【精品资料】网络扫描介绍.ppt

网络扫描介绍 代恒 2011.03.23 为什么做网络扫描？ 攻击者：信息收集的一部分，攻击目标定位，鉴别目标，发现目标弱点 管理员：网络安全检查 Outline 网络扫描的目标 主机扫描 端口扫描 系统类型探查 漏洞扫描 网络扫描的防范 网络扫描的目标 主机发现 目标主机上运行的可访问的TCP及UDP网络服务 目标主机的操作平台及其配置 目标主机漏洞（包括系统漏洞和协议栈漏洞） 过滤机制与安全系统的配置（包括防火墙、 边界路由器、交换机以及IDS探测器等） 主机扫描 目的：检查目标主机是否处于活动状态(active) 扫描方式： ICMP Ping扫描 ACK Ping扫描 SYN Ping扫描 UDP Ping扫描：到关闭端口 arp扫描（局域网） 主机扫描 主机扫描程序： Ping Nmap: -sP选项, 缺省执行,集合了ICMP/SYN/ ACK/ UDP Ping功能（SYN/ ACK针对80端口） SING（Send ICMP Nasty Garbage）：发送完全定制的ICMP数据包的命令行工具 主机扫描 Ping扫射 同时扫描大量的IP地址段，以发现某个IP地址是否绑定活跃主机的扫描 Ping扫射工具软件 UNIX: Nmap, fping, hping2 Win32: Superscan TCP/UDP端口扫描 端口 TCP/UDP (1-65535), 运行网络应用服务 由IANA/ICANN负责分配 端口扫描 连接目标主机的TCP和UDP端口，确定哪些服务正在运行即处于监听状态的过程 端口扫描目的 防御者：更加了解所管理的网络状况，找出没有必要开放的端口并关闭，这是保证业务网络安全的第一步 攻击者：找出可供进一步攻击的网络服务，同时结合操作系统探测技术也可以确定目标主机所安装的操作系统版本。开放网络服务和操作系统版本信息为攻击者提供了破解攻击的目标，使其更容易找出进入目标主机的漏洞路径 TCP端口扫描 标准的扫描方法 TCP连接扫描 调用connect() socket函数连接目标端口 开放端口：完成完整的TCP三次握手(SYN, SYN|ACK, ACK)，timeout/RST 关闭端口：SYN, RST 优势弱势：无需特权用户权限可发起，目标主机记录大量连接和错误信息，容易检测 SYN扫描 半开扫描(half-open scanning) 开放端口：攻击者SYN, 目标主机SYN|ACK, 攻击者立即反馈RST包关闭连接 关闭端口：攻击者SYN, 目标主机RST 优势弱势：目标主机不会记录未建立连接，较为隐蔽，需根用户权限构建定制SYN包 TCP端口扫描 隐秘TCP端口扫描 隐蔽端口扫描通过构造特殊的TCP标志位，以躲避检测，同时达成端口扫描目 方法： 反转 TCP 标记扫描 FIN扫描(只带FIN位),nmap -sF Null扫描(全为0),nmap -sN XMAS扫描(FIN/URG/PUSH),nmap -sX ACK 标记探测扫描,nmap -sA/-sW TCP端口扫描 欺骗性TCP扫描 FTP 跳板扫描，nmap -P0 -b 代理跳板扫描 基于监听的欺骗性扫描,jsbach的spoofscan IP ID 头扫描,nmap -sI(加-P0禁止主机扫描) 提供扫描服务的网站 TCP端口扫描 TCP端口扫描工具： UNIX：Nmap，Unicornscan，nast，Knocker win：SuperScan，vscan，Xscan... UDP端口扫描 UDP端口扫描 对目标端口发送特殊定制的UDP数据报文 开放端口: UDP反馈 关闭端口: ICMP port unreachable报文（可能会被防火墙拦截） UDP端口扫描工具 UNIX: udp_scan, nmap -sU, nc -u -v -z -w2 HOST PORT_LIST Win32: WUPS, ScanLine TCP/UDP端口扫描 IDS逃避与过滤欺骗 数据包分片。Dug Song的fragroute工具包； nmap -f 源地址伪造（混淆检测）。 nmap -P0 -D 使用源路由 使用特定的 TCP、UDP源端口。 nmap -g 被动监听 系统类型探查 系统类型探查：探查活跃主机的系统及开放网络服务的类型 目标主机上运行着何种类型什么版本的操作系统 各个开放端口上监听的是哪些网络服务 目的 为更为深入的情报信息收集，真正实施攻击做好准备 如远程渗透攻击需了解目标系统操作系统类型，并配置 操作系统类型探查 操作系统类型探查(OS Identification) 通过各种不同操作系统类型和版本实现机制上的差异 通过特定方法以确定目标主机所安装的操作系统类型和版本的