漏洞掃描技術(shù)

1、漏洞掃描技術(shù)教研部2014-10-11目錄漏洞掃描概述實(shí)驗(yàn)與練習(xí)小結(jié)小結(jié)典型漏洞掃描技術(shù)原理典型漏掃工具介紹及使用漏洞掃描報(bào)告包括哪些內(nèi)容漏洞掃描概述背景 如果把網(wǎng)絡(luò)信息安全工作比作一場(chǎng)戰(zhàn)爭(zhēng)的話(huà)，漏洞掃描器就是這場(chǎng)戰(zhàn)爭(zhēng)中，盤(pán)旋在終端設(shè)備，網(wǎng)絡(luò)設(shè)備上空的“全球鷹”。 網(wǎng)絡(luò)安全工作是防守和進(jìn)攻的博弈，是保證信息安全，工作順利開(kāi)展的奠基石。及時(shí)，準(zhǔn)確的審視自己信息化工作的弱點(diǎn)，審視自己信息平臺(tái)的漏洞和問(wèn)題，才能在這場(chǎng)信息安全戰(zhàn)爭(zhēng)中，處于先機(jī)，立于不敗之地。只有做到自身的安全，才能立足本職，保證公司業(yè)務(wù)穩(wěn)健的運(yùn)行，這是信息時(shí)代開(kāi)展工作的第一步。 中國(guó)信息安全技術(shù)最知名品牌TOPSEC（天融信）認(rèn)為，漏

2、洞掃描器，就是保證這場(chǎng)信息戰(zhàn)爭(zhēng)勝利的開(kāi)始，它及時(shí)準(zhǔn)確的察覺(jué)到信息平臺(tái)基礎(chǔ)架構(gòu)的安全，保證業(yè)務(wù)順利的開(kāi)展，保證業(yè)務(wù)高效迅速的發(fā)展，維護(hù)公司，企業(yè)，國(guó)家所有信息資產(chǎn)的安全。漏洞掃描概述概念 漏洞掃描是指基于漏洞數(shù)據(jù)庫(kù)，通過(guò)掃描等手段對(duì)指定的遠(yuǎn)程或者本地計(jì)算機(jī)系統(tǒng)的安全脆弱性進(jìn)行檢測(cè)，發(fā)現(xiàn)可利用的漏洞的一種安全檢測(cè)（滲透攻擊）行為。 漏洞掃描技術(shù)是一類(lèi)重要的網(wǎng)絡(luò)安全技術(shù)。它和防火墻、入侵檢測(cè)系統(tǒng)互相配合，能夠有效提高網(wǎng)絡(luò)的安全性。通過(guò)對(duì)網(wǎng)絡(luò)的掃描，網(wǎng)絡(luò)管理員能了解網(wǎng)絡(luò)的安全設(shè)置和運(yùn)行的應(yīng)用服務(wù)，及時(shí)發(fā)現(xiàn)安全漏洞，客觀評(píng)估網(wǎng)絡(luò)風(fēng)險(xiǎn)等級(jí)。網(wǎng)絡(luò)管理員能根據(jù)掃描的結(jié)果更正網(wǎng)絡(luò)安全漏洞和系統(tǒng)中的錯(cuò)誤設(shè)置，在黑

3、客攻擊前進(jìn)行防范。如果說(shuō)防火墻和網(wǎng)絡(luò)監(jiān)視系統(tǒng)是被動(dòng)的防御手段，那么安全掃描就是一種主動(dòng)的防范措施，能有效避免黑客攻擊行為，做到防患于未然。漏洞掃描概述作用 1. 定期的網(wǎng)絡(luò)安全自我檢測(cè)、評(píng)估 配備漏洞掃描系統(tǒng)，網(wǎng)絡(luò)管理人員可以定期的進(jìn)行網(wǎng)絡(luò)安全檢測(cè)服務(wù)，安全檢測(cè)可幫助客戶(hù)最大可能的消除安全隱患，盡可能早地發(fā)現(xiàn)安全漏洞并進(jìn)行修補(bǔ)，有效的利用已有系統(tǒng)，優(yōu)化資源，提高網(wǎng)絡(luò)的運(yùn)行效率。 2. 安裝新軟件、啟動(dòng)新服務(wù)后的檢查 由于漏洞和安全隱患的形式多種多樣，安裝新軟件和啟動(dòng)新服務(wù)都有可能使原來(lái)隱藏的漏洞暴露出來(lái)，因此進(jìn)行這些操作之后應(yīng)該重新掃描系統(tǒng)，才能使安全得到保障。漏洞掃描概述作用 3. 網(wǎng)絡(luò)建設(shè)

4、和網(wǎng)絡(luò)改造前后的安全規(guī)劃評(píng)估和成效檢驗(yàn) 網(wǎng)絡(luò)建設(shè)者必須建立整體安全規(guī)劃，以統(tǒng)領(lǐng)全局，高屋建瓴。在可以容忍的風(fēng)險(xiǎn)級(jí)別和可以接受的成本之間，取得恰當(dāng)?shù)钠胶?，在多種多樣的安全產(chǎn)品和技術(shù)之間做出取舍。配備網(wǎng)絡(luò)漏洞掃描/網(wǎng)絡(luò)評(píng)估系統(tǒng)可以讓您很方便的進(jìn)行安全規(guī)劃評(píng)估和成效檢驗(yàn)網(wǎng)絡(luò)的安全系統(tǒng)建設(shè)方案和建設(shè)成效評(píng)估 4. 網(wǎng)絡(luò)承擔(dān)重要任務(wù)前的安全性測(cè)試 網(wǎng)絡(luò)承擔(dān)重要任務(wù)前應(yīng)該多采取主動(dòng)防止出現(xiàn)事故的安全措施，從技術(shù)上和管理上加強(qiáng)對(duì)網(wǎng)絡(luò)安全和信息安全的重視，形成立體防護(hù)，由被動(dòng)修補(bǔ)變成主動(dòng)的防范，最終把出現(xiàn)事故的概率降到最低。配備網(wǎng)絡(luò)漏洞掃描/網(wǎng)絡(luò)評(píng)估系統(tǒng)可以讓您很方便的進(jìn)行安全性測(cè)試。漏洞掃描概述作用 5.網(wǎng)

5、絡(luò)安全事故后的分析調(diào)查 網(wǎng)絡(luò)安全事故后可以通過(guò)網(wǎng)絡(luò)漏洞掃描/網(wǎng)絡(luò)評(píng)估系統(tǒng)分析確定網(wǎng)絡(luò)被攻擊的漏洞所在，幫助彌補(bǔ)漏洞，盡可能多得提供資料方便調(diào)查攻擊的來(lái)源。 6.重大網(wǎng)絡(luò)安全事件前的準(zhǔn)備 重大網(wǎng)絡(luò)安全事件前網(wǎng)絡(luò)漏洞掃描/網(wǎng)絡(luò)評(píng)估系統(tǒng)能夠幫助用戶(hù)及時(shí)的找出網(wǎng)絡(luò)中存在的隱患和漏洞，幫助用戶(hù)及時(shí)的彌補(bǔ)漏洞。漏洞掃描概述作用 7.公安、保密部門(mén)組織的安全性檢查 互聯(lián)網(wǎng)的安全主要分為網(wǎng)絡(luò)運(yùn)行安全和信息安全兩部分。網(wǎng)絡(luò)運(yùn)行的安全主要包括以ChinaNet、ChinaGBN、CNCnet等10大計(jì)算機(jī)信息系統(tǒng)的運(yùn)行安全和其它專(zhuān)網(wǎng)的運(yùn)行安全；信息安全包括接入Internet的計(jì)算機(jī)、服務(wù)器、工作站等用來(lái)進(jìn)行采集

6、、加工、存儲(chǔ)、傳輸、檢索處理的人機(jī)系統(tǒng)的安全。網(wǎng)絡(luò)漏洞掃描/網(wǎng)絡(luò)評(píng)估系統(tǒng)能夠積極的配合公安、保密部門(mén)組織的安全性檢查。目錄典型漏洞掃描技術(shù)原理實(shí)驗(yàn)與練習(xí)小結(jié)小結(jié)漏洞掃描概述典型漏掃工具介紹及使用漏洞掃描報(bào)告包括哪些內(nèi)容典型漏洞掃描技術(shù)原理 漏洞掃描的基本原理 1. 網(wǎng)絡(luò)漏洞掃描進(jìn)行工作時(shí)，首先探測(cè)目標(biāo)系統(tǒng)的存活主機(jī)，對(duì)存活主機(jī)進(jìn)行端口掃描，確定系統(tǒng)開(kāi)放的端口，同時(shí)根據(jù)協(xié)議指紋技術(shù)識(shí)別出主機(jī)的操作系統(tǒng)類(lèi)型。 然后跟據(jù)目標(biāo)系統(tǒng)的操作，系統(tǒng)平臺(tái)和提供的網(wǎng)絡(luò)服務(wù)，調(diào)用漏洞資料庫(kù)中已知的各種漏洞進(jìn)行逐一檢測(cè)，通過(guò)對(duì)探測(cè)響應(yīng)數(shù)據(jù)包的分析判斷是否存在漏洞。 2. 當(dāng)前的漏洞掃描技術(shù)主要是基于特征匹配原理，一

7、些漏洞掃描器通過(guò)檢測(cè)目標(biāo)主機(jī)不同的端口開(kāi)放的服務(wù)，記錄其應(yīng)答，然后與漏洞庫(kù)進(jìn)行比較，如果滿(mǎn)足匹配條件，則認(rèn)為存在安全漏洞。 所以在漏洞掃描中，漏洞庫(kù)的定義精確與否直接影響最后的掃描結(jié)果。典型漏洞掃描技術(shù)原理 漏洞掃描的主要策略 1.主機(jī)漏洞掃描： 通常在目標(biāo)系統(tǒng)上安裝了一個(gè)代理（Agent）或者是服務(wù)（Services）以便能夠訪問(wèn)所有的文件與進(jìn)程，以此來(lái)掃描計(jì)算機(jī)中的漏洞 。 2.網(wǎng)絡(luò)漏洞掃描： 通過(guò)網(wǎng)絡(luò)來(lái)掃描遠(yuǎn)程計(jì)算機(jī)中的漏洞 ，基于網(wǎng)絡(luò)的漏洞掃描可以看作為一種漏洞信息收集，他根據(jù)不同漏洞的特性 構(gòu)造網(wǎng)絡(luò)數(shù)據(jù)包，發(fā)給網(wǎng)絡(luò)中的一個(gè)或多個(gè)目標(biāo)服務(wù)器，以判斷某個(gè)特定的漏洞是否存在。典型漏洞掃描技

8、術(shù)原理 漏洞掃描的主要技術(shù) 主機(jī)掃描技術(shù) 端口掃描技術(shù) 服務(wù)及系統(tǒng)識(shí)別技術(shù) 典型漏洞掃描技術(shù)原理 主機(jī)掃描技術(shù) 漏洞掃描可以劃分為ping掃描、端口掃描、OS探測(cè)、脆弱點(diǎn)探測(cè)、防火墻掃描五種主要技術(shù)，每種技術(shù)實(shí)現(xiàn)的目標(biāo)和運(yùn)用的原理各不相同。 按照TCPIP協(xié)議簇的結(jié)構(gòu)，ping掃描工作在互聯(lián)網(wǎng)絡(luò)層： 端口掃描、防火墻探測(cè)工作在傳輸層； OS探測(cè)、脆弱點(diǎn)探測(cè)工作在互聯(lián)網(wǎng)絡(luò)層、傳輸層、應(yīng)用層。 ping掃描確定目標(biāo)主機(jī)的IP地址，端口掃描探測(cè)目標(biāo)主機(jī)所開(kāi)放的端口，然后基于端口掃描的結(jié)果，進(jìn)行OS探測(cè)和脆弱點(diǎn)掃描。典型漏洞掃描技術(shù)原理 主機(jī)掃描技術(shù)ping掃描 ping掃描是指?jìng)蓽y(cè)主機(jī)IP地址的掃描

9、。ping掃描的目的，就是確認(rèn)目標(biāo)主機(jī)的TCPIP網(wǎng)絡(luò)是否聯(lián)通，即掃描的IP地址是否分配了主機(jī)。對(duì)沒(méi)有任何預(yù)知信息的黑客而言，ping掃描是進(jìn)行漏洞掃描及入侵的第一步；對(duì)已經(jīng)了解網(wǎng)絡(luò)整體IP劃分的網(wǎng)絡(luò)安全人員來(lái)講，也可以借助ping掃描，對(duì)主機(jī)的IP分配有一個(gè)精確的定位。大體上，ping掃描是基于ICMP協(xié)議的。其主要思想，就是構(gòu)造一個(gè)ICMP包，發(fā)送給目標(biāo)主機(jī)，從得到的響應(yīng)來(lái)進(jìn)行判斷。根據(jù)構(gòu)造ICMP包的不同，分為ECH0掃描和nonECHO掃描兩種。典型漏洞掃描技術(shù)原理ping掃描1. ECH0掃描 向目標(biāo)IP地址發(fā)送一個(gè)ICMP ECHOREQUEST(ICMP type 8)的包，等待

10、是否收至UICMP ECHO REPLY(ICMP type 0)。如果收到了ICMP ECHO REPLY，就表示目標(biāo)IP上存在主機(jī)，否則就說(shuō)明沒(méi)有主機(jī)。值得注意的是，如果目標(biāo)網(wǎng)絡(luò)上的防火墻配置為阻止ICMP ECH0流量，ECH0掃描不能真實(shí)反映目標(biāo)IP上是否存在主機(jī)。 此外，如果向廣播地址發(fā)送ICMPECHO REQUEST，網(wǎng)絡(luò)中的unix主機(jī)會(huì)響應(yīng)該請(qǐng)求，而windows主機(jī)不會(huì)生成響應(yīng)，這也可以用來(lái)進(jìn)行OS探測(cè)。典型漏洞掃描技術(shù)原理ping掃描2. non-ECH0掃描向目的IP地址發(fā)送一個(gè)ICMP TIMESTAMP REQUEST(ICMP type l3)，或ICMP ADD

11、RESS MASK REQUEST (ICMP type l7)的包，根據(jù)是否收到響應(yīng)，可以確定目的主機(jī)是否存在。當(dāng)目標(biāo)網(wǎng)絡(luò)上的防火墻配置為阻止ICMP ECH0流量時(shí)，則可以用nonECH0掃描來(lái)進(jìn)行主機(jī)探測(cè)典型漏洞掃描技術(shù)原理漏洞掃描端口掃描 端口掃描用來(lái)探測(cè)主機(jī)所開(kāi)放的端口，比如23端口對(duì)應(yīng)telnet，21對(duì)應(yīng)ftp，80對(duì)應(yīng)http。端口掃描通常只做最簡(jiǎn)單的端口聯(lián)通性測(cè)試，不做進(jìn)一步的數(shù)據(jù)分析，因此比較適合進(jìn)行大范圍的掃描：對(duì)指定IP地址進(jìn)行某個(gè)端口值段的掃描，或者指定端口值對(duì)某個(gè)IP地址段進(jìn)行掃描。這種方式判定服務(wù)是較早的一種方式，對(duì)于大范圍評(píng)估是有一定價(jià)值的，但其精度較低。例如使

12、用nc這樣的工具在80端口上監(jiān)聽(tīng)，這樣掃描時(shí)會(huì)以為80在開(kāi)放，但實(shí)際上80并沒(méi)有提供http服務(wù)，由于這種關(guān)系只是簡(jiǎn)單對(duì)應(yīng)，并沒(méi)有去判斷端口運(yùn)行的協(xié)議，這就產(chǎn)生了誤判，認(rèn)為只要開(kāi)放了80端口就是開(kāi)放了http協(xié)議。但實(shí)際并非如此，這就是端口掃描技術(shù)在服務(wù)判定上的根本缺陷。根據(jù)端口掃描使用的協(xié)議，分為T(mén)CP掃描和UDP掃描典型漏洞掃描技術(shù)原理端口掃描 1、 TCP掃描u主機(jī)間建立TCP連接分三步(也稱(chēng)三次握手)：u利用三次握手過(guò)程與目標(biāo)主機(jī)建立完整或不完整的TCP連接。uTCP connect()掃描： tcp的報(bào)頭里，有6個(gè)連接標(biāo)記，分別是urg、ack、psh、rst、syn、fin。通過(guò)這

13、些連接標(biāo)記不同的組合方式，可以獲得不同的返回報(bào)文。例如，發(fā)送一個(gè)syn置位的報(bào)文，如果syn置位瞄準(zhǔn)的端口是開(kāi)放的，syn置位的報(bào)文到達(dá)的端口開(kāi)放的時(shí)候，他就會(huì)返回syn+ack，代表其能夠提供相應(yīng)的服務(wù)。我收到syn+ack后，返回給對(duì)方一個(gè)ack。這個(gè)過(guò)程就是著名的三次握手。這種掃描的速度和精度都是令人滿(mǎn)意的。典型漏洞掃描技術(shù)原理端口掃描 1、 TCP掃描uReverse-ident掃描：這種技術(shù)利用了Ident協(xié)議(RFC1413)，tcp端口113.很多主機(jī)都會(huì)運(yùn)行的協(xié)議，用于鑒別TCP連接的用戶(hù)。uidentd 的操作原理是查找特定 TCP/IP 連接并返回?fù)碛写诉B接的進(jìn)程的用戶(hù)名。

14、它也可以返回主機(jī)的其他信息。但這種掃描方式只能在tcp全連接之后才有效，并且實(shí)際上很多主機(jī)都會(huì)關(guān)閉ident服務(wù)。典型漏洞掃描技術(shù)原理端口掃描TCP掃描u Tcp syn掃描：向目標(biāo)主機(jī)的特定端口發(fā)送一個(gè)SYN包，如果端口沒(méi)開(kāi)放就不會(huì)返回syn+ack，這時(shí)會(huì)給你一個(gè)rst，停止建立連接。由于連接沒(méi)有完全建立，所以稱(chēng)為半開(kāi)放掃描。但由于syn flood作為一種ddos攻擊手段被大量采用，因此很多防火墻都會(huì)對(duì)syn報(bào)文進(jìn)行過(guò)濾，所以這種方法并不能總是有用。u其他還有fin、NULL、Xmas等掃描方式。典型漏洞掃描技術(shù)原理端口掃描TCP掃描根據(jù)TCP連接的建立步驟，TCP掃描主要包含兩種方式：

15、(1)TCP全連接和半連接掃描全連接掃描通過(guò)三次握手，與目的主機(jī)建立TCP連接，目的主機(jī)的log文件中將記錄這次連接。而半連接掃描(也稱(chēng)TCP SYN掃描)并不完成TCP三次握手的全過(guò)程。掃描者發(fā)送SYN包開(kāi)始三次握手，等待目的主機(jī)的響應(yīng)。如果收到SYNACK包，則說(shuō)明目標(biāo)端口處于偵聽(tīng)狀態(tài)，掃描者馬上發(fā)送RST包，中止三次握手。因?yàn)榘脒B接掃描并沒(méi)有建立TCP連接，目的主機(jī)的log文件中可能不會(huì)記錄此掃描。典型漏洞掃描技術(shù)原理端口掃描TCP掃描(2)TCP隱蔽掃描根據(jù)TCP協(xié)議，處于關(guān)閉狀態(tài)的端口，在收到探測(cè)包時(shí)會(huì)響應(yīng)RST包，而處于偵聽(tīng)狀態(tài)的端口則忽略此探測(cè)包。根據(jù)探測(cè)包中各標(biāo)志位設(shè)置的不同，

16、TCP隱蔽掃描又分為SYNACK掃描、FIN掃描、XMAS(圣誕樹(shù))掃描和NULL掃描四種。SYN/ACK掃描和FIN掃描均繞過(guò)TCP三次握手過(guò)程的第一步，直接給目的端口發(fā)送SYNACK包或者FIN包。因?yàn)門(mén)CP是基于連接的協(xié)議，目標(biāo)主機(jī)認(rèn)為發(fā)送方在第一步中應(yīng)該發(fā)送的SYN包沒(méi)有送出，從而定義這次連接過(guò)程錯(cuò)誤，會(huì)發(fā)送一個(gè)RST包以重置連接。而這正是掃描者需要的結(jié)果只要有響應(yīng)，就說(shuō)明目標(biāo)系統(tǒng)存在，且目標(biāo)端口處于關(guān)閉狀態(tài)。典型漏洞掃描技術(shù)原理端口掃描TCP掃描 XMAS掃描和NULL掃描：這兩類(lèi)掃描正好相反，XMAS掃描設(shè)置TCP包中所有標(biāo)志位(URG、ACK、RST、PSH、SYN、FIN)，而

17、NULL掃描則關(guān)閉TCP包中的所有標(biāo)志位。典型漏洞掃描技術(shù)原理端口掃描UDP端口掃描由于現(xiàn)在防火墻設(shè)備的流行，tcp端口的管理狀態(tài)越來(lái)越嚴(yán)格，不會(huì)輕易開(kāi)放，并且通信監(jiān)視嚴(yán)格。為了避免這種監(jiān)視，達(dá)到評(píng)估的目的，就出現(xiàn)了秘密掃描。這種掃描方式的特點(diǎn)是利用UDP端口關(guān)閉時(shí)返回的ICMP信息，不包含標(biāo)準(zhǔn)的TCP三次握手協(xié)議的任何部分，隱蔽性好，但這種掃描使用的數(shù)據(jù)包在通過(guò)網(wǎng)絡(luò)時(shí)容易被丟棄從而產(chǎn)生錯(cuò)誤的探測(cè)信息。 但是，UDP掃描方式的缺陷很明顯，速度慢、精度低。UDP的掃描方法比較單一，基礎(chǔ)原理是：當(dāng)你發(fā)送一個(gè)報(bào)文給udp端口，該端口是關(guān)閉狀態(tài)時(shí)，端口會(huì)返回給一個(gè)icmp信息，所有的判定都是基于這個(gè)原

18、理。如果關(guān)閉的話(huà)，什么信息都不發(fā)。典型漏洞掃描技術(shù)原理端口掃描UDP端口掃描Traceroute掃描：tracert 向30000以上的高端口（一般認(rèn)為，主機(jī)的30000以上高端口利用率非常低，任何主機(jī)都不會(huì)輕易開(kāi)放這種高端口，默認(rèn)都是關(guān)閉的）。如果對(duì)方端口關(guān)閉，會(huì)返回給icmp信息，根據(jù)這個(gè)往返時(shí)間，計(jì)算跳數(shù)、路徑信息，了解延時(shí)情況。這是tracerote原理，也是從這個(gè)原理上演變出來(lái)udp掃描技術(shù)。使用udp掃描要注意的是1、udp狀態(tài)、精度比較差，因?yàn)閡dp是不面向連接的，所以整個(gè)精度會(huì)比較低。2、udp掃描速度比較慢，tcp掃描開(kāi)放1秒的延時(shí)，在udp里可能就需要2秒，這是由于不同操作

19、系統(tǒng)在實(shí)現(xiàn)icmp協(xié)議的時(shí)候?yàn)榱吮苊鈴V播風(fēng)暴都會(huì)有峰值速率的限制（因?yàn)閕cmp信息本身并不是傳輸載荷信息，不會(huì)有人拿他去傳輸一些有價(jià)值信息。典型漏洞掃描技術(shù)原理端口掃描UDP端口掃描操作系統(tǒng)在實(shí)現(xiàn)的時(shí)候是不希望icmp報(bào)文過(guò)多的。為了避免產(chǎn)生廣播風(fēng)暴，操作系統(tǒng)對(duì)icmp報(bào)文規(guī)定了峰值速率，不同操作系統(tǒng)的速率不同） 利用udp作為掃描的基礎(chǔ)協(xié)議，就會(huì)對(duì)精度、延時(shí)產(chǎn)生較大影響。典型漏洞掃描技術(shù)原理漏洞掃描OS掃描OS探測(cè)有雙重目的：一是探測(cè)目標(biāo)主機(jī)的0S信息，二是探測(cè)提供服務(wù)的計(jì)算機(jī)程序的信息。比如OS探測(cè)的結(jié)果是：OS是Windows XP sp3，服務(wù)器平臺(tái)是IIS 4.0。OS探測(cè)有雙重目的

20、：一是探測(cè)目標(biāo)主機(jī)的0S信息，二是探測(cè)提供服務(wù)的計(jì)算機(jī)程序的信息。比如OS探測(cè)的結(jié)果是：OS是Windows XP sp3，服務(wù)器平臺(tái)是IIS 4.0。131二進(jìn)制信息探測(cè)通過(guò)登錄目標(biāo)主機(jī)，從主機(jī)返回的banner中得知OS類(lèi)型、版本等，這是最簡(jiǎn)單的0S探測(cè)技術(shù)典型漏洞掃描技術(shù)原理漏洞掃描OS掃描從圖l可以看出，在telnet連上FTP服務(wù)器后，服務(wù)器返回的banner已經(jīng)提供了server的信息，在執(zhí)行ftp的syst命令后可得到更具體的信息。132 HTTP響應(yīng)分析在和目標(biāo)主機(jī)建立HTTP連接后，可以分析服務(wù)器的響應(yīng)包得出OS類(lèi)型。比如響應(yīng)包中可能包含如下信息：典型漏洞掃描技術(shù)原理漏洞掃描

21、OS掃描133棧指紋分析網(wǎng)絡(luò)上的主機(jī)都會(huì)通過(guò)TCPIP或類(lèi)似的協(xié)議棧來(lái)互通互聯(lián)。由于0S開(kāi)發(fā)商不唯一，系統(tǒng)架構(gòu)多樣，甚至是軟件版本的差異，都導(dǎo)致了協(xié)議棧具體實(shí)現(xiàn)上的不同。對(duì)錯(cuò)誤包的響應(yīng)，默認(rèn)值等都可以作為區(qū)分0S的依據(jù)?？杀孀R(shí)的OS的種類(lèi)，包括哪些操作系統(tǒng)，甚至小版本號(hào)。指紋技術(shù)有主動(dòng)和被動(dòng)兩種。(1)主動(dòng)棧指紋探測(cè)主動(dòng)識(shí)別技術(shù)：采用主動(dòng)發(fā)包，利用多次的試探，去一次一次篩選不同信息，比如根據(jù)ACK值判斷，有些系統(tǒng)會(huì)發(fā)送回所確認(rèn)的TCP分組的序列號(hào)，有些會(huì)發(fā)回序列號(hào)加1。還有一些操作系統(tǒng)會(huì)使用一些固定的tcp窗口。某些操作系統(tǒng)還會(huì)設(shè)置IP頭的DF位來(lái)改善性能。這些都成為判斷的依據(jù)。這種技術(shù)判定w

22、indows的精度比較差，只能夠判定一個(gè)大致區(qū)間，很難判定出其精確版本，但是在unix，網(wǎng)絡(luò)設(shè)備時(shí)甚至可以判定出小版本號(hào)，比較精確。如果目標(biāo)主機(jī)與源主機(jī)跳數(shù)越多，精度越差。因?yàn)閿?shù)據(jù)包里的很多特征值在傳輸過(guò)程中都已經(jīng)被修改或模糊化，會(huì)影響到探測(cè)的精度。nmap O參數(shù)就是其代表。典型漏洞掃描技術(shù)原理漏洞掃描OS掃描1)FIN探測(cè)。跳過(guò)TCP三次握手的順序，給目標(biāo)主機(jī)發(fā)送一個(gè)FIN包。RFC793規(guī)定，正確的處理是沒(méi)有響應(yīng)，但有些OS，如MS Windows，CISC0，HP/UX等會(huì)響應(yīng)一個(gè)RST包。2)Bogus標(biāo)志探測(cè)。某些OS會(huì)設(shè)置SYN包中TCP頭的未定義位(一般為64或128)，而某些

23、0S在收到設(shè)置了這些Bogus位的SYN包后，會(huì)重置連接。 3)統(tǒng)計(jì)ICMP ERROR報(bào)文。RFCl812中規(guī)定了ICMP ERROR消息的發(fā)送速度。Linux設(shè)定了目標(biāo)不可達(dá)消息上限為80個(gè)4秒。0S探測(cè)時(shí)可以向隨機(jī)的高端UDP端口大量發(fā)包，然后統(tǒng)計(jì)收到的目標(biāo)不可達(dá)消息。用此技術(shù)進(jìn)行OS探測(cè)時(shí)時(shí)間會(huì)長(zhǎng)一些，因?yàn)橐罅堪l(fā)包，并且還要等待響應(yīng)，同時(shí)也可能出現(xiàn)網(wǎng)絡(luò)中丟包的情況。4)ICMPERROR報(bào)文引用。RFC文件中規(guī)定，ICMP ERROR消息要引用導(dǎo)致該消息的ICMP消息的部分內(nèi)容。例如對(duì)于端口不可達(dá)消息，某些OS返回收到的IP頭及后續(xù)的8個(gè)字節(jié)，Solaris返回的ERROR消息中則引

24、用內(nèi)容更多一些，而Linux比Solaris還要多。典型漏洞掃描技術(shù)原理漏洞掃描OS掃描(2)被動(dòng)棧指紋探測(cè)被動(dòng)識(shí)別技術(shù)：不是向目標(biāo)系統(tǒng)發(fā)送分組，而是被動(dòng)監(jiān)測(cè)網(wǎng)絡(luò)通信，以確定所用的操作系統(tǒng)。利用對(duì)報(bào)頭內(nèi)DF位，TOS位，窗口大小，TTL的嗅探判斷。因?yàn)椴⒉恍枰l(fā)送數(shù)據(jù)包，只需要抓取其中的報(bào)文，所以叫做被動(dòng)識(shí)別技術(shù)。例如telnet對(duì)方，并用snort監(jiān)聽(tīng)數(shù)據(jù)包1)TCP初始化窗口尺寸。通過(guò)分析響應(yīng)中的初始窗口大小來(lái)猜測(cè)OS的技術(shù)比較可靠，因?yàn)楹芏?S的初始窗口尺寸不同。比如AIX設(shè)置的初始窗口尺寸是0 x3F25，而Windows NT5、OpenBSD、FreeBSD設(shè)置的值是0 x402E

25、。2)Dont Fragment位。為了增進(jìn)性能，某些0S在發(fā)送的包中設(shè)置了DF位，可以從DF位的設(shè)置情況中做大概的判斷。3)TCPISN采樣。建立TCP連接時(shí)，SYNACK中初始序列號(hào)ISN的生成存在規(guī)律，比如固定不變、隨機(jī)增加(Solaris，F(xiàn)reeBSD等)，真正的隨機(jī)(Linux 2.0.*)，而Windows使用的是時(shí)間相關(guān)模型，ISN在每個(gè)不同時(shí)間段都有固定的增量。典型漏洞掃描技術(shù)原理漏洞掃描脆弱點(diǎn)掃描從對(duì)黑客攻擊行為的分析和脆弱點(diǎn)的分類(lèi)，絕大多數(shù)掃描都是針對(duì)特定操作系統(tǒng)中特定的網(wǎng)絡(luò)服務(wù)來(lái)進(jìn)行，即針對(duì)主機(jī)上的特定端口。脆弱點(diǎn)掃描使用的技術(shù)主要有基于脆弱點(diǎn)數(shù)據(jù)庫(kù)和基于插件兩種。14

26、1基于脆弱點(diǎn)數(shù)據(jù)庫(kù)的掃描首先構(gòu)造掃描的環(huán)境模型，對(duì)系統(tǒng)中可能存在的脆弱點(diǎn)、過(guò)往黑客攻擊案例和系統(tǒng)管理員的安全配置進(jìn)行建模與分析。其次基于分析的結(jié)果，生成一套標(biāo)準(zhǔn)的脆弱點(diǎn)數(shù)據(jù)庫(kù)及匹配模式。最后由程序基于脆弱點(diǎn)數(shù)據(jù)庫(kù)及匹配模式自動(dòng)進(jìn)行掃描工作。脆弱點(diǎn)掃描的準(zhǔn)確性取決于脆弱點(diǎn)數(shù)據(jù)庫(kù)的完整性及有效性。典型漏洞掃描技術(shù)原理漏洞掃描脆弱點(diǎn)掃描142基于插件的掃描插件是由腳本語(yǔ)言編寫(xiě)的子程序模塊，掃描程序可以通過(guò)調(diào)用插件來(lái)執(zhí)行掃描。添加新的功能插件可以使掃描程序增加新的功能，或者增加可掃描脆弱點(diǎn)的類(lèi)型與數(shù)量。也可以升級(jí)插件來(lái)更新脆弱點(diǎn)的特征信息，從而得到更為準(zhǔn)確的結(jié)果。還可以針對(duì)某一具體漏洞，編寫(xiě)對(duì)應(yīng)的外部

27、測(cè)試腳本。通過(guò)調(diào)用服務(wù)檢測(cè)插件，檢測(cè)目標(biāo)主機(jī)TCP/IP不同端口 的服務(wù)，并將結(jié)果保存在信息庫(kù)中，然后調(diào)用相應(yīng)的插件程序，向遠(yuǎn)程主機(jī)發(fā)送構(gòu)造好的數(shù)據(jù)，檢測(cè)結(jié)果同樣保存于信息庫(kù)，以給其他的腳本運(yùn)行提供所需的信息， 這樣可提高檢測(cè)效率。插件技術(shù)使脆弱點(diǎn)掃描軟件的升級(jí)維護(hù)變得相對(duì)簡(jiǎn)單，而專(zhuān)用腳本語(yǔ)言的使用也簡(jiǎn)化了編寫(xiě)新插件的編程工作，使弱點(diǎn)掃描軟件具有很強(qiáng)的擴(kuò)展性。典型漏洞掃描技術(shù)原理漏洞掃描防火墻規(guī)則掃描和BANNER15防火墻規(guī)則探測(cè)采用類(lèi)似于traceroute的IP數(shù)據(jù)包分析法，檢測(cè)能否給位于過(guò)濾設(shè)備后的主機(jī)發(fā)送一個(gè)特定的包，目的是便于漏洞掃描后的入侵或下次掃描的順利進(jìn)行。通過(guò)這種掃描，可以探測(cè)防火墻上打開(kāi)或允許通過(guò)的端口，并且探測(cè)防火墻規(guī)則中是否允許帶控制信息的包通過(guò)，更進(jìn)一步，可以探測(cè)到位于數(shù)據(jù)包過(guò)濾設(shè)備后的路由器。1.6 BANNERBanner的方式相對(duì)精確，獲取服務(wù)的banner，是一種比較成熟的技術(shù)，可以用來(lái)判定當(dāng)前運(yùn)行的服務(wù)，對(duì)服務(wù)的判定較為準(zhǔn)確。而且不僅能判定服務(wù)，還能夠判定具體的服務(wù)版本信息。目錄典型掃描工具介紹及使用實(shí)驗(yàn)與練習(xí)小結(jié)小結(jié)漏洞掃描概述典型漏洞掃描技術(shù)原理漏洞掃描報(bào)告包括哪