Mehr über die Funktionsweise von Netzwerken

[Silent12]

Mehr über die Funktionsweise von Netzwerken

Hallo,
ich möchte gerne von vornherein sagen, dass ich dieses Thema NICHT erstellt habe um wie jeder kleine Kiddie es möchte sich in ein Netzwerk eines Freundes oä. zu "hacken".
Stattdessen möchte ich einfach mehr über die Funktionsweise von Netzwerken erfahren.
Ich habe vor kurzem von Wireshark erfahren und es auch sofort installiert und bin erstmall von der Informationswelle erschlagen worden.
Von den ganzen IPs dem ganzen Datenaustausch... und habe dann allmählich das grobe überblickt.
Nun würde ich gerne mehr über dieses Thema erfahren.

Gruß
silent12

 

[Jimini]

AW: Mehr über die Funktionsweise von Netzwerken

Was genau meinst du? Packet-Sniffing im Speziellen oder Computernetzwerke im Allgemeinen? Ich fürchte, du musst das ein bisschen eingrenzen

MfG Jimini

 

[Silent12]

AW: Mehr über die Funktionsweise von Netzwerken

Packet-Sniffing im Speziellen

 

[Jimini]

AW: Mehr über die Funktionsweise von Netzwerken

Nun ja, ein Packet Sniffer untersucht den Traffic, der einen Netzwerkadapter passiert. Läuft dieser im Promiscuous Mode, kann JEGLICHER Traffic "mitgeschnitten" werden. Ich habe Wireshark bisher nur benutzt, um den SNMP-Traffic zwischen einem PC und einem Netzwerkdrucker zu untersuchen. Zuhause nutze ich unter Linux "iptstate", das die aufgebauten Verbindungen ausgibt - das ist ganz nützlich, um unerwünschte Verbindungen zu finden.

MfG Jimini

 

[Silent12]

AW: Mehr über die Funktionsweise von Netzwerken

Ja ich habe gerade Linux Fedora auf meinem PC parallel laufen zu Win7, aber kann es noch nicht wirklich nutzen da ich nicht weiß wie/ob ich meinen Wlan-Stick nutzen kann und deshalb habe ich noch kein Internet auf Fedora :/.
Ich würde einfach gerne verstehen wie meine Firewall diese Packets "kontrolliert und auf Viren etc. prüft oder wie die WAP2 Verschlüsselung meines Netzwerkes Angreifer von außerhalb ablockt oder wie diese "Angreifer es überhaupt schaffen eine Plattform zu haben mit der sie mein Netzwerk "attakieren".
Ich weiß das sind viele Fragen, aber genau das geht mir gerade im Kopf herum.
Gruß
silent12

 

[Jimini]

AW: Mehr über die Funktionsweise von Netzwerken

Ich versuche mal, deine Fragen nacheinander zu beantworten:

Firewall:
Grundsätzlich prüft eine Firewall zunächst einmal nicht den Traffic auf Viren (das wird meist mit Proxies gemacht oder man blockt direkt bestimmte Ports / Adressen) - die meisten Firewall filtern nur "stateful", das bedeutet, dass sie Pakete einer Verbindung zuordnen. Die Firewall registriert also, dass du eine Verbindung mit 123.456.789.010 auf Port 987 aufbaust und lässt danach alles, was von dieser Adresse und diesem Port kommt, durch. Somit ist es nicht möglich, eine Verbindung von außen aufzubauen - außer, die Firewall erlaubt es. Ebenso kann eine Firewall anhand bestimmte Muster Angriffe erkennen und je nach Möglichkeit unterbinden.
Auf Viren Filtern oder Traffic je nach Inhalten zu behandeln, ist nur mittels "Deep Packet Inspection" möglich, dabei wird dann nicht nur der Header (darin stehen Quell- und Ziel-Adresse, Ports etc.) eines Pakets ausgewertet, sondern das ganze Paket wird durchleuchtet, was natürlich wesentlich aufwändiger ist.

WPA2:
Die Verschlüsselung eines WLAN blockt nicht direkt Angreifer ab, sondern erschwert es nur, sich in das WLAN "einzuklinken" bzw. den Traffic des WLAN "mitzuschneiden". Bislang sind nur Passwort-basierte Angriffe auf WPA2 bekannt, daher ist es sehr wichtig, ein starkes Passwort zu wählen.

Die meisten Angriffe im Internet geschehen nicht durch Menschen, sondern durch Bots und Würmer. Diese liegen häufig selber auf infizierten Rechnern und verbreiten sich, indem sie minütlich teilweise tausendfach versuchen, eine Verbindung zu anderen PCs herzustellen. Es ist vergleichsweise einfach, diese Angriffe zu blocken: wenn man alle Updates einspielt und sein (W)LAN gut absichert (am besten mit einem Router), ist man vor sicherlich 99% der Angriffe sicher. Oftmals erfolgen solche Angriffe auch durch sogenannte "Skriptkiddies", die sich irgendwo ein Tool heruntergeladen haben und damit versuchen, in fremde Systeme einzudringen.
Gegen einen wirklich fähigen Angreifer helfen die Standard-Prozeduren zwar auch, dieser ist jedoch wesentlich fähiger und flexibler.

MfG Jimini

 

[Silent12]

AW: Mehr über die Funktionsweise von Netzwerken

Danke für die ausführliche Antwort . Dadurch wird mir schon mehr klar.
D.h. aber doch (@Firewall), dass wenn man zB. mit einer Person chattet seine IP "freigeschaltet" wird und über den Port über den gerade gechattet wird Pakete eingeschleust werden könnten wie zB. Viren.
Aber wenn mein WPA2 mein Netzwerk per Passwort sichert, wie kann dann eine Person dieses Passwort herausfinden, da es ja nicht beliebig viele Versuche erlaubt und deshalb ein Programm das alle Möglichkeiten testet (vergessen wie das noch mal hieß ) nicht funktioniert ?

Gruß
silent12

 

[Jimini]

AW: Mehr über die Funktionsweise von Netzwerken

Ich spiele das ganze mal mit ICQ durch:
1) du startest deinen Client
2) der Client verbindet sich mit dem ICQ-Server auf Port 5190
3) die Firewall speichert die Verbindung in einer Tabelle
4) der ICQ-Server hält dürfte jetzt von sich aus Daten an deinen für ihn geöffneten Port 5190 schicken, da die Verbindung ja nach wie vor besteht
5) ein anderer Absender könnte von sich aus keine Verbindung über deinen Port 5190 aufbauen

Zu WPA2:
Du meinst sicherlich Bruteforcing. Wie genau das bei WPA2 abläuft, kann ich dir auch nicht sagen. Ich gehe mal davon aus, dass jemand den verschlüsselten Traffic mitschneidet und dann analysiert. Mit einem älteren Pentium III konnte man WPA binnen weniger Minuten knacken, wenn ich mich recht entsinne.

MfG Jimini

 

[Silent12]

AW: Mehr über die Funktionsweise von Netzwerken

Aber die "Hacker" brauchen doch irgendeine Arbeitsumgebung und per Bruteforcing würde doch heißen, dass jede Person mit dem richtigen Programm jeden PC mit schlechter Verschlüsselung irgendwann knacken könnte oder ?
Gruß
silent12

 

[Jimini]

AW: Mehr über die Funktionsweise von Netzwerken

Man muss zwischen klassischen Angriffen und dem immer erfolgreicheren Social Engineering unterscheiden. Bei ersterem läuft ein Angriff in der Regel so ab, dass man Schwachpunkte sucht - offene Ports, laufende Services, Versionsnummern von Services und Betriebssystem etc. Auch bieten schlecht abgesicherte Webapplikationen ein mögliches Ziel, hier kann man dann beispielsweise mit Cross-Site-Scripting oder SQL-Injection den oftmals mit vollen Administratorrechten laufenden Webserver dazu bringen, eigenen Code auszuführen. Wirklich fähige Angreifer verfügen nicht etwa über geniale Rundum-Tools, sondern vielmehr über ein profundes Wissen über Netzwerk, Firewalls, Webserver etc. Mit diesem Wissen ist es dann möglich, Exploits zu schreiben, mit denen sich eine Sicherheitslücke aktiv ausnutzen lässt.

Beim Social Engineering geht der Angreifer einen ganz anderen Weg - das läuft dann beispielsweise so ab:
"Hallo Max,
hier ist Horst von der Firma XYZ. Fritz hatte mir das Passwort für euren Datenbankserver geschickt, dass wir da mal den Patch aufspielen. Wie, den Zettel hast du nicht mehr? Er wollte dir das doch ausrichten."
- "Ja ok, ich richte dir eben einen Account ein."
Streng genommen fällt beispielsweise auch Phishing unter Social Engineering.
Noch ein Beispiel aus dem realen Leben: vor einigen Jahren verlor ein Student unserer Uni im Ausland einen Zettel, auf dem seine Zugangsdaten zu einem Uni-System niedergeschrieben waren. Über diesen Account loggte sich dann jemand ein und erlangte über eine Local Privilege Escalation durch eine noch unbekannte Sicherheitslücke root-Rechte.

Grundsätzlich ist JEDE Verschlüsselung knackbar. Der springende Punkt dabei ist nur die Zeit, die der Angreifer im (für ihn) schlechtesten Fall benötigt. Ein Angreifer mit extrem viel Glück kann mit einem Versuch das richtige Passwort herausfinden. Im Schnitt wird man zum Knacken einer guten Verschlüsselung aber selbst mit einer Milliarde PCs, von denen jeder sekündlich eine Milliarde Versuche durchführen kann, deutlich länger als ein Menschenleben benötigen.

MfG Jimini

 

[Silent12]

AW: Mehr über die Funktionsweise von Netzwerken

Ok, aber wie finden diese "Angreifer" überhaupt offene Ports und ähnliches ?
Gruß
silent12

 

[Jimini]

AW: Mehr über die Funktionsweise von Netzwerken

In der Regel mit Portscans. Man kann bei den meisten Programmen einen IP-Bereich eingeben und welche Ports gescannt werden sollen. So kann man sehr bequem riesige Netzwerke auf offene Ports untersuchen.
Solche Portscans kann man aber durchaus auch dazu verwenden, das eigene Netz auf Lücken zu testen: https://www.grc.com/x/ne.dll?bh0bkyd2 nutze ich hierfür immer, wenn ich nicht gerade die Möglichkeit habe, von außen beispielsweise mit Nessus mein Netz zu scannen.

MfG Jimini

 

[Silent12]

AW: Mehr über die Funktionsweise von Netzwerken

Also suchen die "Angreifer" nach offenen Ports mithilfe von Portscans gaukeln dann dem Webserver vor Packete die durch diese Ports kommen seien dafür "berechtigt" und durchsuchen mithilfe dieser Packete die Server und können dann mit dem "infizierten" Server so ziemlich alles machen, oder ?

 

[Jimini]

AW: Mehr über die Funktionsweise von Netzwerken

Nicht ganz - man muss hierbei wieder zwischen Bots / Würmern und menschlichen Angreifern unterscheiden. Bots und Würmer scannen alles, was ihnen vor die Füße kommt - teilweise machen die sich nichtmal die Arbeit eines Portscans, sondern versuchen stumpf, zu jedem möglichen Rechner zu connecten. Kommt eine solche Verbindung zustande (beispielsweise bei einem ungepatchten System), so startet der Bot / Wurm einen Exploit, der die Sicherheitslücke ausnutzt und ein Eindringen in das System ermöglicht.
Portscans helfen also bei der Suche nach potentiellen Zielsystemen bzw. grenzen die Anzahl der Systeme, bei denen ein Angriff möglich ist, deutlich ein (ein System, auf dem erkennbar kein SSH-Server läuft, wird man also kaum mit SSH-Anfragen und Username-Passwort-Kombinationen bombardieren).

Ein echter Angreifer hat in der Regel ein mehr oder weniger fest definitiertes Ziel, als Beispiel nehmen wir mal einen Onlineshop, welcher über einen Webserver verfügt, auf dem diverse Webapplikaktionen laufen. Diese sind natürlich zumindest mit dem Datenbankserver der Firma verbunden, vielleicht sogar mit noch mehr Servern. Eine klassische Angriffsmethode ist die SQL-Injection. Dabei werden beispielsweise Login-Masken des erwähnten Onlineshops missbraucht, indem der Angreifer z.B. folgendes eingibt:
Nutzer: "Jimini"
Passwort: "keineahnung" OR "1"="1"
Daraus ergibt sich ein zwangsweise richtiges Passwort, da 1 immer 1 ist und der Angreifer kann sich einloggen. Natürlich kann man auch andere Sachen eingeben, man kann den Server dazu anweisen, Datenbankabfragen zu starten, Werte zu verändern etc.
Während es hierbei "nur" möglich ist, innerhalb der Datenbank gewaltigen Schaden anzurichten, kann man mit Exploits quasi alles erreichen, sobald diese erstmal Boden unter den Füßen haben. Viele Serverdienste laufen mit vollen Administratorrechten - gelingt es erstmal, einen solchen Dienst zu knacken und ihn dazu zu bringen, eigenen Code auszuführen, hat man die volle Kontrolle über das System (in Chroots abgeschottete Serverdienste und MAC-Systeme wie SELinux oder Apparmor, die quasi Super-root-Rechte haben, mal außen vor gelassen).

MfG Jimini

 

[Silent12]

AW: Mehr über die Funktionsweise von Netzwerken

Danke für die Antwort Was mich interressiert ist wo man das alles lernen kann

Gruß
silent12

 

[Jimini]

AW: Mehr über die Funktionsweise von Netzwerken

Meiner Meinung nach nur durch Praxiserfahrung. Code lesen, sich exzessiv mit Netzwerken und Netzwerkdiensten auseinandersetzen, Exploits besorgen und studieren, etc.
Mich persönlich interessiert die Angreiferseite eher weniger, ich beschäftige mich dafür seit Jahren mit der Absicherung von Rechnersystemen und Netzwerken. Natürlich muss man dabei auch ein bisschen die Angriffsmöglichkeiten kennen, klar.

Bei mir fing es damit an, dass ich vor etwas mehr als 5 Jahren meinen Router verdammte, weil dieser häufig reconnectete. Also baute ich mir einen eigenen Router, setzte Gentoo auf einem alten PC mit 64MB RAM und einem Pentium II 400 auf und konfigurierte eine Firewall. Über die Jahre kam dann immer was dazu, ich habe mein Notebook verschlüsselt, meine SSH-Server abgesichert, meine Firewalls verfeinert. Auf den "kritischen" Systemen laufen Checksummer, die beständig den Zustand von Systemdateien überwachen - so bekomme ich sehr schnell mit, wenn sich etwas ändert. Das ist für mich das schöne an dem Hobby - es gibt immer was zu tun, man findet immer was, worin man sich weiterbilden und weiterentwickeln kann.

Natürlich gibt es auch exzellente Literatur zum Thema, aber ohne Praxis bringt die einem so gut wie nichts.

MfG Jimini

 

[Silent12]

AW: Mehr über die Funktionsweise von Netzwerken

Und wie setzt man sich am besten mit Code.... auseinander ?
Gruß
silent12

 

[Jimini]

AW: Mehr über die Funktionsweise von Netzwerken

Entweder du fängst selber an zu programmieren oder du besorgst dir den Quellcode von Programmen / Exploits, die dich interessieren und versuchst ihn zu verstehen. Am besten beides

MfG Jimini

 

[Silent12]

AW: Mehr über die Funktionsweise von Netzwerken

C++ lerne ich gerade und HTML und CSS (falls man die als Programmiersprachen sieht) kann ich eig auch noch ganz ok. Oder was meinst du mit programmieren ?

 

[Jimini]

AW: Mehr über die Funktionsweise von Netzwerken

C++ ist ja schonmal kein schlechter Anfang. Ich muss dazu sagen, dass ich kein wirklicher Programmierer bin - ich skripte mir eher meine Sachen mit Bash, Perl und Python zurecht, wie ich sie brauche. Gute Kenntnisse habe ich aber nicht, da müsstest du vielleicht mal im entsprechenden Subforum hier nachfragen.

MfG Jimini