14年网络安全5漏洞扫描.pptVIP

第五章作业 1.完整的网络扫描的三个阶段 2.目标发现阶段的五个技巧是什么，简单描述他们的方法和优缺点 3.操作系统探测方法的比较 4.简述基于主机的脆弱性评估和基于网络的脆弱评估的不同 1.直接测试 直接测试是指利用漏洞特点发现系统漏洞的方法。要找出系统中的常见漏洞，最显而易见的方法就是试图渗透漏洞。 渗透测试是指使用针对漏洞特点设计的脚本或者程序检测漏洞。测试代码通常和渗透攻击代码类似，不同的是测试代码返回与“风险等级”对应的提示， 而渗透攻击代码则直接向入侵者返回具有超级权限的执行环境。另外也有一些渗透攻击不返回任何东西，只是让系统处于易被攻击的状态，用户必须另外采取动作来判断是否有漏洞被渗透了。 根据这一点，测试方法可以分为两种不同的类型：可以直接观察到的测试和只能间接观察到的测试。下面通过一个例子具体说明直接测试漏洞的方法。 5.2.3漏洞检测 对于拒绝服务（DoS）漏洞也可以直接使用渗透代码进行测试，所不同的只是测试DoS漏洞的渗透代码通常是经过编译的二进制代码。 直接测试的方法具有下面一些特点： ?? 通常用于对Web服务器漏洞、拒绝服务（DoS）漏洞进行检测； ?? 能够准确地判断系统是否存在特定漏洞； ?? 对于渗透所需步骤较多的漏洞速度较慢； ?? 攻击性较强，可能对存在漏洞的系统造成破坏； ?? 对于DoS漏洞，测试方法会造成系统崩溃； ?? 不是所有漏洞的信息都能通过测试方法获得。 5.2.3漏洞检测 2.推断 推断是指不利用系统漏洞而判断漏洞是否存在的方法。它并不直接渗透漏洞，只是间接寻找漏洞存在的证据。 采用推断方法的检测手段主要有版本检查（Version Check）、程序行为分析、操作系统堆栈指纹分析、时序分析等。 其中，版本检查是推断方法中最简单的一个应用。它依赖于服务器对请求响应的旗标获取系统的有关信息，然后将获得的版本号与已知信息比较，以判断目标系统是否是受漏洞影响的系统。 5.2.3漏洞检测 行为分析在需要推翻某个“风险假设”的时候非常有用。 在这种情况下，它分析目标程序的行为，如果发现该程序的行为和具有漏洞的版本的程序行为不一致，就认为目标程序不存在漏洞。 这种方法不如渗透测试方法可靠，但是攻击性更小。 这种方法在推断没有公开细节的新漏洞时也很有用。 另外，它也可以用于检查DoS漏洞，因为它基本没有攻击性，所以可以在检查很多DoS漏洞以后再重新启动系统。 5.2.3漏洞检测 推断方法有时也和测试方法结合使用，如首先推断出目标采用的系统类型，然后进行针对该系统的测试。 推断的方法在快速检查大量目标时很有用，因为这种方法对计算机和网络的要求都很低。而它最主要的缺点就是可靠性较低。 5.2.3漏洞检测 3.带凭证的测试 凭证是指访问服务所需要的用户名或者密码，包括UNIX的登录权限和从网络调用Windows NT的U W API的能力。除了目标主机IP地址以外，直接测试和推断两 种方法都不需要其他任何信息。 然而，很多攻击都是由拥有UNIX shell访问权限或者NT资源访问权限的用户发起的，他们的目标在于将自己的权限提升成为超级用户，从而可以执行某个命令。 对于这样的漏洞，前面两种方法很难检查出来。因此，如果赋予测试进程目标系统的角色，将能够检查出更多的漏洞。这种方法就是带凭证的测试。 5.2.3漏洞检测 由于拥有了目标主机的证书，一些原来只能由本地扫描发现的漏洞就能够通过网络安全扫描发现了。 然而需要注意的是，由于拥有了目标主机的证书，检测系统本身的安全就更加值得注意，因为入侵者可能从检测系统上得到目标系统的访问权限。 所以一个好的检测系统应该集成对自己进行扫描的功能，否则，漏洞扫描有可能变得很危险 5.2.3漏洞检测 5.2.3常用的网络扫描工具 网络扫描的一些常用工具都是可以从Internet上免 费获得的。在使用这些工具之前请一定确认目标网络已经授权你对其进行扫描。因为这些工具有可能对扫描的目标造成危害。 1.Netcat 由Hobbit（hobbit@）编写的Netcat（或 称nc）是一个优秀的实用工具，Weld Pond（weld@10）将其移植到了NT平台上。它能执行的任务是如此之多，以至于被称作网络工具箱中的“瑞士军刀” 2.网络映射程序Nmap 由Fyodor（fyodor@）编写的Nmap（）是一个开放源码的网络扫描工具。 Nmap实现了前面提到的绝大部分的扫描技巧和操作系统探测技巧，可以用来发现网络上存活的主机、这些主机开放了哪些TCP和UDP端口、这些主机运行什么样的操作系统以及操作系统的版本、正在使用什么样的防火墙和过滤设备等信息。 5.2.3常用的网络扫描工具 3.SATAN 前面的两个工具主要是用于发现目标和攫取信息两个阶段，而一次完整的漏洞扫描还应该