网络安全3网络侦察技术.pptVIP

网络安全 西南科技大学 计算机科学与技术学院 第2章回顾 攻击事件 攻击的目的 攻击的步骤 第3章 网络侦察技术 本章介绍常见的网络侦察技术，包括网络扫描、网络监听和口令破解三个部分。网络扫描重点介绍三种扫描类型以及常用的扫描器；网络监听重点介绍对以太网的监听和嗅探器；口令破解重点介绍口令破解器、字典文件以及Windows 2000和Unix口令破解所涉及的问题。 第3章 网络侦察技术 3.1网络扫描 3.2网络监听 3.3口令破解 扫描 扫描的定义 扫描的类型 扫描的过程 常用的扫描器 讨论：操作系统的“指纹识别” 对抗方法 扫描定义 扫描器是一种收集系统信息，自动检测远程或本地主机安全性弱点的程序 扫描器的作用： 可以发现远程服务器是否存活; 它对外开放的各种TCP端口的分配及提供的服务; 它所使用的软件版本(如操作系统或其他应用软件的版本); 所存在可能被利用的系统漏洞. 扫描的类型（按照目标分类） 端口扫描：发现计算机网络的服务； 端口号和网络服务相关联。 网络扫描：发现计算机网络上存活的计算机； 漏洞扫描：发现计算机系统上的漏洞。 扫描的过程 端口扫描 端口的类型(由Internet Assigned Numbers Authority分配) 熟知端口 ( 0～1023 )：分配给常用的网络服务 注册端口 ( 1024～49151 ) ：分配给其他网络服务 私有（动态）端口 ( 49152～65535 )：客户端临时端口 方法 基本扫描 Connect，SYN，FIN，Xmas树，空扫描 ，ACK，Windows，RPC，UDP 参考：Nmap的文档“Port Scanning Techniques”(/man/man-port-scanning-techniques.html) 高级扫描 Ident ，FTP Bounce 漏洞扫描 漏洞扫描是指使用漏洞扫描程序对目标系统进行信息查询 漏洞扫描器是一种自动检测远程或本地主机安全性弱点的程序 外部扫描 与 内部扫描 常用的扫描器 Nmap UDP、TCP connect、TCP SYN（半开）、ftp proxy（跳跃攻击）、Reverse-ident、ICMP(ping)、FIN、ACK sweep、Xmas Tree、SYN sweep和NULL扫描 通过TCP/IP来鉴别操作系统类型、秘密扫描、动态延迟和重发、平行扫描、通过并行的Ping侦测下属的主机、欺骗扫描、端口过滤探测、直接的RPC扫描、分布扫描、灵活目标选择以及端口的描述 Nmap举例 例1：Nmap –f 说明：对以细小的IP碎片包实现SYN、FIN、XMAS或NULL扫描请求。 例子2： Nessus(漏洞扫描器) Nessus是图形化的界面，使得它使用起来相当简便，它还对扫描出的漏洞给出详细的利用方法和补救方法。所以，Nessus是攻击者和网管都应该学会使用的漏洞检查利器 X-scan 提供了图形界面和命令行两种操作方式 远程操作系统类型及版本、标准端口状态及端口banner信息、CGI漏洞、RPC漏洞、SQL-SERVER默认帐户、弱口令，NT主机共享信息、用户信息、组信息、NT主机弱口令用户 Retina SAINT HPING2 Firewalk NIKTO GFI LANGUARD ISS Security Scanner Netcraft …… 讨论：操作系统的“指纹识别” OS fingerprinting，是用来判断目标主机上正在运行的操作系统类型的技术。 分类： 主动指纹识别（Active fingerprinting） 被动指纹识别（Passive fingerprinting） 参考材料： Remote OS Detection using TCP/IP Fingerprinting (2nd Generation) （/osdetect/） Intrusion Detection FAQ: What is AMap and how does it fingerprint applications?（/resources/idfaq/amap.php） 主动指纹识别 It is based on the fact that various OS vendors implement the TCP stack differently Specially crafted packets are sent to the remote OS and the response is noted The responses are then compared to a database to determ