ماسح المنافذ

📅 آخر تحديث: ١ أغسطس ٢٠٢٦
✍️ نُشر في: ١ أغسطس ٢٠٢٦
📷 يحتوي على 1 صور
الموسوعة الحرة

ماسح المنافذ هو تطبيق مصمم لفحص الخوادم أو الأجهزة المضيفة بحثًا عن المنافذ المفتوحة . يمكن استخدام هذا التطبيق من قبل المسؤولين للتحقق من سياسات الأمان الخاصة بشبكاتهم ، ومن قبل المهاجمين لتحديد خدمات الشبكة التي تعمل على جهاز مضيف واستغلال الثغرات الأمنية.

فحص المنافذ هو عملية ترسل طلبات من العملاء إلى نطاق من عناوين منافذ الخادم على جهاز مضيف، بهدف العثور على منفذ نشط؛ وهذه العملية ليست ضارة في حد ذاتها. [ 1 ] معظم استخدامات فحص المنافذ ليست هجمات، بل هي مجرد عمليات استكشاف بسيطة لتحديد الخدمات المتاحة على جهاز بعيد .

عملية مسح المنافذ هي عملية مسح لعدة أجهزة مضيفة بحثًا عن منفذ استماع محدد. تُستخدم هذه العملية عادةً للبحث عن خدمة معينة، فعلى سبيل المثال، قد يقوم فيروس حاسوبي يعتمد على SQL بمسح المنافذ بحثًا عن أجهزة مضيفة تستمع على منفذ TCP رقم 1433. [ 2 ]

أساسيات بروتوكول TCP/IP

يعتمد تصميم وتشغيل الإنترنت على مجموعة بروتوكولات الإنترنت ، والمعروفة أيضًا باسم TCP/IP . في هذا النظام، تُشار إلى خدمات الشبكة باستخدام عنصرين: عنوان المضيف ورقم المنفذ. يوجد 65535 رقم منفذ مميز وقابل للاستخدام، مرقمة من 1 إلى 65535 (المنفذ صفر غير قابل للاستخدام). تستخدم معظم الخدمات منفذًا واحدًا، أو نطاقًا محدودًا من المنافذ على الأكثر.

تقوم بعض برامج فحص المنافذ بفحص أرقام المنافذ الأكثر شيوعًا فقط، أو المنافذ الأكثر ارتباطًا بالخدمات المعرضة للخطر، على مضيف معين.

عادة ما يتم تصنيف نتيجة فحص المنفذ إلى واحدة من ثلاث فئات:

  1. مفتوح أو مقبول : أرسل المضيف ردًا يشير إلى أن الخدمة تستمع على المنفذ.
  2. مغلق أو مرفوض أو لا يستمع : أرسل المضيف ردًا يشير إلى أنه سيتم رفض الاتصالات بالمنفذ.
  3. تمت تصفيتها أو إسقاطها أو حظرها : لم يكن هناك رد من المضيف.

تُشكّل المنافذ المفتوحة ثغرتين أمنيتين يجب على المسؤولين الحذر منهما :

  1. المخاوف الأمنية ومخاوف الاستقرار المرتبطة بالبرنامج المسؤول عن تقديم الخدمة - المنافذ المفتوحة.
  2. المخاوف الأمنية ومخاوف الاستقرار المرتبطة بنظام التشغيل الذي يعمل على المضيف - المنافذ المفتوحة أو المغلقة.

لا تميل المنافذ المفلترة إلى إظهار نقاط ضعف.

الافتراضات

تعتمد جميع أشكال مسح المنافذ على افتراض أن المضيف المستهدف متوافق مع معايير RFC . ورغم أن هذا هو الحال في معظم الأحيان، إلا أنه لا يزال هناك احتمال أن يرسل المضيف حزم بيانات غريبة أو حتى يُصدر نتائج إيجابية خاطئة عندما يكون بروتوكول TCP/IP الخاص به غير متوافق مع معايير RFC أو تم تعديله. وينطبق هذا بشكل خاص على تقنيات المسح الأقل شيوعًا والتي تعتمد على نظام التشغيل (مثل مسح FIN). [ 3 ] كما تعتمد طريقة تحديد بصمة بروتوكول TCP /IP على هذه الأنواع من استجابات الشبكة المختلفة من مُحفز مُحدد لتخمين نوع نظام التشغيل الذي يعمل عليه المضيف.

أنواع عمليات المسح

فحص TCP

تستخدم أبسط برامج فحص المنافذ وظائف الشبكة في نظام التشغيل، وهي الخيار الأمثل عادةً عندما لا يكون استخدام SYN خيارًا عمليًا (كما هو موضح لاحقًا). يُطلق Nmap على هذا الوضع اسم "فحص الاتصال"، نسبةً إلى استدعاء النظام connect() في أنظمة Unix . إذا كان المنفذ مفتوحًا، يُكمل نظام التشغيل عملية المصافحة الثلاثية TCP ، ويُغلق برنامج فحص المنافذ الاتصال فورًا لتجنب هجوم حجب الخدمة . [ 3 ] وإلا، يتم إرجاع رمز خطأ. يتميز هذا الوضع بأنه لا يتطلب امتيازات خاصة من المستخدم. مع ذلك، فإن استخدام وظائف الشبكة في نظام التشغيل يمنع التحكم على مستوى منخفض، لذا فإن هذا النوع من الفحص أقل شيوعًا. تُعد هذه الطريقة "مُزعجة"، خاصةً إذا كانت " مسحًا شاملاً للمنافذ ": إذ يُمكن للخدمات تسجيل عنوان IP الخاص بالمرسل، كما يُمكن لأنظمة كشف التسلل إطلاق إنذار.

مسح SYN

يُعدّ فحص SYN شكلاً آخر من أشكال فحص TCP. فبدلاً من استخدام وظائف الشبكة في نظام التشغيل، يقوم ماسح المنافذ بإنشاء حزم IP خام بنفسه، ويراقب الاستجابات. يُعرف هذا النوع من الفحص أيضاً باسم "الفحص نصف المفتوح"، لأنه لا يفتح اتصال TCP كاملاً. يُنشئ ماسح المنافذ حزمة SYN. ​​إذا كان المنفذ المستهدف مفتوحاً، فسيرد بحزمة SYN-ACK. يستجيب مضيف الماسح بحزمة RST، مُغلقاً الاتصال قبل اكتمال المصافحة. [ 3 ] إذا كان المنفذ مغلقاً ولكن غير مُصفّى، فسيرد الهدف فوراً بحزمة RST.

يُوفر استخدام الشبكات الخام العديد من المزايا، إذ يمنح الماسح الضوئي تحكمًا كاملًا في الحزم المُرسلة ومهلة الاستجابة، ويتيح إعداد تقارير مُفصلة عن الاستجابات. ويُثار جدلٌ حول أيّ نوع من أنواع المسح أقلّ تدخلاً في الجهاز المُستهدف. يتميز مسح SYN بأن الخدمات الفردية لا تتلقى اتصالاً فعليًا. مع ذلك، قد يُسبب RST أثناء المصافحة مشاكل لبعض بروتوكولات الشبكة، لا سيما الأجهزة البسيطة كالطابعات. ولا توجد حجج قاطعة في أيٍّ من الاتجاهين.

مسح UDP

يُمكن أيضًا إجراء مسح UDP، على الرغم من وجود تحديات تقنية. UDP بروتوكول غير مُرتبط ، لذا لا يوجد ما يُعادل حزمة TCP SYN. ​​مع ذلك، إذا أُرسلت حزمة UDP إلى منفذ غير مفتوح، فسيرد النظام برسالة ICMP تُفيد بأن المنفذ غير قابل للوصول. تستخدم معظم برامج مسح منافذ UDP هذه الطريقة، وتعتمد على عدم وجود رد للاستدلال على أن المنفذ مفتوح. ولكن، إذا كان المنفذ محظورًا بواسطة جدار الحماية ، فستُبلغ هذه الطريقة خطأً بأن المنفذ مفتوح. إذا تم حظر رسالة "المنفذ غير قابل للوصول"، فستظهر جميع المنافذ مفتوحة. تتأثر هذه الطريقة أيضًا بتقييد معدل ICMP . [ 4 ]

يتمثل أحد الأساليب البديلة في إرسال حزم UDP خاصة بالتطبيقات، على أمل الحصول على استجابة من طبقة التطبيق. على سبيل المثال، سيؤدي إرسال استعلام DNS إلى المنفذ 53 إلى استجابة، في حال وجود خادم DNS. تُعد هذه الطريقة أكثر موثوقية في تحديد المنافذ المفتوحة. مع ذلك، فهي تقتصر على فحص المنافذ التي تتوفر لها حزمة فحص خاصة بالتطبيق. تحتوي بعض الأدوات (مثل Nmap و Unionscan [ 5 ] ) عادةً على فحوصات لأقل من 20 خدمة UDP، بينما تحتوي بعض الأدوات التجارية على ما يصل إلى 70 خدمة. في بعض الحالات، قد تكون الخدمة تستمع على المنفذ، ولكنها مُهيأة لعدم الاستجابة لحزمة الفحص المحددة.

فحص ACK

يُعدّ فحص ACK أحد أنواع الفحص غير المألوفة، إذ لا يُحدّد بدقة ما إذا كان المنفذ مفتوحًا أم مغلقًا، بل ما إذا كان مُصفّى أم غير مُصفّى. ويُفيد هذا النوع من الفحص بشكل خاص عند محاولة التحقق من وجود جدار حماية وقواعده. يسمح ترشيح الحزم البسيط بالاتصالات القائمة (الحزم التي تحتوي على بت ACK مُفعّل)، بينما قد لا يسمح جدار الحماية المُعقّد ذو الحالة بذلك . [ 6 ]

مسح النوافذ

نادرًا ما يُستخدم فحص النافذة نظرًا لقدمه، فهو غير موثوق به إلى حد كبير في تحديد ما إذا كان المنفذ مفتوحًا أم مغلقًا. يُنشئ هذا الفحص نفس حزمة البيانات التي يُنشئها فحص ACK، ولكنه يتحقق مما إذا كان حقل النافذة في الحزمة قد عُدِّل. عند وصول الحزمة إلى وجهتها، يحاول خلل في التصميم إنشاء حجم نافذة للحزمة إذا كان المنفذ مفتوحًا، وذلك بوضع علامة 1 على حقل النافذة قبل إعادتها إلى المُرسِل. استخدام تقنية الفحص هذه مع الأنظمة التي لم تعد تدعم هذا التنفيذ يُعيد أصفارًا لحقل النافذة، مما يُصنِّف المنافذ المفتوحة على أنها مغلقة. [ 7 ]

فحص الهوية

بما أن عمليات فحص حزم SYN ليست سرية بما يكفي، فإن جدران الحماية، بشكل عام، تقوم بفحص حزم SYN وحظرها. [ 3 ] يمكن لحزم FIN تجاوز جدران الحماية دون تعديل. ترد المنافذ المغلقة على حزمة FIN بحزمة RST المناسبة، بينما تتجاهل المنافذ المفتوحة الحزمة. هذا سلوك نموذجي بسبب طبيعة بروتوكول TCP، وهو في بعض النواحي عيب لا مفر منه. [ 8 ]

أنواع المسح الأخرى

توجد أنواع مسح غير شائعة أخرى. لهذه الأنواع قيود مختلفة ولا تُستخدم على نطاق واسع. يدعم برنامج Nmap معظم هذه الأنواع. [ 6 ]

  • X-mas و Null Scan - يشبهان فحص FIN ، ولكن: [ 3 ]
    • يرسل عيد الميلاد حزمًا مع تفعيل علامات FIN وURG وPUSH مثل شجرة عيد الميلاد
    • يرسل Null حزمة بيانات بدون تعيين أي علامات TCP
  • فحص البروتوكول - يحدد بروتوكولات مستوى IP (TCP، UDP، GRE ، إلخ) التي تم تمكينها.
  • فحص الوكيل - يُستخدم وكيل ( SOCKS أو HTTP ) لإجراء الفحص. سيرى الجهاز المستهدف عنوان IP الخاص بالوكيل كمصدر. يمكن أيضًا القيام بذلك باستخدام بعض خوادم FTP .
  • المسح الخامل - طريقة أخرى للمسح دون الكشف عن عنوان IP الخاص بك، مستفيدة من ثغرة معرف IP المتوقعة .
  • CatSCAN - يفحص المنافذ بحثًا عن الحزم الخاطئة.
  • فحص بروتوكول ICMP - يحدد ما إذا كان المضيف يستجيب لطلبات ICMP، مثل صدى ( ping )، وقناع الشبكة، وما إلى ذلك.

تصفية المنافذ بواسطة مزودي خدمة الإنترنت

يقيّد العديد من مزودي خدمة الإنترنت قدرة عملائهم على إجراء مسح للمنافذ إلى وجهات خارج شبكاتهم المنزلية. وعادةً ما يُغطّى هذا الأمر في شروط الخدمة أو سياسة الاستخدام المقبول التي يجب على العميل الموافقة عليها. [ 9 ] [ 10 ] يطبّق بعض مزودي خدمة الإنترنت مرشحات حزم أو خوادم وكيلة شفافة تمنع طلبات الخدمة الصادرة إلى منافذ معينة. على سبيل المثال، إذا وفّر مزود خدمة الإنترنت خادم وكيل HTTP شفافًا على المنفذ 80، فسيظهر مسح أي عنوان وكأن المنفذ 80 مفتوح، بغض النظر عن التكوين الفعلي للجهاز المستهدف.

حماية

تُستخدم المعلومات التي يتم جمعها من خلال فحص المنافذ في العديد من الأغراض المشروعة، بما في ذلك جرد الشبكة والتحقق من أمانها. مع ذلك، يُمكن استغلال فحص المنافذ أيضًا لاختراق الأمن. تعتمد العديد من الثغرات الأمنية على فحص المنافذ للعثور على المنافذ المفتوحة وإرسال أنماط بيانات محددة في محاولة لاستغلال ثغرة تُعرف باسم تجاوز سعة المخزن المؤقت . يُمكن أن يُعرّض هذا السلوك أمان الشبكة وأجهزة الكمبيوتر المتصلة بها للخطر، مما يؤدي إلى فقدان أو كشف معلومات حساسة، وبالتالي تعطيل العمل. [ 3 ]

يتفاوت مستوى التهديد الناجم عن فحص المنافذ بشكل كبير تبعًا لطريقة الفحص، ونوع المنفذ المفحوص، وعدد المنافذ، وقيمة الجهاز المستهدف، والمسؤول الذي يراقبه. لكن غالبًا ما يُنظر إلى فحص المنافذ كخطوة أولى للهجوم، ولذلك يُؤخذ على محمل الجد لأنه قد يكشف معلومات حساسة كثيرة عن الجهاز. [ 11 ] مع ذلك، فإن احتمال أن يتبع فحص المنافذ وحده هجوم حقيقي ضئيل. ويزداد هذا الاحتمال بشكل كبير عندما يقترن فحص المنافذ بفحص الثغرات الأمنية . [ 12 ]

بسبب طبيعة الإنترنت المفتوحة واللامركزية، واجه المشرعون صعوبة منذ نشأته في تحديد حدود قانونية تسمح بمقاضاة مجرمي الإنترنت بفعالية . وتُعدّ قضايا مسح المنافذ مثالاً على الصعوبات التي تُواجَه في تقييم الانتهاكات. ورغم ندرة هذه القضايا، فإنّ الإجراءات القانونية في أغلب الأحيان تتطلب إثبات وجود نية لاختراق أو دخول غير مصرح به، وليس مجرد إجراء مسح للمنافذ.

في يونيو/حزيران 2003، اتهمت السلطات الإسرائيلية الإسرائيلي آفي مزراحي بمحاولة الوصول غير المصرح به إلى مواد حاسوبية. وكان قد قام بفحص منافذ موقع الموساد الإلكتروني . بُرِّئ من جميع التهم في 29 فبراير/شباط 2004. وقضى القاضي بأنه لا ينبغي تثبيط هذا النوع من الأفعال عندما تُنفَّذ بطريقة إيجابية. [ 13 ]

اتُهم شاب فنلندي يبلغ من العمر 17 عامًا بمحاولة اختراق حاسوب أحد البنوك الفنلندية الكبرى. وفي 9 أبريل/نيسان 2003، أدانت المحكمة العليا الفنلندية الشاب بالتهمة وألزمته بدفع 12 ألف دولار أمريكي لتغطية تكاليف التحليل الجنائي الذي أجراه البنك. وكان الشاب قد أجرى في عام 1998 مسحًا لمنافذ شبكة البنك في محاولة للوصول إلى الشبكة المغلقة، لكنه فشل في ذلك. [ 14 ]

في عام 2006، صوّت البرلمان البريطاني على تعديل قانون إساءة استخدام الحاسوب لعام 1990، بحيث يُعتبر الشخص مُذنباً بارتكاب جريمة إذا "صنع أو عدّل أو زوّد أو عرض تزويد أي منتج وهو يعلم أنه مُصمّم أو مُعدّل للاستخدام في سياق أو فيما يتعلق بجريمة بموجب المادة 1 أو 3 [من قانون إساءة استخدام الحاسوب]". [ 15 ] ومع ذلك، فإن نطاق تطبيق هذا التعديل غير واضح، ويتعرض لانتقادات واسعة من خبراء الأمن. [ 16 ]

يوجد في ألمانيا، بموجب المادة 202 أ، ب، ج من قانون مكافحة الإرهاب، قانون مماثل، وقد أصدر مجلس الاتحاد الأوروبي بيانًا صحفيًا يفيد بأنه يخطط لإقرار قانون مماثل أيضًا، وإن كان أكثر دقة. [ 17 ]

الولايات المتحدة

مولتون ضد VC3

في ديسمبر/كانون الأول 1999، ألقت الشرطة الفيدرالية الأمريكية القبض على سكوت مولتون بتهمة محاولة اختراق أنظمة الحاسوب بموجب قانون حماية أنظمة الحاسوب في ولاية جورجيا وقانون الاحتيال وإساءة استخدام الحاسوب في الولايات المتحدة . في ذلك الوقت، كانت شركته لخدمات تكنولوجيا المعلومات متعاقدة مع مقاطعة شيروكي في جورجيا لصيانة وتحديث أمن مركز الطوارئ 911. أجرى مولتون عدة عمليات فحص للمنافذ على خوادم مقاطعة شيروكي للتحقق من أمنها، ثم قام لاحقًا بفحص منفذ خادم ويب تراقبه شركة أخرى لتكنولوجيا المعلومات، مما أدى إلى خلاف وصل إلى المحكمة. تمت تبرئته في عام 2000، حيث حكم القاضي توماس ثراش في قضية مولتون ضد VC3 ( المحكمة الجزئية الشمالية  لجورجيا، 2000) [ 18 ] بأنه لم يكن هناك أي ضرر يمس سلامة الشبكة وتوافرها. [ 19 ]

انظر أيضاً

مراجع

  1. ↑ شيري، ر. (أغسطس 2007). معجم أمن الإنترنت . 2. IETF . ص  230. doi : 10.17487/RFC4949 . RFC 4949. تم الاطلاع عليه في 21 نوفمبر 2023 .
  2. ↑ "PRB: خادم SQL غير مؤمّن بكلمة مرور SA فارغة (NULL) يترك ثغرة أمنية لدودة" . support.microsoft.com . مؤرشف من الأصل بتاريخ 2006-03-03.
  3. 1 2 3 4 5 6 إريكسون، جون (2008). القرصنة: فن الاستغلال ( الطبعة الثانية). سان فرانسيسكو : دار نشر نو ستارش . ص 264. ISBN   978-1-59327-144-2.
  4. ↑ ميسر، جيمس (2007). أسرار رسم خرائط الشبكات: دليل شامل لبرنامج Nmap ( الطبعة الثانية). مؤرشف من الأصل بتاريخ 16 مايو 2016. تم الاطلاع عليه بتاريخ 5 ديسمبر 2011 . 
  5. ↑ أوامر فحص المنافذ . مؤرشف من الأصل بتاريخ 10-02-2023 . تم الاطلاع عليه بتاريخ 10-02-2023 .
  6. 1 2 "تقنيات فحص المنافذ" . دليل مرجعي لبرنامج Nmap . 2001. تم الاطلاع عليه بتاريخ 7 مايو 2009 .
  7. ↑ ميسر، جيمس (2007). أسرار رسم خرائط الشبكات: دليل شامل لبرنامج Nmap ( الطبعة الثانية). مؤرشف من الأصل بتاريخ 1 فبراير 2006. تم الاطلاع عليه بتاريخ 5 ديسمبر 2011 . 
  8. ↑ ميمون، أورييل (8 نوفمبر 1996). "مسح المنافذ بدون علامة SYN" . مجلة Phrack، العدد 49. مؤرشف من الأصل بتاريخ 14 مايو 2010. تم الاطلاع عليه بتاريخ 8 مايو 2009 .
  9. ↑ "سياسة الاستخدام المقبول لشركة كومكاست" . كومكاست. 1 يناير 2009. مؤرشف من الأصل بتاريخ 23 أبريل 2009. تم الاطلاع عليه بتاريخ 7 مايو 2009 .
  10. ↑ "شروط عملاء بيغ بوند" (ملف PDF) . شركة تيلسترا. 6 نوفمبر 2008. مؤرشف من النسخة الأصلية (ملف PDF) بتاريخ 26 يناير 2009. تاريخ الاطلاع: 8 مايو 2009 .
  11. ↑ جاميسون، شون (2001-10-08). "أخلاقيات وشرعية مسح الموانئ" . SANS . تم الاطلاع عليه بتاريخ 2009-05-08 .
  12. ↑ كوكير، ميشيل (2005). "قياس أمن الحاسوب" (ملف PDF) . جامعة ميريلاند. مؤرشف من الأصل (ملف PDF) بتاريخ 24 أغسطس 2009. تم الاطلاع عليه بتاريخ 8 مايو 2009 .
  13. ↑ القاضي أبراهام ن. تيننباوم (29 فبراير 2004). "الحكم في قضية آفي مزراحي ضد دائرة الادعاء العام في الشرطة الإسرائيلية" (ملف PDF) . مؤرشف من الأصل (ملف PDF) بتاريخ 7 أكتوبر 2009. تاريخ الاطلاع: 8 مايو 2009 .
  14. ↑ إيسا هالماري (2003). "أول حكم صادر عن المحكمة العليا الفنلندية بشأن محاولة اقتحام" . تم الاطلاع عليه بتاريخ 7 مايو 2009 .
  15. ↑ البرلمان البريطاني (25 يناير 2006). "مشروع قانون الشرطة والعدالة - مشروع القانون رقم 119" . البرلمان البريطاني. مؤرشف من الأصل بتاريخ 29 نوفمبر 2011. تم الاطلاع عليه بتاريخ 5 ديسمبر 2011 .
  16. ↑ ليدن، جون (2008-01-02). "الحكومة البريطانية تضع قواعد لحظر أدوات القرصنة" . ذا ريجستر . تم الاسترجاع في 2009-05-08 .
  17. ↑ "بيان صحفي للاجتماع رقم 3096 لمجلس الاتحاد الأوروبي" (ملف PDF) . مجلس الاتحاد الأوروبي. 10 يونيو 2011. مؤرشف (ملف PDF) من الأصل بتاريخ 2 سبتمبر 2011. تاريخ الاطلاع: 5 ديسمبر 2011 .
  18. ↑ سامسون، مارتن. "سكوت مولتون وشركة خدمات تركيب الشبكات الحاسوبية ضد VC3" . مكتبة الإنترنت للقانون وقرارات المحاكم . مؤرشف من الأصل في 2 مايو 2021. تم الاطلاع عليه في 29 أبريل 2021 .
  19. ↑ بولسن، كيفن (18 ديسمبر 2000). "القاضي يقول إن عمليات فحص المنافذ قانونية" . سكيورتي فوكس. مؤرشف من الأصل في 11 مايو 2008. تم الاطلاع عليه في 8 مايو 2009 .
  • تيو، لورانس (ديسمبر 2000). شرح عمليات فحص الشبكة: فهم عمليات مسح المنافذ وعمليات اختبار الاتصال (Ping). مجلة لينكس، تم الاطلاع عليه في 5 سبتمبر 2009، من موقع Linuxjournal.com