3way-handshakeとnmapステルススキャン

以前の記事でpWnOS:2.0という脆弱性サーバーに、Kali Linuxを使ってroot権限を取得しました。

そのKali Linuxでポートスキャンを行うに使ったnmapというツールは、対象サーバーにログを残さないステルススキャンを行うことができました。

今回はこのnmapのステルススキャンを実現している、TCPプロトコルの3way-handshakeについてまとめていきたいと思います。

3way-handshakeとは?

3way-handshakeとは通信の信頼性を確保するための接続で、TCPヘッダ情報のフラグを利用した通信方法です。

この3way-handshakeが終了したことでTCPコネクションが確立したということを示し、上位レイヤーでHTTP通信などが行われます。

3way-handshakeを実現するTCPコネクション

次に、3way-handshakeを実現するTCPコネクションについてまとめていきます。

そもそもTCPはヘッダに、6つのフラグ情報というものを持っています。

そして、各フラグにはTCPコネクションを行うためのフラグ情報が1ビット(0か1)で管理されています。

3way-handshakeでは6つのフラグのうち、通信を確立するためのSYN(Synchronize)フラグ、通信可能を確認できたことを示すACK(Acknowledge)フラグ、通信を強制的に切断するRST(Reset)フラグが使われています。

クライアントサーバー間のパケットで、このフラグを設定することで通信が可能か、通信が不可能かということを判断するのです。

具体的に通信手順は、以下のようになります。

※パケット（TCPセグメント）とは、TCPのヘッダとTCPペイロード（データ）から構成される。
※シーケンス番号とはTCPヘッダに記載されている、パケットにつけられる通し番号のことである。

3way-handshakeの通信例

①クライアント側は、シーケンス番号が10000、SYNフラグが1のSYNパケットをサーバー側に送る。

②サーバー側は通信可能な場合、ACKフラグを1、シーケンス番号を送られてきたSYNパケットに1を足10001にした、ACKパケットをクライアント側に返す。
またクライアント側からどのシーケンス番号を起点とし通信するか決めるため、新たにシーケンス番号30000のSYNパケットをクライアント側に返す。

③クライアント側は送られてきたSYNパケットのシーケンス番号に1を足した30001に設定し、ACKパケットをサーバー側に返すことで通信が確立される。(このSYNパケットはサーバの対する応答の意味しかないので、SYNフラグは0に設定されている）

通信が不可能な時は②でRSTフラグが1のパケットが返ってくるので、通信が強制終了されます。

nmapのTCPフルコネクトスキャン

ここで、3way-handshakeを使ったnmapの通信方法について紹介したいと思います。

nmapではスキャンタイプを**-sT**とすることで、TCPフルコネクトスキャンが可能になります。

このTCPフルコネクトスキャンが、先ほど説明した3way-handshakeのTCPコネクションが実践されている接続方法になります。

root@kali:~# nmap -sT 対象IPアドレス

nmapのTCPハーフコネクトスキャン

TCPフルコネクトスキャンに対して、-sSオプションは、TCPハーフコネクトスキャンと呼ばれます。

TCPハーフコネクトスキャンでは、通信が成功しても先ほどの手順③の際に、SYNパケットを送りません。

サーバー側から返ってきたパケットがSYN/ACKかRSTかで、ポートが空いているか（通信が可能か）判断するため、サーバー側にログを残さずにその確認が可能となります。

root@kali:~# nmap -sS 対象IPアドレス

Wiresharkで3way-handshakeを確認

実際にWiresharkという、パケットの流れをみれるKali Linuxのツールを使って、nmapによる3way-handshakeがどのような通信になっているか確認します。

ここではpWnOS:2.0で設定したIPアドレスと同じで、クライアント側のIPが10.10.10.10、サーバー側のIPが10.10.10.100に設定されています。

まずKali Linuxを開いて、wiresharkコマンドを打ちます。

root@kali:~# wireshark

無事Wiresharkが立ち上がりeth0を選択します。

次に別のタブでターミナルを開き、nmapコマンドでポート80番に対しステルススキャンを行います。

root@kali:~# nmap -sS -p 80 10.10.10.100

nmapコマンドを打ったら、パケットの情報がでてきているのでWIRESHARKを開きます。

Sourceが通信元サーバー、Destinationが通信先サーバーとなっています。

このようにNo12でクライアント側からサーバー側にSYNパケットを送り、No13でサーバー側からSYN/ACKパケットが返ってきて、No13でRSTパケットにより接続を終了していることがわかります。

このようにWiresharkを使うことで、nmapを使った3way-handshakeのTCP通信の流れを見ることができました、

参考URL

https://resources.infosecinstitute.com/nmap/#gref
https://www.atmarkit.co.jp/ait/articles/0801/08/news127_2.html
http://www.yk.rim.or.jp/~shikap/security/vul_text/attack1.html
http://www.yk.rim.or.jp/~shikap/security/vul_text/TCPIP1.html
http://www.yk.rim.or.jp/~shikap/security/vul_text/TCPIP2.html
http://www.yk.rim.or.jp/~shikap/security/use_nmap.html
https://ascii.jp/elem/000/000/619/619702/
https://milestone-of-se.nesuke.com/nw-basic/tcp-udp/tcp-connection/
https://qiita.com/55momotara55/items/2081312e1dd14521c0a1
https://www.infraexpert.com/study/tcpip8.html