第03章 目标系统信息收集技术 知识 网络攻防原理与实践课件.pptVIP

第3章 目标系统信息收集技术 高等教育出版社 本章要点 2. 网络信息挖掘 1. 信息收集概述 3. 网络扫描技术 4. 网络拓扑探测 5. 操作系统类型探测 黑客入侵第一步——信息收集 信息收集是指通过各种方式获取所需要的信息，是黑客完成入侵任务的第一步。 信息的收集不会对目标系统产生危害，但是对攻击者十分重要。 攻击者通过汇总和分析收集到的信息，以此来对目标系统进行总体安全评估，进而拟定出目标系统可能存在的安全缺陷，便于攻击者发动攻击。 信息收集的内容 系统的一般信息 系统的软硬件平台类型 系统的用户 系统的服务和应用 系统及服务的管理、配置情况 系统是否禁止root 远程登录 SMTP 服务器是否支持decode 别名 系统口令的安全性 系统是否存在弱口令 缺省用户的口令是否没有变动 系统提供的服务的安全性，以及系统整体的安全性能 系统是否提供安全性较差的服务 系统服务的版本是否是弱安全版本 获取信息的方法 对系统进行端口扫描 应用漏洞扫描工具探测特定服务的弱点 使用口令攻击 口令猜测攻击 口令文件破译攻击 网络协同攻击与协议分析攻击 社会工程学手段 WHOIS服务示例 登陆/，查询的域名信息，查询的结果 ： 网络扫描技术 管理者借助于扫描技术可以发现网络和主机的以下内容： 对外开放的端口 提供的服务 某些系统信息 错误的配置信息 已知的安全漏洞 在扫描技术为管理者带来便利的同时，黑客也正在利用安全扫描技术探查网络和主机系统，从而确定入侵点。 网络扫描技术分类 按照扫描对象来分： 基于主机的安全扫描技术 基于网络的安全扫描技术 按照扫描过程来分： Ping扫描技术 端口扫描技术 操作系统探测扫描技术 已知漏洞的扫描技术 Ping扫描示例 攻击者向目标主机发送一个ICMP数据包，如果主机正在工作，则返回相应信息，如图所示： 端口扫描技术 TCP扫描 TCP connect()扫描 Reverse-ident扫描 TCP FIN请求 TCP SYN扫描 TCP空扫描 UDP扫描 FTP 返回扫描 漏洞扫描技术 漏洞扫描本质上是一把双刃剑： 黑客利用它来寻找对网络或系统发起攻击的途径 系统管理员则利用它来有效防范黑客入侵 漏洞扫描分类 利用漏洞库的漏洞扫描 CGI漏洞扫描 POP3漏洞扫描 FTP漏洞扫描 SSH漏洞扫描 HTTP漏洞扫描 利用模拟攻击的漏洞扫描 Unicode遍历目录漏洞扫描 FTP弱口令探测 OPENRelay邮件转发漏洞扫描 网络拓扑探测 网络拓扑探测技术是网络攻防研究的重点内容之一，是向对方网络入侵的铺垫，是制定攻击策略的关键。 网络拓扑信息主要包括交换机、路由器等网络实体间的连接信息。 网络拓扑探测 从协议的角度来分析： ICMP响应分析 基于SNMP协议 基于路由协议 OSPF(Open Shortest Path First)路由协议 RIP(路由信息协议) BGP(边界网关协议) ICMP响应示例 利用Traceroute技术探测从某一主机到雅虎主机的路径，如图所示： 基于SNMP协议分析 在网络上，路由表实际上是路由器之间拓扑结构的一种逻辑映像。 某路由表如下所示： 接口编号 下一跳 网络掩码 交付类型 目的网络 1 8 直接 1 8 间接 1 0 直接 5 0 28 直接 7 0 28 直接 28 若交付类型为直接投递，则目的子网与该路由器直连； 若交付类型为间接投递，则此时下一跳项指向了该路由器直连的下一个路由器。 需要注意的是，路由表中目的网络地址为全0的是默认路由，需要排除。 操作系统类型探测 众多的安全漏洞都与操作系统直接相关 只有精确地判别出目标主机的操作系统类型及版本，才能有针对性地对其进行攻击 操作系统类型探测技术按照信息的获取方式，可分为： 主动探测技术 被动探测技术 主动探测技术 根据端口扫描结果分析 根据扫描结果就可以初步确定被攻击主机的操作系统类型 例如：Windows打开137，139，445等端口，Linux系统打开512、513、514等 主动探测技术 利用Banner信息分析 Banner是指服务程序接收到客户端的正常连接请求后所显示的欢迎信息 例如：利用Telnet登陆FTP服务器，显示如下信息： 主动探测技术 TCP/IP协议栈查询法 TCP/IP协议栈查询法是利用不同的操作系统在实现TCP/IP协议时的细微差别来识别操作系统类型。 按道理讲，各个厂商在操作系统中实现TCP/IP协议时都要遵循相应的RFC标准，它们之间应该是一样的，但由于各种原因，不同类型、不同版本的操作系统在实现TCP/IP协议时，还是有细微的差别。 不同操作系统在实现TCP/IP协议时的具体差别通常被称为TCP/IP协议栈指纹。 被