Khái niệm tấn công Xmas
Tấn công Xmas (Christmas Tree Attack) là kỹ thuật quét cổng TCP đặc biệt, gửi gói tin có cài đặt nhiều cờ (flags) cùng lúc: FIN, PSH, và URG. Gói tin này trông như "cây thông Noel" sáng đèn, do đó được gọi là Xmas scan.
Cơ chế hoạt động
Khi gửi gói tin Xmas đến thiết bị mục tiêu:
- Nếu cổng đóng: Hệ điều hành phản hồi gói tin RST (theo RFC 793)
- Nếu cổng mở: Thường không phản hồi (drop gói tin)
- Phản hồi khác nhau tùy thuộc vào hệ điều hành (Windows, Linux, Cisco...)
Mục đích sử dụng
- Xác định trạng thái cổng (mở/đóng)
- Nhận diện hệ điều hành (OS fingerprinting)
- Thu thập thông tin về thiết bị mạng
- Kiểm tra cấu hình tường lửa/IDS
So sánh các loại quét TCP
| Loại quét | Cờ TCP | Đặc điểm |
|---|---|---|
| Xmas Scan (-sX) | FIN + PSH + URG | "Cây thông Noel", nhiều cờ cùng lúc |
| FIN Scan | Chỉ FIN | Gửi đơn giản chỉ cờ FIN |
| NULL Scan (-sN) | Không cờ nào | Gói tin "rỗng", không có flag |
Thực hiện với Nmap
nmap -sX Lưu ý bảo mật
Các quét Xmas, FIN, NULL không thiết lập cờ SYN, có thể lọc qua một số tường lửa đơn giản. Tuy nhiên, IDS/IPS hiện đại đều phát hiện được các kiểu quét này. Quét Xmas tạo ra các gói tin "bất hợp pháp" theo RFC 793, do đó dễ bị phát hiện.