chap3-03-安全扫描技术.pptVIP

* * 内容提要 ? ? ? ? ? 什么是扫描器 扫描器分类 端口扫描技术 漏洞扫描技术 其它扫描技术 什么是扫描技术？ ? 扫描器是一种通过收集系统的信息来自动检测远程或 本地主机安全性弱点的程序，通过使用扫描器，可以 发现远程服务器的各种TCP端口的分配及提供的服务和 它们的软件版本。 – 这就能让黑客或管理员间接地或直观地了解到远程主机所存 在的安全问题 。 – 扫描器并不是直接地攻击网络漏洞的程序，它仅仅能帮助黑 客 发现目标机的某些内在的弱点。 ? 扫描器有主要功能： – 发现一个主机或网络 ； – 发现有什么服务程序 正运行在主机上； – 通过测试这些服务发现 漏洞。 扫描技术分类 ? 按照使用对象的不同 – 本 地扫 描 器 – 远 程扫 描 器 。 ? 按照扫描的目的来分类 – 端口扫描器。端口扫描器只是单纯地用来扫描目标机开放的 服务端口以及与端口相关的信息。常见的端口扫描器有NMAP、 PORTSCAN等， – 漏洞扫描器。漏洞扫描器更为直接，它检查扫描目标中可能 包含的大量已知的漏洞，如果发现潜在的漏洞可能性，就报 告给扫描者。 端口扫描技术 ? 端口扫描技术是一项自动探测本地和远程系统端口开 放情况的策略及方法，了解系统目前向外界提供了哪 些服务，从而为系统用户管理网络提供了一种手段。 – 端口扫描向目标主机的TCP/IP服务端口 发送探测数据包 ，并 记录目标主机的响应，得知端口提供的服务或信息。 – 端口扫描也可以通过捕获本地主机或服务器的 流入流出IP数 据包来监视本地主机的运行情况，它仅能对接收到的数据进 行分析，帮助发现目标主机的某些内在的弱点，而不会提供 进入一个系统的详细步骤。 端口扫描技术 ? 一般的端口扫描的原理其实非常简单，只是简单地利 用操作系统提供的connect（）系统调用，与每一个感 兴趣的目标计算机的端口进行连接。如果端口处于侦 听状态，那么connect()就能成功。否则，这个端口不 能用，即没有提供服务。 – – – – 全连接扫描 半连接扫描 秘密扫描 其它扫描。 端口扫描技术 ? 全连接扫描 – 全连接扫描是TCP端口扫描的基础，现有的全连接 扫描有TCP connect()扫描和TCP反向ident扫描等 – 原理：扫描主机通过TCP/IP协议的三次握手与目标 主机的指定端口建立一次完整的连接。连接由系统 调用connect()开始。如果端口开放，则连接将建 立成功；否则，若返回-1，则表示端口关闭。 端口扫描技术 ? 半连接扫描 – – 若端口扫描没有完成一个完整的TCP连接，在扫描 主机和目标主机的一指定端口建立连接时候只完 成了前两次握手，在第三步时，扫描主机中断了 本次连接，使连接没有完全建立起来，这样的端 口扫描称为半连接扫描，也称为间接扫描。 现有的半连接扫描有TCP SYN扫描和IP ID头dumb 扫描等。 端口扫描技术 ? 秘密扫描 – 端口扫描容易被在端口处所监听的服务器日志记录： 这些服务看到一个没有任何数据的连接进端口，就 记录一个日志错误。而秘密扫描是一种不被审计工 具所检测的扫描技术。 – 现有的秘密扫描有TCP FIN扫描、TCP ACK扫描、 NULL扫描、XMAS扫描、TCP分段扫描和SYN/ACK扫描 等。 端口扫描技术比较 用 定 connect 与 指 IP 地 址 连 接 是 否 连 接 ? 端口扫描器程序流程 定 义 变 量 创 建 套 接 字 sock et 建 立 s tr u c t s o c k a d d r _ i n 结 构 对 象 设 置 目 标 m y_ ad d r IP 和 端 口 显 示 开 启 端 口 与 信 息 N 取 下 一 个 端 口 co u n t+ + 是 否 结 束 ? Y E N D Y N 端口扫描器关键语句 if(connect (sock, (struct sockaddr *)my_addr, sizeof(struct sockaddr)) == SOCKET_ERROR) closesocket(sock); else { count++;//统计开放的端口} 漏洞扫描技术 ? 系统漏洞的定义和作用 – 在计算机安全学中，存在于一个系统内的弱点或缺 陷，系统对一个特