【セキュリティ】「ハッキング」の流れ（サーバー情報の収集からパスワードクラッキングなど）

事前準備

些細な情報でも攻撃の役に立つかもしれないので情報を集めまくります。その後に情報を整理します。

偵察

公開情報の収集

公開されている情報なので法に触れることはないです。企業がネットワークを利用する場合や投資をする場合などは外部に公開せざる負えない場合がある。企業側からすれば従業員のSNSや個人ブログなんかも注意が必要になる。

ネットワーク情報の収集

スキャニング

IPスプーフィングは使えないので、ネットワークトラフィックの監視を行えば必ず攻撃者のIPにたどり着きます。対策としては監視をすることになります。

サーバー情報の収集

偵察によって得られた情報を元に、対象のネットワークやサーバーに直接アクセスして情報収集をします。

よく使われるツール

ping

ICMPを利用して対象サーバーの生存確認を行えます。

ICMPとは？

• トラブルシューティングに役立つプロトコル
• 送信元ホストへIPパケットの送信エラー報告などの制御メッセージを通知する役割
• ICMPパケットは非常に小さいサイズになる。

ICMPリダイレクト

今より適切な経路があることを伝えるICMPタイプ5(経路変更）のメッセージです。

ICMPv6

IPv6ではIPv4に比べてICMPの役割が非常に大きくなる。IPv4ではIPアドレスからMACアドレスを調べるのがARPだったが、IPv6からはICMP近隣探索メッセージに変更される。つまり、IPv6からはARPがなくなりICMPが担当することになる。

traceroute(Windowsの場合はtracert)

ICMP（Windowsの場合）やUDP（Linuxの場合）を利用して対象サーバーまでの接続経路を確認できます。

telnet

Linuxの場合は標準搭載、Windowsの場合は設定で有効にできる。

netcat

汎用のTCP/UDP接続を行うコマンドラインツールです。Linux、Windowsどちらも標準で使えます。telnetと同じように対象オープンポートへの接続に使えたり、待ち受けポートを作成して外部からの接続を試せる。

nmap

ポートスキャン用のツールです。特定ポートで動作するアプリケーションの種類とバージョンを検出できます。OSや、そのバージョンなども検出できます。

ICMPでの調査について

pingや、tracerouteなどICMP調査は攻撃者に多用されることからファイアウォールで外部とのICMP通信は制限している場合があります。

列挙

集めた情報の整理と確認

攻撃に使えるものを収集します。足りない場合は再度収集します。

脆弱性情報の収集

脆弱性に関する情報がないか収集します。

攻撃

アクセス権の取得

脆弱性に対する攻撃

パスワードクラッキング

知識ベース認証では、「アカウント」と「パスワード」どちらもわかった上で認証を突破します。

アカウント

メールアドレスを特定して入手します。「アカウント名@ドメイン」となっているケースが多いので、@の前をアカウント名としてログインを試みます。

パスワード

ソーシャルエンジニアリングを使った攻撃

パスワード所有者から探し出す。

• 本人に直接聞く
• 本人がパスワードを入力しているところを盗み見る。
• パスワードをメモした紙を盗み出す。

オンライン攻撃

能動的

端末の認証画面にアクセスして試す。以下の理由からあまり使われない。

• 成功しても失敗してもログに残るので見つかりやすい攻撃になる。
• IPアドレスで身バレする。
• 試行回数を超えるとログインできなくなるロックアウト機能がある場合がある。
• ネットワーク回線的な速度問題がある。

受動的

ネットワークの盗聴やマルウェアを使う。

オフライン攻撃

パスワードが記録されているファイルを盗み出して、レインボーテーブル攻撃を行う。

権限昇格

アクセス権の取得に成功したら脆弱性から管理者権限を取得できるか調査します。

対象内部での情報収集

権限昇格

後処理

Dos攻撃の場合は特にこの処理は必要ないです。

アクセスの維持

バックドアの作成

マルウェアのインストール

痕跡の消去

バックドアの隠蔽

ログの消去や操作