网络对抗原理第4章.pdfVIP

第4章查点技术　　　 第4章查点技术 4.1 Windows系统查点技术 4.2 UNIX类系统查点技术 4.3 小结 第4章查点技术　　　 4.1 Windows系统查点技术 4.1.1 NetBIOS简介 在入侵Windows系统时，首当其冲的就是NetBIOS协 议。如果我们扫描目标系统的139号端口以后发现它是开放 的，那么我们就可以利用NetBIOS协议来收集信息，而且这 种收集方法非常简单 (/windows_nt_wardoc.htm) 。 NetBIOS 是网络基本输入/ 输出系统(Network Basic Input/Output System) 的缩写，它定义了一个软件接口，非常 类似于API编程，提供标准方法用于提供和使用各种网络服 务。NetBIOS 给程序提供了请求底层服务所需的统一命令 集，这些服务包括名字管理、会话执行和节点之间的数据传 输。 第4章查点技术　　　 需要注意的是，尽管NetBIOS不是一种协议，但它确实 有一套命名的规则—— 计算机、工作组、域、用户和其他 服务的命名。 NetBIOS 的名字空间是平面结构，而不是像DNS那样的 层次结构，因此在某个特定的网络内所有的名字必须惟一。 NetBIOS名字的长度为16个字节，最后一个字节被保留，用 于表示名字所注册的服务。如果名字长度小于15个字节， 则剩余用空格填充。例如，注册到信使服务(Messenger Service)的NetBIOS名字SATURN其十六进制表示形式为 53 41 54 55 52 4E 20 20 20 20 20 20 20 20 20 03 注意到最后一个字节为03，这表示这个名字所注册服 务为信使服务。后面我们会讨论其他可能的值。“*”是一个 特殊的NetBIOS名字，可以用作NetBIOS名字查询时所使用 的通配符。 第4章查点技术　　　 NetBIOS 名字可以注册为Unique (U) ，表示此名字属于单 个属主，例如，一台计算机或者一个用户的名字；也可以注册 为Group (G)，表示工作组(Workgroup)或域(Domain)的名字。 当客户希望使用服务器提供某种服务时，就必须使用 NetBIOS 名字查询来定位所需的资源。这就需要把NetBIOS 名 字解析成IP地址，然后才能进行相互通信。这种解析有很多种 方法，但是这个名字必须是已经注册的。 NetBIOS名字的惟一性决定了不允许用户和计算机注册相 同的名字，否则将会出现大规模的网络混乱。RFC1000和1001 提出了四种不同类型的NetBIOS客户的名字注册和名字解析方 法，它们分别是B-节点(B-nodes，广播方式) ，P-节点(P- nodes ，对等方式) ，M-节点(M-nodes，混合方式)和H-节点(H- nodes ，混合方式) 。 第4章查点技术　　　 一台B-节点主机将尝试广播UDP 数据报来注册其 NetBIOS名字。这样本地网段的任何一台主机都会收到 这个注册请求，并检查该名字是否已经被注册。如果 没有主机对该请求进行应答，就表示所声明的名字是 可以注册的，否则名字注册过程将失败。如果一台B- 节点主机希望通过NetBIOS所提供的服务来和其他主机 通信，那么它会发送广播消息以获得目的主机IP地址 所对应的注册名字。 微软系统引入了一种加强的B-节点，它利用一个 LMHOSTS配置文件(类似于UN*X风格的HOSTS文件) 来实现主机名字同IP地址的映射。LMHOSTS提供了一 种静态方法来解析NetBIOS名字。 第4章查点技术　　　 一台P-节点主机则依赖于NetBIOS 名字服务器(NT系 统的WINS)来检查名字注册的有效性以及名字的查询。发 送请求的主机同服务器联系，然后试图注册其名字。名字 服务器会检查本地已注册的NetBIOS名字数据