IDS and IPS Evasion

AWS 해킹 학습 및 실습:HackTricks Training AWS Red Team Expert (ARTE) GCP 해킹 학습 및 실습: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks 지원

구독 요금제를 확인하세요!
💬 Discord 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
HackTricks 및 HackTricks Cloud 깃헙 저장소에 PR을 제출하여 해킹 요령을 공유하세요.

TTL 조작

IDS/IPS에 도달할만큼의 TTL을 가진 패킷을 보내지만 최종 시스템에 도달할만큼은 충분하지 않은 패킷을 보냅니다. 그런 다음, 다른 패킷을 동일한 시퀀스로 보내서 IPS/IDS가 그것들을 반복으로 생각하고 확인하지 않을 것이라고 생각하게 만듭니다. 그러나 실제로는 악성 콘텐츠를 운반하고 있습니다.

Nmap 옵션: --ttlvalue <value>

서명 피하기

패킷에 쓰레기 데이터를 추가하여 IPS/IDS 서명을 피합니다.

Nmap 옵션: --data-length 25

분할된 패킷

패킷을 분할하고 보냅니다. IDS/IPS가 이를 재조립할 수 없는 경우 최종 호스트에 도달할 것입니다.

Nmap 옵션: -f

유효하지 않은 체크섬

일반적으로 센서는 성능상의 이유로 체크섬을 계산하지 않습니다. 따라서 공격자는 센서가 해석하지만 최종 호스트에서는 거부될 패킷을 보낼 수 있습니다. 예:

유효하지 않은 체크섬을 가진 RST 플래그가 있는 패킷을 보내면 IPS/IDS가 이 패킷이 연결을 닫을 것으로 생각할 수 있지만 최종 호스트는 체크섬이 유효하지 않기 때문에 패킷을 버립니다.

일반적이지 않은 IP 및 TCP 옵션

센서는 IP 및 TCP 헤더 내에서 특정 플래그 및 옵션이 설정된 패킷을 무시할 수 있지만 목적지 호스트는 패킷을 수신하면서 수락할 수 있습니다.

중첩

패킷을 분할하면 패킷 간에 어떤 종류의 중첩이 존재할 수 있습니다 (아마도 패킷 2의 처음 8바이트가 패킷 1의 마지막 8바이트와 겹칩니다. 그리고 패킷 2의 마지막 8바이트가 패킷 3의 처음 8바이트와 겹칩니다). 그런 다음, IDS/IPS가 이를 최종 호스트와 다른 방식으로 재조립하면 다른 패킷이 해석될 수 있습니다. 또는 아마도, 동일한 오프셋을 가진 2개의 패킷이 오고 호스트는 어떤 것을 선택할지 결정해야 합니다.

BSD: 작은 _오프셋_을 가진 패킷을 선호합니다. 동일한 오프셋을 가진 패킷의 경우 첫 번째 패킷을 선택합니다.
Linux: BSD와 유사하지만 동일한 오프셋을 가진 마지막 패킷을 선호합니다.
첫 번째 (Windows): 오는 값 중에서 선택합니다.
마지막 (Cisco): 오는 값 중에서 선택합니다.