1、漏洞掃描技術(shù),教研部 2014-10-11,目錄,漏洞掃描概述,實(shí)驗(yàn)與練習(xí),小結(jié),小結(jié),典型漏洞掃描技術(shù)原理,典型漏掃工具介紹及使用,漏洞掃描報(bào)告包括哪些內(nèi)容,漏洞掃描概述,背景 如果把網(wǎng)絡(luò)信息安全工作比作一場戰(zhàn)爭的話，漏洞掃描器就是這場戰(zhàn)爭中，盤旋在終端設(shè)備，網(wǎng)絡(luò)設(shè)備上空的“全球鷹”。 網(wǎng)絡(luò)安全工作是防守和進(jìn)攻的博弈，是保證信息安全，工作順利開展的奠基石。及時，準(zhǔn)確的審視自己信息化工作的弱點(diǎn)，審視自己信息平臺的漏洞和問題，才能在這場信息安全戰(zhàn)爭中，處于先機(jī)，立于不敗之地。只有做到自身的安全，才能立足本職，保證公司業(yè)務(wù)穩(wěn)健的運(yùn)行，這是信息時代開展工作的第一步。 中國信息安全技術(shù)最知名品牌TOP

2、SEC（天融信）認(rèn)為，漏洞掃描器，就是保證這場信息戰(zhàn)爭勝利的開始，它及時準(zhǔn)確的察覺到信息平臺基礎(chǔ)架構(gòu)的安全，保證業(yè)務(wù)順利的開展，保證業(yè)務(wù)高效迅速的發(fā)展，維護(hù)公司，企業(yè)，國家所有信息資產(chǎn)的安全。,漏洞掃描概述,概念 漏洞掃描是指基于漏洞數(shù)據(jù)庫，通過掃描等手段對指定的遠(yuǎn)程或者本地計(jì)算機(jī)系統(tǒng)的安全脆弱性進(jìn)行檢測，發(fā)現(xiàn)可利用的漏洞的一種安全檢測（滲透攻擊）行為。 漏洞掃描技術(shù)是一類重要的網(wǎng)絡(luò)安全技術(shù)。它和防火墻、入侵檢測系統(tǒng)互相配合，能夠有效提高網(wǎng)絡(luò)的安全性。通過對網(wǎng)絡(luò)的掃描，網(wǎng)絡(luò)管理員能了解網(wǎng)絡(luò)的安全設(shè)置和運(yùn)行的應(yīng)用服務(wù)，及時發(fā)現(xiàn)安全漏洞，客觀評估網(wǎng)絡(luò)風(fēng)險(xiǎn)等級。網(wǎng)絡(luò)管理員能根據(jù)掃描的結(jié)果更正網(wǎng)絡(luò)安全

3、漏洞和系統(tǒng)中的錯誤設(shè)置，在黑客攻擊前進(jìn)行防范。如果說防火墻和網(wǎng)絡(luò)監(jiān)視系統(tǒng)是被動的防御手段，那么安全掃描就是一種主動的防范措施，能有效避免黑客攻擊行為，做到防患于未然。,漏洞掃描概述,作用 1. 定期的網(wǎng)絡(luò)安全自我檢測、評估 配備漏洞掃描系統(tǒng)，網(wǎng)絡(luò)管理人員可以定期的進(jìn)行網(wǎng)絡(luò)安全檢測服務(wù)，安全檢測可幫助客戶最大可能的消除安全隱患，盡可能早地發(fā)現(xiàn)安全漏洞并進(jìn)行修補(bǔ)，有效的利用已有系統(tǒng)，優(yōu)化資源，提高網(wǎng)絡(luò)的運(yùn)行效率。 2. 安裝新軟件、啟動新服務(wù)后的檢查 由于漏洞和安全隱患的形式多種多樣，安裝新軟件和啟動新服務(wù)都有可能使原來隱藏的漏洞暴露出來，因此進(jìn)行這些操作之后應(yīng)該重新掃描系統(tǒng)，才能使安全得到保障。

4、,漏洞掃描概述,作用 3. 網(wǎng)絡(luò)建設(shè)和網(wǎng)絡(luò)改造前后的安全規(guī)劃評估和成效檢驗(yàn) 網(wǎng)絡(luò)建設(shè)者必須建立整體安全規(guī)劃，以統(tǒng)領(lǐng)全局，高屋建瓴。在可以容忍的風(fēng)險(xiǎn)級別和可以接受的成本之間，取得恰當(dāng)?shù)钠胶?，在多種多樣的安全產(chǎn)品和技術(shù)之間做出取舍。配備網(wǎng)絡(luò)漏洞掃描/網(wǎng)絡(luò)評估系統(tǒng)可以讓您很方便的進(jìn)行安全規(guī)劃評估和成效檢驗(yàn)網(wǎng)絡(luò)的安全系統(tǒng)建設(shè)方案和建設(shè)成效評估 4. 網(wǎng)絡(luò)承擔(dān)重要任務(wù)前的安全性測試 網(wǎng)絡(luò)承擔(dān)重要任務(wù)前應(yīng)該多采取主動防止出現(xiàn)事故的安全措施，從技術(shù)上和管理上加強(qiáng)對網(wǎng)絡(luò)安全和信息安全的重視，形成立體防護(hù)，由被動修補(bǔ)變成主動的防范，最終把出現(xiàn)事故的概率降到最低。配備網(wǎng)絡(luò)漏洞掃描/網(wǎng)絡(luò)評估系統(tǒng)可以讓您很方便的進(jìn)行

5、安全性測試。,漏洞掃描概述,作用 5.網(wǎng)絡(luò)安全事故后的分析調(diào)查 網(wǎng)絡(luò)安全事故后可以通過網(wǎng)絡(luò)漏洞掃描/網(wǎng)絡(luò)評估系統(tǒng)分析確定網(wǎng)絡(luò)被攻擊的漏洞所在，幫助彌補(bǔ)漏洞，盡可能多得提供資料方便調(diào)查攻擊的來源。 6.重大網(wǎng)絡(luò)安全事件前的準(zhǔn)備 重大網(wǎng)絡(luò)安全事件前網(wǎng)絡(luò)漏洞掃描/網(wǎng)絡(luò)評估系統(tǒng)能夠幫助用戶及時的找出網(wǎng)絡(luò)中存在的隱患和漏洞，幫助用戶及時的彌補(bǔ)漏洞。,漏洞掃描概述,作用 7.公安、保密部門組織的安全性檢查 互聯(lián)網(wǎng)的安全主要分為網(wǎng)絡(luò)運(yùn)行安全和信息安全兩部分。網(wǎng)絡(luò)運(yùn)行的安全主要包括以ChinaNet、ChinaGBN、CNCnet等10大計(jì)算機(jī)信息系統(tǒng)的運(yùn)行安全和其它專網(wǎng)的運(yùn)行安全；信息安全包括接入Inter

6、net的計(jì)算機(jī)、服務(wù)器、工作站等用來進(jìn)行采集、加工、存儲、傳輸、檢索處理的人機(jī)系統(tǒng)的安全。網(wǎng)絡(luò)漏洞掃描/網(wǎng)絡(luò)評估系統(tǒng)能夠積極的配合公安、保密部門組織的安全性檢查。,目錄,典型漏洞掃描技術(shù)原理,實(shí)驗(yàn)與練習(xí),小結(jié),小結(jié),漏洞掃描概述,典型漏掃工具介紹及使用,漏洞掃描報(bào)告包括哪些內(nèi)容,典型漏洞掃描技術(shù)原理,漏洞掃描的基本原理 1. 網(wǎng)絡(luò)漏洞掃描進(jìn)行工作時，首先探測目標(biāo)系統(tǒng)的存活主機(jī)，對存活主機(jī)進(jìn)行端口掃描，確定系統(tǒng)開放的端口，同時根據(jù)協(xié)議指紋技術(shù)識別出主機(jī)的操作系統(tǒng)類型。 然后跟據(jù)目標(biāo)系統(tǒng)的操作，系統(tǒng)平臺和提供的網(wǎng)絡(luò)服務(wù)，調(diào)用漏洞資料庫中已知的各種漏洞進(jìn)行逐一檢測，通過對探測響應(yīng)數(shù)據(jù)包的分析判斷是否

7、存在漏洞。 2. 當(dāng)前的漏洞掃描技術(shù)主要是基于特征匹配原理，一些漏洞掃描器通過檢測目標(biāo)主機(jī)不同的端口開放的服務(wù)，記錄其應(yīng)答，然后與漏洞庫進(jìn)行比較，如果滿足匹配條件，則認(rèn)為存在安全漏洞。 所以在漏洞掃描中，漏洞庫的定義精確與否直接影響最后的掃描結(jié)果。,典型漏洞掃描技術(shù)原理,漏洞掃描的主要策略 1.主機(jī)漏洞掃描： 通常在目標(biāo)系統(tǒng)上安裝了一個代理（Agent）或者是服務(wù)（Services）以便能夠訪問所有的文件與進(jìn)程，以此來掃描計(jì)算機(jī)中的漏洞 。 2.網(wǎng)絡(luò)漏洞掃描： 通過網(wǎng)絡(luò)來掃描遠(yuǎn)程計(jì)算機(jī)中的漏洞 ，基于網(wǎng)絡(luò)的漏洞掃描可以看作為一種漏洞信息收集，他根據(jù)不同漏洞的特性 構(gòu)造網(wǎng)絡(luò)數(shù)據(jù)包，發(fā)給網(wǎng)絡(luò)中的一

8、個或多個目標(biāo)服務(wù)器，以判斷某個特定的漏洞是否存在。,典型漏洞掃描技術(shù)原理,漏洞掃描的主要技術(shù) 主機(jī)掃描技術(shù) 端口掃描技術(shù) 服務(wù)及系統(tǒng)識別技術(shù),典型漏洞掃描技術(shù)原理,主機(jī)掃描技術(shù) 漏洞掃描可以劃分為ping掃描、端口掃描、OS探測、脆弱點(diǎn)探測、防火墻掃描五種主要技術(shù)，每種技術(shù)實(shí)現(xiàn)的目標(biāo)和運(yùn)用的原理各不相同。 按照TCPIP協(xié)議簇的結(jié)構(gòu)，ping掃描工作在互聯(lián)網(wǎng)絡(luò)層： 端口掃描、防火墻探測工作在傳輸層； OS探測、脆弱點(diǎn)探測工作在互聯(lián)網(wǎng)絡(luò)層、傳輸層、應(yīng)用層。 ping掃描確定目標(biāo)主機(jī)的IP地址，端口掃描探測目標(biāo)主機(jī)所開放的端口，然后基于端口掃描的結(jié)果，進(jìn)行OS探測和脆弱點(diǎn)掃描。,典型漏洞掃描技術(shù)原

9、理,主機(jī)掃描技術(shù)ping掃描 ping掃描是指偵測主機(jī)IP地址的掃描。ping掃描的目的，就是確認(rèn)目標(biāo)主機(jī)的TCPIP網(wǎng)絡(luò)是否聯(lián)通，即掃描的IP地址是否分配了主機(jī)。對沒有任何預(yù)知信息的黑客而言，ping掃描是進(jìn)行漏洞掃描及入侵的第一步；對已經(jīng)了解網(wǎng)絡(luò)整體IP劃分的網(wǎng)絡(luò)安全人員來講，也可以借助ping掃描，對主機(jī)的IP分配有一個精確的定位。大體上，ping掃描是基于ICMP協(xié)議的。其主要思想，就是構(gòu)造一個ICMP包，發(fā)送給目標(biāo)主機(jī)，從得到的響應(yīng)來進(jìn)行判斷。根據(jù)構(gòu)造ICMP包的不同，分為ECH0掃描和nonECHO掃描兩種。,典型漏洞掃描技術(shù)原理,ping掃描 1. ECH0掃描 向目標(biāo)IP地址發(fā)

10、送一個ICMP ECHOREQUEST(ICMP type 8)的包，等待是否收至UICMP ECHO REPLY(ICMP type 0)。如果收到了ICMP ECHO REPLY，就表示目標(biāo)IP上存在主機(jī)，否則就說明沒有主機(jī)。值得注意的是，如果目標(biāo)網(wǎng)絡(luò)上的防火墻配置為阻止ICMP ECH0流量，ECH0掃描不能真實(shí)反映目標(biāo)IP上是否存在主機(jī)。 此外，如果向廣播地址發(fā)送ICMPECHO REQUEST，網(wǎng)絡(luò)中的unix主機(jī)會響應(yīng)該請求，而windows主機(jī)不會生成響應(yīng)，這也可以用來進(jìn)行OS探測。,典型漏洞掃描技術(shù)原理,ping掃描 2. non-ECH0掃描 向目的IP地址發(fā)送一個ICMP

11、TIMESTAMP REQUEST(ICMP type l3)，或ICMP ADDRESS MASK REQUEST (ICMP type l7)的包，根據(jù)是否收到響應(yīng)，可以確定目的主機(jī)是否存在。當(dāng)目標(biāo)網(wǎng)絡(luò)上的防火墻配置為阻止ICMP ECH0流量時，則可以用nonECH0掃描來進(jìn)行主機(jī)探測,典型漏洞掃描技術(shù)原理,漏洞掃描端口掃描 端口掃描用來探測主機(jī)所開放的端口，比如23端口對應(yīng)telnet，21對應(yīng)ftp，80對應(yīng)http。端口掃描通常只做最簡單的端口聯(lián)通性測試，不做進(jìn)一步的數(shù)據(jù)分析，因此比較適合進(jìn)行大范圍的掃描：對指定IP地址進(jìn)行某個端口值段的掃描，或者指定端口值對某個IP地址段進(jìn)行掃描

12、。這種方式判定服務(wù)是較早的一種方式，對于大范圍評估是有一定價(jià)值的，但其精度較低。例如使用nc這樣的工具在80端口上監(jiān)聽，這樣掃描時會以為80在開放，但實(shí)際上80并沒有提供http服務(wù)，由于這種關(guān)系只是簡單對應(yīng)，并沒有去判斷端口運(yùn)行的協(xié)議，這就產(chǎn)生了誤判，認(rèn)為只要開放了80端口就是開放了http協(xié)議。但實(shí)際并非如此，這就是端口掃描技術(shù)在服務(wù)判定上的根本缺陷。 根據(jù)端口掃描使用的協(xié)議，分為TCP掃描和UDP掃描,典型漏洞掃描技術(shù)原理,端口掃描 1、 TCP掃描 主機(jī)間建立TCP連接分三步(也稱三次握手)： 利用三次握手過程與目標(biāo)主機(jī)建立完整或不完整的TCP連接。 TCP connect()掃描：

13、tcp的報(bào)頭里，有6個連接標(biāo)記，分別是urg、ack、psh、rst、syn、fin。通過這些連接標(biāo)記不同的組合方式，可以獲得不同的返回報(bào)文。例如，發(fā)送一個syn置位的報(bào)文，如果syn置位瞄準(zhǔn)的端口是開放的，syn置位的報(bào)文到達(dá)的端口開放的時候，他就會返回syn+ack，代表其能夠提供相應(yīng)的服務(wù)。我收到syn+ack后，返回給對方一個ack。這個過程就是著名的三次握手。這種掃描的速度和精度都是令人滿意的。,典型漏洞掃描技術(shù)原理,端口掃描 1、 TCP掃描 Reverse-ident掃描：這種技術(shù)利用了Ident協(xié)議(RFC1413)，tcp端口113.很多主機(jī)都會運(yùn)行的協(xié)議，用于鑒別TCP連接

14、的用戶。 identd 的操作原理是查找特定 TCP/IP 連接并返回?fù)碛写诉B接的進(jìn)程的用戶名。它也可以返回主機(jī)的其他信息。但這種掃描方式只能在tcp全連接之后才有效，并且實(shí)際上很多主機(jī)都會關(guān)閉ident服務(wù)。,典型漏洞掃描技術(shù)原理,端口掃描TCP掃描 Tcp syn掃描：向目標(biāo)主機(jī)的特定端口發(fā)送一個SYN包，如果端口沒開放就不會返回syn+ack，這時會給你一個rst，停止建立連接。由于連接沒有完全建立，所以稱為半開放掃描。但由于syn flood作為一種ddos攻擊手段被大量采用，因此很多防火墻都會對syn報(bào)文進(jìn)行過濾，所以這種方法并不能總是有用。 其他還有fin、NULL、Xmas等掃描

15、方式。,典型漏洞掃描技術(shù)原理,端口掃描TCP掃描 根據(jù)TCP連接的建立步驟，TCP掃描主要包含兩種方式： (1)TCP全連接和半連接掃描 全連接掃描通過三次握手，與目的主機(jī)建立TCP連接，目的主機(jī)的log文件中將記錄這次連接。而半連接掃描(也稱TCP SYN掃描)并不完成TCP三次握手的全過程。掃描者發(fā)送SYN包開始三次握手，等待目的主機(jī)的響應(yīng)。如果收到SYNACK包，則說明目標(biāo)端口處于偵聽狀態(tài)，掃描者馬上發(fā)送RST包，中止三次握手。因?yàn)榘脒B接掃描并沒有建立TCP連接，目的主機(jī)的log文件中可能不會記錄此掃描。,典型漏洞掃描技術(shù)原理,端口掃描TCP掃描 (2)TCP隱蔽掃描 根據(jù)TCP協(xié)議，處

16、于關(guān)閉狀態(tài)的端口，在收到探測包時會響應(yīng)RST包，而處于偵聽狀態(tài)的端口則忽略此探測包。根據(jù)探測包中各標(biāo)志位設(shè)置的不同，TCP隱蔽掃描又分為SYNACK掃描、FIN掃描、XMAS(圣誕樹)掃描和NULL掃描四種。 SYN/ACK掃描和FIN掃描均繞過TCP三次握手過程的第一步，直接給目的端口發(fā)送SYNACK包或者FIN包。因?yàn)門CP是基于連接的協(xié)議，目標(biāo)主機(jī)認(rèn)為發(fā)送方在第一步中應(yīng)該發(fā)送的SYN包沒有送出，從而定義這次連接過程錯誤，會發(fā)送一個RST包以重置連接。而這正是掃描者需要的結(jié)果只要有響應(yīng)，就說明目標(biāo)系統(tǒng)存在，且目標(biāo)端口處于關(guān)閉狀態(tài)。,典型漏洞掃描技術(shù)原理,端口掃描TCP掃描 XMAS掃描和N

17、ULL掃描：這兩類掃描正好相反，XMAS掃描設(shè)置TCP包中所有標(biāo)志位(URG、ACK、RST、PSH、SYN、FIN)，而NULL掃描則關(guān)閉TCP包中的所有標(biāo)志位。,典型漏洞掃描技術(shù)原理,端口掃描UDP端口掃描 由于現(xiàn)在防火墻設(shè)備的流行，tcp端口的管理狀態(tài)越來越嚴(yán)格，不會輕易開放，并且通信監(jiān)視嚴(yán)格。為了避免這種監(jiān)視，達(dá)到評估的目的，就出現(xiàn)了秘密掃描。這種掃描方式的特點(diǎn)是利用UDP端口關(guān)閉時返回的ICMP信息，不包含標(biāo)準(zhǔn)的TCP三次握手協(xié)議的任何部分，隱蔽性好，但這種掃描使用的數(shù)據(jù)包在通過網(wǎng)絡(luò)時容易被丟棄從而產(chǎn)生錯誤的探測信息。 但是，UDP掃描方式的缺陷很明顯，速度慢、精度低。UDP的掃描方

18、法比較單一，基礎(chǔ)原理是：當(dāng)你發(fā)送一個報(bào)文給udp端口，該端口是關(guān)閉狀態(tài)時，端口會返回給一個icmp信息，所有的判定都是基于這個原理。如果關(guān)閉的話，什么信息都不發(fā)。,典型漏洞掃描技術(shù)原理,端口掃描UDP端口掃描 Traceroute掃描：tracert 向30000以上的高端口（一般認(rèn)為，主機(jī)的30000以上高端口利用率非常低，任何主機(jī)都不會輕易開放這種高端口，默認(rèn)都是關(guān)閉的）。如果對方端口關(guān)閉，會返回給icmp信息，根據(jù)這個往返時間，計(jì)算跳數(shù)、路徑信息，了解延時情況。這是tracerote原理，也是從這個原理上演變出來udp掃描技術(shù)。 使用udp掃描要注意的是1、udp狀態(tài)、精度比較差，因?yàn)閡

19、dp是不面向連接的，所以整個精度會比較低。2、udp掃描速度比較慢，tcp掃描開放1秒的延時，在udp里可能就需要2秒，這是由于不同操作系統(tǒng)在實(shí)現(xiàn)icmp協(xié)議的時候?yàn)榱吮苊鈴V播風(fēng)暴都會有峰值速率的限制（因?yàn)閕cmp信息本身并不是傳輸載荷信息，不會有人拿他去傳輸一些有價(jià)值信息。,典型漏洞掃描技術(shù)原理,端口掃描UDP端口掃描 操作系統(tǒng)在實(shí)現(xiàn)的時候是不希望icmp報(bào)文過多的。為了避免產(chǎn)生廣播風(fēng)暴，操作系統(tǒng)對icmp報(bào)文規(guī)定了峰值速率，不同操作系統(tǒng)的速率不同） 利用udp作為掃描的基礎(chǔ)協(xié)議，就會對精度、延時產(chǎn)生較大影響。,典型漏洞掃描技術(shù)原理,漏洞掃描OS掃描 OS探測有雙重目的：一是探測目標(biāo)主機(jī)的0

20、S信息，二是探測提供服務(wù)的計(jì)算機(jī)程序的信息。比如OS探測的結(jié)果是：OS是Windows XP sp3，服務(wù)器平臺是IIS 4.0。 OS探測有雙重目的：一是探測目標(biāo)主機(jī)的0S信息，二是探測提供服務(wù)的計(jì)算機(jī)程序的信息。比如OS探測的結(jié)果是：OS是Windows XP sp3，服務(wù)器平臺是IIS 4.0。 131二進(jìn)制信息探測 通過登錄目標(biāo)主機(jī)，從主機(jī)返回的banner中得知OS類型、版本等，這是最簡單的0S探測技術(shù),典型漏洞掃描技術(shù)原理,漏洞掃描OS掃描 從圖l可以看出，在telnet連上FTP服務(wù)器后，服務(wù)器返回的banner已經(jīng)提供了server的信息，在執(zhí)行ftp的syst命令后可得到更具

21、體的信息。 132 HTTP響應(yīng)分析 在和目標(biāo)主機(jī)建立HTTP連接后，可以分析服務(wù)器的響應(yīng)包得出OS類型。比如響應(yīng)包中可能包含如下信息：,典型漏洞掃描技術(shù)原理,漏洞掃描OS掃描 133棧指紋分析 網(wǎng)絡(luò)上的主機(jī)都會通過TCPIP或類似的協(xié)議棧來互通互聯(lián)。由于0S開發(fā)商不唯一，系統(tǒng)架構(gòu)多樣，甚至是軟件版本的差異，都導(dǎo)致了協(xié)議棧具體實(shí)現(xiàn)上的不同。對錯誤包的響應(yīng)，默認(rèn)值等都可以作為區(qū)分0S的依據(jù)。可辨識的OS的種類，包括哪些操作系統(tǒng)，甚至小版本號。指紋技術(shù)有主動和被動兩種。 (1)主動棧指紋探測 主動識別技術(shù)：采用主動發(fā)包，利用多次的試探，去一次一次篩選不同信息，比如根據(jù)ACK值判斷，有些系統(tǒng)會發(fā)送回

22、所確認(rèn)的TCP分組的序列號，有些會發(fā)回序列號加1。還有一些操作系統(tǒng)會使用一些固定的tcp窗口。某些操作系統(tǒng)還會設(shè)置IP頭的DF位來改善性能。這些都成為判斷的依據(jù)。這種技術(shù)判定windows的精度比較差，只能夠判定一個大致區(qū)間，很難判定出其精確版本，但是在unix，網(wǎng)絡(luò)設(shè)備時甚至可以判定出小版本號，比較精確。如果目標(biāo)主機(jī)與源主機(jī)跳數(shù)越多，精度越差。因?yàn)閿?shù)據(jù)包里的很多特征值在傳輸過程中都已經(jīng)被修改或模糊化，會影響到探測的精度。nmap O參數(shù)就是其代表。,典型漏洞掃描技術(shù)原理,漏洞掃描OS掃描 1)FIN探測。跳過TCP三次握手的順序，給目標(biāo)主機(jī)發(fā)送一個FIN包。RFC793規(guī)定，正確的處理是沒有

23、響應(yīng)，但有些OS，如MS Windows，CISC0，HP/UX等會響應(yīng)一個RST包。 2)Bogus標(biāo)志探測。某些OS會設(shè)置SYN包中TCP頭的未定義位(一般為64或128)，而某些0S在收到設(shè)置了這些Bogus位的SYN包后，會重置連接。 3)統(tǒng)計(jì)ICMP ERROR報(bào)文。RFCl812中規(guī)定了ICMP ERROR消息的發(fā)送速度。Linux設(shè)定了目標(biāo)不可達(dá)消息上限為80個4秒。0S探測時可以向隨機(jī)的高端UDP端口大量發(fā)包，然后統(tǒng)計(jì)收到的目標(biāo)不可達(dá)消息。用此技術(shù)進(jìn)行OS探測時時間會長一些，因?yàn)橐罅堪l(fā)包，并且還要等待響應(yīng)，同時也可能出現(xiàn)網(wǎng)絡(luò)中丟包的情況。 4)ICMPERROR報(bào)文引用。RF

24、C文件中規(guī)定，ICMP ERROR消息要引用導(dǎo)致該消息的ICMP消息的部分內(nèi)容。例如對于端口不可達(dá)消息，某些OS返回收到的IP頭及后續(xù)的8個字節(jié)，Solaris返回的ERROR消息中則引用內(nèi)容更多一些，而Linux比Solaris還要多。,典型漏洞掃描技術(shù)原理,漏洞掃描OS掃描 (2)被動棧指紋探測 被動識別技術(shù)：不是向目標(biāo)系統(tǒng)發(fā)送分組，而是被動監(jiān)測網(wǎng)絡(luò)通信，以確定所用的操作系統(tǒng)。利用對報(bào)頭內(nèi)DF位，TOS位，窗口大小，TTL的嗅探判斷。因?yàn)椴⒉恍枰l(fā)送數(shù)據(jù)包，只需要抓取其中的報(bào)文，所以叫做被動識別技術(shù)。例如telnet對方，并用snort監(jiān)聽數(shù)據(jù)包 1)TCP初始化窗口尺寸。通過分析響應(yīng)中的

25、初始窗口大小來猜測OS的技術(shù)比較可靠，因?yàn)楹芏?S的初始窗口尺寸不同。比如AIX設(shè)置的初始窗口尺寸是0 x3F25，而Windows NT5、OpenBSD、FreeBSD設(shè)置的值是0 x402E。 2)Dont Fragment位。為了增進(jìn)性能，某些0S在發(fā)送的包中設(shè)置了DF位，可以從DF位的設(shè)置情況中做大概的判斷。 3)TCPISN采樣。建立TCP連接時，SYNACK中初始序列號ISN的生成存在規(guī)律，比如固定不變、隨機(jī)增加(Solaris，F(xiàn)reeBSD等)，真正的隨機(jī)(Linux 2.0.*)，而Windows使用的是時間相關(guān)模型，ISN在每個不同時間段都有固定的增量。,典型漏洞掃描技術(shù)

26、原理,漏洞掃描脆弱點(diǎn)掃描 從對黑客攻擊行為的分析和脆弱點(diǎn)的分類，絕大多數(shù)掃描都是針對特定操作系統(tǒng)中特定的網(wǎng)絡(luò)服務(wù)來進(jìn)行，即針對主機(jī)上的特定端口。脆弱點(diǎn)掃描使用的技術(shù)主要有基于脆弱點(diǎn)數(shù)據(jù)庫和基于插件兩種。 141基于脆弱點(diǎn)數(shù)據(jù)庫的掃描 首先構(gòu)造掃描的環(huán)境模型，對系統(tǒng)中可能存在的脆弱點(diǎn)、過往黑客攻擊案例和系統(tǒng)管理員的安全配置進(jìn)行建模與分析。其次基于分析的結(jié)果，生成一套標(biāo)準(zhǔn)的脆弱點(diǎn)數(shù)據(jù)庫及匹配模式。最后由程序基于脆弱點(diǎn)數(shù)據(jù)庫及匹配模式自動進(jìn)行掃描工作。脆弱點(diǎn)掃描的準(zhǔn)確性取決于脆弱點(diǎn)數(shù)據(jù)庫的完整性及有效性。,典型漏洞掃描技術(shù)原理,漏洞掃描脆弱點(diǎn)掃描 142基于插件的掃描 插件是由腳本語言編寫的子程序模

27、塊，掃描程序可以通過調(diào)用插件來執(zhí)行掃描。添加新的功能插件可以使掃描程序增加新的功能，或者增加可掃描脆弱點(diǎn)的類型與數(shù)量。也可以升級插件來更新脆弱點(diǎn)的特征信息，從而得到更為準(zhǔn)確的結(jié)果。還可以針對某一具體漏洞，編寫對應(yīng)的外部測試腳本。通過調(diào)用服務(wù)檢測插件，檢測目標(biāo)主機(jī)TCP/IP不同端口 的服務(wù)，并將結(jié)果保存在信息庫中，然后調(diào)用相應(yīng)的插件程序，向遠(yuǎn)程主機(jī)發(fā)送構(gòu)造好的數(shù)據(jù)，檢測結(jié)果同樣保存于信息庫，以給其他的腳本運(yùn)行提供所需的信息， 這樣可提高檢測效率。插件技術(shù)使脆弱點(diǎn)掃描軟件的升級維護(hù)變得相對簡單，而專用腳本語言的使用也簡化了編寫新插件的編程工作，使弱點(diǎn)掃描軟件具有很強(qiáng)的擴(kuò)展性。,典型漏洞掃描技術(shù)原

28、理,漏洞掃描防火墻規(guī)則掃描和BANNER 15防火墻規(guī)則探測 采用類似于traceroute的IP數(shù)據(jù)包分析法，檢測能否給位于過濾設(shè)備后的主機(jī)發(fā)送一個特定的包，目的是便于漏洞掃描后的入侵或下次掃描的順利進(jìn)行。通過這種掃描，可以探測防火墻上打開或允許通過的端口，并且探測防火墻規(guī)則中是否允許帶控制信息的包通過，更進(jìn)一步，可以探測到位于數(shù)據(jù)包過濾設(shè)備后的路由器。 1.6 BANNER Banner的方式相對精確，獲取服務(wù)的banner，是一種比較成熟的技術(shù)，可以用來判定當(dāng)前運(yùn)行的服務(wù)，對服務(wù)的判定較為準(zhǔn)確。而且不僅能判定服務(wù)，還能夠判定具體的服務(wù)版本信息。,目錄,典型掃描工具介紹及使用,實(shí)驗(yàn)與練習(xí),小結(jié),小結(jié),漏洞掃描概述,典型漏洞掃描技術(shù)原理,漏洞掃描報(bào)告包括哪些內(nèi)容,典型掃描工具的介紹與使用,