Prezentacja poświęcona jest narzędziu hping3, zaawansowanemu generatorowi pakietów sieciowych dającemu pełną kontrolę nad nagłówkami TCP, UDP, ICMP i IP. Omówiono tworzenie pakietów z dowolnymi flagami TCP, skanowanie portów, spoofing adresu źródłowego oraz pomiar RTT i traceroute. Przedstawiono także techniki flood, badanie firewall i IDS/IPS oraz pomiar jittera z wykorzystaniem skryptów.
hping3 to zaawansowane narzędzie sieciowe do generowania i analizy pakietów TCP/IP. Jest następcą hping (hping2).
Służy do:
Autor: Salvatore Sanfilippo (antirez) – znany też z Redis.
Linux (Debian/Ubuntu):
sudo apt update sudo apt install hping3
Linux (RHEL/CentOS/Fedora):
sudo dnf install hping3
Windows:
Ogólna składnia wywołania:
hping3 [opcje] <adres_celu>
Przykład podstawowego pinga TCP:
hping3 -p 80 192.168.1.1
Wysyła pakiet TCP SYN na port 80 do 192.168.1.1 i czeka na odpowiedź.
Opcje dzielą się na kategorie:
Opcja -c (count) określa liczbę pakietów do wysłania.
# Wyślij 5 pakietów TCP SYN na port 80 hping3 -c 5 -p 80 192.168.1.1
Bez -c hping3 wysyła pakiety w nieskończoność (aż do Ctrl+C).
Przydatne do:
Opcja -i (interval) ustawia odstęp między kolejnymi pakietami.
# Co 1 ms (1000 mikrosekund) hping3 -i u1000 -c 10 -p 80 192.168.1.1 # Co 1 sekunda hping3 -i 1 -c 10 -p 80 192.168.1.1
Jednostki:
Opcja -n (numeric) wyłącza rozwiązywanie adresów IP na nazwy hostów (odwrotne zapytania DNS).
# Bez -n: hping3 próbuje rozwiązać 192.168.1.1 -> hostname # Z -n: tylko adres IP w output hping3 -n -c 3 -p 80 192.168.1.1
Korzyści:
Opcja -V (verbose) włącza szczegółowy tryb wyświetlania.
hping3 -V -c 2 -p 80 192.168.1.1
Pokazuje dodatkowe informacje:
Przydatne podczas debugowania i analizy problemów sieciowych.
Opcja -I (interface) wskazuje interfejs sieciowy do wysyłania pakietów.
# Użyj interfejsu eth0 hping3 -I eth0 -p 80 192.168.1.1
Przydatne gdy:
W systemach z wieloma interfejsami hping3 domyślnie wybiera pierwszy dostępny.
Opcja -a (spoof) ustawia dowolny adres IP źródła w pakiecie.
# Wyślij pakiet z adresem źródłowym 10.0.0.1 hping3 -a 10.0.0.1 -p 80 192.168.1.1
Zastosowania:
Uwaga: Odpowiedzi trafią na sfałszowany adres, nie do ciebie!
hping3 obsługuje kilka trybów protokołów:
# ICMP echo request hping3 -1 8.8.8.8 # UDP na port 53 (DNS) hping3 -2 -p 53 8.8.8.8
Opcja -p (destination port) ustawia port docelowy TCP lub UDP.
# SYN na port 80 (HTTP) hping3 -S -p 80 192.168.1.1 # SYN na port 443 (HTTPS) hping3 -S -p 443 192.168.1.1 # SYN na port 22 (SSH) hping3 -S -p 22 192.168.1.1
Bez -p hping3 używa portu 0 (lub losowego w zależności od trybu).
Port docelowy jest kluczowy przy testowaniu reguł firewalla – różne porty = różne reguły.
Opcja -s (source port) ustawia port źródłowy TCP/UDP.
Opcja -k (keep) zachowuje port źródłowy dla wszystkich pakietów (domyślnie hping3 go zmienia).
# Port źródłowy 1024, docelowy 80 hping3 -s 1024 -p 80 192.168.1.1 # Zachowaj port źródłowy dla wszystkich pakietów hping3 -s 1024 -p 80 -k 192.168.1.1
Przydatne przy testowaniu reguł firewalla opartych na portach źródłowych.
hping3 pozwala ustawić dowolną kombinację flag TCP:
| Flaga | Opcja | Znaczenie |
|---|---|---|
| SYN | -S | Synchronizacja (rozpoczęcie połączenia) |
| ACK | -A | Potwierdzenie |
| FIN | -F | Zakończenie połączenia |
| RST | -R | Reset połączenia |
| PSH | -P | Push (natychmiastowe przekazanie danych) |
| URG | -U | Pilne dane |
| X flag | -X | Niestandardowa flaga X (bit 6, 0x40) |
| Y flag | -Y | Niestandardowa flaga Y (bit 7, 0x80) |
# SYN flood hping3 -S -p 80 --flood 192.168.1.1
Wysyła pakiet z flagą SYN – tak jakby chciał nawiązać połączenie.
# SYN scan na port 80 hping3 -S -p 80 192.168.1.1
Odpowiedzi:
SYN scan jest szybki i relatywnie cichy – nie nawiązuje pełnego połączenia.
Wysyła pakiet z flagą FIN – zgodnie ze specyfikacją TCP, zamknięty port powinien odpowiedzieć RST.
# FIN scan na port 80 hping3 -F -p 80 192.168.1.1
Odpowiedzi:
Nie działa na systemach Windows (Windows zawsze odpowiada RST na FIN, niezależnie od stanu portu).
FIN scan jest trudniejszy do wykrycia przez IDS niż SYN scan.
Wysyła pakiet z flagami SYN i ACK jednocześnie.
# SYN+ACK scan (flagi S+A) hping3 -S -A -p 80 192.168.1.1
Zachowanie:
Przydatne do odróżnienia firewalla stateful od stateless.
| Wysłane | Odpowiedź | Interpretacja |
|---|---|---|
| SYN | SYN+ACK | Port otwarty |
| SYN | RST | Port zamknięty |
| SYN | brak / ICMP Unreach | Port filtrowany |
| FIN | RST | Port zamknięty |
| FIN | brak | Port otwarty (UNIX) lub filtrowany |
| ACK | RST | Host żyje, port nie ma połączenia |
hping3 wyświetla odpowiedź w formacie: len=46 ip=… flags=SA …
Flagi w odpowiedzi: S=SYN, A=ACK, F=FIN, R=RST, P=PSH, U=URG.
Opcja -L (tcpack) ustawia numer potwierdzenia TCP (ACK number) w nagłówku.
# Ustaw numer potwierdzenia TCP na 1000 hping3 -L 1000 -p 80 192.168.1.1
To pole 32-bitowe określa, jaki kolejny bajt danych spodziewa się otrzymać nadawca.
Przydatne do:
Uwaga: do ustawienia rozmiaru pakietu służy opcja -d (data size), a nie -L.
Opcja -d (data) ustawia rozmiar danych (payload) w bajtach.
# 1000 bajtów danych + nagłówki hping3 -d 1000 -p 80 192.168.1.1
Różnica między -L a -d:
Generowanie dużych pakietów przydaje się do:
Opcja -E (file) wczytuje dane (payload) z pliku.
# Wyślij zawartość pliku dane.txt jako payload hping3 -E dane.txt -p 80 192.168.1.1
Zastosowania:
Plik jest odczytywany i wysyłany jako payload pakietu TCP/UDP.
Opcja -e (stdin) odczytuje dane ze standardowego wejścia.
# Wyślij dane z stdin jako payload echo "test payload" | hping3 -e -p 80 192.168.1.1
Przydatne do:
hping3 automatycznie mierzy czas między wysłaniem pakietu a otrzymaniem odpowiedzi.
hping3 -c 5 -p 80 192.168.1.1
W outputcie:
len=46 ip=192.168.1.1 flags=SA seq=0 ttl=64 id=0 rtt=3.2 ms
Pole rtt=3.2 ms – czas w milisekundach.
Dokładność zazwyczaj do 0.1 ms – zależna od systemu i obciążenia.
Pomiar RTT jest kluczowy przy:
hping3 może śledzić trasę do celu, wysyłając pakiety z rosnącym TTL.
# Traceroute do 8.8.8.8 na porcie 80 hping3 --traceroute -p 80 8.8.8.8
Działa to podobnie do traceroute/tracert, ale używa TCP SYN zamiast ICMP lub UDP.
Zalety:
Opcja --ttl ustawia czas życia (Time To Live) pakietu IP.
# Pakiet z TTL=5 – max 5 hopów hping3 --ttl 5 -p 80 192.168.1.1
Domyślny TTL zależy od systemu (zwykle 64 lub 128).
Zastosowania:
Gdy TTL osiągnie 0, router odrzuca pakiet i wysyła ICMP Time Exceeded.
Opcja -f (fragment) włącza fragmentację – hping3 dzieli pakiet na mniejsze części.
Opcja -m (mtu) ustawia maksymalny rozmiar fragmentu (MTU).
# Fragmentacja z MTU 500 bajtów hping3 -f -m 500 -d 1500 -p 80 192.168.1.1
Większy pakiet (1500 B payload) zostanie podzielony na 3 fragmenty (500+500+500).
Przydatne do:
Opcja -g włącza tryb badania MTU (PMTUD).
# Badanie MTU do celu (wysyła pakiety z flagą DF) hping3 -c 5 -g -p 80 192.168.1.1
hping3 wysyła pakiety z flagą Don't Fragment (DF). Jeśli pakiet jest za duży, router odpowiada ICMP Fragmentation Needed.
Na podstawie odpowiedzi ICMP hping3 określa maksymalny rozmiar pakietu dla danej ścieżki.
To samo co PMTUD, ale z poziomu narzędzia CLI.
Tryb ICMP (-1) wysyła pakiety ICMP Echo Request (typ 8) – odpowiednik pinga.
# ICMP ping do 8.8.8.8 hping3 -1 8.8.8.8 # 5 pakietów ICMP hping3 -1 -c 5 8.8.8.8
Różnice w stosunku do standardowego ping:
Oprócz Echo Request, hping3 może wysyłać inne typy ICMP.
# ICMP Timestamp Request (typ 13) hping3 -1 --icmptype 13 8.8.8.8
ICMP Timestamp Request prosi host docelowy o podanie aktualnego czasu.
Przydatne do:
Inne typy ICMP: --icmptype 8 (Echo), --icmptype 0 (Echo Reply), --icmptype 3 (Destination Unreachable).
Tryb UDP (-2) wysyła pakiety UDP do celu.
# UDP na port 53 (DNS) hping3 -2 -p 53 8.8.8.8 # UDP z payloadem 100 bajtów hping3 -2 -d 100 -p 1234 192.168.1.1
Odpowiedzi:
Przydatne do testowania serwerów DNS, DHCP, NTP.
Połączenie trybu UDP z opcją --flood wysyła lawinę pakietów UDP.
# UDP flood na port 53 (UWAGA – obciążenie sieci!) hping3 --flood -2 -p 53 192.168.1.1
--flood wysyła pakiety tak szybko, jak to możliwe – bez czekania na odpowiedź.
Zastosowania:
Opcja --flood wysyła pakiety tak szybko, jak to możliwe – nie czeka na odpowiedź.
# SYN flood – zalewanie pakietami SYN hping3 -S -p 80 --flood 192.168.1.1 # ICMP flood hping3 -1 --flood 192.168.1.1
Efekty:
hping3 sam reguluje prędkość – używa surowych gniazd (raw sockets).
Spoofing (-a) pozwala testować reguły firewalla:
# Wyślij pakiet z wewnętrznym adresem źródłowym hping3 -a 10.0.0.1 -S -p 80 192.168.1.1 # Wyślij pakiet z zaufanym adresem partnera hping3 -a 203.0.113.5 -S -p 443 192.168.1.1
Firewall powinien odrzucić pakiety z wewnętrznym adresem źródłowym przychodzące z zewnątrz (anti-spoofing).
Jeśli przepuści – reguły są źle skonfigurowane.
Firewalle mogą mieć reguły oparte na flagach TCP.
# Test: czy firewall przepuszcza same ACK? hping3 -A -p 80 192.168.1.1 # Test: czy firewall przepuszcza same FIN? hping3 -F -p 80 192.168.1.1 # Test: Xmas tree (FIN+PSH+URG) hping3 -X -p 80 192.168.1.1 # Test: Null scan (brak flag) hping3 -p 80 192.168.1.1
Firewelle nowej generacji powinny blokować nietypowe kombinacje flag.
Test: wyślij pakiet ACK (bez SYN) na port, który nie ma aktywnego połączenia.
# Same ACK, bez SYN (odpowiedź z RST oznacza, że pakiet doszedł) hping3 -A -p 80 192.168.1.1
Interpretacja:
Większość nowoczesnych firewalli jest stateful.
hping3 może generować pakiety, które powinny wzbudzić alarm IDS/IPS:
# Xmas scan – nietypowa kombinacja flag hping3 -X -p 80 192.168.1.1 # SYN flood – wiele SYN w krótkim czasie hping3 -S -p 80 --flood 192.168.1.1 # Fragmentacja – omijanie IDS hping3 -f -m 100 -d 500 -p 80 192.168.1.1
Sprawdź:
hping3 może mierzyć opóźnienia dla różnych typów pakietów – przydatne do testowania QoS.
# Zmierz RTT do celu (10 próbek) hping3 -c 10 -p 80 192.168.1.1
Porównaj RTT dla:
Jeśli QoS priorytetyzuje określony ruch, RTT dla niego będzie niższe.
Jitter to odchylenie standardowe opóźnienia (RTT) – miara stabilności łącza.
# Zbierz 20 próbek RTT hping3 -c 20 -p 80 192.168.1.1 | grep rtt
Przykład obliczenia jittera (manualnie lub skryptem):
# Uśredniony jitter = średnia różnic między kolejnymi RTT
Wysoki jitter (> 20–30 ms) oznacza niestabilne łącze – problemy z VoIP, streamingiem, gamingiem.
hping3 nie ma wbudowanej opcji jittera – trzeba wyciągnąć RTT i policzyć.
hping3 świetnie nadaje się do skryptów bash/Python.
# Prosty skrypt bash: skanuj porty od 1 do 100 for port in $(seq 1 100); do hping3 -S -p $port -c 1 192.168.1.1 2>/dev/null | grep -q "flags=SA" && echo "Port $port: OPEN" done
W Python – użyj subprocess do wywołania hping3 i parsuj output.
Zastosowania:
| Cecha | ping | hping3 | nping (Nmap) |
|---|---|---|---|
| Protokoły | ICMP only | TCP/UDP/ICMP/IP | TCP/UDP/ICMP/ARP |
| Flagi TCP | Nie | Tak (dowolne) | Tak |
| Spoofing | Nie | Tak | Tak |
| Fragmentacja | Nie | Tak | Ograniczona |
| Traceroute | Tak (ICMP) | Tak (TCP) | Tak (TCP/UDP/ICMP) |
| Flood | Nie | Tak | Tak |
| Skryptowanie | Nie | Tak (stdin, pipe) | Tak (NSE) |
hping3 wygrywa elastycznością – jest jak „szwajcarski scyzoryk" generowania pakietów.
Dobre praktyki:
Mechanizmy obrony przed atakami generowanymi przez hping3:
-m limit --limit 10/s# iptables – limit SYN na sekundę iptables -A INPUT -p tcp --syn -m limit --limit 10/s -j ACCEPT iptables -A INPUT -p tcp --syn -j DROP
Cel: sprawdzenie, czy firewall firmowy poprawnie blokuje nieautoryzowany dostęp.
Plan testów:
# Test 1: SYN scan na porty hping3 -S -p 22 192.168.1.1 -c 1 hping3 -S -p 3389 192.168.1.1 -c 1
Wynik: otwarty port 3389 (RDP) = poważny problem bezpieczeństwa!
Symptom: połączenie VPN działa, ale strony ładują się wolno, czasem wiszą.
Przyczyna: MTU ścieżki (PMTU) mniejsze niż 1500 B – enkapsulacja VPN dodaje nagłówki.
Test z hping3:
# Wyślij pakiet 1500 B z flagą DF hping3 -c 5 -d 1472 -g -p 80 10.0.0.1
Jeśli dostajesz ICMP Fragmentation Needed – zmniejszaj rozmiar aż do braku błędu.
Rozwiązanie: ustaw MTU na kliencie VPN na 1400 B (lub mniej).
Administrator podejrzewa, że w sieci działa nieautoryzowany serwer WWW.
# Skanuj zakres IP na port 80 for ip in $(seq 1 254); do hping3 -S -p 80 -c 1 192.168.1.$ip | grep -q "flags=SA" && echo "192.168.1.$ip: port 80 OPEN" done
Zaawansowane: użyj różnych portów (8080, 8443, 9000) – ukryte serwery często działają na niestandardowych portach.
hping3 pozwala też na badanie odpowiedzi na różne flagi – może wykryć serwer za firewallem.
# Podstawowa pomoc hping3 --help # Pełna dokumentacja (man) man hping3
Zaawansowane opcje warte poznania:
Połączenie hping3 i tcpdump – generuj pakiety i jednocześnie przechwytuj odpowiedzi.
# Terminal 1: tcpdump nasłuchuje na eth0 sudo tcpdump -i eth0 -w odpowiedzi.pcap port 80 # Terminal 2: hping3 wysyła pakiety hping3 -S -p 80 -c 10 192.168.1.1
Następnie otwórz odpowiedzi.pcap w Wireshark i przeanalizuj:
Odpowiedź: -a (spoof).
Odpowiedź: SYN+ACK (flagi SA).
Odpowiedź: Użyć opcji -g (PMTUD) lub kombinacji -f -m z flagą DF.
Odpowiedź: FIN scan wysyła pakiet z flagą FIN – zamknięty port odpowiada RST, otwarty (UNIX) nie odpowiada. SYN scan wysyła SYN – otwarty port odpowiada SYN+ACK.
--flood w hping3?Odpowiedź: Do wysyłania pakietów tak szybko, jak to możliwe – bez czekania na odpowiedź. Używana do testów wydajnościowych i symulacji ataków DDoS.
Odpowiedź: Wysłać pakiet z flagą ACK (bez SYN) na zamknięty port. Stateful odrzuci (brak odpowiedzi), stateless przepuści (odpowie RST).
--traceroute do 8.8.8.8 na porcie 80 – ile hopów?
Dziękujemy za uwagę. W następnej części poznamy narzędzia do statystyk sieciowych i zaawansowanej analizy ruchu.
Praca własna:
