計(jì)算機(jī)系統(tǒng)安全及應(yīng)用安全

1、計(jì)算機(jī)系統(tǒng)安全及應(yīng)用安全1一、操作系統(tǒng)安全的概念我們的學(xué)術(shù)觀點(diǎn)： 硬件結(jié)構(gòu)的安全和操作系統(tǒng)的安全是信息系統(tǒng)安全的基礎(chǔ)，密碼、網(wǎng)絡(luò)安全等是關(guān)鍵技術(shù)。 2一、操作系統(tǒng)安全的概念1、操作系統(tǒng)是信息系統(tǒng)安全的基礎(chǔ)之一： 操作系統(tǒng)是軟件系統(tǒng)的底層； 操作系統(tǒng)是系統(tǒng)資源的管理者； 操作系統(tǒng)是軟硬件的接口。 2、操作系統(tǒng)安全的困難性 操作系統(tǒng)的規(guī)模龐大，以至于不能保證完全正確。 理論上一般操作系統(tǒng)的安全是不可判定問題。 3、我國(guó)必須擁有自己的操作系統(tǒng) 操作系統(tǒng)受治于人，不能從根本上確保信息安全； 立足國(guó)內(nèi)，發(fā)展自己的操作系統(tǒng)。3二、操作系統(tǒng)的安全評(píng)價(jià)1、操作系統(tǒng)安全要求一般對(duì)安全操作系統(tǒng)有以下要求： 安全策

2、略：要有明確、嚴(yán)謹(jǐn)、文檔齊全的安全策略 標(biāo)識(shí)：每個(gè)實(shí)體必須標(biāo)識(shí)其安全級(jí)別 認(rèn)證： 每個(gè)主體必須被認(rèn)證 審計(jì)：對(duì)影響安全的事件，必須記錄日志，并進(jìn)行 審計(jì)。 保證：系統(tǒng)必須確保上述4項(xiàng)要求被實(shí)施 連續(xù)性保護(hù)：實(shí)現(xiàn)安全的機(jī)制必須是不間斷地發(fā)揮作 用，并且未經(jīng)許可不可改動(dòng)。 4網(wǎng)絡(luò)存在的安全威脅網(wǎng)絡(luò)內(nèi)部、外部泄密拒絕服務(wù)攻擊邏輯炸彈特洛伊木馬黑客攻擊計(jì)算機(jī)病毒信息丟失、篡改、銷毀后門、隱蔽通道蠕蟲5 防火墻、VPNDDoS防御NISGWeb過濾QoS防病毒、反垃圾郵件“六脈神劍” 、構(gòu)筑安全基本安全防護(hù)：安全、可靠的防火墻及VPN深度應(yīng)用層安全防護(hù)入侵防御防病毒反垃圾郵件Web 過濾功能可用性保證D

3、DoS防御及QoS入侵防御Web過濾61、攻擊的位置一、攻擊的一些基本概念（1）遠(yuǎn)程攻擊：從該子網(wǎng)以外的地方向該子網(wǎng)或者該子網(wǎng)內(nèi)的系統(tǒng)發(fā)動(dòng)攻擊。（2）本地攻擊：通過所在的局域網(wǎng)，向本單位的其他系統(tǒng)發(fā)動(dòng)攻擊，在本機(jī)上進(jìn)行非法越權(quán)訪問也是本地攻擊。 （3）偽遠(yuǎn)程攻擊：指內(nèi)部人員為了掩蓋攻擊者的身份，從本地獲取目標(biāo)的一些必要信息后，攻擊過程從外部遠(yuǎn)程發(fā)起，造成外部入侵的現(xiàn)象。72、攻擊的層次一、攻擊的一些基本概念1）簡(jiǎn)單拒絕服務(wù)（如郵件炸彈攻擊）.2）本地用戶獲得非授權(quán)讀或者寫權(quán)限3）遠(yuǎn)程用戶獲得了非授權(quán)的帳號(hào)4）遠(yuǎn)程用戶獲得了特權(quán)文件的讀寫權(quán)限5）遠(yuǎn)程用戶擁有了根（root）權(quán)限）83、攻擊的目的

4、一、攻擊的一些基本概念1）進(jìn)程的執(zhí)行2）獲取文件和傳輸中的數(shù)據(jù)3）獲得超級(jí)用戶權(quán)限4）對(duì)系統(tǒng)的非法訪問5）進(jìn)行不許可的操作6）拒絕服務(wù)7）涂改信息8）暴露信息9）挑戰(zhàn)10）政治意圖11）經(jīng)濟(jì)利益12）破壞94、攻擊的人員一、攻擊的一些基本概念1）黑客：為了挑戰(zhàn)和獲取訪問權(quán)限2）間諜：為了政治情報(bào)信息3）恐怖主義者：為了政治目的而制造恐怖4）公司雇傭者：為了競(jìng)爭(zhēng)經(jīng)濟(jì)利益5）職業(yè)犯罪：為了個(gè)人的經(jīng)濟(jì)利益6）破壞者：為了實(shí)現(xiàn)破壞105、攻擊的工具一、攻擊的一些基本概念1）用戶命令：攻擊者在命令行狀態(tài)下或者圖形用戶接口方式輸入命令。2）腳本或程序：在用戶接口處初始化腳本和程序。3）自治主體：攻擊者初始

5、化一個(gè)程序或者程序片斷，獨(dú)立地執(zhí)行操作，挖掘弱點(diǎn)。 4）工具箱：攻擊者使用軟件包（包含開發(fā)弱點(diǎn)的腳本、程序、自治主體）。5）分布式工具：攻擊者分發(fā)攻擊工具到多臺(tái)主機(jī)，通過協(xié)作方式執(zhí)行攻擊特定的目標(biāo)。6）電磁泄漏116、攻擊的時(shí)間一、攻擊的一些基本概念大部分的攻擊（或至少是商業(yè)攻擊時(shí)間）一般是服務(wù)器所在地的深夜?？陀^原因。在白天，大多數(shù)入侵者要工作或?qū)W習(xí)，以至沒空進(jìn)行攻擊。速度原因。網(wǎng)絡(luò)正變得越來(lái)越擁擠，因此最佳的工作時(shí)間是在網(wǎng)絡(luò)能提供高傳輸速度的時(shí)間速率的時(shí)間。保密原因。白天系統(tǒng)管理員一旦發(fā)現(xiàn)有異常行為。他們便會(huì)跟蹤而來(lái)。121、尋找目標(biāo)主機(jī)并收集目標(biāo)信息二、遠(yuǎn)程攻擊的步驟1）鎖定目標(biāo)因特網(wǎng)上

6、每一臺(tái)網(wǎng)絡(luò)主機(jī)都有一個(gè)名字，術(shù)語(yǔ)稱做域名；然而在網(wǎng)上能真正標(biāo)識(shí)主機(jī)的是IP地址，域名只是用IP地址指定的主機(jī)便于好記而起的名字。利用域名和IP地址都可以順利找到主機(jī)。DNS協(xié)議不對(duì)轉(zhuǎn)換或信息性的更新進(jìn)行身份認(rèn)證，這使得該協(xié)議被人以一些不同的方式加以利用。黑客只需實(shí)施一次域轉(zhuǎn)換操作就能得到所有主機(jī)的名稱以及內(nèi)部IP地址。131、尋找目標(biāo)主機(jī)并收集目標(biāo)信息二、遠(yuǎn)程攻擊的步驟2）服務(wù)分析用提供不同服務(wù)的應(yīng)用程序試一試就知道了，例如：使用Telnet、FTP等用戶軟件向目標(biāo)主機(jī)申請(qǐng)服務(wù)，如果主機(jī)有應(yīng)答就說明主機(jī)提供了這個(gè)服務(wù)，開放了這個(gè)端口的服務(wù)。黑客常用一些象PORTSCAN這樣的工具軟件，對(duì)目標(biāo)主

7、機(jī)一定范圍的端口進(jìn)行掃描。這樣可全部掌握目標(biāo)主機(jī)的端口情況。HAKTEK是一個(gè)非常實(shí)用的一個(gè)工具軟件，它將許多應(yīng)用集成在一起的工具，其中包括: Ping、IP地址范圍掃描、目標(biāo)主機(jī)端口掃描、郵件炸彈、過濾郵件、Finger主機(jī)等都是非常實(shí)用的工具。141、尋找目標(biāo)主機(jī)并收集目標(biāo)信息二、遠(yuǎn)程攻擊的步驟3）系統(tǒng)分析目標(biāo)主機(jī)采用的是什么操作系統(tǒng)。黑客使用具有已知響應(yīng)類型的數(shù)據(jù)庫(kù)的自動(dòng)工具，對(duì)來(lái)自目標(biāo)主機(jī)的、對(duì)壞數(shù)據(jù)包傳送所作出的響應(yīng)進(jìn)行檢查。由于每種操作系統(tǒng)都有其獨(dú)特的響應(yīng)方法。通過將此獨(dú)特的響應(yīng)與數(shù)據(jù)庫(kù)中的已知響應(yīng)進(jìn)行對(duì)比，黑客經(jīng)常能夠確定出目標(biāo)主機(jī)所運(yùn)行的操作系統(tǒng)。打開WIN95的RUN窗口，然

8、后輸入命令：Telnet xx.xx.xx.xx(目標(biāo)主機(jī))然后按確定，會(huì)出現(xiàn)什么？Digital UNIX (xx.xx.xx) (ttyp1)login:151、尋找目標(biāo)主機(jī)并收集目標(biāo)信息二、遠(yuǎn)程攻擊的步驟4）獲取帳號(hào)信息對(duì)于陌生的目標(biāo)主機(jī)可能只知道它有一個(gè)ROOT用戶，至于其他帳戶一無(wú)所知，要想登錄目標(biāo)主機(jī)我們至少要知道一個(gè)普通用戶a.利用目標(biāo)主機(jī)的Finger功能對(duì)黑客軟件HAKTEK，它的Finger功能可以完全勝任，記錄帳號(hào)信息，經(jīng)過一段時(shí)間的監(jiān)測(cè)，就會(huì)積累一定的帳號(hào)信息。finger很可能暴露入侵者的行為，為了避免finger查詢產(chǎn)生標(biāo)記，絕大多數(shù)入侵者使用finger gate

9、ways（finger網(wǎng)關(guān)）。161、尋找目標(biāo)主機(jī)并收集目標(biāo)信息二、遠(yuǎn)程攻擊的步驟b.來(lái)源于電子郵件地址有些用戶電子郵件地址（指符號(hào)前面的部分）與其取郵件的帳號(hào)是一致的c.非常全面的X.500功能有些主機(jī)提供了X.500的目錄查詢服務(wù)。如何知道是否提供X.500的功能，掃描目標(biāo)主機(jī)的端口，如果端口105的狀態(tài)已經(jīng)被激活，在自己的機(jī)器上安裝一個(gè)X.500的客戶查詢的工具，選擇目標(biāo)主機(jī)，可以獲得意想不到的信息。171、尋找目標(biāo)主機(jī)并收集目標(biāo)信息二、遠(yuǎn)程攻擊的步驟d.習(xí)慣性常用帳號(hào)根據(jù)平時(shí)的經(jīng)驗(yàn)，一些系統(tǒng)總有一些習(xí)慣性的常用帳號(hào)，這些帳號(hào)都是系統(tǒng)中因?yàn)槟撤N應(yīng)用而設(shè)置的。例如：制作WWW網(wǎng)站的帳號(hào)可能

10、是html、等，安裝ORACLE數(shù)據(jù)庫(kù)的可能有oracle的帳號(hào)，用戶培訓(xùn)或教學(xué)而設(shè)置的user1、user2、student1、student2、client1、client2等帳戶，一些常用的英文名字也經(jīng)常會(huì)使用，例如：tom、john等，因此可以根據(jù)系統(tǒng)所提供的服務(wù)和在其主頁(yè)得到的工作人員的名字信息進(jìn)行猜測(cè)。181、尋找目標(biāo)主機(jī)并收集目標(biāo)信息二、遠(yuǎn)程攻擊的步驟5）獲得管理員信息運(yùn)行一個(gè)查詢命令host，可獲得保存在目標(biāo)域服務(wù)器中的所有信息。WHOIS查詢，可識(shí)別出技術(shù)管理人員。運(yùn)行一些Usenet和WEB查詢。系統(tǒng)管理員的職責(zé)是維護(hù)站點(diǎn)的安全，當(dāng)他們遇到各種問題時(shí)，許多管理員會(huì)迫不及待地

11、將這些問題發(fā)到Usenet或郵件列表上以尋求答案。只要肯花一些時(shí)間來(lái)尋找此系統(tǒng)管理員的地址（和其他的一些信息）便能徹底地了解他的網(wǎng)絡(luò)、他的安全概念以及他的個(gè)性。因?yàn)榘l(fā)出這種郵件的系統(tǒng)管理員總會(huì)指明他們的組織結(jié)構(gòu)、網(wǎng)絡(luò)的拓補(bǔ)結(jié)構(gòu)和他們面臨的問題。192、攻擊測(cè)試二、遠(yuǎn)程攻擊的步驟大部分的入侵者并不想嘗試這種行為，因?yàn)檫@需要一定的費(fèi)用。在此步驟中，首先要建立一個(gè)和目標(biāo)一樣的環(huán)境。一旦將此環(huán)境建立起來(lái)后，就可對(duì)它進(jìn)行一系列的攻擊。在此過程中，有兩件事需要注意：（l）從攻擊方來(lái)看這些攻擊行為著上去像什么，（2）從被攻擊方來(lái)看這些攻擊行為看上去像什么。通過檢查攻擊方的日志文件入侵者能大致了解對(duì)一個(gè)幾乎沒

12、有保護(hù)措施的目標(biāo)進(jìn)行攻擊時(shí)攻擊行為著上去像什么203、各種相關(guān)工具的準(zhǔn)備二、遠(yuǎn)程攻擊的步驟緊接著應(yīng)該收集各種實(shí)際使用的工具，最有可能是一些掃描工具，判斷出目標(biāo)網(wǎng)上的所有設(shè)備?；趯?duì)操作系統(tǒng)的分析需要對(duì)工具進(jìn)行評(píng)估以判斷有哪些漏洞和區(qū)域它們沒有覆蓋到。在只用一個(gè)工具而不用另一個(gè)工具就可覆蓋某特定設(shè)備的情況下，最好還是同時(shí)使用這兩個(gè)工具。這些工具的聯(lián)合使用是否方便主要依賴于這些工具是否能簡(jiǎn)易地作為外部模塊附加到一個(gè)掃描工具上如 SATAN或 SAFESuite。在此進(jìn)行測(cè)試變得極為有價(jià)值，因?yàn)樵诙鄶?shù)情況下附加一個(gè)外部模塊非讓它正常地工作并不那么簡(jiǎn)單。為了得到這些工具工作的確切結(jié)果，最好先在某臺(tái)機(jī)器

13、上進(jìn)行實(shí)驗(yàn)。214、攻擊策略的制定二、遠(yuǎn)程攻擊的步驟沒有任何理由就實(shí)施入侵是很不明智的。攻擊策略主要依賴于入侵者所想要達(dá)到的目的。需要說明的是掃描時(shí)間花得越長(zhǎng)，也就是說越多的機(jī)器被涉及在內(nèi)，那么掃描的動(dòng)作就越有可能被發(fā)現(xiàn)；同時(shí)有越多的掃描數(shù)據(jù)需要篩選，因此，掃描的攻擊的時(shí)間越短越好。因?yàn)槟闼胍氖且粋€(gè)主系統(tǒng)上或者是一個(gè)可用的最大網(wǎng)段的根權(quán)限，所以對(duì)一個(gè)更小、更安全的網(wǎng)絡(luò)進(jìn)行掃描不可能獲得很大的好處。無(wú)論如何，一旦你確定了掃描的參數(shù)，就可以開始行動(dòng)了。225、數(shù)據(jù)分析二、遠(yuǎn)程攻擊的步驟完成掃描后，開始分析數(shù)據(jù)。首先應(yīng)考慮通過此方法得到的信息是否可靠（可靠度在某種程度上可通過在類似的環(huán)境中進(jìn)行的

14、掃描實(shí)驗(yàn)得到。）然后再進(jìn)行分析，掃描獲得的數(shù)據(jù)不同則分析過程也不同。在SATAN中的文檔中有一些關(guān)于漏洞的簡(jiǎn)短說明，并且真接而富有指導(dǎo)性。如果找到了某個(gè)漏洞，就應(yīng)該重新參考那些通過搜索漏洞和其他可用資源而建立起來(lái)的數(shù)據(jù)庫(kù)信息。在真正理解了攻擊的本質(zhì)和什么應(yīng)從攻擊中剔除之前，可能要花上數(shù)個(gè)星期來(lái)研究源碼、漏洞、某特定操作系統(tǒng)和其他信息，這些是不可逾越的。在攻擊中經(jīng)驗(yàn)和耐心是無(wú)法替代的。一個(gè)經(jīng)過很好計(jì)劃和可怕的遠(yuǎn)程攻擊，需要實(shí)施者對(duì)TCPIP以及系統(tǒng)等方面的知識(shí)有著極深刻的了解。236、實(shí)施攻擊二、遠(yuǎn)程攻擊的步驟獲得了對(duì)攻擊的目標(biāo)系統(tǒng)的訪問權(quán)后，可能有下述多種選擇： 毀掉攻擊入侵的痕跡，并在受到損

15、害的系統(tǒng)上建立另外的新的安全漏洞或后門，以便今后繼續(xù)訪問這個(gè)系統(tǒng)。 在目標(biāo)系統(tǒng)中安裝探測(cè)器軟件，包括特洛伊木馬程序，用來(lái)窺探所在系統(tǒng)的活動(dòng)，收集黑客感興趣的一切信息，如Telnet和FTP的帳號(hào)名和口令等等。 發(fā)現(xiàn)受損系統(tǒng)在網(wǎng)絡(luò)中的信任等級(jí)，這樣黑客就可以通過該系統(tǒng)信任級(jí)展開對(duì)整個(gè)系統(tǒng)的攻擊。 如果獲得了特許訪問權(quán)，那么它就可以讀取郵件，搜索和盜竊私人文件，毀壞重要數(shù)據(jù)，破壞整個(gè)系統(tǒng)的信息。241、漏洞的概念三、系統(tǒng)漏洞漏洞的概念漏洞是指硬件、軟件或策略上的缺陷，從而可使攻擊者能夠在未經(jīng)授權(quán)的情況下訪問系統(tǒng)。 所有軟件都是有錯(cuò)的通常情況下99.99% 無(wú)錯(cuò)的程序很少會(huì)出問題，利用那0.01%

16、的錯(cuò)誤導(dǎo)致100% 的失敗251、漏洞的概念三、系統(tǒng)漏洞出現(xiàn)漏洞的原因當(dāng)今的系統(tǒng)功能越來(lái)越強(qiáng)，體積也越做越大。龐大的系統(tǒng)是由小組完成的，不能指望每個(gè)人都不犯錯(cuò)，也不能指望無(wú)紕漏的合作。加上人的惰性，不愿意仔細(xì)地進(jìn)行系統(tǒng)的安全配置。這樣一來(lái)，本來(lái)比較安全的系統(tǒng)也變的不安全了。一個(gè)簡(jiǎn)單的例子就是缺省口令。261、漏洞的概念三、系統(tǒng)漏洞漏洞的范圍漏洞涉及的范圍很廣，涉及到網(wǎng)絡(luò)的各個(gè)環(huán)節(jié)、各個(gè)方面，包括：路由器、防火墻、操作系統(tǒng)、客戶和服務(wù)器軟件。比如一臺(tái)提供網(wǎng)上產(chǎn)品搜索的Web服務(wù)器，就需要注意操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、Web服務(wù)軟件及防火墻。 271、漏洞的概念三、系統(tǒng)漏洞漏洞的時(shí)間性系統(tǒng)發(fā)布漏洞暴露

17、發(fā)布補(bǔ)丁新漏洞出現(xiàn)一個(gè)系統(tǒng)從發(fā)布的那一天起，隨著用戶的深入使用，系統(tǒng)中存在的漏洞會(huì)被不斷暴露出來(lái)，這些早先被發(fā)現(xiàn)的漏洞也會(huì)不斷被系統(tǒng)供應(yīng)商發(fā)布的補(bǔ)丁軟件修補(bǔ)，或在以后發(fā)布的新版系統(tǒng)中得以糾正。而在新版系統(tǒng)糾正了舊版本中具有漏洞的同時(shí)，也會(huì)引入一些新的漏洞和錯(cuò)誤。因而隨著時(shí)間的推移，舊的漏洞會(huì)不斷消失，新的漏洞會(huì)不斷出現(xiàn)。漏洞問題也會(huì)長(zhǎng)期存在。 281、漏洞的概念三、系統(tǒng)漏洞安全漏洞與系統(tǒng)攻擊之間的關(guān)系 漏洞暴露（可能的攻擊）發(fā)布補(bǔ)丁系統(tǒng)攻擊者往往是安全漏洞的發(fā)現(xiàn)者和使用者，要對(duì)于一個(gè)系統(tǒng)進(jìn)行攻擊，如果不能發(fā)現(xiàn)和使用系統(tǒng)中存在的安全漏洞是不可能成功的。 291、漏洞的概念三、系統(tǒng)漏洞漏洞的類型（

18、1）管理漏洞-如兩臺(tái)服務(wù)器用同一個(gè)用戶/密碼，則入侵了A服務(wù)器后，B服務(wù)器也不能幸免。 （2）軟件漏洞-很多程序只要接收到一些異?；蛘叱L(zhǎng)的數(shù)據(jù)和參數(shù)，就會(huì)導(dǎo)致緩沖區(qū)溢出。 （3）結(jié)構(gòu)漏洞-比如在某個(gè)重要網(wǎng)段由于交換機(jī)、集線器設(shè)置不合理，造成黑客可以監(jiān)聽網(wǎng)絡(luò)通信流的數(shù)據(jù)；又如防火墻等安全產(chǎn)品部署不合理，有關(guān)安全機(jī)制不能發(fā)揮作用，麻痹技術(shù)管理人員而釀成黑客入侵事故。 （4）信任漏洞-比如本系統(tǒng)過分信任某個(gè)外來(lái)合作伙伴的機(jī)器，一旦這臺(tái)合作伙伴的機(jī)器被黑客入侵，則本系統(tǒng)的安全受嚴(yán)重威脅。 3020個(gè)最危險(xiǎn)的安全漏洞2002年5月發(fā)布（）三類安全漏洞：1）影響所有系統(tǒng)的七個(gè)漏洞（G1G7）2）影響Wi

19、ndows系統(tǒng)的六個(gè)漏洞（W1W6)3）影響Unix系統(tǒng)的七個(gè)漏洞（U1U7）31G1-操作系統(tǒng)和應(yīng)用軟件的缺省安裝三、系統(tǒng)漏洞軟件開發(fā)商的邏輯是最好先激活還不需要的功能，而不是讓用戶在需要時(shí)再去安裝額外的組件。這種方法盡管對(duì)用戶很方便，但卻產(chǎn)生了很多危險(xiǎn)的安全漏洞，因?yàn)橛脩舨粫?huì)主動(dòng)的給他們不使用的軟件組件打補(bǔ)丁。而且很多用戶根本不知道實(shí)際安裝了什么，很多系統(tǒng)中留有安全漏洞就是因?yàn)橛脩舾静恢腊惭b了這些程序。大多數(shù)操作系統(tǒng)和應(yīng)用程序。應(yīng)該對(duì)任何連到Internet上的系統(tǒng)進(jìn)行端口掃描和漏洞掃描。卸載不必要的軟件，關(guān)掉不需要的服務(wù)和額外的端口。這會(huì)是一個(gè)枯燥而且耗費(fèi)時(shí)間的工作。32G2 - 沒

20、有口令或使用弱口令的帳號(hào)三、系統(tǒng)漏洞易猜的口令或缺省口令是個(gè)嚴(yán)重的問題，更嚴(yán)重的是有的帳號(hào)根本沒有口令。應(yīng)進(jìn)行以下操作：1審計(jì)你系統(tǒng)上的帳號(hào)，建立一個(gè)使用者列表。2制定管理制度，規(guī)范增加帳號(hào)的操作，及時(shí)移走不再使用的帳號(hào)。3經(jīng)常檢查確認(rèn)有沒有增加新的帳號(hào)，不使用的帳號(hào)是否已被刪除。當(dāng)雇員或承包人離開公司時(shí)，或當(dāng)帳號(hào)不再需要時(shí)，應(yīng)有嚴(yán)格的制度保證刪除這些帳號(hào)。4對(duì)所有的帳號(hào)運(yùn)行口令破解工具，以尋找弱口令或沒有口令的帳號(hào)。33G3 - 沒有備份或者備份不完整三、系統(tǒng)漏洞從事故中恢復(fù)要求及時(shí)的備份和可靠的數(shù)據(jù)存儲(chǔ)方式。應(yīng)列出一份緊要系統(tǒng)的列表。制定備份方式和策略。重要問題：1系統(tǒng)是否有備份？2備份間

21、隔是可接受的嗎？3系統(tǒng)是按規(guī)定進(jìn)行備份的嗎？4是否確認(rèn)備份介質(zhì)正確的保存了數(shù)據(jù)？5備份介質(zhì)是否在室內(nèi)得到了正確的保護(hù)？6是否在另一處還有操作系統(tǒng)和存儲(chǔ)設(shè)施的備份？（包括必要的license key）7存儲(chǔ)過程是否被測(cè)試及確認(rèn)？34G4 - 大量打開的端口三、系統(tǒng)漏洞合法的用戶和攻擊者都通過開放端口連接系統(tǒng)。端口開得越多，進(jìn)入系統(tǒng)的途徑就越多。netstat 命令可以在本地運(yùn)行以判斷哪些端口是打開的,但更保險(xiǎn)的方法是對(duì)你的系統(tǒng)進(jìn)行外部的端口掃描.在眾多的端口掃描器中，最流行的是nmap。一旦你確定了哪些端口是打開的，接下來(lái)的任務(wù)是確定所必須打開的端口的最小集合-關(guān)閉其他端口，找到這些端口對(duì)應(yīng)的服

22、務(wù)，并關(guān)閉/移走它們。35G5 - 沒有過濾地址不正確的包三、系統(tǒng)漏洞IP地址欺詐。例如smurf攻擊。對(duì)流進(jìn)和流出你網(wǎng)絡(luò)的數(shù)據(jù)進(jìn)行過濾。1任何進(jìn)入你網(wǎng)絡(luò)的數(shù)據(jù)包不能把你網(wǎng)絡(luò)內(nèi)部的地址作為源地址；必須把你網(wǎng)絡(luò)內(nèi)部的地址作為目的地址。 任何離開你網(wǎng)絡(luò)的數(shù)據(jù)包必須把你網(wǎng)絡(luò)內(nèi)部的地址作為源地址；不能把你網(wǎng)絡(luò)內(nèi)部的地址作為目的地址。3任何進(jìn)入或離開你網(wǎng)絡(luò)的數(shù)據(jù)包不能把一個(gè)私有地址（private address）或在RFC1918中列出的屬于保留空間（包括10.x.x.x/8, 172.16.x.x/12 或192.168.x.x/16 和網(wǎng)絡(luò)回送地址/8.）的地址作為源或目的地址。36G6 - 不存

23、在或不完整的日志三、系統(tǒng)漏洞安全領(lǐng)域的一句名言是：預(yù)防是理想的，但檢測(cè)是必須的。一旦被攻擊，沒有日志，你會(huì)很難發(fā)現(xiàn)攻擊者都作了什么。在所有重要的系統(tǒng)上應(yīng)定期做日志，而且日志應(yīng)被定期保存和備份，因?yàn)槟悴恢螘r(shí)會(huì)需要它。查看每一個(gè)主要系統(tǒng)的日志，如果你沒有日志或它們不能確定被保存了下來(lái)，你是易被攻擊的。所有系統(tǒng)都應(yīng)在本地記錄日志，并把日志發(fā)到一個(gè)遠(yuǎn)端系統(tǒng)保存。這提供了冗余和一個(gè)額外的安全保護(hù)層。不論何時(shí)，用一次性寫入的媒質(zhì)記錄日志。37G7 - 易被攻擊的CGI程序三、系統(tǒng)漏洞大多數(shù)的web服務(wù)器，都支持CGI程序。1從你的web服務(wù)器上移走所有CGI示范程序。2審核剩余的CGI腳本，移走不安全的

24、部分。3保證所有的CGI程序員在編寫程序時(shí)，都進(jìn)行輸入緩沖區(qū)長(zhǎng)度檢查。4為所有不能除去的漏洞打上補(bǔ)丁。5保證你的CGI bin目錄下不包括任何的編譯器或解釋器。6從CGI bin目錄下刪除view-source腳本。7不要以administrator或root權(quán)限運(yùn)行你的web服務(wù)器。大多數(shù)的web服務(wù)器可以配置成較低的權(quán)限，例如nobody.8不要在不需要CGI的web服務(wù)器上配置CGI支持。38W1 - Unicode漏洞三、系統(tǒng)漏洞不論何種平臺(tái)，何種程序，何種語(yǔ)言，Unicode為每一個(gè)字符提供了一個(gè)獨(dú)一無(wú)二的序號(hào)。通過向IIS服務(wù)器發(fā)出一個(gè)包括非法Unicode UTF-8序列的URL

25、,攻擊者可以迫使服務(wù)器逐字進(jìn)入或退出目錄并執(zhí)行任意(程序)(script-腳本)，這種攻擊被稱為目錄轉(zhuǎn)換攻擊。Unicode用%2f和%5c分別代表/和。但你也可以用所謂的超長(zhǎng)序列來(lái)代表這些字符。超長(zhǎng)序列是非法的Unicode表示符，它們比實(shí)際代表這些字符的序列要長(zhǎng)。/和均可以用一個(gè)字節(jié)來(lái)表示。超長(zhǎng)的表示法，例如用%c0%af代表/用了兩個(gè)字節(jié)。IIS不對(duì)超長(zhǎng)序列進(jìn)行檢查。這樣在URL中加入一個(gè)超長(zhǎng)的Unicode序列，就可以繞過Microsoft的安全檢查。如果你在運(yùn)行一個(gè)未打補(bǔ)丁的IIS，那么你是易受到攻擊的。最好的判斷方法是運(yùn)行hfnetchk。39W2 - ISAPI 緩沖區(qū)擴(kuò)展溢出三

26、、系統(tǒng)漏洞安裝IIS后，就自動(dòng)安裝了多個(gè)ISAPI extensions。ISAPI，代表Internet Services Application Programming Interface，允許開發(fā)人員使用DLL擴(kuò)展IIS服務(wù)器的性能。一些動(dòng)態(tài)連接庫(kù)，例如idq.dll，有編程錯(cuò)誤，使得他們做不正確的邊界檢查。特別是，它們不阻塞超長(zhǎng)字符串。攻擊者可以利用這一點(diǎn)向DLL發(fā)送數(shù)據(jù)，造成緩沖區(qū)溢出，進(jìn)而控制IIS服務(wù)器。安裝最新的Microsoft的補(bǔ)丁。該漏洞不影響Windows XP.同時(shí)，管理員應(yīng)檢查并取消所有不需要的ISAPI擴(kuò)展。經(jīng)常檢查這些擴(kuò)展沒有被恢復(fù)。請(qǐng)記住最小權(quán)限規(guī)則，你的系統(tǒng)

27、應(yīng)運(yùn)行系統(tǒng)正常工作所需的最少服務(wù)。40W3 - IIS RDS的使用(Microsoft Remote Data Services)三、系統(tǒng)漏洞黑客可以利用IISs Remote Data Services (RDS)中的漏洞以administrator權(quán)限在遠(yuǎn)端運(yùn)行命令。如果你在運(yùn)行一個(gè)未打補(bǔ)丁的系統(tǒng)，你是易被攻擊的。41W4 - NETBIOS - 未保護(hù)的Windows網(wǎng)絡(luò)共享三、系統(tǒng)漏洞Server Message Block (SMB)協(xié)議，也稱為Common Internet (CIFS), 允許網(wǎng)絡(luò)間的文件共享。不正確的配置可能會(huì)導(dǎo)致系統(tǒng)文件的暴露，或給予黑客完全的系統(tǒng)訪問權(quán)。在

28、Windows的主機(jī)上允許文件共享使得它們?nèi)菀资艿叫畔⒏`賊和某種快速移動(dòng)的病毒的攻擊。42三、系統(tǒng)漏洞1在共享數(shù)據(jù)時(shí)，確保只共享所需目錄。2為增加安全性，只對(duì)特定IP地址進(jìn)行共享，因?yàn)镈NS名可以欺詐。3對(duì)Windows系統(tǒng)(NT,2000)，只允許特定用戶訪問共享文件夾。4對(duì)Windows系統(tǒng)，禁止通過空對(duì)話連接對(duì)用戶，組，系統(tǒng)配置和注冊(cè)密鑰進(jìn)行匿名列舉。在W5中有更詳盡的信息。5對(duì)主機(jī)或路由器上的NetBIOS會(huì)話服務(wù)(tcp 139), Microsoft CIFS (TCP/UDP 445)禁止不綁定的連接。6考慮在獨(dú)立或彼此不信任的環(huán)境下，在連接Internet的主機(jī)上部署Restr

29、ict Anonymous registry key。43W5 - 通過空對(duì)話連接造成的信息泄露三、系統(tǒng)漏洞空對(duì)話連接(null session)，也稱為匿名登錄，是一種允許匿名用戶獲取信息（例如用戶名或共享文件），或不需認(rèn)證進(jìn)行連接的機(jī)制。explorer.exe利用它來(lái)列舉遠(yuǎn)程服務(wù)器上的共享文件。在Windows NT和Windows 2000系統(tǒng)下，許多本地服務(wù)是在SYSTEM帳號(hào)下運(yùn)行的，又稱為Windows 2000的LocalSystem。很多操作系統(tǒng)都使用SYSTEM帳號(hào)。當(dāng)一臺(tái)主機(jī)需要從另一臺(tái)主機(jī)上獲取系統(tǒng)信息時(shí)，SYSTEM帳號(hào)會(huì)為另一臺(tái)主機(jī)建立一個(gè)空對(duì)話。SYSTEM帳號(hào)實(shí)

30、際擁有無(wú)限的權(quán)利，而且沒有密碼，所以你不能以SYSTEM的方式登錄。SYSTEM有時(shí)需要獲取其它主機(jī)上的一些信息，例如可獲取的共享資源和用戶名等典型的網(wǎng)上鄰居功能。由于它不能以用戶名和口令進(jìn)入，所以它使用空對(duì)話連接進(jìn)入，不幸的是攻擊者也可以相同的方式進(jìn)入。44W6 - Weak hashing in SAM (LM hash)三、系統(tǒng)漏洞盡管Windows的大多數(shù)用戶不需要LAN Manager的支持，微軟還是在Windows NT 和 2000系統(tǒng)里缺省安裝了LAN Manager口令散列。由于LAN Manager使用的加密機(jī)制比微軟現(xiàn)在的方法脆弱，LAN Manager的口令能在很短的時(shí)

31、間內(nèi)被破解。LAN Manager散列的主要脆弱性在于： 長(zhǎng)的口令被截成14個(gè)字符 短的口令被填補(bǔ)空格變成14個(gè)字符口令中所有的字符被轉(zhuǎn)換成大寫口令被分割成兩個(gè)7個(gè)字符的片斷另外，LAN Manager容易被偵聽口令散列。偵聽可以為攻擊者提供用戶的口令。45U1 - RPC 服務(wù)緩沖區(qū)溢出三、系統(tǒng)漏洞遠(yuǎn)程請(qǐng)求（Remote Procedure Calls ）允許一臺(tái)機(jī)器上的程序執(zhí)行另一臺(tái)機(jī)器上的程序。用來(lái)提供網(wǎng)絡(luò)服務(wù)如NFS文件共享。由于RPC缺陷導(dǎo)致的弱點(diǎn)正被廣泛的利用著。有證據(jù)顯示，1999年到2000年間的大部分分布式拒絕服務(wù)型攻擊都是在那些通過RPC漏洞被劫持的機(jī)器上執(zhí)行的。按照下面步

32、驟保護(hù)你的系統(tǒng)避免該攻擊：1. 只要允許，在可以從Internet 直接訪問的機(jī)器上關(guān)閉或刪除這些服務(wù)2. 在你必須運(yùn)行該服務(wù)的地方，安裝最新的補(bǔ)?。?. 定期搜索供應(yīng)商的補(bǔ)丁庫(kù)查找最新的補(bǔ)丁并立刻安裝。4. 在路由或防火墻關(guān)閉RPC 端口 (port 111) 。5. 關(guān)閉 RPC loopback 端口, 32770-32789 (TCP and UDP)46U2 - Sendmail 漏洞三、系統(tǒng)漏洞Sendmail 是在UNIX和Linux上用的最多的發(fā)送，接收和轉(zhuǎn)發(fā)電子郵件的程序。Sendmail在Internet上的廣泛應(yīng)用使它成為攻擊者的主要目標(biāo)。過去的幾年里發(fā)現(xiàn)了若干個(gè)缺陷。事

33、實(shí)上，第一個(gè)建議是CERT/CC 在1988年提出的，指出了Sendmail中一個(gè)易受攻擊的脆弱性。其中最為常用的是攻擊者可以發(fā)送一封特別的郵件消息給運(yùn)行Sendmail的機(jī)器，Sendmail會(huì)根據(jù)這條消息要求受劫持的機(jī)器把它的口令文件發(fā)給攻擊者的機(jī)器（或者另一臺(tái)受劫持的機(jī)器），這樣口令就會(huì)被破解掉。Sendmail 有很多的易受攻擊的弱點(diǎn)，必須定期的更新和打補(bǔ)丁。47U3 - Bind 脆弱性三、系統(tǒng)漏洞Berkeley Internet Name Domain (BIND) 是域名服務(wù)DNS (Domain Name Service) 用的最多的軟件包。DNS非常重要，我們利用它在Int

34、ernet上通過機(jī)器的名字（例如 ）找到機(jī)器而不必知道機(jī)器的IP地址。這使它成為攻擊者鐘愛的目標(biāo)。不幸的是，根據(jù)1999年中期的調(diào)查，連接在Internet上的50的DNS服務(wù)器運(yùn)行的都是易受攻擊的版本。在一個(gè)典型的BIND攻擊的例子里，入侵者刪除了系統(tǒng)日志并安裝了工具來(lái)獲取管理員的權(quán)限。然后他們編輯安裝了IRC工具和網(wǎng)絡(luò)掃描工具，掃描了12個(gè)B類網(wǎng)來(lái)尋找更多的易受攻擊的BIND。 在一分鐘左右的時(shí)間里，他們就使用已經(jīng)控制的機(jī)器攻擊了幾百臺(tái)遠(yuǎn)程的機(jī)器，并找到了更多的可以控制的機(jī)器。48U4 - R 命令三、系統(tǒng)漏洞在UNIX世界里，相互信任關(guān)系到處存在，特別是在系統(tǒng)管理方面。公司里經(jīng)常指定一個(gè)

35、管理員管理幾十個(gè)區(qū)域或者甚至上百臺(tái)機(jī)器。管理員經(jīng)常使用信任關(guān)系和UNIX的 r 命令從一個(gè)系統(tǒng)方便的切換到另一個(gè)系統(tǒng)。 R 命令允許一個(gè)人登錄遠(yuǎn)程機(jī)器而不必提供口令。取代詢問用戶名和口令，遠(yuǎn)程機(jī)器認(rèn)可來(lái)自可信賴IP地址的任何人。如果攻擊者獲得了可信任網(wǎng)絡(luò)里的任何一臺(tái)的機(jī)器，他（她）就能登錄任何信任該IP的任何機(jī)器。下面命令經(jīng)常用到：1.rlogin - remote login，遠(yuǎn)程登錄 2.rsh - remote shell ，遠(yuǎn)程shell3.rcp - remote copy ,遠(yuǎn)程拷貝49U5 - LPD (remote print protocol daemon)三、系統(tǒng)漏洞Uni

36、x 里，in.lpd 為用戶提供了與本地打印機(jī)交互的服務(wù)。lpd偵聽TCP 515端口的請(qǐng)求。程序員在寫代碼時(shí)犯了一點(diǎn)錯(cuò)誤，使得當(dāng)打印工作從一臺(tái)機(jī)器傳到另一臺(tái)機(jī)器時(shí)會(huì)導(dǎo)致緩沖區(qū)溢出的漏洞。如果在較短的時(shí)間里接受了太多的任務(wù)，后臺(tái)程序就會(huì)崩潰或者以更高的權(quán)限運(yùn)行任意的代碼。50U6 - sadmind and mountd三、系統(tǒng)漏洞Sadmind 允許遠(yuǎn)程登錄到Solaris 系統(tǒng)進(jìn)行管理，并提供了一個(gè)系統(tǒng)管理功能的圖形用戶接口。Mountd 控制和判斷到安裝在UNIX主機(jī)上的NFS的連接。由于軟件開發(fā)人員的錯(cuò)誤導(dǎo)致的這些應(yīng)用的緩沖區(qū)溢出漏洞能被攻擊者利用獲取root的存取權(quán)限。51U7 -

37、缺省 SNMP 字串三、系統(tǒng)漏洞SNMP (Simple Network Management Protocol, 簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議) 是管理員廣泛使用的協(xié)議，用來(lái)管理和監(jiān)視各種各樣與網(wǎng)絡(luò)連接的設(shè)備，從路由器到打印機(jī)到計(jì)算機(jī)。SNMP使用沒有加密的公共字符串作為唯一的認(rèn)證機(jī)制。 沒有加密已經(jīng)夠糟了，不僅如此，絕大部分SNMP設(shè)備使用的公共字符串還是public， 只有少部分聰明的設(shè)備供應(yīng)商為了保護(hù)敏感信息把字符串改為private。 攻擊者可以利用這個(gè)SNMP中的漏洞遠(yuǎn)程重新配置或關(guān)閉你的設(shè)備。 被監(jiān)聽的SNMP通訊能泄漏很多關(guān)于網(wǎng)絡(luò)結(jié)構(gòu)的信息，以及連接在網(wǎng)絡(luò)上的設(shè)備。入侵者可以使用這些信息找

38、出目標(biāo)和謀劃他們的攻擊。521、掃描技術(shù)四、掃描器掃描技術(shù)是主要的一種信息收集型攻擊。地址掃描：運(yùn)用ping這樣的程序探測(cè)目標(biāo)地址端口掃描：向大范圍的主機(jī)連接一系列的TCP端口，掃描軟件報(bào)告它成功的建立了連接的主機(jī)所開的端口。反響映射：黑客向主機(jī)發(fā)送虛假消息，然后根據(jù)返回host unreachable這一消息特征判斷出哪些主機(jī)是存在的。慢速掃描：由于一般掃描偵測(cè)器的實(shí)現(xiàn)是通過監(jiān)視某個(gè)時(shí)間里一臺(tái)特定主機(jī)發(fā)起的連接的數(shù)目（例如每秒10次）來(lái)決定是否在被掃描，這樣黑客可以通過使用掃描速度慢一些的掃描軟件進(jìn)行掃描。532、什么是掃描器 四、掃描器掃描器是一種自動(dòng)檢測(cè)遠(yuǎn)程或本地主機(jī)安全性弱點(diǎn)的程序。通

39、過使用掃描器可不留痕跡的發(fā)現(xiàn)遠(yuǎn)程服務(wù)器的各種TCP端口的分配、提供的服務(wù)、使用的軟件版本！這就能間接的或直觀的了解到遠(yuǎn)程主機(jī)所存在的安全問題。54四、掃描器安全掃描工具分類基于服務(wù)器和基于網(wǎng)絡(luò)的掃描器?；诜?wù)器的掃描器主要掃描服務(wù)器相關(guān)的安全漏洞，如password文件，目錄和文件權(quán)限，共享文件系統(tǒng)，敏感服務(wù)，軟件，系統(tǒng)漏洞等，并給出相應(yīng)的解決辦法建議。通常與相應(yīng)的服務(wù)器操作系統(tǒng)緊密相關(guān)?；诰W(wǎng)絡(luò)的安全掃描主要掃描設(shè)定網(wǎng)絡(luò)內(nèi)的服務(wù)器、路由器、網(wǎng)橋、交換機(jī)、訪問服務(wù)器、防火墻等設(shè)備的安全漏洞，并可設(shè)定模擬攻擊，以測(cè)試系統(tǒng)的防御能力。通常該類掃描器限制使用范圍(IP地址或路由器跳數(shù))。 55掃描

40、器分類端口掃描器 (如：NMAP， PORTSCAN) 掃描目標(biāo)機(jī)開放的服務(wù)端口及其有關(guān)信息漏洞掃描器(如：ISS、NESSUS、SATAN等)對(duì)于重視安全的網(wǎng)站進(jìn)行漏洞掃描，可能一無(wú)所獲，因?yàn)榱餍械穆┒丛缫汛蜓a(bǔ)丁了。因此端口掃描器對(duì)黑客或許更有用。56四、掃描器網(wǎng)絡(luò)安全掃描的主要性能： (1) 速度。在網(wǎng)絡(luò)內(nèi)進(jìn)行安全掃描非常耗時(shí)。 (2) 網(wǎng)絡(luò)拓?fù)?。通過GUI的圖形界面，可迭擇一步或某些區(qū)域的設(shè)備。 (3) 能夠發(fā)現(xiàn)的漏洞數(shù)量。 (4) 是否支持可定制的攻擊方法。因?yàn)榫W(wǎng)絡(luò)內(nèi)服務(wù)器及其它設(shè)備對(duì)相同協(xié)議的實(shí)現(xiàn)存在差別，所以預(yù)制的掃描方法肯定不能滿足客戶的需求。 (5) 報(bào)告，掃描器應(yīng)該能夠給出清

41、楚的安全漏洞報(bào)告。 (6) 更新周期。提供該項(xiàng)產(chǎn)品的廠商應(yīng)盡快給出新發(fā)現(xiàn)的安生漏洞掃描特性升級(jí)，并給出相應(yīng)的改進(jìn)建議。573、掃描器的工作原理 四、掃描器掃描器通過選用遠(yuǎn)程TCP/IP不同的端口的服務(wù)，并記錄目標(biāo)給予的回答，通過這種方法，可以搜集到很多關(guān)于目標(biāo)主機(jī)的各種有用的信息 掃描器能夠發(fā)現(xiàn)目標(biāo)主機(jī)某些內(nèi)在的弱點(diǎn)，這些弱點(diǎn)可能是破壞目標(biāo)主機(jī)安全性的關(guān)鍵性因素。但是，要做到這一點(diǎn)，必須了解如何識(shí)別漏洞。掃描器對(duì)于Internet安全性之所以重要，是因?yàn)樗鼈兡馨l(fā)現(xiàn)網(wǎng)絡(luò)的弱點(diǎn)。 584、掃描器的功能 四、掃描器掃描器并不是一個(gè)直接的攻擊網(wǎng)絡(luò)漏洞的程序，它僅僅能幫助我們發(fā)現(xiàn)目標(biāo)機(jī)的某些內(nèi)在的弱點(diǎn)。

42、一個(gè)好的掃描器能對(duì)它得到的數(shù)據(jù)進(jìn)行分析，幫助我們查找目標(biāo)主機(jī)的漏洞。但它不會(huì)提供進(jìn)入一個(gè)系統(tǒng)的詳細(xì)步驟。 掃描器應(yīng)該有三項(xiàng)功能：1）發(fā)現(xiàn)一個(gè)主機(jī)或網(wǎng)絡(luò)的能力；2）一旦發(fā)現(xiàn)一臺(tái)主機(jī)，有發(fā)現(xiàn)什么服務(wù)正運(yùn)行在這臺(tái)主機(jī)上的能力；3）通過測(cè)試這些服務(wù)，發(fā)現(xiàn)漏洞的能力。595、常用的端口掃描技術(shù) 四、掃描器TCP connect() 掃描這是最基本的TCP掃描。操作系統(tǒng)提供的connect()系統(tǒng)調(diào)用，用來(lái)與目標(biāo)計(jì)算機(jī)的端口進(jìn)行連接。如果端口處于偵聽狀態(tài)，那么connect()就能成功。否則，這個(gè)端口是不能用的，即沒有提供服務(wù)。不需要任何權(quán)限。系統(tǒng)中的任何用戶都有權(quán)利使用這個(gè)調(diào)用。另一個(gè)好處就是速度。如果

43、對(duì)每個(gè)目標(biāo)端口以線性的方式，使用單獨(dú)的connect()調(diào)用，那么將會(huì)花費(fèi)相當(dāng)長(zhǎng)的時(shí)間，你可以通過同時(shí)打開多個(gè)套接字，從而加速掃描。這種方法的缺點(diǎn)是容易被發(fā)覺，并且被過濾掉。目標(biāo)計(jì)算機(jī)的logs文件會(huì)顯示一連串的連接和連接是出錯(cuò)的服務(wù)消息，并且能很快的使它關(guān)閉。 605、常用的端口掃描技術(shù) 四、掃描器TCP SYN掃描 “半開放”掃描，這是因?yàn)閽呙璩绦虿槐匾蜷_一個(gè)完全的TCP連接。掃描程序發(fā)送的是一個(gè)SYN數(shù)據(jù)包，好象準(zhǔn)備打開一個(gè)實(shí)際的連接并等待反應(yīng)一樣（參考TCP的三次握手建立一個(gè)TCP連接的過程）。一個(gè)SYN|ACK的返回信息表示端口處于偵聽狀態(tài)。一個(gè)RST返回，表示端口沒有處于偵聽?wèi)B(tài)。

44、如果收到一個(gè)SYN|ACK，則掃描程序必須再發(fā)送一個(gè)RST信號(hào)，來(lái)關(guān)閉這個(gè)連接過程。這種掃描技術(shù)的優(yōu)點(diǎn)在于一般不會(huì)在目標(biāo)計(jì)算機(jī)上留下記錄。但這種方法的一個(gè)缺點(diǎn)是，必須要有root權(quán)限才能建立自己的SYN數(shù)據(jù)包。 615、常用的端口掃描技術(shù) 四、掃描器TCP FIN 掃描 （發(fā)送者無(wú)數(shù)據(jù)）有的時(shí)候有可能SYN掃描都不夠秘密。一些防火墻和包過濾器會(huì)對(duì)一些指定的端口進(jìn)行監(jiān)視，有的程序能檢測(cè)到這些掃描。相反，F(xiàn)IN數(shù)據(jù)包可能會(huì)沒有任何麻煩的通過。這種掃描方法的思想是關(guān)閉的端口會(huì)用適當(dāng)?shù)腞ST來(lái)回復(fù)FIN數(shù)據(jù)包。另一方面，打開的端口會(huì)忽略對(duì)FIN數(shù)據(jù)包的回復(fù)。這種方法和系統(tǒng)的實(shí)現(xiàn)有一定的關(guān)系。有的系統(tǒng)不

45、管端口是否打開，都回復(fù)RST，這樣，這種掃描方法就不適用了。并且這種方法在區(qū)分Unix和NT時(shí)，是十分有用的。 625、常用的端口掃描技術(shù) 四、掃描器UDP ICMP端口不能到達(dá)掃描 這種方法與以上方法的區(qū)別是使用UDP協(xié)議。由于這個(gè)協(xié)議很簡(jiǎn)單，所以掃描變得相對(duì)比較困難。這是由于打開的端口對(duì)掃描探測(cè)并不發(fā)送一個(gè)確認(rèn)，關(guān)閉的端口也并不需要發(fā)送一個(gè)錯(cuò)誤數(shù)據(jù)包。幸運(yùn)的是，許多主機(jī)在你向一個(gè)未打開的UDP端口發(fā)送一個(gè)數(shù)據(jù)包時(shí)，會(huì)返回一個(gè)ICMP_PORT_UNREACH錯(cuò)誤。這樣你就能發(fā)現(xiàn)哪個(gè)端口是關(guān)閉的。UDP和ICMP錯(cuò)誤都不保證能到達(dá)，因此這種掃描器必須還實(shí)現(xiàn)在一個(gè)包看上去是丟失的時(shí)候能重新傳輸

46、。這種掃描方法是很慢的，因?yàn)镽FC對(duì)ICMP錯(cuò)誤消息的產(chǎn)生速率做了規(guī)定。同樣，這種掃描方法需要具有root權(quán)限。635、常用的端口掃描技術(shù) 四、掃描器UDP recvfrom()和write() 掃描 當(dāng)非root用戶不能直接讀到端口不能到達(dá)的錯(cuò)誤時(shí)，Linux能間接地在它們到達(dá)時(shí)通知用戶。比如，對(duì)一個(gè)關(guān)閉的端口的第二個(gè)write()調(diào)用將失敗。在非阻塞的UDP套接字上調(diào)用recvfrom()時(shí)，如果ICMP出錯(cuò)還沒有到達(dá)時(shí)回返回EAGAIN-重試。如果ICMP到達(dá)時(shí)，返回ECONNREFUSED-連接被拒絕。這就是用來(lái)查看端口是否打開的技術(shù)。 645、常用的端口掃描技術(shù) 四、掃描器ICMP

47、echo掃描 這并不是真正意義上的掃描。但有時(shí)通過ping，在判斷在一個(gè)網(wǎng)絡(luò)上主機(jī)是否開機(jī)時(shí)非常有用。 端口掃描：NMAP 、PORTSCAN等漏洞掃描： ISS、 NESSUS、SATAN、 X-Scan CIS(Cerberus Internet Scanner),運(yùn)行在Windows 之下，主要用來(lái)對(duì)Windows NT和2000的安全性作出評(píng)估，指出其存在的安全性弱點(diǎn)，并提供一定程度上的改進(jìn)建議。當(dāng)前版本是5.0.02版。656、掃描器 四、掃描器CIS的掃描范圍包括： WWW服務(wù)、 FTP服務(wù)、 MS SQL Sever、 NetBIOS、 注冊(cè)表設(shè)置、 NT服務(wù)、 SMTP服務(wù)、 POP3服務(wù)、 RPC服務(wù)、 端口映射、 Finger服務(wù)、 DNS服務(wù)、 瀏覽器安全 666、掃描器 四、掃描器CIS包括了NT服務(wù)器的絕大部分容易引起安全問題的服務(wù)和設(shè)置。它最大的特色是NETBIOS掃描。它可以快速地得到目標(biāo)計(jì)算機(jī)的NETBIOS信息、共享資源，包括用戶名和組的信息，并能揭示薄弱的口令。 操作過程：選擇工具欄上的第一個(gè)按鈕，在彈出的對(duì)話框中寫入主機(jī)地址，點(diǎn)擊第二個(gè)按鈕開始掃描。因?yàn)槿笔〉膾呙枘K就是all(全部)，所以在這里可以不必設(shè)定掃描模塊。等到所有項(xiàng)的掃描都完成（Completed）之后，點(diǎn)擊M按鈕查看生成的報(bào)告。