Интернетмагазин

https://
github.com/diegocr/netcat) в допустимую утилиту Windows под названием Cal-
culator (calc.exe) и изменит имя файла (nc.exe) на svchost.exe. Таким образом, 
имя процесса не вызовет никаких подозрений, поскольку это часть системы.
Рис. 7.1
Если вы просто используете команду dir для вывода списка всех файлов 
в этой папке, то не увидите файл.
Однако если вы используете утилиту streams с сайта Sysinternals, то сможете 
увидеть все имя полностью.
Д
альнейшее
 
распространение
Дальнейшее распространение может осуществляться с использованием раз-
ных методов и тактик. Злоумышленники используют их для перемещения по 
сети с одного устройства на другое. Их цели – усиление своего присутствия 
в сети и получение доступа ко множеству устройств, которые либо содержат 
ценную информацию, либо используются для управления такими важными 
функциями, как безопасность. В этом разделе мы рассмотрим самые распро-
страненные инструменты и тактики.
Сканирование портов 
Это, вероятно, единственный старый метод, который остался в арсенале ха-
керов. Он практически не изменился, поэтому выполняется одинаково с по-

---

Дальнейшее распространение 
 
145
мощью различных инструментов. Сканирование портов применяется при 
дальнейшем распространении по сети с целью идентификации систем или 
представляющих интерес служб, которые хакеры могут атаковать и попытать-
ся получить ценные данные. В основном эти системы представляют собой сер-
веры баз данных и веб-приложения. Хакеры поняли, что быстрое и полноцен-
ное сканирование портов можно легко обнаружить, поэтому они используют 
более медленные инструменты сканирования, которые проходят через все си-
стемы сетевого мониторинга. Системы мониторинга обычно настраиваются на 
выявление необычного поведения в сети, но при сканировании с достаточно 
медленной скоростью средства мониторинга не обнаруживают сканирования.
Большинство используемых инструментов сканирования мы обсуждали 
в главе 4 «Разведка и сбор данных». Как правило, многие отдают предпочте-
ние nmap, поскольку она обладает множеством функций и является надежным 
и проверенным средством.
В предыдущей главе «Погоня за реквизитами доступа пользователя» было 
подробно рассказано о том, как работает nmap и какую информацию она предо-
ставляет своим пользователям. При сканировании по умолчанию nmap исполь-
зует полное установление TCP-соединения, что является достаточным услови-
ем для поиска других целей, к которым могут перейти хакеры. Ниже приведены 
примеры того, как в nmap выполняется сканирование портов: