端口扫描技术.ppt.pptVIP

* * 端口扫描技术 FACE 网络扫描的工作原理是基于端口的。端口这个概念是在传输层提出的，是传输层标识服务的手段。传输层有两个重要的传输协议:传输控制协议(TCP)及用户数据报协议(UDP)。UDP协议比较简单，TCP协议是大部分常用的应用层协议(如FTP、Telnet、SMTP等等)的基础。 网络安全扫描系统可以自动检测远程或本地主机安全脆弱点，通过采用适度的模拟攻击对目标可能存在的已知安全漏洞进行逐项检查，发现远程服务器的各种TCP端口的分配及提供的服务和它们的软件版本，根据扫描结果向系统管理员提供周密可靠的安全性分析报告，为提高网络安全整体水平提供重要依据。 一、概述 1.1、TCP通信 TCP提供了连在网上的两个终端节点之间的可靠的全双工流连接，每个TCP连接可以用一个四元组： {源IP地址， 目的IP地址， 源PORT号， 目的PORT号} 来描述，每个发送字节都用一个32位的序列号标记，而接收方则对该序列号予以确认。 二、理论基础 SYN x， MSS=m1 SYN y，ACK x+1，MSS=m2 ACK Data Connect() SYN_SENT ESTABLISHED Connect return WRITE READ Return Close() FIN_WAIT_1 FIN_WAIT_2 TIME_WAIT LISTEN Accept() SYN_RCVD ESTABLISHED Accept return READ Process Write Closeed Return 0 CLOSE_WAIT Close() LAST_ACK CLOSED ACK y+1 Data (Request) Data (Reponse) FIN xf ACK xf+1 ACK yf+1 FIN yf 图1 TCP通信过程示意图 Client Server 通信图 状态图 原理 TCP通信状态转换示意图 为了便于分析，引入下面一些变量来描述连接状态： RCV_SEQ：服务方下一个字节发送时用来作标记的序列号。 RCV_ACK：服务方接收的下一个字节应具有的序列号。 RCV_WIND：服务方基于“滑动窗口”流量控制机制的接收窗口大小。 RCV_SEQ0：初始的接收序号。 SND_SEQ：客户方下一个字节发送时用来作标记的序列号。 SND_ACK：客户方接收的下一个字节应具有的序列号。 SND_WIND：客户方基于“滑动窗口”流量控制机制的接收窗口大小。 SND_UNA：客户方未得到应答的发送序号 ; SND_SEQ：客户方下一个发送序号 ; SND_SEQ0：初始的发送序号。 SEG_SEQ：报文序号 ; SEG_ACK：报文应答号 ; SEG_LEN：报文长度 ; SEG_WIND：接收方传输给发送方的接收窗口大小，用于流量控制。 变量 1）建立连接。 1）建立连接 建立TCP正常连接示意图 发送SYN seq=x 接收SYN报文 发送SYN seq=y, ACK=x+1 接收SYN＋ACK报文 发送ACK=y+1 接收ACK报文 Client Server SYN seq=x SYN seq=y, ACK=x+1 ACK=y+1 建立连接时，若连接处于无数据交换的状态，有： SND_ACK=RCV_SEQ RCV_ACK=SND_SEQ。 成立，但当存在数据交换的时候，上面的关系式就应改为： RCV_ACK≤SND_SEQ≤RCV_ACK+RCV_WIND， SND_ACK≤RCV_SEQ≤SND_ACK+SND_WIND。 1）建立连接 客户方发送数据时会设置SEG_SEQ=SND_SEQ和SEG_ACK=SND_ACK。TCP通过“三次握手”机制来建立连接。设客户方的初始序列号为SND_SEQ0，服务方的初始序列号为RCV_SEQ0，连接建立完毕后，连接双方将处于ESTABLISHED状态。此时，有下面的等式成立： SND_SEQ=SND_SEQ0+1 SND_ACK=RCV_SEQ0+1 RCV_SEQ=RCV_SEQ0+1 RCV_ACK=SND_SEQ0+1 2）传输数据。 当连接双方进入ESTABLISHED状态后，对服务方而言，只有收到的报文的序列号在范围[RCV_ACK，RCV_ACK+RCV_WIND]内，该报文才会被接受。 对客户方而言，只有收到的报文的序列号在范围[SND_ACK，SND_ACK+SND_WIND]内，该报文才会被接受。否则，报文将被抛弃