Δικτύωση 101: IP, Ports, TCP/UDP & DNS για Hackers

Πριν αγγίξεις οποιοδήποτε εργαλείο επίθεσης, χρειάζεται να καταλαβαίνεις πώς μιλάνε μεταξύ τους οι υπολογιστές. Σε αυτόν τον οδηγό δικτύωσης 101 εξηγούμε IP διευθύνσεις, ports, TCP/UDP και DNS με πρακτικά παραδείγματα σε απομονωμένο lab — και δείχνουμε γιατί οι ίδιες γνώσεις είναι το θεμέλιο τόσο της επίθεσης όσο και της άμυνας.

1. Εισαγωγή: γιατί η δικτύωση είναι το ABC του hacking

Κάθε επίθεση, κάθε penetration test και κάθε ανίχνευση (detection) περνά μέσα από το δίκτυο. Ένας ελεγκτής ασφάλειας που δεν κατανοεί τι είναι μια IP διεύθυνση, τι κάνει ένα port ή γιατί το DNS είναι ο «τηλεφωνικός κατάλογος» του Internet, δουλεύει στα τυφλά. Αντίστροφα, μια ομάδα άμυνας (blue team) που ξέρει ποιες πόρτες πρέπει να ακούν και ποιες όχι, εντοπίζει έναν εισβολέα σε δευτερόλεπτα.

Αυτό το άρθρο απευθύνεται σε αρχάριους. Θα χτίσουμε σιγά-σιγά τη διαίσθηση γύρω από τα δομικά στοιχεία του TCP/IP, εκτελώντας πραγματικές εντολές μέσα σε ένα απομονωμένο εργαστήριο (isolated lab). Στόχος μας δεν είναι να επιτεθούμε πουθενά, αλλά να διαβάζουμε το δίκτυο — γιατί η ανάγνωση είναι η βάση και της ανίχνευσης και της θωράκισης.

2. Βασικές έννοιες

2.1 IP διευθύνσεις — η ταυτότητα κάθε μηχανήματος

Μια IP διεύθυνση (IP address) είναι το «σπίτι» ενός μηχανήματος στο δίκτυο. Στην έκδοση IPv4 έχει τη μορφή 10.10.10.5: τέσσερις αριθμοί (0–255) χωρισμένοι με τελείες. Συνοδεύεται από μια μάσκα υποδικτύου (subnet mask), π.χ. /24, που ορίζει ποιο κομμάτι της διεύθυνσης είναι το «δίκτυο» και ποιο ο «υπολογιστής».

• Private ranges (ιδιωτικές, μη δρομολογήσιμες στο Internet): 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16. Τα labs μας ζουν εδώ.
• Loopback: 127.0.0.0/8 — η διεύθυνση «ο εαυτός μου», που δεν βγαίνει ποτέ έξω από το μηχάνημα.
• Gateway: ο δρομολογητής (router) που ενώνει το τοπικό δίκτυο με τα υπόλοιπα, συνήθως .1.

2.2 Ports — οι θύρες των υπηρεσιών

Αν η IP είναι το κτίριο, τα ports (θύρες) είναι οι πόρτες των διαμερισμάτων. Κάθε υπηρεσία «ακούει» σε έναν αριθμό port (0–65535). Μερικές κλασικές:

• 22 — SSH (απομακρυσμένο τερματικό)
• 53 — DNS (ονοματοδοσία)
• 80 / 443 — HTTP / HTTPS (web)
• 3306 — MySQL (βάση δεδομένων)

Ο συνδυασμός IP + port (π.χ. 10.10.10.20:80) ορίζει μοναδικά μια υπηρεσία. Ένας επιτιθέμενος ψάχνει ανοιχτές πόρτες· ένας αμυνόμενος φροντίζει να είναι ανοιχτές μόνο όσες χρειάζονται.

2.3 TCP vs UDP — δύο τρόποι να μιλήσεις

Πάνω από την IP τρέχουν δύο βασικά πρωτόκολλα μεταφοράς:

• TCP (Transmission Control Protocol): αξιόπιστο, με «χειραψία» (three-way handshake: SYN → SYN/ACK → ACK). Εγγυάται ότι τα δεδομένα φτάνουν στη σειρά. Χρήση: web, SSH, email.
• UDP (User Datagram Protocol): γρήγορο, χωρίς εγγύηση παράδοσης. «Πέτα και ξέχνα». Χρήση: DNS, VoIP, streaming, gaming.

Η διάκριση έχει άμεση πρακτική σημασία. Το TCP handshake αφήνει «ίχνη» που μπορεί να καταγράψει ένας firewall ή ένα σύστημα ανίχνευσης εισβολών (IDS), γι’ αυτό και πολλές τεχνικές σάρωσης παίζουν με τα flags του TCP. Το UDP, από την άλλη, δεν έχει σύνδεση: μια απάντηση σημαίνει «ανοιχτό», ενώ η σιωπή είναι διφορούμενη — μπορεί να σημαίνει «κλειστό», «φιλτραρισμένο» ή απλώς χαμένο πακέτο. Για τον αρχάριο, το κλειδί είναι να θυμάσαι: αξιοπιστία με κόστος ταχύτητας (TCP) ή ταχύτητα με κόστος βεβαιότητας (UDP).

2.4 DNS — ο τηλεφωνικός κατάλογος

Οι άνθρωποι θυμούνται ονόματα, οι μηχανές θέλουν αριθμούς. Το DNS (Domain Name System) μεταφράζει ένα όνομα όπως lab.internal σε μια IP όπως 10.10.10.20. Οι εγγραφές (records) που θα συναντήσεις πιο συχνά: A (όνομα→IPv4), MX (mail server), NS (name server), PTR (αντίστροφη αναζήτηση IP→όνομα).

3. Πρακτικό κομμάτι: διαβάζοντας το δίκτυο στο lab

3.1 Ποιος είμαι — ip a

Το πρώτο βήμα κάθε αξιολόγησης είναι να ξέρεις τη δική σου θέση. Η εντολή ip a (συντομογραφία του ip address) δείχνει τις διεπαφές (interfaces), τις IP διευθύνσεις και τις MAC. Το ip route αποκαλύπτει το gateway και το τοπικό υποδίκτυο.

Εδώ βλέπουμε ότι η μηχανή μας είναι το 10.10.10.5/24, άρα το lab μας απλώνεται στο εύρος 10.10.10.0–10.10.10.255 και το gateway είναι το 10.10.10.1. Αυτή είναι η «γειτονιά» μας.

3.2 Ζωντανό ή όχι — ping & traceroute

Το ping στέλνει πακέτα ICMP για να δει αν ένας host απαντά, καθώς και τον χρόνο απόκρισης (latency). Το traceroute χαρτογραφεί τα «άλματα» (hops) — τους δρομολογητές — μέχρι τον στόχο.

Η απάντηση 0% packet loss μας λέει ότι ο host 10.10.10.20 είναι ζωντανός. Το traceroute δείχνει ότι φτάνουμε σε αυτόν μέσα από ένα μόνο hop (το gateway) — τυπικό για ένα επίπεδο lab δίκτυο.

3.3 Από όνομα σε αριθμό — dig & nslookup

Για να μεταφράσουμε ονόματα σε IP (και το αντίστροφο) χρησιμοποιούμε dig ή nslookup. Το dig ... +short δίνει καθαρή απάντηση, ενώ το dig ... ANY αποκαλύπτει όλες τις εγγραφές μιας ζώνης — χρήσιμο για να καταλάβεις πώς είναι δομημένο το DNS ενός στόχου.

Μαθαίνουμε ότι το lab.internal δείχνει στο 10.10.10.20, ότι υπάρχει mail server (MX) και name server (NS), και ότι η αντίστροφη αναζήτηση (PTR) αποκαλύπτει το hostname web01.lab.internal. Τέτοιες πληροφορίες βοηθούν στη χαρτογράφηση — αλλά και τους αμυνόμενους να δουν τι διαρρέει το DNS τους.

3.4 Τι ακούει τοπικά — ss & netstat

Η πιο υποτιμημένη δεξιότητα ενός defender: να ξέρεις τι υπηρεσίες τρέχουν στη δική σου μηχανή. Το ss -tuln (και το παλαιότερο netstat -tuln) δείχνει όλα τα ports που ακούν: -t TCP, -u UDP, -l listening, -n αριθμοί αντί για ονόματα.

Παρατήρησε μια σημαντική λεπτομέρεια άμυνας: η MySQL (3306) ακούει μόνο στο 127.0.0.1 — δηλαδή δεν είναι προσβάσιμη από το δίκτυο. Αντίθετα, τα SSH (22) και HTTP (80) ακούν στο 0.0.0.0, δηλαδή σε όλες τις διεπαφές. Αυτός ακριβώς ο έλεγχος — «τι εκτίθεται και σε ποιον;» — είναι η καρδιά της μείωσης της επιφάνειας επίθεσης (attack surface reduction).

4. Το εργαστηριακό περιβάλλον (isolated lab)

Όλα τα παραπάνω εκτελέστηκαν σε ένα πλήρως απομονωμένο εργαστήριο, χωρίς καμία σύνδεση σε πραγματικά δίκτυα ή στο Internet. Ένα ασφαλές beginner setup:

• Ένας hypervisor (VirtualBox ή VMware) με δίκτυο ρυθμισμένο σε Host-Only ή Internal Network — ποτέ Bridged.
• Μία μηχανή επίθεσης (Kali Linux) και ένας-δύο ευάλωτοι στόχοι (π.χ. Metasploitable, DVWA) στο ίδιο ιδιωτικό υποδίκτυο 10.10.10.0/24.
• Snapshots πριν από κάθε πείραμα, ώστε να επαναφέρεις καθαρή κατάσταση με ένα κλικ.

Ουδέτερες IP (10.10.10.x, 127.0.0.x) και «καθαρισμένη» έξοδος — όπου κόβουμε ευαίσθητα δεδομένα με …snip… — είναι καλή συνήθεια ακόμη και σε προσωπικές σημειώσεις, ώστε τίποτα πραγματικό να μη διαρρεύσει κατά λάθος.

5. Ηθικό & νομικό πλαίσιο

Οι εντολές αυτού του άρθρου είναι, από μόνες τους, εργαλεία διάγνωσης δικτύου — τα ίδια που χρησιμοποιεί καθημερινά κάθε διαχειριστής συστημάτων. Παρόλα αυτά, το να τις στρέψεις σε ένα σύστημα που δεν σου ανήκει και για το οποίο δεν έχεις ρητή, γραπτή εξουσιοδότηση είναι παράνομο σε Ελλάδα και ΕΕ (ενδεικτικά, Ν. 4411/2016 και GDPR για τη μη εξουσιοδοτημένη πρόσβαση).

• Εξασκήσου μόνο σε μηχανές που έχεις στήσει εσύ ή σε νόμιμες πλατφόρμες (Hack The Box, TryHackMe, VulnHub).
• Το authorized penetration testing γίνεται πάντα με υπογεγραμμένο συμβόλαιο και σαφώς οριοθετημένο εύρος (scope).
• Δούλεψε πάντα με νοοτροπία άμυνας: κάθε τεχνική αναγνώρισης έχει το αντίστοιχό της σε ανίχνευση και θωράκιση.

6. Βασικά συμπεράσματα

• Η IP ταυτοποιεί το μηχάνημα, το port την υπηρεσία· ο συνδυασμός IP:port ορίζει μοναδικά ένα endpoint.
• Το TCP είναι αξιόπιστο με handshake· το UDP γρήγορο χωρίς εγγυήσεις — το DNS τρέχει κυρίως πάνω σε UDP/53.
• Το DNS μεταφράζει ονόματα σε IP· εργαλεία όπως dig/nslookup αποκαλύπτουν A, MX, NS και PTR εγγραφές.
• Το ss -tuln είναι το «καθρέφτης» της άμυνας: δείχνει τι εκτίθεται· ό,τι δεν χρειάζεται, το κλείνεις ή το δένεις στο 127.0.0.1.
• Κάθε δεξιότητα αναγνώρισης είναι ταυτόχρονα δεξιότητα άμυνας — και ασκείται μόνο σε εξουσιοδοτημένο, απομονωμένο περιβάλλον.

Από τη θεωρία στην πράξη. Η Audax Cybersecurity προσφέρει επαγγελματικές υπηρεσίες offensive security — penetration testing & offensive validation — ενώ για όσους ξεκινούν το ταξίδι τους στο ethical hacking, το #1 ελληνικό βιβλίο «Ethical Hacking — Η Κρυφή Γνώση» είναι ο ιδανικός οδηγός.