Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2025-02-17 06:28:27 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/generic-methodologies-and-resources/pentesting-network/ids-evasion.md

4.6 KiB
Raw Blame History

Aprende hacking en AWS de cero a héroe con htARTE (Experto en Red de HackTricks AWS)!

Otras formas de apoyar a HackTricks:

Manipulación de TTL

Envía algunos paquetes con un TTL suficiente para llegar al IDS/IPS pero no suficiente para llegar al sistema final. Luego, envía otros paquetes con las mismas secuencias que los anteriores para que el IPS/IDS piense que son repeticiones y no los verifique, pero en realidad están llevando contenido malicioso.

Opción de Nmap: --ttlvalue <valor>

Evitando firmas

Simplemente agrega datos basura a los paquetes para evitar la firma del IPS/IDS.

Opción de Nmap: --data-length 25

Paquetes fragmentados

Simplemente fragmenta los paquetes y envíalos. Si el IDS/IPS no tiene la capacidad de reensamblarlos, llegarán al host final.

Opción de Nmap: -f

Checksum inválido

Los sensores generalmente no calculan el checksum por razones de rendimiento. Por lo tanto, un atacante puede enviar un paquete que será interpretado por el sensor pero rechazado por el host final. Ejemplo:

Enviar un paquete con la bandera RST y un checksum inválido, para que luego, el IPS/IDS pueda pensar que este paquete va a cerrar la conexión, pero el host final descartará el paquete al ser el checksum inválido.

Opciones IP y TCP poco comunes

Un sensor podría ignorar paquetes con ciertas banderas y opciones establecidas dentro de los encabezados IP y TCP, mientras que el host de destino acepta el paquete al recibirlo.

Superposición

Es posible que al fragmentar un paquete, exista algún tipo de superposición entre los paquetes (quizás los primeros 8 bytes del paquete 2 se superponen con los últimos 8 bytes del paquete 1, y los últimos 8 bytes del paquete 2 se superponen con los primeros 8 bytes del paquete 3). Entonces, si el IDS/IPS los reensambla de manera diferente al host final, se interpretará un paquete diferente.
O tal vez, lleguen 2 paquetes con el mismo desplazamiento y el host tenga que decidir cuál tomar.

  • BSD: Tiene preferencia por los paquetes con un offset más pequeño. Para paquetes con el mismo desplazamiento, elegirá el primero.
  • Linux: Al igual que BSD, pero prefiere el último paquete con el mismo desplazamiento.
  • Primero (Windows): Primer valor que llega, valor que se queda.
  • Último (cisco): Último valor que llega, valor que se queda.

Herramientas

Aprende hacking en AWS de cero a héroe con htARTE (Experto en Red de HackTricks AWS)!

Otras formas de apoyar a HackTricks: