PRÁTICAS : PING

1 – Experimente descobrir (usando o ping) se os atrasos provenientes da rede variam durante os períodos de um  dia qualquer ( manhã / tarde / noite ).

Questão : Relate os seus resultados explicando  o porquê desta variação.

Resposta:

2 – Use o ping para medir os tempos de ida e volta aos destinos na Internet ( por ex, aos sites na WEB).

Questão : Qual é o tempo máximo que você encontra ?

Resposta:

Teste Realizado dia 08/09/2005 às 17:25

O WebSite da (Asus do Japão) foi o que encontrou o maior tempo de ida e volta no determinado horário.

Asus Japão

Asus Rússia

Jornal O Globo

3 – Faça experiências utilizando ping com a opção tamanho de pacote ativada.

 ( no Win use a opção –l <tamanho do pacote>;

 por ex: ping –t www.cisco.com -l 512 )

Questão : Como o tamanho do pacote afeta o tempo de ida e volta ?

 Resposta:

Ping no WebSite da Ferreira Flores (www.ferreiraflores.com.br)

Resultados com 128, 256 e 512 bytes de dados

128 bytes

256 bytes

512 bytes

4 – Compare a saída do programa ping para um computador que esteja desligado com a saída do ping para um endereço não-existente ( por ex:10.0.0.50).

Questão : Eles diferem ?

Resposta:

Ping no endereço 10.0.0.50 (endereço inexistente)

Ping no endereço 10.5.30.67 (endereço existente com computador desligado)

5 – Faça experiências utilizando a opção para identificar a rota por onde os pacotes ICMP passam antes de chegar ao destino

( no Win use a opção –r <num>; onde <num>  é o nº de saltos da rota até o destino. A cada disparo incremente o nº de saltos. Faça variar de 1 a 9 saltos.

por ex: ping –r 9 www.yahoo.com

Questão : Compare o nº de saltos encontrados com o ping e com o tracert. Eles diferem ?

Resposta:

6 – Os valores do campo TTL observado na saída do ping podem variar mesmo em máquinas na mesma rede. No entanto os valores do campo TTL em sistemas

 mais populares costumam obedecer a seguinte tabela conforme o livro Segurança Máxima de autoria do Nelson Murilo de O. Rufino.

Questão : Procure identificar algum dispositivo destes na Internet. Por exemplo, determine qual sistema roda no dispositivo que possui o IP 200.159.254.222.

Resposta:

7 – No Linux existe uma opção do ping chamada Flood que deve ser usada com precaução pois sobrecarrega a rede alvo. Ele envia pacote tão rápido quanto possível ou na taxa de 100 pcts/seg ou o que for maior. Para cada ECHO_REQUEST enviado é impresso um ponto na tela e para cada ECHO_REPLY recebido é impresso um back space. Isto nos dá uma breve idéia de quantos pacotes estão sendo enviados.

Questão : A partir de uma máquina Linux na condição de SU , dispare um  #ping –f  www.xpto.com.br e verifique a estatística resultante.

Resposta: 

8 – Ainda para  Linux  temos disponível uma outra ferramenta que gera pacotes ICMP . A ferramenta SING permite o envio de pacotes ICMP 

personalizados a partir da linha de comandos. SING significa: 'Send ICMP Nasty Garbage'. Seu propósito principal é substituir o comando 

ping, adicionando algumas melhorias (fragmentação, etc).

1ª Questão : Descubra que tipo de equipamento ainda responde ao envio de pacotes ICMP_IREQ (tipo 15). Para tanto precisamos fazer o SING para diversos equipamentos e apenas  um tipo especifico deles responderá. Costuma responder um host rodando o sistema operacional AIX versão 4.0 da IBM , portanto encontre o nº IP de um deles na Internet.

Dispare, a partir de uma máquina Linux : #sing –info <n º IP qualquer> e depois dispare #sing –info 200.159.254.173. Ele respondeu?  Por quê apenas este último IP respondeu?

Resposta:

2ª Questão : Descubra que tipo de equipamento ainda responde ao envio de pacotes ICMP_MASKREQ (tipo 17). Para tanto precisamos fazer o SING para diversos equipamentos e apenas  um tipo especifico deles responderá. Costuma responder um host rodando o sistema operacional HP-UX versão 11.0

Agora dispare, a partir de uma máquina Linux : #sing –mask <n º IP qualquer> e descubra uma máquina que responde? 

Resposta:

PRÁTICAS : TRACEROUTE ( TRACERT no Win )

Sua função básica é identificar a rota entre 2 equipamentos em rede, no entanto também pode ser usada para obter informações sobre determinado ambiente. Como por exemplo, a qual backbone a rede alvo está ligada, estimar a banda disponível para possíveis ataques a terceiros  e, em alguns casos, entender a topologia da rede alvo. Podemos descobrir por quantos roteadores e gateways internos o pacote passa antes de chegar a uma determinada máquina.

1 – Use o programa traceroute ou tracert para encontrar o número de hops entre seu computador e destinos remotos ( por ex., a sites bem-conhecidos da WEB ).

Questão : Qual é o número máximo de hops que você pode encontrar ?

 Resposta:

2 – Compare os tempos de ida e volta relatados pelo ping ao número de hops relatados pelo traceroute( ou tracert) para um conjunto de destinos.

Questão : Há uma correlação entre atraso mais longo e uma contagem de hops mais elevada ?

Resposta:

3 – Visite o site do provedor de serviços Internet denominado Global Crossing clicando aqui ! Entre na opção “Router to Host traceroute”  e selecione um dos roteadores ali listados.Por exemplo, escolha o roteador  localizado em Atlanta no estado norte-americano da Geórgia e dispare o rastreamento partindo de lá e informando, como alvo, o nome ou endereço IP da sua máquina. Depois dispare o tracert em sentido contrário, ou seja, sua máquina como partida e o roteador da Global Crossing como alvo.

Questão : As rotas percorridas em ambos os sentidos são idênticas ? Podem ser diferentes? Explique o porquê desta possível variação no trajeto dos pacotes.

PRÁTICA : RFC 1700 - PORTAS

1 –  A tecnologia da Internet está documentada em uma série de  relatórios conhecidos como Request For Comments ( RFC ). A RFC 1700 descreve as portas bem-conhecidas utilizadas pelos serviços mais populares na Internet. Pesquise na Internet utilizando a ferramenta de busca google.com passando-lhe a palavra chave RFC 1700.

Questão : Identifique as portas destacadas para cada um dos seguintes serviços:

• FTP, TFTP
• TELNET,SSH,
• HTTP,HTTPS,
• SMTP,POP3,IMAP,
• DNS
• SNMP
• RPC
• GOPHER, FINGER
• NFS

 Resposta:

2 – Em geral, ações de varredura de portas em um equipamento remoto, fazem parte das primeiras etapas de um ataque dito “aberto”, pois não utiliza nenhuma técnica evasiva. Este tipo de ataque pode ser facilmente identificado por ferramentas de detecção de intrusos. A definição de alvos potenciais inclui a investigação de quais as possíveis vulnerabilidades a que este alvo estaria sujeito. Ações de varredura de portas não são consideradas legítimas, pois reúnem informações conseguidas verificando os serviços habilitados e que, portanto, poderão ser explorados.

Questão : Identifique quais serviços/portas estão disponíveis em um equipamento remoto utilizando uma ferramenta capaz de fazer  “scanner”  remoto. Faça o download da ferramenta clicando aqui e depois de instalado o Advanced Port Scanner v1.2 identifique quais processos se relacionam com as portas executando o comando  Scan.

Resposta:

3 – Ações de varredura de portas em um equipamento local também relatam todas as portas TCP e UDP abertas nesta máquina alvo.

Questão : Identifique quais serviços/portas estão disponíveis na sua máquina executando o comando  C:\> netstat –an

Questão :  Uma outra ferramenta denominada Fport (win NT,2K,XP) além de enumerar as portas abertas na sua máquina correlaciona estas portas com os processos que estão rodando, informando o seu PID, o seu nome e o caminho.Faça o downIoad da ferramenta clicando aqui e depois de instalada, identifique quais processos se relacionam com as portas executando o comando  C:\>fport.

Questão :  Uma terceira ferramenta denominada TCPview pode ser obtida clicando aqui ! Instale a ferramenta e confira as portas abertas em sua máquina.

Resposta:

4 –  Para checar a possível atividade de trojans nas portas UDP de nossa máquina devemos rodar um outra ferramenta free denominada PestPatrol Port Checker.

Questão :  Faça o download desta ferramenta clicando aqui ; instale-a e verifique se há atividade maliciosa em sua máquina, reportando o resultado.

Resposta:

Não foi encontrada nenhuma atividade maliciosa na máquina.

Conforme figura em anexo.

5 – Clique aqui para ler um artigo interessante sobre Portas e Trojans. Confira !

PRÁTICA : ARP -a

1 –        (a) Utilize o comando ARP –a no prompt do DOS para verificar o mapeamento de endereços Ethernet (4 bytes, MAC ADDRESS) para endereços IP ( 6 bytes) existentes na sua máquina.

   (b) Repita o comando ARP –a após, por exemplo, ter consultado (botão direito do mouse sobre botão iniciar>>explorar>>área de trabalho>> ambiente de rede) a opção que permite listar todas as outras máquinas que estão na mesma rede que a sua.

Questão: Compare a quantidade de entradas existentes na tabela armazenada na CACHE ARP em uma e outra situação e explique o por quê desta diferença.

 Resposta:

2 -  Existem 3 ( três) ferramentas interessantes para lidar com o protocolo ARP : (1) Winarp-sk ,  considerada o canivete suíço para o ARP ; (2) Winarp-mim  e finalmente o   (3)  Winarpwatch que monitora a cache ARP. Esta última ferramenta armazena em uma lista própria todas as novas combinações de IP/MAC.
Todas elas podem ser baixadas a partir de http://www.arp-sk.org/ e possuem como pré-requisito a biblioteca WinPcap rodando na sua máquina.
Clique sobre o nome de cada uma delas para fazer o download da ferramenta.

Questão: Depois de instalar estas ferramentas experimente usa-las. Por exemplo, faça C:\>winarp_sk  -g  <nº IP qualquer>  e depois rode  o programa WinARPWatch.exe

Resposta:

                             FIM