安全中國 www.anqn.com更新時(shí)間:2008-12-6 2:03:10
責任編輯:流火
熱 點(diǎn)：
隨著(zhù)互聯(lián)網(wǎng)的飛速發(fā)展,網(wǎng)絡(luò )安全逐漸成為一個(gè)潛在的巨大問(wèn)題，如何保障自身網(wǎng)絡(luò )的安全，其中一個(gè)主要的方法就是自查自糾，而在這個(gè)過(guò)程中，對自己的網(wǎng)絡(luò )進(jìn)行掃描成為一種較為快捷、直觀(guān)、簡(jiǎn)單的方法。掃描技術(shù)基于TCP/IP協(xié)議，對各種網(wǎng)絡(luò )服務(wù)，無(wú)論是主機或者防火墻、路由器都適用。同時(shí)， 掃描可以確認各種配置的正確性，避免遭受不必要的攻擊。網(wǎng)絡(luò )掃描是一把雙刃劍，對于安全管理員來(lái)說(shuō)，可以用來(lái)確保自己系統的安全性，也能被黑客用來(lái)查找系統的入侵點(diǎn)。目前，掃描的技術(shù)已經(jīng)非常成熟，已經(jīng)有大量的商業(yè)、非商業(yè)的掃描器在各組織里使用。
掃描器的重要性體現在：
掃描器能夠暴露網(wǎng)絡(luò )上潛在的脆弱性。
無(wú)論掃描器被管理員利用，或者被黑客利用，都有助于加強系統的安全性。
它能使得漏洞被及早發(fā)現，而漏洞遲早會(huì )被發(fā)現的。
掃描器可以滿(mǎn)足很多人的好奇心。
掃描器除了能掃描端口，往往還能夠：發(fā)現系統存活情況，以及哪些服務(wù)在運行；
用已知的漏洞測試這些系統；
對一批機器進(jìn)行測試，簡(jiǎn)單的迭代過(guò)程；
有進(jìn)一步的功能，包括操作系統辨識、應用系統識別。
一. 常見(jiàn)漏洞掃描器類(lèi)型
1.1 端口掃描器
Nmap被稱(chēng)為掃描器之王。這種類(lèi)型掃描器很容易引起誤解，很多人認為對于nmap這種port scaner，功能僅限于掃描端口，這實(shí)際上是一個(gè)很大的誤區，如果我們看一下它的功能，就會(huì )發(fā)現功能還是非常廣泛的，包括操作系統的服務(wù)判定、操作系統指紋的判定、防火墻及IDS的規避技術(shù)。Nmap從技術(shù)角度來(lái)說(shuō)是非常出色的，并且可以完成大范圍的早期評估工作。實(shí)際上nmap的端口掃描的不管是主機開(kāi)放端口、服務(wù)、操作系統版本，它的大部分依據都來(lái)自于端口掃描的結果，根據其結果去判定其他信息。所以，認為nmap只能掃描端口是一個(gè)誤區。
1.2 漏洞掃描器
以nessus為免費產(chǎn)品代表，nessus的安裝應用程序、腳本語(yǔ)言都是公開(kāi)的，但從版本3開(kāi)始它就轉向一個(gè)私有的授權協(xié)議，其掃描引擎仍然免費，不過(guò)對其支持和最新的漏洞定義要收費，不過(guò)收費是有時(shí)間限制的，如果不想付錢(qián)的話(huà)，可以等待15天，15天之后，其大部分插件都將是免費插件。Nessus目前最新版本到了3.2。這種掃描器不僅可以檢查系統漏洞，還可以檢查一部分的配置失誤。
1.3 WEB應用掃描器
這類(lèi)掃描器相對而言，做的比較專(zhuān)，僅用于評估網(wǎng)站的安全性，對于系統、網(wǎng)絡(luò )的基礎情況一般不關(guān)注，關(guān)注的焦點(diǎn)主要是WEB應用。常見(jiàn)的有appscan、webinspect。主要檢測WEB應用數據提交、信息泄露等問(wèn)題。
二. 商業(yè)掃描器特點(diǎn)
基本上大部分商業(yè)掃描器都工作在黑盒模式，在這種模式下無(wú)法看到源代碼，以一個(gè)近似于滲透者或攻擊者的身份去看待需要評估的系統。這種掃描器特點(diǎn)有：
2.1 漏洞精確掃描
由于在商業(yè)化應用中，對誤報、漏報的容忍程度比較低。但目前的情況，誤報和漏報還是無(wú)法規避的。具體掃描的信息有：
狀態(tài)掃描：即其開(kāi)放的服務(wù)、通信的情況、OS版本、應用服務(wù)的版本。
漏洞掃描（驗證）：驗證當前系統是否存在可以利用、不可以利用的漏洞，如果可以利用，某些掃描器可以進(jìn)行寫(xiě)入文件或者拿到shell之類(lèi)的功能。
弱口令掃描：對于開(kāi)放的服務(wù)進(jìn)行弱口令掃描，這也是很重要的一個(gè)功能。
2.2 修補措施
商用掃描器在漏洞精確掃描之后，會(huì )給出一些建議和技術(shù)手段來(lái)屏蔽漏洞。最初是提供一些修補建議，這種方式對專(zhuān)業(yè)技術(shù)人員來(lái)說(shuō)有相當價(jià)值，但對于一些技術(shù)較薄弱或者比較懶惰的用戶(hù)，修補建議的作用就被忽略了。在新一代的商用掃描器中，提出了修補聯(lián)動(dòng)的概念，通過(guò)發(fā)送注冊表去提示用戶(hù)，用戶(hù)雙擊注冊表，就可以導入需要修改、升級補丁的信息，并且還可以和WSUS進(jìn)行聯(lián)動(dòng)。這樣就可以基本上達到自動(dòng)化的修補。
詳解常見(jiàn)漏洞掃描器及網(wǎng)絡(luò )掃描技術(shù)(圖)
安全中國 www.anqn.com更新時(shí)間:2008-12-6 2:03:10
責任編輯:流火
熱 點(diǎn)：
三. 常見(jiàn)掃描主要技術(shù)
要了解常見(jiàn)掃描的主要技術(shù)，還要以?huà)呙杵鞴ぷ鞯牧鞒涕_(kāi)始，以nmap為例，整個(gè)掃描流程如下：
1、存活性?huà)呙瑁菏侵复笠幠Ｈピu估一個(gè)較大網(wǎng)絡(luò )的存活狀態(tài)。例如跨地域、跨系統的大型企業(yè)。但是被掃描主機可能會(huì )有一些欺騙性措施，例如使用防火墻阻塞ICMP數據包，可能會(huì )逃過(guò)存活性?huà)呙璧呐卸ā?div style="height:15px;">
2、端口掃描：針對主機判斷端口開(kāi)放和關(guān)閉情況，不管其是不是存活。端口掃描也成為存活性?huà)呙璧囊粋€(gè)有益補充，如果主機存活，必然要提供相應的狀態(tài)，因此無(wú)法隱藏其存活情況。
3、服務(wù)識別：通過(guò)端口掃描的結果，可以判斷出主機提供的服務(wù)及其版本。
4、操作系統識別：利用服務(wù)的識別，可以判斷出操作系統的類(lèi)型及其版本。
這就是以nmap為代表的掃描過(guò)程。
3.1 主機存活掃描技術(shù)
主機掃描的目的是確定在目標網(wǎng)絡(luò )上的主機是否可達。這是信息收集的初級階段，其效果直接影響到后續的掃描。Ping就是最原始的主機存活掃描技術(shù)，利用icmp的echo字段，發(fā)出的請求如果收到回應的話(huà)代表主機存活。
常用的傳統掃描手段有：
1. ICMP Echo掃描 精度相對較高。通過(guò)簡(jiǎn)單地向目標主機發(fā)送ICMP Echo Request 數據包，并等待回復的ICMP Echo Reply 包，如Ping。
2. ICMP Sweep 掃描：sweep這個(gè)詞的動(dòng)作很像機槍掃射，icmp進(jìn)行掃射式的掃描，就是并發(fā)性?huà)呙?，使用ICMP Echo Request一次探測多個(gè)目標主機。通常這種探測包會(huì )并行發(fā)送，以提高探測效率，適用于大范圍的評估。
3. Broadcast ICMP掃描：廣播型icmp掃描，利用了一些主機在icmp實(shí)現上的差異，設置ICMP請求包的目標地址為廣播地址或網(wǎng)絡(luò )地址，則可以探測廣播域或整個(gè)網(wǎng)絡(luò )范圍內的主機，子網(wǎng)內所有存活主機都會(huì )給以回應。但這種情況只適合于UNIX/Linux系統。
4. Non-Echo ICMP掃描：在ICMP協(xié)議中不光光只有ICMP ECHO的ICMP查詢(xún)信息類(lèi)型，在ICMP掃描 技術(shù)中也用到Non-ECHO ICMP技術(shù)（不僅僅能探測主機，也可以探測網(wǎng)絡(luò )設備如路由）。利用了ICMP的服務(wù)類(lèi)型（Timestamp和Timestamp Reply 、Information Request和Information Reply 、Address Mask Request 和Address Mask Reply）。
3.2 規避技術(shù)
為到達規避防火墻和入侵檢測設備的目的， ICMP協(xié)議提供網(wǎng)絡(luò )間傳送錯誤信息的功能也成為了主要的掃非常規描手段。其主要原理就是利用被探測主機產(chǎn)生的ICMP錯誤報文來(lái)進(jìn)行復雜的主機探測。
常用的規避技術(shù)大致分為4類(lèi)：
1. 異常的IP包頭 ：向目標主機發(fā)送包頭錯誤的IP包，目標主機或過(guò)濾設備會(huì )反饋ICMP Parameter Problem Error信息。常見(jiàn)的偽造錯誤字段為Header Length 和IP Options。不同廠(chǎng)家的路由器和操作系統對這些錯誤的處理方式不同，返回的結果也不同。
2. 在IP頭中設置無(wú)效的字段值：向目標主機發(fā)送的IP包中填充錯誤的字段值，目標主機或過(guò)濾設備會(huì )反饋ICMP Destination Unreachable信息。這種方法同樣可以探測目標主機和網(wǎng)絡(luò )設備。
3. 通過(guò)超長(cháng)包探測內部路由器：若構造的數據包長(cháng)度超過(guò)目標系統所在路由器的PMTU且設置禁止分片標志, 該路由器會(huì )反饋 Fragmentation Needed and Don’t Fragment Bit was Set差錯報文。
4. 反向映射探測：用于探測被過(guò)濾設備或防火墻保護的網(wǎng)絡(luò )和主機。構造可能的內部IP地址列表，并向這些地址發(fā)送數據包。當對方路由器接收到這些數據包時(shí)，會(huì )進(jìn)行IP識別并路由，對不在其服務(wù)的范圍的IP包發(fā)送ICMP Host Unreachable或ICMP Time Exceeded 錯誤報文，沒(méi)有接收到相應錯誤報文的IP地址可被認為在該網(wǎng)絡(luò )中。
舉例來(lái)看：
圖1
當發(fā)送一個(gè)數據包的時(shí)候，數據包頭部會(huì )顯示其封裝類(lèi)型，這里顯示的是tcp協(xié)議。其編號是06，看到06就可以知道這是一個(gè)tcp報文。如果把報文標識成不可識別的協(xié)議，例如：
圖2
協(xié)議字段里顯示是unknown，編號是b2，這個(gè)協(xié)議是未知的，那嗅探器也會(huì )返回給一個(gè)unknown。就是這樣發(fā)送一個(gè)不可識別的協(xié)議給其他主機的時(shí)候，對方主機也無(wú)法識別。當不可識別的時(shí)候：
圖3
對方認為自己的協(xié)議棧上無(wú)法識別，第一個(gè)動(dòng)作就是先把數據包丟棄，丟掉報文之后去通知對方，返回了這條icmp的信息。類(lèi)型為3，目標不可達，其code是2，告訴你目標不可達的原因是協(xié)議不可達。當你發(fā)送一個(gè)錯誤的數據包，對方不可識別就返回給你一個(gè)icmp信息，達到了探測對方的目的。
3.3 端口掃描技術(shù)
在完成主機存活性判斷之后，就應該去判定主機開(kāi)放信道的狀態(tài)，端口就是在主機上面開(kāi)放的信道，0-1024為知名端口，端口總數是65535。端口實(shí)際上就是從網(wǎng)絡(luò )層映射到進(jìn)程的通道。通過(guò)這個(gè)關(guān)系就可以掌握什么樣的進(jìn)程使用了什么樣的通信，在這個(gè)過(guò)程里面，能夠通過(guò)進(jìn)程取得的信息，就為查找后門(mén)、了解系統狀態(tài)提供了有力的支撐。常見(jiàn)流行的端口掃描技術(shù)通常有：
3.3.1 TCP掃描：
利用三次握手過(guò)程與目標主機建立完整或不完整的TCP連接。
TCP connect()掃描： tcp的報頭里，有6個(gè)連接標記，分別是urg、ack、psh、rst、syn、fin。通過(guò)這些連接標記不同的組合方式，可以獲得不同的返回報文。例如，發(fā)送一個(gè)syn置位的報文，如果syn置位瞄準的端口是開(kāi)放的，syn置位的報文到達的端口開(kāi)放的時(shí)候，他就會(huì )返回syn+ack，代表其能夠提供相應的服務(wù)。我收到syn+ack后，返回給對方一個(gè)ack。這個(gè)過(guò)程就是著(zhù)名的三次握手。這種掃描的速度和精度都是令人滿(mǎn)意的。
Reverse-ident掃描：這種技術(shù)利用了Ident協(xié)議(RFC1413)，tcp端口113.很多主機都會(huì )運行的協(xié)議，用于鑒別TCP連接的用戶(hù)。
identd 的操作原理是查找特定 TCP/IP 連接并返回擁有此連接的進(jìn)程的用戶(hù)名。它也可以返回主機的其他信息。但這種掃描方式只能在tcp全連接之后才有效，并且實(shí)際上很多主機都會(huì )關(guān)閉ident服務(wù)。
Tcp syn掃描：向目標主機的特定端口發(fā)送一個(gè)SYN包，如果端口沒(méi)開(kāi)放就不會(huì )返回syn+ack，這時(shí)會(huì )給你一個(gè)rst，停止建立連接。由于連接沒(méi)有完全建立，所以稱(chēng)為半開(kāi)放掃描。但由于syn flood作為一種ddos攻擊手段被大量采用，因此很多防火墻都會(huì )對syn報文進(jìn)行過(guò)濾，所以這種方法并不能總是有用。
其他還有fin、NULL、Xmas等掃描方式。
3.3.2 UDP掃描
由于現在防火墻設備的流行，tcp端口的管理狀態(tài)越來(lái)越嚴格，不會(huì )輕易開(kāi)放，并且通信監視嚴格。為了避免這種監視，達到評估的目的，就出現了秘密掃描。這種掃描方式的特點(diǎn)是利用UDP端口關(guān)閉時(shí)返回的ICMP信息，不包含標準的TCP三次握手協(xié)議的任何部分，隱蔽性好，但這種掃描使用的數據包在通過(guò)網(wǎng)絡(luò )時(shí)容易被丟棄從而產(chǎn)生錯誤的探測信息。
但是，UDP掃描方式的缺陷很明顯，速度慢、精度低。UDP的掃描方法比較單一，基礎原理是：當你發(fā)送一個(gè)報文給udp端口，該端口是關(guān)閉狀態(tài)時(shí)，端口會(huì )返回給一個(gè)icmp信息，所有的判定都是基于這個(gè)原理。如果關(guān)閉的話(huà)，什么信息都不發(fā)。
Traceroute掃描：tracert 向30000以上的高端口（一般認為，主機的30000以上高端口利用率非常低，任何主機都不會(huì )輕易開(kāi)放這種高端口，默認都是關(guān)閉的）。如果對方端口關(guān)閉，會(huì )返回給icmp信息，根據這個(gè)往返時(shí)間，計算跳數、路徑信息，了解延時(shí)情況。這是tracerote原理，也是從這個(gè)原理上演變出來(lái)udp掃描技術(shù)。
使用udp掃描要注意的是1、udp狀態(tài)、精度比較差，因為udp是不面向連接的，所以整個(gè)精度會(huì )比較低。2、udp掃描速度比較慢，tcp掃描開(kāi)放1秒的延時(shí)，在udp里可能就需要2秒，這是由于不同操作系統在實(shí)現icmp協(xié)議的時(shí)候為了避免廣播風(fēng)暴都會(huì )有峰值速率的限制（因為icmp信息本身并不是傳輸載荷信息，不會(huì )有人拿他去傳輸一些有價(jià)值信息。操作系統在實(shí)現的時(shí)候是不希望icmp報文過(guò)多的。為了避免產(chǎn)生廣播風(fēng)暴，操作系統對icmp報文規定了峰值速率，不同操作系統的速率不同） 利用udp作為掃描的基礎協(xié)議，就會(huì )對精度、延時(shí)產(chǎn)生較大影響。
當前在滲透測試過(guò)程中對于端口的掃描是非常靈活的，06年的黑帽大會(huì )上，就有人利用了開(kāi)發(fā)了工具探測網(wǎng)內哪臺主機打開(kāi)了80端口，這樣的技術(shù)在當前的互聯(lián)網(wǎng)上利用的非常普遍。
圖4
·上一篇:
URL背后的殺機 網(wǎng)站防范XSS攻擊實(shí)錄·下一篇: 暫時(shí)空缺
詳解常見(jiàn)漏洞掃描器及網(wǎng)絡(luò )掃描技術(shù)(圖)
安全中國 www.anqn.com更新時(shí)間:2008-12-6 2:03:10
責任編輯:流火
熱 點(diǎn)：
3.4 服務(wù)及系統指紋
在判定完端口情況之后，繼而就要判定服務(wù)。
3.4.1 根據端口判定
這種判定服務(wù)的方式就是根據端口，直接利用端口與服務(wù)對應的關(guān)系，比如23端口對應telnet，21對應ftp，80對應http。這種方式判定服務(wù)是較早的一種方式，對于大范圍評估是有一定價(jià)值的，但其精度較低。例如使用nc這樣的工具在80端口上監聽(tīng)，這樣掃描時(shí)會(huì )以為80在開(kāi)放，但實(shí)際上80并沒(méi)有提供http服務(wù)，由于這種關(guān)系只是簡(jiǎn)單對應，并沒(méi)有去判斷端口運行的協(xié)議，這就產(chǎn)生了誤判，認為只要開(kāi)放了80端口就是開(kāi)放了http協(xié)議。但實(shí)際并非如此，這就是端口掃描技術(shù)在服務(wù)判定上的根本缺陷。
3.4.2 BANNER
Banner的方式相對精確，獲取服務(wù)的banner，是一種比較成熟的技術(shù)，可以用來(lái)判定當前運行的服務(wù)，對服務(wù)的判定較為準確。而且不僅能判定服務(wù)，還能夠判定具體的服務(wù)版本信息。例如下圖，根據頭部信息發(fā)現對方是redhat linux，基本上可以鎖定服務(wù)的真實(shí)性。
圖5
這種技術(shù)比較靈活。像http,ftp,telnet都能夠獲取一些banner信息。為了判斷服務(wù)類(lèi)型、應用版本、OS平臺，通過(guò)模擬各種協(xié)議初始化握手，就可以獲取信息 。
但是在安全意識普遍提升的今天， 對Banner的偽裝導致精度大幅降低。例如IIS&Apache：修改存放Banner信息的文件字段進(jìn)行修改，這種修改的開(kāi)銷(xiāo)很低?，F在流行的一個(gè)偽裝工具Servermask ，不僅能夠偽造多種主流Web服務(wù)器Banner，還能偽造Http應答頭信息里的項的序列。
使用前
圖6
使用后
圖7
變的不僅是紅色的部分，而且整個(gè)返回序列都變化了。這個(gè)變化是手工難已修改的。如果不能成功的修改序列，那就可能給有經(jīng)驗的滲透者提供依據。
3.4.3 指紋技術(shù)
指紋技術(shù)利用TCP/IP協(xié)議棧實(shí)現上的特點(diǎn)來(lái)辨識一個(gè)操作系統?？杀孀R的OS的種類(lèi)，包括哪些操作系統，甚至小版本號。指紋技術(shù)有主動(dòng)和被動(dòng)兩種。
主動(dòng)識別技術(shù)：采用主動(dòng)發(fā)包，利用多次的試探，去一次一次篩選不同信息，比如根據ACK值判斷，有些系統會(huì )發(fā)送回所確認的TCP分組的序列號，有些會(huì )發(fā)回序列號加1。還有一些操作系統會(huì )使用一些固定的tcp窗口。某些操作系統還會(huì )設置IP頭的DF位來(lái)改善性能。這些都成為判斷的依據。這種技術(shù)判定windows的精度比較差，只能夠判定一個(gè)大致區間，很難判定出其精確版本，但是在unix，網(wǎng)絡(luò )設備時(shí)甚至可以判定出小版本號，比較精確。如果目標主機與源主機跳數越多，精度越差。因為數據包里的很多特征值在傳輸過(guò)程中都已經(jīng)被修改或模糊化，會(huì )影響到探測的精度。nmap –O參數就是其代表。
被動(dòng)識別技術(shù)：不是向目標系統發(fā)送分組，而是被動(dòng)監測網(wǎng)絡(luò )通信，以確定所用的操作系統。利用對報頭內DF位，TOS位，窗口大小，TTL的嗅探判斷。因為并不需要發(fā)送數據包，只需要抓取其中的報文，所以叫做被動(dòng)識別技術(shù)。例如telnet對方，并用snort監聽(tīng)數據包：
TCP TTL:255 TOS:0x0 ID:58955 DF
**S***A* Seq:0xD3B709A4 Ack:0xBE09B2B7 Win:0x2798
TCP Options => NOP NOP TS:9688775 9682347 NOP WS:0
MSS:1460
得到這些信息后，熟悉系統的人可猜測到操作系統是Solaris 2.6-2.7。在nmap中，也有操作系統的指紋庫，可以從指紋庫中去匹配。其代表掃描工具有 Siphon，天眼。
ICMP指紋識別技術(shù) ：這種工具的出現較晚，大概在2001-2002年，在黑帽大會(huì )上提出，并開(kāi)發(fā)出相應的工具xprobe，其優(yōu)勢是只需要通過(guò)icmp，發(fā)送一批UDP包給高端關(guān)閉的端口，然后計算返回來(lái)的不可達錯誤消息。通常情況下送回IP頭+8個(gè)字節，但是個(gè)別系統送回的數據更多一些。根據ICMP回應的TOS、TTL值、校驗和等信息，通過(guò)這些信息以樹(shù)狀的形式去過(guò)濾，最終精確鎖定。下圖只是整個(gè)判定過(guò)程中的一小量部分，類(lèi)似的圖還有很多張。
圖8
例如TTL值，當你發(fā)送icmp 的echo請求，對方回應的ttl值是有一定規律可循的，一般是4個(gè)數值，32（win95，唯一值為32的操作系統），64，128（windows家族，只有win95例外），256。64和256比較難以分辨，大多數的unix和linux都可能是。 代表性?huà)呙韫ぞ?Xprobe
