隐蔽端口扫描的原理及防御方法.pdfVIP

第21卷第8期 计算机应用与软件 Vol.21，No.8 2004年8月 ComputerApplicationsandSoftware Aug.2004 隐蔽端口扫描的原理及防御方法 程 巍 章 磊 高传善 (复旦大学信息科学与工程学院 上海200433) 摘 要 本文简单介绍了隐蔽端口扫描的原理，并介绍了目前主要的防御方法及其优缺点。然后，重点介绍了作者提出的能彻底 防御隐蔽端口扫描的墓于运输层的连接代理方法。 关键词 端口扫描 网络安全 ，TCP协议 Idle扫描 THEPRINCIPLEANDDEFENSEOFSTEALTHYPORTSCANNING ChengWeiZhangLeiGaoChuanshan (SdioolofInfomxidmScaenecandEngineering,FudanUnirers勿,Shanghai200433) Abstrad Thisarticlefirstintroducestheprincipleandthemaindefensemethodofstealthyportscanning,thengivesa， methodaboutalinking agentintransportlayertodefendstealthyportscanning. Keywords PortscanningNetworksecurityTCPprotocolIdlescan 连接则说明端口开放，否则说明端口关闭。深人分析一下其过 1端口扫描简介 程，就是先发送SYN，如收到RSf，则说明端口关闭，连接中止。 如收到SM ACK，则发出ACK，双方进人ESrABLISIIED状态连 1.1TCP连接的过程 接成功，这时再发出FIN，以关闭连接。 我们知道在TCP/IP协议体系中传输层包含两种协议:TCP SYN扫描 从上一种扫描的过程可以发现，其实发送SYN 和UDP。其中TCP协议为面向连接的数据传输协议，因而在两 后，看对方主机的回复就已经可以知道端口的开闭状态，不必真 个主机间开始TCP通信时，首先需要创建连接。创建连接的过 正建立连接。所以如收到SM ACK则直接返回RSf，直接中断 程就是所谓的“三次握手”的过程(见图1)0 连接。 图1是正常的创建连接过 异常扫描 比较一下OPEN端口和CLOSE端口在收到非期 程，然而攻击的方法却往往是 望的信号时的反应就知道两者是不同的。OPEN端口简单丢弃， 通过一些不正常情况来实现 而CLOSE端口返回RSf信号。这样只要发送一个异常信号到 的。为了便于下文端口扫描的 目标端口就能知道它的开闭状态。如FIN信号，Xnms(PSH+FIN 说明，现在简单介绍一些与端 +ERG),NULL(无标志)。 口扫描有关的在连接过程中遇 图 1 ACK扫描 因为多数实现中端口无论开关，对于ACK信号 到各种情况时出现的应答。