Xmas Attack คืออะไร?
โจมตี Xmas (หรือ Xmas Scan) เป็นเทคนิคการสแกนพอร์ต (Port Scanning) ที่ส่งแพ็กเก็ต TCP ที่ตั้งค่า Flag หลายตัวพร้อมกัน ได้แก่ FIN, PSH, และ URG ทำให้แพ็กเก็ตดูเหมือน "ต้นคริสต์มาสที่ประดับไฟสว่างสีสัน" จึงได้ชื่อว่า Xmas
การทำงานของ Xmas Scan
เมื่อส่งแพ็กเก็ต Xmas ไปยังเป้าหมาย:
- หากพอร์ต ปิด เป้าหมายจะตอบกลับด้วย RST
- หากพอร์ต เปิด หรือถูกกรองโดย Firewall มักจะ ไม่ตอบสนอง (ตาม RFC 793)
คำสั่ง Nmap สำหรับ Xmas Scan
nmap -sX [target_IP]ความแตกต่างระหว่าง Xmas, NULL และ FIN Scan
| ประเภทสแกน | Flags ที่ตั้งค่า | ลักษณะเฉพาะ |
|---|---|---|
| Xmas Scan (-sX) | FIN, PSH, URG | ส่ง Flags มากที่สุด คล้ายต้นคริสต์มาส |
| FIN Scan (-sF) | FIN เท่านั้น | เรียบง่ายกว่า แต่ข้อจำกัดเหมือน Xmas |
| NULL Scan (-sN) | ไม่มี Flag ใดๆ (Null) | ส่งแพ็กเก็ต "ว่างเปล่า" ตอบสนองคล้าย FIN/Xmas |
จุดประสงค์การใช้งาน
- นักทดสอบการเจาะระบบ (Penetration Tester) ใช้เพื่อค้นหาพอร์ตที่เปิด/ปิด โดยไม่ส่ง SYN Flag (หลีกเลี่ยงการตรวจจับบางประเภท)
- แฮกเกอร์อาจใช้เพื่อสำรวจข้อมูลระบบปฏิบัติการ (OS Fingerprinting) เพราะแต่ละ OS ตอบสนองต่อ Xmas Packets ต่างกัน
ข้อควรระวัง
ระบบตรวจจับการบุกรุก (IDS/IPS) ส่วนใหญ่สามารถตรวจจับ Xmas Scan ได้แล้ว จึงไม่ควรพึ่งพาเทคนิคนี้เพื่อความลับสนิท
