第7章 端口扫描.ppt

第7章 端口扫描 内容概述 7.1端口扫描概述 7.2常见端口扫描技术 7.3其他端口扫描技术 7.4端口扫描工具 7.1信息收集：扫描技术 基于TCP/IP协议，对各种网络服务，无论是主机或者防火墙、路由器都适用 扫描可以确认各种配置的正确性，避免遭受不必要的攻击 用途，双刃剑 安全管理员可以用来确保自己系统的安全性 黑客用来探查系统的入侵点 端口扫描的技术已经非常成熟，目前有大量的商业、非商业的扫描器 扫描器的重要性 扫描器能够暴露网络上潜在的脆弱性 无论扫描器被管理员利用，或者被黑客利用，都有助于加强系统的安全性 它能使得漏洞被及早发现，而漏洞迟早会被发现的 扫描器可以满足很多人的好奇心 扫描器除了能扫描端口，往往还能够 发现系统存活情况，以及哪些服务在运行 用已知的漏洞测试这些系统 对一批机器进行测试，简单的迭代过程 有进一步的功能，包括操作系统辨识、应用系统识别 扫描器历史 早期 80年代，网络没有普及，上网的好奇心驱使许多年轻人通过Modem拨号进入到UNIX系统中。这时候的手段需要大量的手工操作 于是，出现了war dialer——自动扫描，并记录下扫描的结果 现代的扫描器要先进得多 SATAN: Security Administrators Tool for Analyzing Networks 1995年4月发布，引起了新闻界的轰动 界面上的突破，从命令行走向图形界面(使用HTML界面)，不依赖于X 两位作者的影响(Dan Farmer写过网络安全检查工具COPS，另一位Weitse Venema是TCP_Wrapper的作者) Nmap 作者为Fyodor，技术上，是最先进的扫描技术大集成 结合了功能强大的通过栈指纹来识别操作系统的众多技术 扫描技术 主机扫描：确定在目标网络上的主机是否可达，同时尽可能多映射目标网络的拓扑结构，主要利用ICMP数据包 端口扫描：发现远程主机开放的端口以及服务 操作系统指纹扫描：根据协议栈判别操作系统 7.1端口扫描概述 7.1端口扫描概述 7.1端口扫描概述 7.1.1 TCP/IP相关知识 三、TCP数据报格式 7.1.1 TCP/IP相关知识 TCP连接建立和终止过程 7.1端口扫描概述 7.1.1 TCP/IP相关知识 四、UDP数据报格式 7.1端口扫描概述 7.1端口扫描概述 7.1.3 端口扫描概念 定义：探测本地或远程系统开放情况的策略及方法 应用方法： 向目标主机的某端口发送数据包，根据接收到的响应包来判断主机端口是否开放，进一步判断端口提供的服务或信息 在本地捕获流出或者流入的数据流进行分析 7.1端口扫描概述 7.1.4 端口扫描的分类 7.1端口扫描概述 7.2常见端口扫描技术 7.3其他端口扫描技术 7.4端口扫描工具 7.2常见端口扫描技术 7.2.1 TCP connect扫描 根据TCP连接建立过程的三次握手（编程中connect函数） 7.2.2半开扫描 7.2.2 TCP syn扫描 比TCP connect 隐蔽，不会被目标主机纪录 7.2.3秘密扫描 能够躲避防火墙、IDS、包过滤器、日志审计 包括以下 1、TCP FIN扫描 2、TCP ACK扫描 3、TCP NULL扫描 4、XMAS扫描 5、SYN/ACK扫描 7.2.3秘密扫描 1、TCP fin扫描：用于区分操作系统 原理：向目标机发送FIN数据包（未连接情况下） 如果目标机端口开放则扔掉该数据包，无返回信息 如果目标机端口关闭，会返回RST数据包 7.2.3秘密扫描 2、TCP ACK扫描： 原理：向目标机发送ACK数据包（非正常连接建立过程） 如果目标机端口返回RST数据包，且TTL值小于等于64，表明端口开放 否则目标机端口返回RST数据包WINDOW值非0，关闭 7.2.3秘密扫描 3、TCP NULL扫描： 原理：向目标机发送数据包,标志位均为0 如果目标机端口开放，无返回值 若收到目标主机返回的RST信息，表明端口关闭 7.2.3秘密扫描 4、TCP XMAS扫描：用来判别操作系统 原理：向目标机发送数据包,标志位均为1 如果目标机端口开放，无返回值 若收到目标主机返回的RST信息，表明端口关闭 7.2.3秘密扫描 5、TCP SYN/ACK扫描： 原理：向目标机发送数据包,SYN=1,ACK=1 如果目标机端口开放，无返回值 若收到目标主机返回的RST信息，表明目标机开放但端口关闭 7.1端口扫描概述 7.