网络安全ch5.pptVIP

网络安全 张磊 华东师范大学 软件学院 网络扫描技术 信息收集技术中的一个重要部分 网络扫描技术是利用特殊软件，针对特殊对象，进行搜索、侦察、检测、记录、收集、分析、报告的技术。 自动检测远端或本地主机的工作状态、网络结构、安全弱点、系统漏洞和用户信息。 扫描内容 区域扫描: 域中哪些计算机在运行 域中有多少服务器可访问 Hups环境如何 端口扫描: 计算机上正在运行什么网络服务 远程还是本地任务 扫描内容（续） 拓扑发现 了解网络拓扑结构与互连状况 发现、找出并确定组成网络的所有元素 进行网络信息搜集，如系统ID等 提供网络运行视图（布局、活动图等） 获取网络管理中的配置结构 实施网络故障管理 扫描内容（续） 连接测试 Ping命令使用 测试远端主机是否在运行 是否容易接近系统 测试到远端主机所花的时间 跟踪路由: Tracert、Netcat、Netstat等命令 显示从本机到远端主机TCP包路径 显示在本机上有效连接 跟踪网络数据流向 一、扫描器的基本概念 什么是网络扫描器 为什么需要网络扫描器 网络扫描器的主要功能 什么是网络扫描器 安全评估工具 系统管理员保障系统安全的有效工具 网络漏洞扫描器 网络入侵者收集信息的重要手段 为什么需要网络扫描器 由于网络技术的飞速发展，网络规模迅猛增长和计算机系统日益复杂，导致新的系统漏洞层出不穷 由于系统管理员的疏忽或缺乏经验，导致旧有的漏洞依然存在 许多人出于好奇或别有用心，不停的窥视网上资源 网络扫描器的主要功能 扫描目标主机识别其工作状态（开/关机） 识别目标主机端口的状态（监听/关闭） 识别目标主机系统及服务程序的类型和版本 根据已知漏洞信息，分析系统脆弱点 生成扫描结果报告 二、扫描器的工作原理 TCP协议 ICMP协议 扫描器的基本工作原理 TCP协议（一） TCP是一种面向连接的，可靠的传输层协议。 一次正常的TCP传输需要通过在客户端和服务器之间建立特定的虚电路连接来完成，该过程通常被称为“三次握手”。 TCP通过数据分段中的序列号保证所有传输的数据可以在远端按照正常的次序进行重组，而且通过确认保证数据传输的完整性。 TCP协议（二） TCP数据包格式 TCP协议（三） TCP标志位 ACK： 确认标志 RST： 复位标志 URG：紧急标志 SYN： 建立连接标志 PSH： 推标志 FIN： 结束标志 TCP协议（四） TCP连接建立示意图 ICMP协议（一） Internet Control Message Protocol，是IP的一部分，在IP协议栈中必须实现。 用途： 网关或者目标机器利用ICMP与源通讯 当出现问题时，提供反馈信息用于报告错误 特点： 其控制能力并不用于保证传输的可靠性 它本身也不是可靠传输的 并不用来反映ICMP报文的传输情况 ICMP协议（二） ICMP报文类型 0 Echo Reply 3 Destination Unreachable 4 Source Quench 5 Redirect 8 Echo 11 Time Exceeded 12 Parameter Problem 13 Timestamp 14 Timestamp Reply 15 Information Request 16 Information Reply 17 Address Mask Request 18 Address Mask Reply 扫描器的基本工作原理 三、网络扫描的主要技术 主机扫描技术 端口扫描技术 栈指纹OS识别技术 主机扫描技术－传统技术（一） 主机扫描的目的是确定在目标网络上的主机是否可达。这是信息收集的初级阶段，其效果直接影响到后续的扫描。 常用的传统扫描手段有： ICMP Echo扫描 ICMP Sweep扫描 Broadcast ICMP扫描 Non-Echo ICMP扫描 ICMP echo扫描 实现原理：Ping的实现机制，在判断在一个网络上主机是否开机时非常有用。 向目标主机发送ICMP Echo Request (type 8)数据包，等待回复的ICMP Echo Reply 包(type 0) 。如果能收到，则表明目标系统可达，否则表明目标系统已经不可达或发送的包被对方的设备过滤掉。 优点：简单，系统支持 缺点：很容易被防火墙限制 可以通过并行发送，同时探测多个目标主机，以提高探测效率（ICMP Sweep扫描）。 Broadcast ICMP扫描 实现原理：将ICMP请求包的目标地址设为广播地址或网络地址，则可以探测广播域或整个网络范围内的主机。 缺点： 只适合于UNIX/Linux系统，Windows 会忽略这种请求包； 这种扫描方式容易引起广播风暴 Non-Echo ICMP