008-ch02信息收集探究.pptVIP

2.4.2 TCP/IP协议栈指纹 TCP/IP协议栈指纹 TCP包头信息相关 FIN标志探测 BOGUS（伪造）标记位探测 TCP ISN 取样 TCP 初始化“窗口”测试 ACK标志测试TCP选项测试 IP/ICMP包信息相关 ICMP错误信息查询 ICMP信息引用 ICMP错误信息回显完整性 服务类型（TOS） 片段（碎片）处理 “DF”标记位 2.4.2 TCP/IP协议栈指纹 目前最好的利用协议栈指纹进行操作系统识别的工具是我们在端口扫描工具中提到过的Nmap 扫描方式 扫描方式可以分成两大类： 主动式扫描：基于网络的，它通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞 被动式扫描：基于主机之上，对系统中不合适的设置，脆弱的口令以及其他同安全规则抵触的对象进行检查 被动式扫描不会对系统造成破坏，而主动式扫描对系统进行模拟攻击，可能会对系统造成破坏。 被动式策略扫描 被动式策略是基于主机之上，对系统中不合适的设置，脆弱的口令以及其他同安全规则抵触的对象进行检查。 被动式扫描不会对系统造成破坏，而主动式扫描对系统进行模拟攻击，可能会对系统造成破坏。 主动式策略扫描 主动式策略是基于网络的，它通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞。 网络监听 网络监听的目的是截获通信的内容，监听的手段是对协议进行分析。Sniffer pro就是一个完善的网络监听工具。 监听器Sniffer的原理：在局域网中与其他计算机进行数据交换的时候，发送的数据包发往所有的连在一起的主机，也就是广播，在报头中包含目标机的正确地址。因此只有与数据包中目标地址一致的那台主机才会接收数据包，其他的机器都会将包丢弃。但是，当主机工作在监听模式下时，无论接收到的数据包中目标地址是什么，主机都将其接收下来。然后对数据包进行分析，就得到了局域网中通信的数据。一台计算机可以监听同一网段所有的数据包，不能监听不同网段的计算机传输的信息。 监听软件 防止监听的手段是：建设交换网络、使用加密技术和使用一次性口令技术。 除了非常著名的监听软件Sniffer Pro以外，还有一些常用的监听软件： 嗅探经典－－Iris 密码监听工具－－Win Sniffer 密码监听工具－－pswmonitor和非交换环境局域网的fssniffer等等 Sniffer Pro是一款非常著名监听的工具，但是Sniffer Pro不能有效的提取有效的信息。 网络监听 网络监听的目的是截获通信的内容，监听的手段是对协议进行分析。Sniffer pro就是一个完善的网络监听工具。 监听器Sniffer的原理：在局域网中与其他计算机进行数据交换的时候，发送的数据包发往所有的连在一起的主机，也就是广播，在报头中包含目标机的正确地址。因此只有与数据包中目标地址一致的那台主机才会接收数据包，其他的机器都会将包丢弃。但是，当主机工作在监听模式下时，无论接收到的数据包中目标地址是什么，主机都将其接收下来。然后对数据包进行分析，就得到了局域网中通信的数据。一台计算机可以监听同一网段所有的数据包，不能监听不同网段的计算机传输的信息。 监听软件 防止监听的手段是：建设交换网络、使用加密技术和使用一次性口令技术。 除了非常著名的监听软件Sniffer Pro以外，还有一些常用的监听软件： 嗅探经典－－Iris 密码监听工具－－Win Sniffer 密码监听工具－－pswmonitor和非交换环境局域网的fssniffer等等 Sniffer Pro是一款非常著名监听的工具，但是Sniffer Pro不能有效的提取有效的信息。 小结 本章从网络信息挖掘、网络扫描技术、网络拓扑探测和系统类型探测4个方面对信息收集进行了详细的介绍。 信息收集是一把双刃剑，它即可以帮助管理员找到有用的信息、维护系统；但它也可以是攻击者对目标进行攻击的第一步。 扩展阅读 Project 网络扫描策略 编程实现： 主机扫描（尹思源） 随机半开扫描：IDS和防火墙会搜寻顺序化的连接尝试。被扫描端口随机选择能躲避它们的检查（周 长） 慢速隐蔽扫描：IDS检测网络流量，扫描速率低于门限值时不被IDS发现（程 阳） 分片扫描（佘 锐） 要求：1、输出到文本文件，格式自行设计，但要求清晰易读，包含足够的信息以便了解扫描过程细节；2、字符和API两个人机界面；3、良好的程序结构 实验报告：设计文档、程序和扫描的结果 在1的基础之上，实现分布式协同扫描（周 祥） Google Hacking Google?Hacking?的特点 快速 搜索引擎预先准备了大量处理好的信息以供检索