《云南省大理第一中学.ppt》由会员分享，可在线阅读，更多相关《云南省大理第一中学.ppt（392页珍藏版）》请在三一办公上搜索。
1、,第2章 网络攻击技术,指导教师:杨建国,2013年8月10日,2.1 信息收集技术2.2 口令攻击2.3 缓冲区溢出攻击2.4 拒绝服务攻击2.5 web应用安全攻击2.6 恶意代码攻击2.7 病毒蠕虫与木马攻击,第2章 网络攻击技术,2.8 网络欺骗攻击2.9 网络钓鱼攻击2.10 假消息攻击2.11 网络协议攻击2.12 操作系统攻击2.13 远程控制攻击,2.1 信息收集技术,信息收集必要性信息收集的内容信息收集的方式信息收集的技术,网络信息收集的必要性,“知己知彼，百战不殆；不知彼而知己，一胜一负；不知彼，不知己，每战必殆。”孙膑孙子兵法谋攻篇,网络信息收集的必要性,攻防对抗(博弈)
2、：对敌方信息的掌握是关键攻击者先发制人收集目标信息防御者后发制人对攻击者实施信息收集，归因溯源,网络信息收集的内容,网络攻击信息收集入手点：目标名称和域名攻击准备阶段在网络中的“地理位置”DNS、IP地址与真实世界的联系单位地址“网络地图”网络拓扑攻击所需的更详细信息电话号码、网管员及联系方式等攻击实施阶段目标系统中存在的安全缺陷和漏洞目标系统的安全防护机制,网络信息收集的内容,网络防御信息收集追查入侵者的身份、网络位置、所攻击的目标、采用的攻击方法等一般被归入取证与追踪技术范畴,网络信息收集的方式,信息收集的方式主要有两种，一种是通过网络搜索（搜索引擎、电驴共享软件、Foxy共享软件、网站、
3、BBS以及Blog、扫描软件、网络监听）等手段来获取，另外一种就是利用社会工程学来获取。前一种方法收集的信息需要进行整理，并需要一定的自我判断力，往往跟经验有关，有些信息可以根据个人经验，依靠直觉来进行取舍。后一种利用社会工程学收集的信息，准确度较高，但实施有一定难度。,网络信息收集技术,网络踩点(Footprinting)Web搜索与挖掘DNS和IP查询网络拓扑侦察网络扫描(Scanning)主机扫描端口扫描系统类型探查漏洞扫描网络查点(Enumeration)旗标抓取网络服务查点,提纲,网络基础知识网络信息收集技术概述网络踩点技术网络扫描技术作业,网络踩点概要,踩点(footprintin
4、g)有计划、有步骤的信息情报收集了解攻击目标的网络环境和信息安全状况得到攻击目标剖析图踩点目的通过对完整剖析图的细致分析攻击者将会从中寻找出攻击目标可能存在的薄弱环节为进一步的攻击行动提供指引,网络踩点的信息,目标组织具体使用的域名网络地址范围因特网上可直接访问的IP地址与网络服务网络拓扑结构电话号码段电子邮件列表信息安全状况目标个人身份信息、联系方式、职业经历，甚至一些个人隐私信息,踩点获取的信息案例,网络踩点技术,Web信息搜索与挖掘Google Hacking对目标组织和个人的大量公开或意外泄漏的Web信息进行挖掘DNS与IP查询公开的一些因特网基础信息服务目标组织域名、IP以及地理位置
5、之间的映射关系，以及注册的详细信息网络拓扑侦察网络的网络拓扑结构和可能存在的网络访问路径,网络搜索,公开渠道信息收集目标Web网页、地理位置、相关组织组织结构和人员、个人资料、电话、电子邮件网络配置、安全防护机制的策略和技术细节Google HackingGoogle Hacking:通过网络搜索引擎查找特定安全漏洞或私密信息的方法allinurl:tsweb/default.htm:查找远程桌面Web连接Johnny Long:Google Hacking for Penetration TestersGoogle Hacking软件:Athena,Wikto,SiteDigger,Goog
6、le搜索技巧,基本搜索与挖掘技巧保持简单使用最可能出现在要查找的网页上的字词尽量简明扼要地描述要查找的内容选择独特性的描述字词善于利用搜索词智能提示功能,Google高级搜索,Google Hacking技术,基本搜索逻辑与：AND逻辑或：OR逻辑非：-完整匹配：”通配符：*?,Google Hacking技术,高级搜索intitle:表示搜索在网页标题中出现第一个关键词的网页例如“intitle:黑客技术”将返回在标题中出现“黑客技术”的所有链接。用“allintitle:黑客技术 Google”则会返回网页标题中同时含有“黑客技术”和“Google”的链接,Google Hacking技术
7、,高级搜索intext:返回网页内容中出现关键词的网页，用allintext:搜索多个关键字inurl:返回的网址中包含第一个关键字的网页site:在某个限定的网站中搜索,Google Hacking技术,高级搜索filetype:搜索特定扩展名的文件（如.doc.pdf.ppt）黑客们往往会关注特定的文件，例如：.pwl口令文件、.tmp临时文件、.cfg配置文件、.ini系统文件、.hlp帮忙文件、.dat数据文件、.log日志文件、.par交换文件等等link:表示返回所有链接到某个地址的网页。,Google Hacking技术,高级搜索related：返回连接到类似于指定网站的网页ca
8、che:搜索Google缓存中的网页info:表示搜索网站的摘要例如“info:”仅得到一个结果,Google Hacking技术,高级搜索phonebook:搜索电话号码簿，将会返回街道地址和电话号码列表同时还可以得到住宅的全面信息，结合Google earth将会得到更详细的信息rphonebook:仅搜索住宅用户电话号码簿bphonebook:仅搜索商业的电话号码簿,Google Hacking技术,高级搜索author:搜索新闻组帖子的作者group:搜索Google组搜索词婚蝶子的标题msgid:搜索识别新闻组帖子的Google组信息标识符和字符串insubject:搜索Google
9、组的标题行,Google Hacking技术,高级搜索stocks:搜索有关一家公司的股票市场信息define:返回一个搜索词汇的定义inanchor:搜索一个HTML标记中的一个链接的文本表现形式daterange:搜索某个日期范围内Google做索引的网页,Google Hacking攻击,Google hacking可用于发现：公告文件，安全漏洞，错误信息，口令文件，用户文件，演示页面，登录页面，安全文件，敏感目录，商业信息，漏洞主机，网站服务器检测等信息,Google Hacking攻击,攻击规律1.“Index of”检索出站点的活动索引目录Index 就是主页服务器所进行操作的一个
10、索引目录黑客们常利用目录获取密码文件和其他安全文件常用的攻击语法如下：Index of/admin 可以挖崛到安全意识不强的管理员的机密文件,Google Hacking攻击,其他Index of 语法列表Index of/passwdIndex of/passwordIndex of/mail“Index of/”+passwd“Index of/”+password.txt“Index of/”+.htaccess“Index of/secret”“Index of/confidential”“Index of/root”“Index of/cgi-bin”“Index of/credit
11、-card”“Index of/logs”“Index of/config”,Google Hacking攻击,2.“inurl:”寻找易攻击的站点和服务器利用“allinurl:winnt/system32/”寻找受限目录“system32”，一旦具备 cmd.exe 执行权限，就可以控制远程的服务器利用“allinurl:wwwboard/passwd.txt”搜寻易受攻击的服务器,Google Hacking攻击,利用“inurl:.bash_history”搜寻服务器的“.bash_history”文件。这个文件包括超极管理员的执行命令，甚至一些敏感信息，如管理员口令序列等利用“inu
12、rl:config.txt”搜寻服务器的“config.txt”文件，这个文件包括管理员密码和数据认证签名的hash值,Google Hacking攻击,其他语法列表inurl:admin filetype:txtinurl:admin filetype:dbinurl:admin filetype:cfginurl:mysql filetype:cfginurl:passwd filetype:txtinurl:iisadminallinurl:/scripts/cart32.exeallinurl:/CuteNews/show_archives.php,Google Hacking攻击,其
13、他语法列表allinurl:/phpinfo.phpallinurl:/privmsg.phpallinurl:/privmsg.phpinurl:auth_user_file.txtinurl:orders.txtinurl:“wwwroot/*.”inurl:adpassword.txtinurl:webeditor.phpinurl:file_upload.phpinurl:gov filetype:xls“restricted”index of ftp+.mdb allinurl:/cgi-bin/+mailto,Google Hacking攻击,3.“intitle:”寻找易攻击的站
14、点或服务器利用 intitle:”php shell*”“Enable stderr”filetype:php查找安装了php webshell后门的主机，并测试是否有能够直接在机器上执行命令的web shell 利用allintitle:“index of/admin”搜寻服务器的受限目录入口“admin”,Google Hacking攻击,其他语法列表intitle:“Index of”.sh_historyintitle:“Index of”.bash_historyintitle:“index of”passwdintitle:“index of”people.lstintitle:“
15、index of”pwd.dbintitle:“index of”etc/shadowintitle:“index of”spwd,Google Hacking攻击,其他语法列表intitle:“Index of”.sh_historyintitle:“index of”master.passwdintitle:“index of”htpasswdintitle:“index of”members OR accountsintitle:“index of”user_carts OR user_cartallintitle:sensitive filetype:docallintitle:res
16、tricted filetype:mailallintitle:restricted filetype:doc site:gov,Google Hacking案例,Google一个大学网站1.site:从返回的信息中，可找到几个该校的几个系院的域名,Google Hacking案例,Google一个大学网站2.ping 应该是不同的服务器3.site:filetype:doc学校一般都会有不少好的资料，先看看有什么好东西,Google Hacking案例,Google一个大学网站2.ping 应该是不同的服务器3.site:filetype:doc学校一般都会有不少好的资料，先看看有什么好东西
17、,Google Hacking案例,Google一个大学网站4.找网站的管理后台地址site:intext:管理site:inurl:loginsite:intitle:管理,Google Hacking案例,Google一个大学网站5.看看服务器上运行什么程序：site:filetype:aspsite:filetype:phpsite:filetype:aspxsite:filetype:aspsite:.,Web信息搜索与挖掘防范,组织安全敏感信息及个人隐私信息不在因特网上随意发布个人上网时尽量保持匿名“网络实名制”?个人隐私权立法保护?还没有！“跨省追捕”!必须提供个人隐私信息时，应选
18、择具有良好声誉并可信任的网站定期对自身单位及个人在Web上的信息足迹进行搜索掌握Google Hacking信息搜索技术发现非预期泄漏的敏感信息后，应采取行动进行清除,DNS与IP查询,DNS/IP因特网赖以运转的两套基础设施因特网上的公共数据库中进行维护层次化结构管理ICANN:因特网技术协调机构ASO:地址支持组织,负责IP地址分配和管理GNSO:基本名称支持组织,负责通用顶级域名分配CNNSO:国家代码域名支持组织,负责国家顶级域名分配国内公网:CNNIC,ISPs(电信,网通),域名服务商(万网)教育网:CERNET,赛尔网络,DNS与IP查询,Whois查询（DNS注册信息）,域名注
19、册过程注册人(Registrant)注册商(Registrar)官方注册局(Registry)3R注册信息：分散在官方注册局或注册商各自维护数据库中官方注册局一般会提供注册商和Referral URL信息具体注册信息一般位于注册商数据库中WHOIS查询查询特定域名的3R详细注册信息域名注册信息查询:ICANN(IANA)域名官方注册局域名服务商WhoisWeb查询服务：官方注册局、注册商寻找域名注册信息数据库并查询返回结果的WhoisWeb查询服务：万网、站长之家()集成工具:Whois客户程序,SamSpade,SuperScan,Whois查询示例,ICANN的Whois服务Regista
20、r的Whois服务中国互联网信息中心中国教育和科研网络信息中心,ICANN的Whois服务,Registar的Whois服务,互联网信息中心whois服务,中国教育和科研网络信息中心Whois服务,DNS服务：域名IP的映射,DNS服务器和查询机制权威DNS服务器：提供原始DNS映射信息主(primary)DNS服务器辅助(secondary)DNS服务器递归缓存DNS服务器：ISP提供接入用户使用分布式缓存与递归查询的机制DNS查询工具nslookup/dig,Nslookup查询,DNS区域传送,DNS区域传送nslookup:default serverls-d DOMAIN_DNS_N
21、AME阻断DNS区域传送MMC控制台配置DNS服务，去掉Allow Zone Transfers，禁止区域传送,Nslookup查询,IP地址Whois查询,IP分配过程ICANN的地址管理组织ASO总体负责协调RIR和NIR进行具体分配与维护每家RIR都知道每段IP地址范围属于哪家管辖具体分配信息在NIR/ISP维护IP Whois查询过程任意RIR的Whois服务(北美:ARIN,亚太:APNIC)自动化程序和服务Whois客户程序,IP地址Whois查询示例,162.105.1.1查询示例ARIN的WhoisWeb服务 告知这段IP由APNIC管辖APNIC的WhoisWeb服务 给出该
22、网段属于北大，细节信息可能有时需要到NIR(CNNIC)或ISP查询更细致信息,162.105.1.1的ARIN Whois服务,162.105.1.1的APNIC Whois服务,IP2Location地理信息查询,IP2Location查询IP地址(因特网上的虚拟地址)现实世界中的具体地理位置IP2Location数据库:WHOIS数据库,GeoIP,IP2Location,纯真数据库（QQ IP查询使用）地理信息查询Google Map,Sougou地图Google Earth,纯真IP查询示例,搜狗地图示例,Google Earth示例,DNS与IP查询安全防范措施,公用数据库中提供信
23、息的安全问题必须向注册机构提供尽可能准确的信息采用一些安防措施不让攻击者轻易得手及时更新管理性事务联系人的信息尝试使用虚构的人名来作为管理性事务联系人“HoneyMan”:帮助发现和追查那些在电话或邮件中试图冒充虚构人名的“社会工程师”慎重考虑所列的电话号码和地址等信息注意域名注册机构允许更新注册信息的方式，并确保其中关键信息的安全攻击案例：2008年黑客进入了网络支付服务商CheckFree的邮箱，从而修改了域名记录,网络侦察,Traceroute路由跟踪探测网络路由路径，可用于确定网络拓扑主机发送TTL从1开始逐步增1的IP包，网络路径上路由器返回ICMP TIME_EXECEEDEDUN
24、IX/Linux:tracerouteWindows:tracert穿透防火墙:traceroute-S-p53 TARGET_IP图形化界面工具:VisualRoute,NeoTrace,Trout网络侦察防范措施路由器配置:只允许特定系统响应ICMP/UDP数据包网络入侵检测系统/网络入侵防御系统:Snort虚假响应信息:RotoRouter,Traceroute网络侦察示例,课堂实践(DNS与IP查询),任务一：从、中选择一个DNS域名进行查询，获取如下信息：DNS注册人及联系方式该域名对应IP地址IP地址注册人及联系方式IP地址所在国家、城市和具体地理位置任务二：尝试获取BBS、论坛、
25、QQ、MSN中的某一好友IP地址，并查询获取该好友所在具体地理位置。提示：QQ、MSN在好友间进行较长时间的直接通讯时，将会建立起点到点的TCP或UDP连接，使用netstat命令或天网防火墙等工具，可获得好友的IP地址。,提纲,网络基础知识网络信息收集技术概述网络踩点技术网络扫描技术作业,网络扫描 VS.入室盗窃窥探,主机扫描(ping扫描),主机扫描目的：检查目标主机是否活跃(active).主机扫描方式传统ICMP Ping扫描ACK Ping扫描SYN Ping扫描UDP Ping扫描,主机扫描(ping扫描),主机扫描程序PingNmap:-sP选项,缺省执行,集合了ICMP/SYN
26、/ACK/UDP Ping功能,Ping扫射,Ping扫射同时扫描大量的IP地址段，以发现某个IP地址是否绑定活跃主机的扫描Ping扫射工具软件UNIX:Nmap,fping,hping2Win32:Superscan,主机扫描防范措施,单一主机Ping扫描很常见，危害性也不大，更关注Ping扫射监测：网络入侵检测系统Snort；主机扫描监测工具Scanlogd防御：仔细考虑对ICMP通信的过滤策略利用Ping构建后门:loki(Phrackv51#06),pingd,端口扫描技术,端口TCP/UDP(1-64K),运行网络应用服务由IANA/ICANN负责分配端口扫描定义连接目标主机的TCP
27、和UDP端口，确定哪些服务正在运行即处于监听状态的过程。端口扫描目的防御者更加了解所管理的网络状况，找出没有必要开放的端口并关闭，这是保证业务网络安全的第一步。攻击者找出可供进一步攻击的网络服务，同时结合操作系统探测技术也可以确定目标主机所安装的操作系统版本。开放网络服务和操作系统版本信息为攻击者提供了破解攻击的目标，使其更容易找出进入目标主机的漏洞路径。,TCP端口扫描,Connect扫描调用socket 的connect()函数连接目标端口开放端口：完成完整的TCP三次握手(SYN,SYN|ACK,ACK)，timeout/RST关闭端口：SYN,RST优势&弱势：无需特权用户权限可发起，
28、目标主机记录大量连接和错误信息，容易检测,TCP端口扫描,SYN扫描半开扫描(half-open scanning)开放端口：攻击者SYN,目标主机SYN|ACK,攻击者立即反馈RST包关闭连接关闭端口：攻击者SYN,目标主机RST优势&弱势：目标主机不会记录未建立连接，较为隐蔽，需根用户权限构建定制SYN包,隐蔽端口扫描,隐蔽端口扫描方式TCP连接扫描和SYN扫描并不隐蔽：防火墙会监控发往受限端口的SYN包隐蔽端口扫描通过构造特殊的TCP标志位，以躲避检测，同时达成端口扫描目的。FIN扫描(只带FIN位),Null扫描(全为0),XMAS扫描(FIN/URG/PUSH)FTP弹射扫描：利用F
29、TP代理选项达到隐蔽源地址如何达成扫描目的开放端口：标准TCP协议规范，接受这些伪造TCP包，丢弃，无任何反馈关闭端口：反馈RST包Windows/Cisco等系统没有遵从规范，开放端口对于伪造TCP包也反馈RST，这三种方法不适用,UDP端口扫描,UDP端口扫描对目标端口发送特殊定制的UDP数据报文开放端口:UDP反馈关闭端口:ICMP port unreachable报文,UDP端口扫描,UDP端口扫描工具UNIX:udp_scan,nmap-sU,nc-u-v-z-w2 HOST PORT_LISTWin32:netcat,SuperScan,WinScan,WUPS,ScanLine,
30、端口扫描防范措施,任何攻击技术都是双刃剑网络管理员也可利用端口扫描确定开放必要服务端口扫描的监测网络入侵检测系统:Snort中的portscan检测插件系统扫描检测工具:scanlogd,PortSentry,Genius端口扫描的预防开启防火墙类UNIX:netfilter/IPTablesWin32:个人防火墙禁用所有不必要的服务,尽可能减少暴露面(进一步的受攻击面)类UNIX:/etc/inetd.confWin32:控制面板/服务,系统类型探查,系统类型探查探查活跃主机的系统及开放网络服务的类型目标主机上运行着何种类型什么版本的操作系统各个开放端口上监听的是哪些网络服务目的为更为深入的
31、情报信息收集，真正实施攻击做好准备如远程渗透攻击需了解目标系统操作系统类型，并配置,系统类型探查,操作系统类型探查,操作系统类型探查(OS Identification)通过各种不同操作系统类型和版本实现机制上的差异通过特定方法以确定目标主机所安装的操作系统类型和版本的技术手段明确操作系统类型和版本是进一步进行安全漏洞发现和渗透攻击的必要前提不同操作系统类型和版本的差异性协议栈实现差异协议栈指纹鉴别开放端口的差异端口扫描应用服务的差异旗标攫取辨识方式主动操作系统主动探测技术被动被动操作系统识别技术,操作系统主动探测,操作系统主动探测技术端口扫描应用服务旗标攫取主动协议栈指纹鉴别主动协议栈指纹鉴
32、别Fyodor,Phrack,Remote OS detection via TCP/IP Stack Finger-Printing,1998.鉴别项：FIN,BOGUS flag,ISN采样,DF位,TCP初始窗口大小,ACK值,ICMP出错消息抑制,ICMP消息引用,ICMP出错消息回射完整性,TOS,重叠分片处理,TCP选项nmap-O选项,qeuso,Xprobe,被动操作系统识别,被动操作系统识别技术流量监听(开放端口):tcpdump,被动应用服务识别:PADS被动协议栈指纹鉴别:siphon,p0f被动协议栈指纹鉴别Lance Spitzner,Passive fingerpr
33、inting四个常用特征:TTL,Window Size,DF,TOS,网络服务类型探查,网络服务类型探查确定目标网络中开放端口上绑定的网络应用服务类型和版本了解目标系统更丰富信息,可支持进一步的操作系统辨识和漏洞识别网络服务主动探测网络服务旗标抓取和探测:nmap-sV网络服务被动识别网络服务特征匹配和识别:PADS,系统类型探查防范措施,并没有太多好办法检测端口扫描监测工具对被动式静默监听并辨识系统类型行为则基本无能为力挫败系统类型探查活动的防御机制也很难“不出声就不会被发现”这一古老格言并不适用于网络攻防领域应立足于即使攻击者探查出了操作系统和网络服务类型，也不能轻易的攻破这道“坚固的防
34、线”,漏洞扫描,漏洞Security Vulnerability，安全脆弱性一般认为，漏洞是指硬件、软件或策略上存在的的安全缺陷，从而使得攻击者能够在未授权的情况下访问、控制系统漏洞扫描检查系统是否存在已公布安全漏洞，从而易于遭受网络攻击的技术,漏洞的不可避免,系统设计缺陷Internet从设计时就缺乏安全的总体架构和设计TCP/IP中的三阶段握手软件源代码的急剧膨胀Windows 95 1500万行,Windows 98 1800万行Windows XP 3500万行,Windows Vista 5000万行Linux 内核200万行软件实现的缺陷微软开发人员的单体测试缺陷从超过25个缺陷/
35、千行代码显著降低到7个缺陷/千行代码,漏洞扫描,漏洞扫描技术检查系统是否存在已公布安全漏洞，从而易于遭受网络攻击的技术。双刃剑网络管理员用来检查系统安全性，渗透测试团队(Red Team)用于安全评估。攻击者用来列出最可能成功的攻击方法，提高攻击效率。已发布安全漏洞数据库业界标准漏洞命名库微软安全漏洞公告,漏洞扫描软件,ISS(Internet Security Scanner)1993年:第一个漏洞扫描软件，商业2006年被IBM以16亿美元收购SATAN/SAINT1995年:Dan Farmer第一个公开发布的漏洞扫描软件，引发媒体负面报导Nessus*目前最优秀的共享漏洞扫描软件199
36、8-:RenaudDeraison,Nessus v2.x 开源2005-:Tenable Network Security,Nessus v3.x,v4.x,freeware,pluginlicense,国内的商业漏洞扫描软件,开源软件Xscan*:“冰河”黄鑫2001年开始开发2005年v3.3之后无更新兼容Nessus的NASL语言开发插件国内厂商绿盟:“极光”启明星辰:“天镜”方正、中软、东软,漏洞扫描防范措施,最简单对策：假设黑客会使用漏洞扫描来发现目标网络弱点，那你必须在黑客之前扫描漏洞补丁自动更新和分发:修补漏洞联邦桌面核心配置计划(FDCC)确保桌面计算机的安全漏洞及补丁自动管
37、理中国2010年才开始政务终端安全配置(CGDCC)标准的发展检测和防御漏洞扫描行为网络入侵检测系统:Snort仔细审查防火墙配置规则,作业2 个人作业,2.1 通过搜索引擎搜索自己在因特网上的足迹，并确认是否存在隐私和敏感信息泄露问题，如是，提出解决方法。(注，不要在提交作业中泄漏个人隐私)2.2 使用Nmap扫描某台靶机，并给出靶机环境的配置情况，撰写实验分析报告。2.3 使用Nessus扫描某台靶机，并给出靶机环境上的网络服务及安全漏洞情况，撰写实验分析报告。Deadline:3月22日,第2章 扫描与防御技术,张玉清,国家计算机网络入侵防范中心,2,6/11/2023,网络入侵与防范讲
38、义,95,本章内容安排,2.1 扫描技术概述2.2 常见的扫描技术2.3 扫描工具赏析2.4 扫描的防御2.5 小结,6/11/2023,网络入侵与防范讲义,96,2.1 扫描技术概述,什么是扫描器网络扫描器是一把双刃剑为什么需要网络扫描器扫描的重要性网络扫描器的主要功能网络扫描器与漏洞的关系扫描三步曲一个典型的扫描案例,6/11/2023,网络入侵与防范讲义,97,什么是扫描器,扫描器是一种自动检测远程或本地主机安全性弱点的程序。它集成了常用的各种扫描技术，能自动发送数据包去探测和攻击远端或本地的端口和服务，并自动收集和记录目标主机的反馈信息，从而发现目标主机是否存活、目标网络内所使用的设备
39、类型与软件版本、服务器或主机上各TCP/UDP端口的分配、所开放的服务、所存在的可能被利用的安全漏洞。据此提供一份可靠的安全性分析报告，报告可能存在的脆弱性。,6/11/2023,网络入侵与防范讲义,98,网络扫描器是一把双刃剑,安全评估工具系统管理员保障系统安全的有效工具网络漏洞扫描器网络入侵者收集信息的重要手段扫描器是一把“双刃剑”。,6/11/2023,网络入侵与防范讲义,99,为什么需要网络扫描器,由于网络技术的飞速发展，网络规模迅猛增长和计算机系统日益复杂，导致新的系统漏洞层出不穷由于系统管理员的疏忽或缺乏经验，导致旧有的漏洞依然存在许多人出于好奇或别有用心，不停的窥视网上资源,6/
40、11/2023,网络入侵与防范讲义,100,扫描的重要性,扫描的重要性在于把繁琐的安全检测，通过程序来自动完成，这不仅减轻了网络管理员的工作，而且也缩短了检测时间。同时，也可以认为扫描器是一种网络安全性评估软件，利用扫描器可以快速、深入地对目标网络进行安全评估。网络安全扫描技术与防火墙、安全监控系统互相配合能够为网络提供很高的安全性。,6/11/2023,网络入侵与防范讲义,101,网络扫描器的主要功能,扫描目标主机识别其工作状态（开/关机）识别目标主机端口的状态（监听/关闭）识别目标主机操作系统的类型和版本识别目标主机服务程序的类型和版本分析目标主机、目标网络的漏洞（脆弱点）生成扫描结果报告
41、,6/11/2023,网络入侵与防范讲义,102,网络扫描器与漏洞的关系,网络漏洞是系统软、硬件存在安全方面的脆弱性，安全漏洞的存在导致非法用户入侵系统或未经授权获得访问权限，造成信息篡改、拒绝服务或系统崩溃等问题。网络扫描可以对计算机网络系统或网络设备进行安全相关的检测，以找出安全隐患和可能被黑客利用的漏洞。,6/11/2023,网络入侵与防范讲义,103,扫描三步曲,一个完整的网络安全扫描分为三个阶段：第一阶段：发现目标主机或网络第二阶段：发现目标后进一步搜集目标信息，包括操作系统类型、运行的服务以及服务软件的版本等。如果目标是一个网络，还可以进一步发现该网络的拓扑结构、路由设备以及各主机
42、的信息第三阶段：根据收集到的信息判断或者进一步测试系统是否存在安全漏洞,6/11/2023,网络入侵与防范讲义,104,扫描三步曲（续）,网络安全扫描技术包括PING扫描、操作系统探测、穿透防火墙探测、端口扫描、漏洞扫描等PING扫描用于扫描第一阶段，识别系统是否活动OS探测、穿透防火墙探测、端口扫描用于扫描第二阶段OS探测是对目标主机运行的OS进行识别穿透防火墙探测用于获取被防火墙保护的网络资料端口扫描是通过与目标系统的TCP/IP端口连接，并查看该系统处于监听或运行状态的服务漏洞扫描用于安全扫描第三阶段，通常是在端口扫描的基础上，进而检测出目标系统存在的安全漏洞,6/11/2023,网络入
43、侵与防范讲义,105,一个典型的扫描案例,6/11/2023,网络入侵与防范讲义,106,1.Find targets,选定目标为：测试此主机是否处于活动状态，工具是用操作系统自带的ping，使用命令：结果见下页图。,6/11/2023,网络入侵与防范讲义,107,说明该主机处于活动状态,6/11/2023,网络入侵与防范讲义,108,2.Port Scan,运用扫描工具，检查目标主机开放的端口，判断它运行了哪些服务使用的工具是Nmap 4.20（此工具将在后面进行介绍）扫描命令：扫描结果见下面图,6/11/2023,网络入侵与防范讲义,109,6/11/2023,网络入侵与防范讲义,110,
44、2.Port Scan(2),端口开放信息如下：21/tcp open ftp25/tcp open smtp42/tcp open nameserver53/tcp open domain80/tcp open http我们将重点关注SMTP端口,6/11/2023,网络入侵与防范讲义,111,3.Vulnerability Check,检测SMTP服务是否存在漏洞使用漏洞扫描工具Nessus 3（此工具在后面将会介绍）扫描过程见下页图,6/11/2023,网络入侵与防范讲义,112,扫描目标是,6/11/2023,网络入侵与防范讲义,113,Nessus正在进行漏洞扫描,6/11/2023
45、,网络入侵与防范讲义,114,4.Report,Nessus发现了目标主机的SMTP服务存在漏洞。扫描报告中与SMTP漏洞相关的部分见下页图。,6/11/2023,网络入侵与防范讲义,115,漏洞编号：CVE-2003-0818,6/11/2023,网络入侵与防范讲义,116,2.2 常见的扫描技术,TCP/IP相关知识常用网络命令主机扫描端口扫描全扫描半扫描秘密扫描认证(ident)扫描FTP代理扫描远程主机OS指纹识别漏洞扫描,不可不学的扫描技术巧妙奇特的天才构思,6/11/2023,网络入侵与防范讲义,117,TCP/IP相关知识,TCP报文格式 TCP通信过程ICMP协议,6/11/2
46、023,网络入侵与防范讲义,118,TCP报文格式,6/11/2023,网络入侵与防范讲义,119,TCP控制位,URG:为紧急数据标志。如果它为1，表示本数据包中包含紧急数据。此时紧急数据指针有效。ACK:为确认标志位。如果为1，表示包中的确认号是有效的。否则，包中的确认号无效。PSH:如果置位，接收端应尽快把数据传送给应用层。,6/11/2023,网络入侵与防范讲义,120,TCP控制位,RST:用来复位一个连接。RST标志置位的数据包称为复位包。一般情况下，如果TCP收到的一个分段明显不是属于该主机上的任何一个连接，则向远端发送一个复位包。SYN:标志位用来建立连接，让连接双方同步序列号
47、。如果SYN1而ACK=0，则表示该数据包为连接请求，如果SYN=1而ACK=1则表示接受连接。FIN:表示发送端已经没有数据要求传输了，希望释放连接。,6/11/2023,网络入侵与防范讲义,121,TCP通信过程,正常TCP通信过程:建立连接(数据传输)断开连接,6/11/2023,网络入侵与防范讲义,122,建立TCP连接,6/11/2023,网络入侵与防范讲义,123,断开TCP连接,6/11/2023,网络入侵与防范讲义,124,ICMP协议（1）,Internet Control Message Protocol，是IP的一部分，在IP协议栈中必须实现。用途：网关或者目标机器利用I
48、CMP与源通讯当出现问题时，提供反馈信息用于报告错误特点：其控制能力并不用于保证传输的可靠性它本身也不是可靠传输的并不用来反映ICMP报文的传输情况,6/11/2023,网络入侵与防范讲义,125,ICMP协议（2）,ICMP报文类型0 Echo Reply3 Destination Unreachable4 Source Quench 5 Redirect 8 Echo 11 Time Exceeded,12 Parameter Problem13 Timestamp 14 Timestamp Reply 15 Information Request 16 Information Reply
49、 17 Address Mask Request 18 Address Mask Reply,6/11/2023,网络入侵与防范讲义,126,常用网络命令,PingTraceroute、Tracert、x-firewalkNet命令系列,6/11/2023,网络入侵与防范讲义,127,常用网络命令-ping,Ping是最基本的扫描技术。ping命令主要目的是检测目标主机是不是可连通，继而探测一个IP范围内的主机是否处于激活状态。,不要小瞧ping黑客的攻击往往都是从ping开始的,6/11/2023,网络入侵与防范讲义,128,常用网络命令-ping的原理,ping是一个基本的网络命令，用来确
50、定网络上具有某个特定IP地址的主机是否存在以及是否能接收请求。Ping命令通过向计算机发送ICMP回应报文并且监听回应报文的返回，以校验与远程计算机或本地计算机的连接。,6/11/2023,网络入侵与防范讲义,129,常用网络命令-ping参数说明,ping在安装了TCP/IP协议后可以使用。,6/11/2023,网络入侵与防范讲义,130,常用网络命令ping命令使用,-n:发送ICMP回应报文的个数,6/11/2023,网络入侵与防范讲义,131,常用网络命令-Traceroute,Traceroute跟踪两台机器之间的路径，显示中间的每一个节点的信息。这个工具可以用来确定某个主机的位置。
