網(wǎng)絡(luò)掃描與網(wǎng)絡(luò)監(jiān)聽

1、第3章 網(wǎng)絡(luò)掃描與網(wǎng)絡(luò)監(jiān)聽 概 述 本章主要介紹黑客的相關(guān)知識、網(wǎng)絡(luò)踩點的方法、網(wǎng)絡(luò)掃描和網(wǎng)絡(luò)監(jiān)聽技術(shù)。其中，網(wǎng)絡(luò)掃描是黑客實施攻擊前獲得目標(biāo)及其漏洞信息的重要手段，而網(wǎng)絡(luò)監(jiān)聽則是黑客向內(nèi)部網(wǎng)進行滲透的常用手法。目 錄一一. 黑客概述黑客概述 二. 網(wǎng)絡(luò)踩點 三. 網(wǎng)絡(luò)掃描 四. 網(wǎng)絡(luò)監(jiān)聽 3.1 黑客概述 3.1.1 黑客的概念 “黑客”一詞是由英文單詞“Hacker”音譯過來的。最初起源于20世紀(jì)50年代，是指那些精力充沛、熱衷于解決計算機難題的程序員。當(dāng)時計算機非常昂貴，只存在于各大院校與科研機構(gòu)，技術(shù)人員使用一次計算機，需要很復(fù)雜的手續(xù)，而且計算機的效率也不高，為了繞過一些限制，最大限

2、度地利用這些昂貴的計算機，一些程序員們就寫出了一些簡潔高效的捷徑程序，這些程序往往較原有的程序系統(tǒng)更完善，這種行為被稱為“Hack” ,而“ Hacker”就是從事這種行為的人。3.1 黑客概述 3.1.1 黑客的概念 20世紀(jì)60、70年代，黑客一詞仍是褒義詞，用于指代那些獨立思考、奉公守法的計算機迷，他們智力超群，對計算機全身心投入，從事黑客活動意味著對計算機的最大潛能進行智力上的自由探索。隨著互聯(lián)網(wǎng)的日益擴大，逐漸形成了黑客群體。正是這些黑客，倡導(dǎo)了一場個人計算機革命，倡導(dǎo)了現(xiàn)代計算機的開放體系結(jié)構(gòu)，打破了以往計算機技術(shù)只掌握在少數(shù)人手里的局面，是計算機發(fā)展史上的英雄。3.1 黑客概述3

3、.1 黑客概述3.1 黑客概述3.1 黑客概述 3.1.1 黑客的概念 從黑客的起源來看，稱計算機犯罪的人為黑客是對Hacker本質(zhì)的誤解，只會使用一些軟件入侵系統(tǒng)的人根本沒有任何資格和黑客這個詞相提并論。 黑客：首先應(yīng)該在某項安全技術(shù)上有出眾的能力，即技術(shù)上的行家，另外，還應(yīng)具有自由、共享的精神和正義的行為，即熱衷于解決問題，并能無償幫助他人。3.1 黑客概述 3.1.1 黑客的概念 黑客們?yōu)榱伺c其他黑客相區(qū)別自封了三頂帽子，即“黑帽子”、“白帽子”和“灰帽子”。 黑帽子：以入侵他人計算機系統(tǒng)為樂趣并進行 破壞的人。 白帽子：入侵系統(tǒng)進行安全研究并主動幫助別 人修補漏洞的網(wǎng)絡(luò)安全人員。 灰帽

4、子：指那些發(fā)現(xiàn)系統(tǒng)漏洞，并在公開場合 探討這些漏洞和安全防范措施的計算 機技術(shù)愛好者。3.1 黑客概述 3.1.2 攻擊的概念 攻擊是對系統(tǒng)全策略的一種侵犯，是指任何企圖破壞計算機資源的完整性（未授權(quán)的數(shù)據(jù)修改）、機密性（未授權(quán)的數(shù)據(jù)泄露或未授權(quán)的服務(wù)的使用）以及可用性（拒絕服務(wù)）的活動。通常，“攻擊”和“入侵”同指這樣一種活動。3.1 黑客概述 3.1.3 攻擊的分類 互聯(lián)計算機的威脅來自很多形式。1980年，Anderson在其著名的報告中，對不同類型的計算機系統(tǒng)安全威脅進行了劃分，他將入侵分為外部闖入、內(nèi)部授權(quán)擁護的越權(quán)使用和濫用三種類型，并以此為基礎(chǔ)提出了不同安全滲透的檢測方法。 目前

5、，攻擊分類的主要依據(jù)有：威脅來源、攻擊方式、安全屬性、攻擊目的和攻擊使用的技術(shù)手段等。這里給出幾種攻擊分類方式。3.1 黑客概述1. 按照威脅的來源，潛在入侵者的攻擊可以被粗略地分成兩類。外來人員攻擊和內(nèi)部人員攻擊2. 按照安全屬性，Stalling將攻擊分為四類，如圖3.1所示。3. 按照攻擊方式，攻擊可分為主動攻擊和被動攻擊。(a) 正正常常情情況況發(fā)發(fā)送送方方接接收收方方(b) 中中斷斷(c) 攔攔截截偵偵聽聽(d) 篡篡改改(e) 偽偽造造被動攻擊包括竊聽和監(jiān)聽。常用保護方法：加密。此攻擊檢測困難。主動攻擊包括偽裝、應(yīng)答、修改文件、拒絕服務(wù)。此攻擊難阻止、但可以檢測、并修復(fù)。3.1 黑

6、客概述 4. 按照入侵者的攻擊目的，可將攻擊分為下面四類。(1) 拒絕服務(wù)攻擊：是最容易實施的攻擊行為，它企圖通過使目標(biāo)計算機崩潰或把它壓跨來阻止其提供服務(wù)。主要包括：Land，Syn flooding (UDP flooding)，Ping of death，Smurf (Fraggle)，Teardrop，TCP RST攻擊，Jot2，電子郵件炸彈，畸形消息攻擊。 (2) 利用型攻擊：是一類試圖直接對你的機器進行控制的攻擊。主要包括：口令猜測，特洛伊木馬，緩沖區(qū)溢出。 (3) 信息收集型攻擊：這類攻擊并不對目標(biāo)本身造成危害，而是被用來為進一步入侵提供有用的信息。主要包括：掃描（包括：端口掃

7、描、地址掃描、反向映射、慢速掃描），體系結(jié)構(gòu)刺探，利用信息服務(wù)（包括：DNS域轉(zhuǎn)換、Finger服務(wù)，LDAP服務(wù)）。 (4) 假消息攻擊：用于攻擊目標(biāo)配置不正確的消息，主要包括：DNS高速緩存污染、偽造電子郵件。匿名電子郵件轉(zhuǎn)發(fā)u漏洞名稱：Exchange Server5.5匿名轉(zhuǎn)發(fā)漏洞u原理原理匿名電子郵件轉(zhuǎn)發(fā)u案例 深圳市二十多個郵件服務(wù)器 番禺東城小學(xué)Internet東城小學(xué)臺灣日本匿名電子郵件轉(zhuǎn)發(fā)u造成危害造成危害u網(wǎng)絡(luò)堵塞u給利用于反動宣傳u解決方法解決方法u打補丁u關(guān)閉該服務(wù)或端口25 , 110 張三是一個大型軟件公司的程序員，其工作是編寫和測試一些工具軟件。他所在的公司采用兩

8、班輪換制：白天進行程序開發(fā)和聯(lián)機操作，晚上完成產(chǎn)品的批處理工作。張三通過訪問工作負(fù)荷數(shù)據(jù)了解到，晚上的批處理工作是白天編程工作的補充。也就是說，再晚班時增加程序設(shè)計工作，不會太多的影響他人計算機的操作性能。 張三利用晚班時間，花費幾個小時的編程，開發(fā)了一個管理自己股票清單的程序，之后又回到公司產(chǎn)品批處理工作上，他的程序?qū)ο到y(tǒng)消耗很小，耗材很少，幾乎覺察不到。 請問張三的行為違反法律嗎？行為道德嗎？ 信息安全案例問題討論1 資產(chǎn)擁有權(quán)問題。計算機資產(chǎn)與時間人員資產(chǎn)。只為公司的工作需要提供資源。2 一人行為對他人的影響問題。盡管程序?qū)ο到y(tǒng)消耗很小，程序也簡單，一般情況也可能無影響。但不能保證程序中

9、沒有漏洞。如有就會對系統(tǒng)造成嚴(yán)重影響和故障。3 普遍性問題。如果張三的行為可以接受，許多人都這樣，就會影響系統(tǒng)和效率。4 檢測的可能性與處罰問題。不容易發(fā)覺不是不能檢測到，如果公司確定他的行為不當(dāng)，就會受到處罰。3.1 黑客概述 5. 按照入侵者使用的技術(shù)手段，攻擊技術(shù)主要分為以下四類。 網(wǎng)絡(luò)信息收集技術(shù)：包括目標(biāo)網(wǎng)絡(luò)中主機的拓?fù)浣Y(jié)構(gòu)分析技術(shù)、目標(biāo)網(wǎng)絡(luò)服務(wù)分布分析技術(shù)和目標(biāo)網(wǎng)絡(luò)漏洞掃描技術(shù)。 目標(biāo)網(wǎng)絡(luò)權(quán)限提升技術(shù)：包括本地權(quán)限提升和遠(yuǎn)程權(quán)限提升。 目標(biāo)網(wǎng)絡(luò)滲透技術(shù)：包括后門技術(shù)、Sniffer技術(shù)、欺騙技術(shù)、tunnel及代理技術(shù)。 目標(biāo)網(wǎng)絡(luò)摧毀技術(shù)：包括目標(biāo)服務(wù)終止、目標(biāo)系統(tǒng)癱瘓和目標(biāo)網(wǎng)絡(luò)癱

10、瘓。3.2 網(wǎng)絡(luò)踩點 踩點踩點，也就是信息收集。黑客實施攻擊前要做的第一步就是“踩點”。與劫匪搶銀行類似，攻擊者在實施攻擊前會使用公開的和可利用的信息來調(diào)查攻擊目標(biāo)。通過信息收集，攻擊者可獲得目標(biāo)系統(tǒng)的外圍資料，如機構(gòu)的注冊資料、網(wǎng)絡(luò)管理員的個人愛好、網(wǎng)絡(luò)拓?fù)鋱D等。攻擊者將收集來的信息進行整理、綜合和分析后，就能夠初步了解一個機構(gòu)網(wǎng)絡(luò)的安全態(tài)勢和存在的問題，并據(jù)此擬定出一個攻擊方案。3.2 網(wǎng)絡(luò)踩點 肉雞就是被黑客攻破，種植了木馬病毒的電腦，黑客可以隨意操縱它并利用它做任何事情，就象傀儡。肉雞可以是各種系統(tǒng)，如windows、linux、unix等，更可以是一家公司、企業(yè)、學(xué)校甚至是政府軍隊的

11、服務(wù)器。 如何檢測呢？3.2 網(wǎng)絡(luò)踩點 注意以下幾種基本的情況： 1：QQ、MSN的異常登錄提醒 （系統(tǒng)提示上一次的登錄IP不符） 2：網(wǎng)絡(luò)游戲登錄時發(fā)現(xiàn)裝備丟失或與上次下線時的位置不符，甚至用正確的密碼無法登錄。 3：有時會突然發(fā)現(xiàn)你的鼠標(biāo)不聽使喚，在你不動鼠標(biāo)的時候，鼠標(biāo)也會移動，并且還會點擊有關(guān)按鈕進行操作。 4：正常上網(wǎng)時，突然感覺很慢，硬盤燈在閃爍，就像你平時在COPY文件。 3.2 網(wǎng)絡(luò)踩點 5：當(dāng)你準(zhǔn)備使用攝像頭時，系統(tǒng)提示，該設(shè)備正在使用中。 6：在你沒有使用網(wǎng)絡(luò)資源時，你發(fā)現(xiàn)網(wǎng)卡燈在不停閃爍。如果你設(shè)定為連接后顯示狀態(tài)，你還會發(fā)現(xiàn)屏幕右下角的網(wǎng)卡圖標(biāo)在閃。 7：服務(wù)列隊中出可

12、疑程服務(wù)。 8：寬帶連接的用戶在硬件打開后未連接時收到不正常數(shù)據(jù)包。（可能有程序后臺連接） 3.2 網(wǎng)絡(luò)踩點 9：防火墻失去對一些端口的控制。 10：上網(wǎng)過程中計算機重啟。 11：有些程序如殺毒軟件防火墻卸載時出現(xiàn)閃屏（卸載界面一閃而過，然后報告完成。） 12：一些用戶信任并經(jīng)常使用的程序（QQ殺毒）卸載后。目錄文仍然存在，刪除后自動生成。 13：電腦運行過程中或者開機的時候彈出莫名其妙的對話框 3.2 網(wǎng)絡(luò)踩點 我們可以借助一些軟件來觀察網(wǎng)絡(luò)活動情況，以檢查系統(tǒng)是否被入侵。 1注意檢查防火墻軟件的工作狀態(tài) 比如金山網(wǎng)鏢、360安全衛(wèi)士等。在網(wǎng)絡(luò)狀態(tài)頁，會顯示當(dāng)前正在活動的網(wǎng)絡(luò)連接，仔細(xì)查看相

13、關(guān)連接。如果發(fā)現(xiàn)自己根本沒有使用的軟件在連接到遠(yuǎn)程計算機，就要小心了。 3.2 網(wǎng)絡(luò)踩點 2推薦使用tcpview，可以非常清晰的查看當(dāng)前網(wǎng)絡(luò)的活動狀態(tài)。 一般的木馬連接，是可以通過這個工具查看到結(jié)果的。 這里說一般的木馬連接，是區(qū)別于某些精心構(gòu)造的rootkit木馬采用更高明的隱藏技術(shù)，不易被發(fā)現(xiàn)的情況。 3.2 網(wǎng)絡(luò)踩點 3使用360、金山清理專家等進行在線診斷，特別注意全面診斷的進程項 清理專家會對每一項進行安全評估，當(dāng)遇到未知項時，需要特別小心。 4清理專家百寶箱的進程管理器 可以查找可疑文件，幫你簡單的檢查危險程序所在。 如何避免呢？如何避免呢？ 3.2 網(wǎng)絡(luò)踩點 1.關(guān)閉高危端口關(guān)

14、閉高危端口 2.及時打補丁及時打補丁 即升級殺毒軟件即升級殺毒軟件 3.經(jīng)常檢查系統(tǒng)經(jīng)常檢查系統(tǒng) 4.盜版盜版Windows XP存在巨大風(fēng)險存在巨大風(fēng)險 5.小心使用移動存儲設(shè)備小心使用移動存儲設(shè)備 6.安全上網(wǎng)安全上網(wǎng)3.2 網(wǎng)絡(luò)踩點 踩點踩點3.2 網(wǎng)絡(luò)踩點I n t r a n e t 又 稱 為 企 業(yè) 內(nèi) 部 網(wǎng) ， 是Internet技術(shù)在企業(yè)內(nèi)部的應(yīng)用。它實際上是采用Internet技術(shù)建立的企業(yè)內(nèi)部網(wǎng)絡(luò)，它的核心技術(shù)是基于Web的計算。Intranet的基本思想是:在內(nèi)部網(wǎng)絡(luò)上采用TCP/IP作為通信協(xié)議，利用Internet的Web模型作為標(biāo)準(zhǔn)信息平臺，同時建立防火墻把內(nèi)部

15、網(wǎng)和Internet分開。當(dāng)然Intranet并非一定要和Internet連接在一起，它完全可以自成一體作為一個獨立的網(wǎng)絡(luò)。3.2 網(wǎng)絡(luò)踩點whois（讀作“Who is”，而非縮寫）是用來查詢域名的IP以及所有者等信息的傳輸協(xié)議。 whois就是一個用來查詢域名是否已經(jīng)被注冊，以及注冊域名的詳細(xì)信息的數(shù)據(jù)庫（如域名所有人、域名注冊商、域名注冊日期和過期日期等）。通過whois來實現(xiàn)對域名信息的查詢。 3.2 網(wǎng)絡(luò)踩點1利用搜索引擎搜索引擎是一個非常有利的踩點工具，如Google具有很強搜索能力，能夠幫助攻擊者準(zhǔn)確地找到目標(biāo)，包括網(wǎng)站的弱點和不完善配置。比如，多數(shù)網(wǎng)站只要設(shè)置了目錄列舉功能，G

16、oogle就能搜索出Index of頁面，如圖3.2。 3.2 網(wǎng)絡(luò)踩點打開Index of頁面就能夠瀏覽一些隱藏在互聯(lián)網(wǎng)背后的開放了目錄瀏覽的網(wǎng)站服務(wù)器的目錄，并下載本無法看到的密碼賬戶等有用文件，如圖3.3。 3.2 網(wǎng)絡(luò)踩點2利用whois數(shù)據(jù)庫 除了搜索引擎外，Internet上的各種whois數(shù)據(jù)庫也是非常有用的信息來源。這些數(shù)據(jù)庫包含各種關(guān)于Internet地址分配、域名和個人聯(lián)系方式等數(shù)據(jù)元素。攻擊者可以從Whois數(shù)據(jù)庫了解目標(biāo)的一些注冊信息。提供whois服務(wù)的機構(gòu)很多，其中和中國最相關(guān)的機構(gòu)及其對應(yīng)網(wǎng)址如表3.2。3.2 網(wǎng)絡(luò)踩點下面給出一個例子，利用http:/提供的wh

17、ois服務(wù)查詢信息，如圖3.4、圖3.5所示。3.2 網(wǎng)絡(luò)踩點下面給出一個例子，利用http:/提供的whois服務(wù)查詢信息，如圖3.4、圖3.5所示。3.2 網(wǎng)絡(luò)踩點3利用DNS服務(wù)器DNS服務(wù)中維護的信息除了域名和IP地址的對應(yīng)關(guān)系外，還有主機類型、一個域中的郵件服務(wù)器地址、郵件轉(zhuǎn)發(fā)信息、從IP地址到域名的反向解析信息等。用nslookup程序可以從DNS服務(wù)器上查詢一些網(wǎng)站的相關(guān)信息，如圖3.6是查詢和得到的結(jié)果。 3.3 網(wǎng)絡(luò)掃描 掃描是進行信息收集的一種必要工具，它可以完成大量的重復(fù)性工作，為使用者收集與系統(tǒng)相關(guān)的必要信息。對于黑客來講，掃描是攻擊系統(tǒng)時的有力助手；而對于管理員，掃描

18、同樣具備檢查漏洞，提高安全性的重要作用。3.3 網(wǎng)絡(luò)掃描 3.3.1 安全漏洞概述 通常，網(wǎng)絡(luò)或主機中存在的安全漏洞是攻擊者成功地實施攻擊的關(guān)鍵。那么，什么是安全漏洞？安全漏洞產(chǎn)生的根源是什么？這些漏洞有哪些危害呢？3.3 網(wǎng)絡(luò)掃描 1安全漏洞的概念 這里所說的漏洞不是一個物理上的概念，而是指計算機系統(tǒng)具有的某種可能被入侵者惡意利用的屬性，在計算機安全領(lǐng)域，安全漏洞通常又稱作脆弱性。 簡單地說，計算機漏洞是系統(tǒng)的一組特性，惡意的主體能夠利用這組特性，通過已授權(quán)的手段和方式獲取對資源的未授權(quán)訪問，或者對系統(tǒng)造成損害。這里的漏洞既包括單個計算機系統(tǒng)的脆弱性，也包括計算機網(wǎng)絡(luò)系統(tǒng)的漏洞。3.3 網(wǎng)絡(luò)

19、掃描 2漏洞存在原因 現(xiàn)在Internet上仍然在使用的基礎(chǔ)協(xié)議中，有很多早期的協(xié)議在最初設(shè)計時并沒有考慮安全方面的需求。并且，Internet是一個快速變化的動態(tài)環(huán)境，要在這樣一個基礎(chǔ)設(shè)施并不安全、動態(tài)的、分布式的環(huán)境中保證應(yīng)用的安全是相當(dāng)困難的。正是由于Internet的開放性和其協(xié)議的原始設(shè)計，攻擊者無需與被攻擊者有物理上的接觸，就可以成功地對目標(biāo)實施攻擊，而不被檢測到或跟蹤到。 3.3 網(wǎng)絡(luò)掃描 另外，高速膨脹的應(yīng)用類型也是漏洞存在的原因。產(chǎn)品開發(fā)周期短 從技術(shù)角度來看，漏洞的來源主要有以下幾個方面：（1）軟件或協(xié)議設(shè)計時的瑕疵（2）軟件或協(xié)議實現(xiàn)中的弱點（3）軟件本身的瑕疵（4）系統(tǒng)

20、和網(wǎng)絡(luò)的錯誤配置3.3 網(wǎng)絡(luò)掃描 3漏洞的危害 漏洞主要存在于操作系統(tǒng)、應(yīng)用程序以及腳本中，它使得入侵者能夠執(zhí)行特殊的操作，從而獲得不應(yīng)該獲得的權(quán)限。幾乎每天都能在某些程序或操作系統(tǒng)中發(fā)現(xiàn)新的漏洞，許多漏洞都能導(dǎo)致攻擊者獲得root權(quán)限，從而可以控制系統(tǒng)并獲得機密資料，導(dǎo)致公司或個人遭受巨大損失。不同的漏洞其表現(xiàn)形式不一樣，危害也有大小之分，但是總的說來，安全漏洞危害系統(tǒng)的完整性、系統(tǒng)的可用性、系統(tǒng)的機密性、系統(tǒng)的可控性和系統(tǒng)的可靠性等。3.3 網(wǎng)絡(luò)掃描 3.3.2 為什么進行網(wǎng)絡(luò)掃描 很多入侵者常常通過掃描來發(fā)現(xiàn)存活的目標(biāo)及其存在的安全漏洞，然后通過漏洞入侵目標(biāo)系統(tǒng)。為了解決安全問題，網(wǎng)絡(luò)管

21、理員也常借助掃描器對所管轄的網(wǎng)絡(luò)進行掃描，以發(fā)現(xiàn)自身系統(tǒng)中的安全隱患和存在的棘手問題，然后修補漏洞排除隱患。所以說掃描是一把雙刃劍。為了解決安全隱患和提高掃描效率，很多公司和開發(fā)組織開發(fā)了各種各樣的漏洞評估工具，這些漏洞評估工具也被稱為掃描器，其種類繁多、性能各異。 掃描就是通過向目標(biāo)主機發(fā)送數(shù)據(jù)報文、然后根據(jù)響應(yīng)獲得目標(biāo)主機的信息。 根據(jù)掃描目的的不同，分類： 地址掃描、端口掃描、和漏洞掃描。3.3 網(wǎng)絡(luò)掃描 3.3.3 發(fā)現(xiàn)目標(biāo)的掃描 如果將掃描比擬為收集情報的話，掃描目標(biāo)就是尋找突破口了。本節(jié)介紹基本的掃描技術(shù)和掃描技巧，利用這些技術(shù)和技巧可以確定目標(biāo)是否存活在網(wǎng)絡(luò)上，以及正在從事的工作

22、類型。該類掃描目前主要有Ping掃描和ICMP查詢兩種。3.3 網(wǎng)絡(luò)掃描1Ping掃描3.3 網(wǎng)絡(luò)掃描在“開始IP”和“結(jié)束IP”文本框分別輸入需要進行Ping掃描的起始地址和結(jié)束地址，并單擊右側(cè)按鈕將其加入右側(cè)文本框，如圖3.8所示。3.3 網(wǎng)絡(luò)掃描3.3 網(wǎng)絡(luò)掃描掃描完成后可以單擊SuperScan提供的“查看HTML結(jié)果”按鈕，查看主機存活情況，如圖3.10所示。3.3 網(wǎng)絡(luò)掃描 2ICMP查詢 如果目標(biāo)主機阻塞了ICMP回顯請求報文，仍然可以通過使用其它類型的ICMP報文探測目標(biāo)主機是否存活，并收集到各種關(guān)于該系統(tǒng)的有價值的信息。例如，向該系統(tǒng)發(fā)送ICMP類型為13的消息，若主機存活就

23、能獲得該系統(tǒng)的系統(tǒng)時間；發(fā)送ICMP類型為17的消息，若主機存活就能獲得該目標(biāo)主機的子網(wǎng)掩碼。3.3 網(wǎng)絡(luò)掃描 3. TCP掃射和UDP掃射 另外，TCP掃射和UDP掃射也可用于發(fā)現(xiàn)目標(biāo)是否存活。從TCP連接的三次握手過程可以知道，如果向目標(biāo)發(fā)送一個SYN報文，則無論收到一個SYN/ACK報文還是一個RST報文，都表明目標(biāo)處于存活狀態(tài)，或向目標(biāo)發(fā)送一個ACK報文，如果收到一個RST報文則表明目標(biāo)存活。這就是TCP掃射的基本原理。 如果向目標(biāo)特定端口發(fā)送一個UDP數(shù)據(jù)報之后，接收到ICMP端口不可達的錯誤，則表明目標(biāo)存活，否則表明目標(biāo)不在線或者目標(biāo)的相應(yīng)UDP端口是打開的。這是UDP掃射的原理。

24、3.3 網(wǎng)絡(luò)掃描 3.3.4 探測開放服務(wù)的端口掃描 在找出網(wǎng)絡(luò)上存活的系統(tǒng)之后，入侵者下一步就是要得到目標(biāo)主機的操作系統(tǒng)信息和開放的服務(wù)。端口掃描就是發(fā)送信息到目標(biāo)計算機的所需要掃描的端口，然后根據(jù)返回端口狀態(tài)來分析目標(biāo)計算機的端口是否打開、是否可用。 1端口：80（HTTP）、21(FTP)、25（SMTP） 標(biāo)準(zhǔn)端口：01023 非標(biāo)準(zhǔn)端口：102465535（木馬入侵端口） 2端口掃描原理：向目標(biāo)主機的服務(wù)端口發(fā)送探測數(shù)據(jù)包、并記錄目標(biāo)主機的響應(yīng)。據(jù)此判斷端口是打開還是關(guān)閉。 3常見的端口掃描技術(shù)：TCP connect（全連接掃描）、TCP SYN(半連接掃描)、秘密掃描等。3.3

25、網(wǎng)絡(luò)掃描端口掃描分類端口掃描分類 3.3 網(wǎng)絡(luò)掃描 3.3.5 漏洞掃描漏洞掃描 漏洞掃描是使用漏洞掃描程序?qū)δ繕?biāo)系統(tǒng)進行信息查詢，通過漏洞掃描，可以發(fā)現(xiàn)系統(tǒng)中存在的不安全的地方。針對各種服務(wù)的漏洞是一個龐大的數(shù)字，在2001年一年中，僅微軟就針對自己的產(chǎn)品一共發(fā)布了上百個安全漏洞，而其中接近一半都是IIS漏洞。這些龐大的漏洞全部由手工檢測是非常困難的。3.3 網(wǎng)絡(luò)掃描 1漏洞掃描技術(shù)的原理 漏洞掃描主要通過以下兩種方法來檢查目標(biāo)主機是否存在漏洞：在端口掃描后得知目標(biāo)主機開啟的端口以及端口上的網(wǎng)絡(luò)服務(wù)，將這些相關(guān)信息與網(wǎng)絡(luò)漏洞掃描系統(tǒng)提供的漏洞庫進行匹配，查看是否有滿足匹配條件的漏洞存在；通過

26、模擬黑客的攻擊手法，對目標(biāo)主機系統(tǒng)進行攻擊性的安全漏洞掃描，如測試弱勢口令等。若模擬攻擊成功，則表明目標(biāo)主機系統(tǒng)存在安全漏洞。3.3 網(wǎng)絡(luò)掃描2漏洞掃描技術(shù)的分類和實現(xiàn)方法 基于網(wǎng)絡(luò)系統(tǒng)漏洞庫，漏洞掃描大體包括：CGI漏洞掃描、POP3漏洞掃描、FTP漏洞掃描、SSH漏洞掃描、HTTP漏洞掃描等，這些漏洞掃描基于漏洞庫，將掃描結(jié)果與漏洞庫相關(guān)數(shù)據(jù)匹配比較得到漏洞信息。漏洞掃描還包括沒有相應(yīng)漏洞庫的各種掃描，比如Unicode遍歷目錄漏洞探測、FTP弱勢密碼探測、OPENRelay郵件轉(zhuǎn)發(fā)漏洞探測等，這些掃描通過使用插件（功能模塊技術(shù)）進行模擬攻擊，測試出目標(biāo)主機的漏洞信息。3.3 網(wǎng)絡(luò)掃描 好

27、的掃描工具是黑客手中的利器，也是網(wǎng)絡(luò)管理員手中的重要武器。這里介紹三款著名的掃描器，它們均為開源或者免費的掃描器，也是迄今為止最好的掃描器。3.3 網(wǎng)絡(luò)掃描 1Nmap：掃描器之王 Nmap（Network Mapper，網(wǎng)絡(luò)映射器）是一款開放源代碼的網(wǎng)絡(luò)探測和安全審核的工具。它可以在大多數(shù)版本的Unix系統(tǒng)中運行，并且已經(jīng)被移植到了Windows系統(tǒng)中。它主要在命令行方式下使用，可以快速地掃描大型網(wǎng)絡(luò)，也可以掃描單個主機。Nmap以新穎的方式使用原始IP報文來發(fā)現(xiàn)網(wǎng)絡(luò)上有哪些主機，那些主機提供什么服務(wù)（應(yīng)用程序名和版本），那些服務(wù)運行在什么操作系統(tǒng)（包括版本信息），它們使用什么類型的報文過濾

28、器/防火墻，等等。雖然Nmap通常用于安全審核，但許多系統(tǒng)管理員和網(wǎng)絡(luò)管理員也用它來做一些日常的工作，比如查看整個網(wǎng)絡(luò)的信息，管理服務(wù)升級計劃，以及監(jiān)視主機和服務(wù)的運行。3.3 網(wǎng)絡(luò)掃描 2Nessus：分布式的掃描器 Nessus是一種用來自動檢測和發(fā)現(xiàn)已知安全問題的強大掃描工具，運行于Solaris、FreeBSD、GNU/Linux等系統(tǒng)，源代碼開放并且可自由地修改后再發(fā)布，可擴展性強，當(dāng)一個新的漏洞被公布后很快就可以獲取其新的插件對網(wǎng)絡(luò)進行安全性檢查。它的一個很強大的特性是它的客戶/服務(wù)器技術(shù)。服務(wù)器負(fù)責(zé)進行安全掃描，客戶端用來配置、管理服務(wù)器端，客戶端和服務(wù)器端之間的通信使用SSL加

29、密。服務(wù)器可以放置在網(wǎng)絡(luò)中的不同地方來獲得不同的信息。一個中央客戶端或者多個分布式客戶端可以對所有的服務(wù)器進行控制。這些特性為滲透測試者提供了很大的靈活性。3.3 網(wǎng)絡(luò)掃描 3X-Scan：國內(nèi)最好的掃描器 X-Scan是國內(nèi)最著名的綜合掃描器之一，完全免費，是不需要安裝的綠色軟件，其 界面支持中文和英文兩種語言，使用方式有圖形界面和命令行方式兩種，支持windows 9x/NT4/2000操作系統(tǒng)。該掃描器是由國內(nèi)著名的網(wǎng)絡(luò)安全組織“安全焦點”（http:/）開發(fā)完成的，支持多線程并發(fā)掃描，能夠及時生成掃描報告。它可以對遠(yuǎn)程服務(wù)類型、操作系統(tǒng)類型及版本、各種弱口令漏洞、后門、應(yīng)用服務(wù)漏洞、網(wǎng)

30、絡(luò)設(shè)備漏洞和拒絕服務(wù)漏洞等進行掃描，并把掃描報告和安全焦點網(wǎng)站相連接，對掃描到的每個漏洞進行“風(fēng)險等級”評估，提供漏洞描述、漏洞溢出程序，方便網(wǎng)管測試、修補漏洞。3.3 網(wǎng)絡(luò)掃描4例子：X-scan的使用X-scan是一款功能強大的綜合掃描工具，其圖形界面如圖3.12所示。3.3 網(wǎng)絡(luò)掃描 掃描前首先進行參數(shù)設(shè)置。打開“設(shè)置”-“掃描參數(shù)”，如圖3.13所示；點擊“檢測范圍”-“示例”按照示例設(shè)置掃描地址范圍，如圖3.14所示；點擊“全局設(shè)置”-“掃描模塊”設(shè)置掃描內(nèi)容，如圖3.15所示。 3.3 網(wǎng)絡(luò)掃描 掃描前首先進行參數(shù)設(shè)置。打開“設(shè)置”-“掃描參數(shù)”，如圖3.13所示；點擊“檢測范圍”

31、-“示例”按照示例設(shè)置掃描地址范圍，如圖3.14所示；點擊“全局設(shè)置”-“掃描模塊”設(shè)置掃描內(nèi)容，如圖3.15所示。 3.3 網(wǎng)絡(luò)掃描 掃描前首先進行參數(shù)設(shè)置。打開“設(shè)置”-“掃描參數(shù)”，如圖3.13所示；點擊“檢測范圍”-“示例”按照示例設(shè)置掃描地址范圍，如圖3.14所示；點擊“全局設(shè)置”-“掃描模塊”設(shè)置掃描內(nèi)容，如圖3.15所示。 3.3 網(wǎng)絡(luò)掃描 掃描參數(shù)設(shè)置完，點擊工具欄中的三角形的開始按鈕，即開始按照設(shè)定對范圍內(nèi)的主機 進行掃描，掃描過程的界面如圖3.16所示。3.3 網(wǎng)絡(luò)掃描 掃描結(jié)束后，生成html格式的掃描報告，如圖3.17所示。根據(jù)掃描結(jié)果，我們可以獲知哪些主機在線，這些主

32、機開放了哪些端口/服務(wù)，又存在著哪些安全漏洞等。 3.4 網(wǎng)絡(luò)監(jiān)聽 網(wǎng)絡(luò)監(jiān)聽，可以有效地對網(wǎng)絡(luò)數(shù)據(jù)、流量進行偵聽、分析，從而排除網(wǎng)絡(luò)故障，但它同時又帶來了信息失竊等方面的極大安全隱患。網(wǎng)絡(luò)監(jiān)聽在安全領(lǐng)域引起人們普遍注意始于1994年，在那一年2月，相繼發(fā)生了幾次大的安全事件，一個不知名的人在眾多的主機和骨干網(wǎng)絡(luò)設(shè)備上安裝了網(wǎng)絡(luò)監(jiān)聽軟件，利用它對美國骨干互聯(lián)網(wǎng)和軍方網(wǎng)竊取了超過100000個有效的用戶名和口令。這事件可能是互聯(lián)網(wǎng)上最早的大規(guī)模的網(wǎng)絡(luò)監(jiān)聽事件了，它使早期網(wǎng)絡(luò)監(jiān)聽從“地下”走向了公開，并迅速在大眾中普及開來。3.4 網(wǎng)絡(luò)監(jiān)聽 3.4.1 Hub和網(wǎng)卡的工作原理 以太網(wǎng)等很多網(wǎng)絡(luò)是基于總線方式的，物理上是廣播的，就是當(dāng)一臺機器向另一臺機器發(fā)送數(shù)據(jù)時，共享Hub先接收數(shù)據(jù)，然后再把它接收到的數(shù)據(jù)轉(zhuǎn)發(fā)給Hub上的其它每一個接口，所以在共享Hub所連接的同一網(wǎng)段的所有機器的網(wǎng)卡都能接收到數(shù)據(jù)。而對于交換機，其內(nèi)部程序能夠記住每個接口的MAC地址，能夠?qū)⒔邮盏降臄?shù)據(jù)