網(wǎng)絡(luò)攻擊與防護論文10

1、江西理工大學應(yīng)用科學學院網(wǎng)絡(luò)攻擊與防御課程作業(yè)論文題 系 班 姓 成目: 別: 級: 名: 績:掃描技術(shù) 信息工程系網(wǎng)絡(luò)工程091班二o二年四月掃描技術(shù)課程設(shè)計一、掃描技術(shù)的目的和意義安全掃描也稱為脆弱性評估，其基本原理是對目標對象如計算 機，服務(wù)器，路由器等可能存在的已知安全漏洞進行一個一個檢測， 從而進行安全漏洞檢測。通過掃描技術(shù)，可以發(fā)現(xiàn)主機和網(wǎng)絡(luò)存在的對外開放端口，提供 的服務(wù)，某些系統(tǒng)信息，錯誤的配置，已知的安全漏洞等。目前，掃 描都是通過掃描工具來實現(xiàn)的，這些工具收集系統(tǒng)的信息，自動檢測 本地或者遠程主機的安全性脆弱點，根據(jù)掃描結(jié)果向系統(tǒng)管理員提供 可靠的分析報告，為提高網(wǎng)絡(luò)安全提

2、供重要的依據(jù)。比如對于我們學校的論壇網(wǎng)站進行掃描可以發(fā)現(xiàn)我們學校論壇 網(wǎng)站的一些對外開放端口，提供的服務(wù)，某些系統(tǒng)信息，錯誤的配置, 已知的安全漏洞等。然后把分析出來的這些存在的安全隱患及時報告 給論壇網(wǎng)站管理人員。那樣，就可以大大的提高我們學校論壇網(wǎng)站的安全性。對我們學 校進行校園的e化提供了非常重要的幫助。也給自身帶來了很大的經(jīng) 驗和以后建設(shè)網(wǎng)站開發(fā)軟件提供了一些防御安全的基礎(chǔ)。所以本次課程設(shè)計目的就是通過自身體驗和學習來增加自身的 見識和幫助學校網(wǎng)站建設(shè)提供一些安全保障。意義就是能夠通過本次 課程設(shè)計讓同學體會到現(xiàn)在網(wǎng)絡(luò)安全的重要性，并有時刻防范這些安 全隱患的意思。成為現(xiàn)在電子科技迅速

3、發(fā)展時代的有為青年，為以后國家的科技建設(shè)起到一些安全保證！二、目前掃描技術(shù)的研究現(xiàn)狀一個開放的網(wǎng)絡(luò)端口就是一條與計算機進行通信的信道，對網(wǎng) 絡(luò)端口掃描可以的得到目標計算機開放的服務(wù)程序，運行的系統(tǒng)版本 信息，從而為下一步入侵做好準備。對網(wǎng)絡(luò)端口的掃描可以通過執(zhí)行 手工命令實現(xiàn)，但效率低；也可以通過掃描工具實現(xiàn)，效率高。掃描 工具是對目標主機的安全性弱點進行掃描檢測的軟件。它一般具有數(shù) 據(jù)分析功能，通過對端口的扌訃描分析，可以發(fā)現(xiàn)目標主機開放的端口 和所提供的服務(wù)以及相應(yīng)服務(wù)軟件版本和這些服務(wù)及軟件的安全漏 洞，從而能及時了解目標主機存在的安全隱患。掃描技術(shù)的工作原理掃描器通過選用遠程tcp/i

4、p不同的端口的服務(wù)，并記錄目標給 予的回答，通過這種方法，可以搜集到很多關(guān)于目標主機的各種有用 的信息.常用的端口掃描技術(shù)tcp connect ()掃描這是最棊本的tcp掃描。操作系統(tǒng)提供的connect ()系統(tǒng)調(diào)用， 用來與每一個感興趣的目標計算機的端口進行連接。如果端口處于偵 聽狀態(tài)，那么connect ()就能成功。否則，這個端口是不能用的，即 沒有提供服務(wù)。這個技術(shù)的一個最大的優(yōu)點是，你不需要任何權(quán)限。 系統(tǒng)中的任何用戶都有權(quán)利使用這個調(diào)用。另個好處就是速度。如 果對每個目標端口以線性的方式，使用單獨的connect ()調(diào)用，那么 將會花費相當長的時間，你可以通過同時打開多個套接

5、字，從而加速 掃描。使用非阻塞i/o允許你設(shè)置一個低的時間用盡周期，同時觀察 多個套接字。但這種方法的缺點是很容易被發(fā)覺，并且被過濾掉。目 標計算機的logs文件會顯示一連串的連接和連接是出錯的服務(wù)消 息，并且能很快的使它關(guān)閉。tcp syn掃描這種技術(shù)通常認為是“半開放”掃描，這是因為掃描程序不必要 打開一個完全的tcp連接。掃描程序發(fā)送的是一個syn數(shù)據(jù)包，好象 準備打開一個實際的連接并等待反應(yīng)一樣（參考tcp的三次握手建立 一個tcp連接的過程）。一個syn| ack的返回信息表示端口處丁偵聽 狀態(tài)。一個rst返回，表示端口沒有處于偵聽態(tài)。如果收到一個 syn|ack,則掃描程序必須再發(fā)

6、送一個rst信號，來關(guān)閉這個連接過 程。這種掃描技術(shù)的優(yōu)點在于一般不會在目標計算機上留下記錄。但 這種方法的一個缺點是，必須要有root權(quán)限才能建立自己的syn數(shù) 據(jù)包。tcp fin掃描有的時候有可能syn掃描都不夠秘密。一些防火墻和包過濾器會 對一些指定的端口進行監(jiān)視，有的程序能檢測到這些掃描。相反，fin 數(shù)據(jù)包可能會沒有任何麻煩的通過。這種掃描方法的思想是關(guān)閉的端 口會用適當?shù)膔st來回復fin數(shù)據(jù)包。另一方面，打開的端口會忽略 對fin數(shù)據(jù)包的回復。這種方法和系統(tǒng)的實現(xiàn)有一定的關(guān)系。有的系 統(tǒng)不管端口是否打開，都冋復rst,這樣，這種掃描方法就不適用了。 并且這種方法在區(qū)分unix和

7、nt時，是十分有用的。ip段掃描這種不能算是新方法，只是其它技術(shù)的變化。它并不是直接發(fā)送 tcp探測數(shù)據(jù)包，是將數(shù)據(jù)包分成兩個較小的ip段。這樣就將一個 tcp頭分成好幾個數(shù)據(jù)包，從而過濾器就很難探測到。但必須小心。 一些程序在處理這些小數(shù)據(jù)包時會有些麻煩。tcp反向ident掃描idcnt協(xié)議允許（rfcl413）看到通過tcp連接的任何進程的擁有 者的用戶名，即使這個連接不是由這個進程開始的。因此你能，舉個 例子，連接到http端口，然后用identd來發(fā)現(xiàn)服務(wù)器是否正在以 root權(quán)限運行。這種方法只能在和冃標端口建立了一個完整的tcp 連接后才能看到。ftp返回攻擊ftp協(xié)議的一個有趣

8、的特點是它支持代理（proxy） ftp連接。即 入侵者可以從自己的計算機a. com和目標主機target, com的ftp server-pi （協(xié)議解釋器）連接，建立一個控制通信連接。然后，請求 這個server-pi激活一個有效的serverdtp（數(shù)據(jù)傳輸進程）來給 internet上任何地方發(fā)送文件。對于一個uscr-dtp,這是個推測, 盡管rfc明確地定義請求一個服務(wù)器發(fā)送文件到另一個服務(wù)器是可 以的。但現(xiàn)在這個方法好象不行了。這個協(xié)議的缺點是“能用來發(fā)送 不能跟蹤的郵件和新聞，給許多服務(wù)器造成打擊，用盡磁盤，企圖越 過防火墻”。我們利用這個的目的是從一個代理的ftp服務(wù)器來掃

9、描tcp端 口。這樣，你能在一個防火墻后面連接到一個ftp服務(wù)器，然后掃描 端口(這些原來有可能被阻塞)。如果ftp服務(wù)器允許從一個目錄讀 寫數(shù)據(jù)，你就能發(fā)送任意的數(shù)據(jù)到發(fā)現(xiàn)的打開的端口。對于端口掃描，這個技術(shù)是使用port命令來表示被動的user dtp 正在冃標計算機上的某個端口偵聽。然后入侵者試圖用list命令列 出當前目錄，結(jié)果通過serwer-dtp發(fā)送出去。如果目標主機正在某 個端口偵聽，傳輸就會成功(產(chǎn)生一個150或226的回應(yīng))。否則，會 出現(xiàn)425 can't build data conn ecti on: conn ection refused 然后，使用另一個p

10、ort命令，嘗試目標計算機上的下一個端口。這 種方法的優(yōu)點很明顯，難以跟蹤，能穿過防火墻。主要缺點是速度很 慢，有的ftp服務(wù)器最終能得到一些線索，關(guān)閉代理功能。這種方法能成功的情景：220 xxxxxxx. com ftp server (version wu2.4 (3) wed dec 14 . . .) ready.220 xxx xxx.xxx. edu ftp server ready.220 xx. telcomxxxx .edu ftp server (version wu2.4(3) tuejun 11 )ready.220 lem ftp server (sunos 4.1

11、) ready220 xxx.xxx.es ftp server (version wu2.4(11) sat apr27 . . .) ready.220 elios ftp server (sunos 4.1) ready這種方法不能成功的情景：220 wcarchive cdrom com ftp server (version dg2 0. 39 sun may 4 )ready.220 xxx. xx. xxxxx edu version wu一2. 4. 2-academbeta-12 (1) fri feb 7220 ftp microsoft ftp service (vers

12、ion 3. 0).220 xxx ftp server (version wu2. 4. 2-academbeta-11 (1) tuc sep 3 )ready.220 xxx.unc. edu ftp server (version wu2. 4. 2-acaclembeta-13 (6) . . .) readyudp icmp端口不能到達掃描這種方法與上面幾種方法的不同之處在于使用的是udp協(xié)議。由 于這個協(xié)議很簡單,所以掃描變得相對比較困難。這是由于打開的端 口對掃描探測并不發(fā)送一個確認，關(guān)閉的端口也并不需要發(fā)送一個錯 誤數(shù)據(jù)包。幸運的是，許多主機在你向一個未打開的udp端口發(fā)送一

13、 個數(shù)據(jù)包時，會返回一個icmp_port_unreach錯誤。這樣你就能發(fā)現(xiàn) 哪個端口是關(guān)閉的。udp和icmp錯誤都不保證能到達，因此這種掃 描器必須還實現(xiàn)在一個包看上去是丟失的時候能重新傳輸。這種掃描 方法是很慢的，因為rfc對icmp錯誤消息的產(chǎn)生速率做了規(guī)定。同 樣，這種掃描方法需要具有root權(quán)限。udp reevfrom()和 write ()掃描當非root用戶不能直接讀到端口不能到達錯誤時，linux能間 接地在它們到達時通知用戶。比如，對一個關(guān)閉的端口的第二個 write ()調(diào)用將失敗。在非阻塞的udp套接字上調(diào)用recvfromo時， 如果icmp出錯還沒有到達時回返回

14、eagain-重試。如果icmp到達時, 返回econnrefused-連接被拒絕。這就是用來查看端口是否打開的技 術(shù)。icmp echo 掃描這并不是真正意義上的掃描。但有時通過ping,在判斷在一個 網(wǎng)絡(luò)上主機是否開機時非常有用。典型掃描工具：x-scan三、設(shè)計思路分析x-scan是國內(nèi)最著名的綜合掃描器之一，它完全免費，是不需 要安裝的綠色軟件軟件、界面支持屮文和英文兩種語言、包括圖形界 面和命令行方式。主要由國內(nèi)著名的民間黑客組織“安全焦點”完成, 從2000年的內(nèi)部測試版x-scan v0. 2到目前的最新版本x-scan 3. 3-cn都凝聚了國內(nèi)眾多黑客的心血。最值得一提的是，

15、x-scan把 掃描報告和安全焦點網(wǎng)站相連接，對掃描到的每個漏洞進行“風險等 級”評估，并提供漏洞描述、漏洞溢出程序，方便網(wǎng)管測試、修補漏 洞.軟件說明采用多線程方式對指定ip地址段(或單機)進行安全漏洞檢測， 支持插件功能，提供了圖形界面和命令行兩種操作方式，掃描內(nèi)容包 括：遠程操作系統(tǒng)類型及版本，標準端口狀態(tài)及端口 banner信息，cgi 漏洞，iis 漏洞，rpc 漏洞，sql-server、ftp-server、smtp-server、 p0p3-server. nt-server 弱口令用戶，nt 服務(wù)器 netbios 信息等。 掃描結(jié)果保存在/log/目錄中,index_*.

16、html為掃描結(jié)果索引文件。系統(tǒng)支持（x-scan 支持的操作系統(tǒng)：win9x/nt/2000/xp/2003/win7） 理論上可運行于windows nt系列操作系統(tǒng)，推薦運彳亍于windows 2000 以上的server版windows系統(tǒng)。本次論文將以x-scan軟件對木學校網(wǎng)站為監(jiān)聽冃標。用來獲取 一些關(guān)于用戶的用戶名和密碼等安全問題的內(nèi)容。四、設(shè)計過程描述初期：了解一些關(guān)于網(wǎng)絡(luò)掃描的軟件或者工具，分析和比較這些軟件和 工具。最終確定用哪個軟件。本論文將以x-scan為例來介紹和使用。 深入了解自己選擇的軟件或者工具的工作原理和一些簡單的操作。 檢測范圍“指定ip范圍”-可以輸入獨

17、立ip地址或域名，也可輸入以 “-” 和“，”分隔的 ip 范圍，如“ 192. 168. 0. 1-20, 192. 168. 1. 10-192. 168. 1. 254 ”， 或類 似 "192. 168. 100. 1/24”的掩碼格式?！皬奈募蝎@取主機列表”-選中該復選框?qū)奈募凶x取待檢測主機地址，文件格式應(yīng)為純文 本，每一行可包含獨立ip或域名，也可包含以7和“，”分隔的ip范圍。中期：了解并且設(shè)置此軟件的一些配置和設(shè)置！全局設(shè)置“掃描模塊”項-選擇本次掃描需要加載的插件?！安l(fā)掃描”項-設(shè)置并發(fā)掃描的主機和并發(fā)線程數(shù)，也可以 單獨為每個主機的各個插件設(shè)置最大線程數(shù)。

18、“網(wǎng)絡(luò)設(shè)置”項-設(shè)置適合的網(wǎng)絡(luò)適配器，若找不到網(wǎng)絡(luò)適配 器，請重新安裝winpcap 3. 1 beta4以上版本驅(qū)動?！皰呙鑸蟾妗表?掃描結(jié)束后生成的報告文件名，保存在log 目錄下。掃描報告目前支持txt、html和xml三種格式。其他設(shè)置“跳過沒有響應(yīng)的主機” -若目標主機不響應(yīng)icmp echo及 tcp syn報文，x-scan將跳過對該主機的檢測?！盁o條件掃描” -如標題所述“跳過沒有檢測到開放端口的主機”-若在用戶指定的tcp端 口范圍內(nèi)沒有發(fā)現(xiàn)開放端口，將跳過對該主機的后續(xù)檢測?！笆褂胣map判斷遠程操作系統(tǒng)” -x-scan使用snmp、netbios 和nmap綜合判斷遠程

19、操作系統(tǒng)類型，若nmap頻繁出錯，可關(guān)閉該選 項?！帮@示詳細信息” -主要用于調(diào)試，平吋不推薦使用該選項?！安寮O(shè)置”模塊：該模塊包含針對各個插件的單獨設(shè)置，如“端 口掃描”插件的端口范圍設(shè)置、各弱口令插件的用戶名/密碼字典設(shè) 置等。后期：利用此軟件對我們學校的論壇網(wǎng)站進行掃描，并分析掃描的結(jié)果。 分析出結(jié)果之后，練習我們學校論壇網(wǎng)站的管理人員協(xié)助他們對我們 學校論壇網(wǎng)站進行相應(yīng)的維護工作。以此來達到我們學校的論壇網(wǎng)站 的安全性。讓我們學校的學生用以來放心，安全！在此過程中我們也碰到一些問題:問題：如果沒有安裝winpcap驅(qū)動程序是否能正常使用x-scan進 行掃描？解決方法：如果系統(tǒng)未安裝

20、winpcap驅(qū)動，x-scan啟動后會自動 安裝winpcap 3. 1；如果系統(tǒng)已經(jīng)安裝了 winpcap更高版本，x-scan 則使用己有版本。問題：掃描一個子網(wǎng)，進程里同時出現(xiàn)10個checkhost, exe的進 程是什么原因？解決方法：檢測每個主機都會單獨起一個checkhost, exe進程， 檢測完畢會自動退出。并發(fā)主機數(shù)量可以通過圖形界面的設(shè)置窗口設(shè) 定，命令行程序通過“-1”參數(shù)設(shè)定。問題：掃描過程中機器突然藍屏重啟是什么原因？解決方法：掃描過程中系統(tǒng)藍屏是有可能的，atguard.天網(wǎng)等防 火墻的驅(qū)動程序在處理特殊包的吋候有可能出錯導致系統(tǒng)崩潰，另外 很多防火墻驅(qū)動與wi

21、npcap驅(qū)動本身也存在沖突，建議先禁止或卸載 防火墻程序再試試。問題：操作系統(tǒng)識別不正確是什么原因？解決方法：操作系統(tǒng)識別方面確實不能保證100%的準確率，冃前 是綜合nmap、p0f的指紋庫、netbios信息和snmp信息進行識別, 如果目標機器沒有開放netbios和snmp協(xié)議tcp/ip堆棧指紋也不 在數(shù)據(jù)庫中，就需要使用者根據(jù)其他信息綜合分析了。問題：為什么在一次掃描小我選擇了方式進行端口掃描，但x-scan實際采用的是“tcp”方式，而且也沒有被動識別出目標操 作系統(tǒng)？解決方法：端口掃描中的“syn”方式在nt4或xp+sp2系統(tǒng)下無法使用，在windows 2000等系統(tǒng)下使

22、用時必須擁有管理人員權(quán)限， 否則將自動改用“tcp”方式進行端口掃描。五、設(shè)計成果展示下面是一些在課設(shè)設(shè)計實驗過程中截取的一些圖片來說明和證明 學校論壇的安全隱患此圖為利用s-scan設(shè)置一下檢測范圍和檢測的ipo其中ip就是學校論壇ipox-scan v33 gui文件（乂）設(shè)52（w） 査看（x） 工興（y） language 殆肋（z）主機:累i±g±r司:插件時間i活動線程.當前進度 |mwnnr息歸灑or扈 |p c c1 pppctt 4 c c c t/ t t t/36 /o3om 150143 228113-t77t777444444.44.222222222222221111111222222277tttt711111111111111掃描全部芫成active thread: 0此圖為利用s-scan對我們學校論壇ip為117. 21. 224. 47進行掃描的 漏洞信息結(jié)果。此結(jié)果現(xiàn)實我們學校