2; my $queue = new IPTables::IPv4::IPQueue(copy_mode => IPQ_COPY_PACKET, \ copy_range => 2048) or die IPTables::IPv4::IPQueue->errstr; while (1) { my $msg = $queue->get_message(TIMEOUT); if (!defined $msg) { next if IPTables::IPv4::IPQueue->errstr eq 'Timeout'; die IPTables::IPv4::IPQueue->errstr; } my $ip = NetPacket::IP->decode($msg->payload()); my $tcp = NetPacket::TCP->decode($ip->{data}); ######## ## Aqui podemos modificar IP "$ip" o TCP "$tcp", antes de volver a enviarlo ## al Kernel ######## $ip->{data} = $tcp->encode($ip); my $raw = $ip->encode; $queue->set_verdict($msg->packet_id(), NF_ACCEPT, length($raw), $raw); } ------------ final ------------ Para modificar los paquetes, estamos usando el modulo NetPacket [Ref. 14], que nos permitira trabajar con el raw packet sin importarle de donde venga. Ahora veremos unos simples ejemplos para demostrar las posibilidades de lo que podemos hacer. Vamos a comenzar modificando la TTL. Para ello podemos acceder al hash "$ip" haciendo referencia a la ttl, y seteando el valor que queremos: $ip->{ttl} = "128"; Para comprobar si el cambio, efectivamene fue realizado, vamos a dejar corriendo nuestro script mientras accedemos a una pagina web, y veremos con Tcpdump si la TTL ha cambiado: foo# ./kung-foo.pl foo# tcpdump 09:58:32.629630 IP (tos 0x0, ttl 128, id 46507, offset 0, flags [DF], length: 60) 192.168.1.163.34452 > 64.233.161.147.80: S [tcp sum ok] 1830653540:1830653540(0) win 5840 Como pueden ver en el paquete SYN de esta conexion, hemos podido modificar la TTL default de Linux de 64 a 128. Ahora vamos a ver otro ejemplo, en el que vamos a cambiar el valor del window size en el header TCP. El valor por default en el Kernel que estamos usando es de 5840. Para cambiarlo vamos a acceder al hash "$tcp" haciendo referencia al winsize: $tcp->{winsize} = "65535"; foo# ./kung-foo.pl foo# tcpdump 10:10:29.769704 IP (tos 0x0, ttl 64, id 46522, offset 0, flags DF, length: 60) 192.168.1.163.34457 > 64.233.161.147.80: S [tcp sum ok] 2572699372:2572699372(0) win 65535 Podran observar, que efectivamente el window size ha sido modificado al valor de 65535. Pero veamos tambien como afecto este cambio al p0f: foo# p0f p0f - passive os fingerprinting utility, version 2.0.5 (C) M. Zalewski , W. Stearns p0f: listening (SYN) on 'eth1', 231 sigs (13 generic), rule: 'all'. 192.168.1.163:34457 - UNKNOWN [65535:64:0:60:M1460,S,T,N,W0:.:?:?] (up: 18 hrs) -> 64.233.161.147:80 (link: ethernet/modem) Nuevamente, haciendo un simple cambio al window size, el p0f ya no puede detectar nuestro SO. Aprovechando esto, hay otros cosas que podemos hacer para jugar con la deteccion del p0f. Primero hagamos una deteccion sin modificar nada para poder comparar luego: foo# p0f p0f - passive os fingerprinting utility, version 2.0.5 (C) M. Zalewski , W. Stearns p0f: listening (SYN) on 'eth0', 231 sigs (13 generic), rule: 'all'. 192.168.1.163:34453 - Linux 2.4/2.6 <= 2.6.7 (up: 18 hrs) -> 64.233.161.104:80 (distance 0, link: ethernet/modem) Ahora modificaremos el window size a diferentes valores, y observaremos como se comporta el p0f ante esto: $tcp->{winsize} = "2920"; 192.168.1.163:34454 - Linux 2.4 (big boy) (up: 18 hrs) -> 64.233.161.104:80 (distance 0, link: ethernet/modem) $tcp->{winsize} = "4380"; 192.168.1.163:34455 - Linux 2.4.18 and newer (up: 18 hrs) -> 64.233.161.147:80 (distance 0, link: ethernet/modem) $tcp->{winsize} = "29200"; 192.168.1.163:34458 - Linux 2.2.20 and newer (up: 19 hrs) -> 64.233.161.147:80 (distance 0, link: ethernet/modem) Compartiran que es interesante, cambiando unicamente el valor del window size podemos hacernos pasar por diferentes Kernels de Linux. El valor de los window sizes elegidos no son arbitrarios y tienen una logica, como lo explicamos en el punto 4.2. Analizemos estas firmas del p0f: S4:64:1:60:M*,S,T,N,W0:.:Linux:2.4/2.6 <= 2.6.7 S2:64:1:60:M*,S,T,N,W0:.:Linux:2.4 (big boy) S3:64:1:60:M*,S,T,N,W0:.:Linux:2.4.18 and newer S20:64:1:60:M*,S,T,N,W0:.:Linux:2.2.20 and newer La primera firma, es la de nuestro Kernel, y las otras son las que emulamos, como veran lo unico que cambia es el primer campo, el valor del window size, y como ya habiamos explicado, el numero despues de la "S" significa que el tama~o del window size es un multiplo "X" del MSS. Por ejemplo, para la ultima firma multiplicamos 1460 por 20, y el resultado, 29200, fue el valor que le dimos al window size modificado. A esta altura se daran cuenta que si encontramos firmas parecidas, no es muy dificil cambiar algunos valores para hacerse pasar por otro SO. El problema aparece cuando hay que cambiar muchos valores, en donde ya tenemos que tener en cuenta otras cosas, como calcular nuevamente el checksum del paquete si agregamos o quitamos flags y opciones. Uno de los grandes problemas de trabajar con la tecnologia del QUEUE, es la falta de documentacion, que es practicamente nula. Si bien las posibilidades son enormes, tener que redescubrir todo a cada paso significa el doble de esfuerzo, y tiempo invertido, para llegar a nuestro objetivo. En el proximo articulo de tecnicas avanzadas de evasion, seguiremos trabajando con el QUEUE, y veremos ejemplos mucho mas complejos que los mostrados aqui, en el mientras tanto, tienen lo suficiente para investigar por su cuenta ;) --[ 6 - Algunas conclusiones Como hemos visto a lo largo de este articulo, realizar una evasion de la deteccion de nuestro SO, no es algo simple. Existen herramientas que podriamos usar para conseguirlo, pero aun falta mucho desarrollo e investigacion. Creo que esta claro, que de la tecnologias analizadas la que parece mas viable es la del Netfilter QUEUE, por lo que seguramente seguiremos trabajando con ella en el segundo articulo sobre esta tematica. De los simples ejemplos de evasion que vimos, tenemos que tener en cuenta que una cosa es burlar al p0f, y otra muy diferente, hacer lo mismo con un analista forense de red. Tengan cuidado! Como comente en la Introduccion de este articulo, es probable que tal vez hayan encontrado errores, les agradecere que me los informen, y tambien me gustaria aclarar que hay muchisimas cosas que no fueron cubiertas, el fingerprinting es un tema muy extenso, y es imposible tratarlo en un unico articulo. Todo lo que hemos visto, por lo menos a mi me resulta interesante, si alguno de ustedes tambien comparte estos intereses, no duden en contactarme para poder trabajar en equipo. Dos mentes piensan mejor que una, tres mejor que dos... Hasta la proxima! y saludos a Turandot. ca0s .- --[ 7 - Referencias IMPORTANTE: si bien no lo he mencionado como referencia en ninguna parte de este articulo, esta por de mas entendido, que la principal refencia que pueden usar es el libro "TCP/IP Illustrated" de Richard Stevens. [Ref. 1] Nmap http://www.insecure.org/nmap/ [Ref. 2] p0f http://lcamtuf.coredump.cx/p0f/ [Ref. 3] The Honeynet Project http://project.honeynet.org/ [Ref. 4] Know Your Enemy: Passive Fingerprinting http://project.honeynet.org/papers/finger/ [Ref. 5] Ngrep http://ngrep.sourceforge.net/ [Ref. 6] http://www.sys-security.com/archive/articles/ [Ref. 7] Hping http://www.hping.org/ [Ref. 8] Research Paper on Default TTL values http://secfr.org/docs/fingerprint/en/ttl_default.html [Ref. 9] Netcraft http://www.netcraft.com/ [Ref. 10] Tcpdump / Libpcap http://www.tcpdump.org/ [Ref. 11] Snacktime http://www.planb-security.net/wp/snacktime.html [Ref. 12] Snort Inline http://snort-inline.sourceforge.net/ [Ref. 13] Snort http://www.snort.org/ [Ref. 14] Perlipq http://search.cpan.org/~jmorris/perlipq-1.25/ [Ref. 15] NetPacket http://search.cpan.org/~atrak/NetPacket-0.04/ [Ref. 16] Divert Sockets mini-HOWTO http://www.faqs.org/docs/Linux-mini/Divert-Sockets-mini-HOWTO.html [Ref. 17] Packet Purgatory - Morph http://www.synacklabs.net/ *EOF*