《网络安全技术和实践》第一篇-网络安全分析.ppt

端口扫描技术 6．FTP 返回攻击 FTP 协议的一个有趣的特点是它支持代理（proxy）FTP连接，即入侵者可以从自己的计算机和目标主机的 FTP server-PI(协议解释器)连接，建立一个控制通信连接。然后请求这个server-PI激活一个有效的server-DTP(数据传输进 程)来给Internet上任何地方发送文件。对于一个User-DTP，尽管RFC明确地定义请求一个服务器发送文件到另一个服务器是可以的，但现在这 个方法并不是非常有效。这个协议的缺点是“能用来发送不能跟踪的邮件和新闻，给许多服务器造成打击，用尽磁盘，企图越过防火墙”。 端口扫描技术 7．UDP ICMP端口不能到达扫描 这种方法与上面几种方法的不同之处在于使用的是UDP协议，而非TCP/IP协议。由于UDP协议很简单，所以扫描变得相对比较困难。这是由于打开的端口对扫描探测并不发送确认信息，关闭的端口也并不需要发送一个错误数据包。幸运的是许多主机在向一个未打开的UDP端口发送数据包时，会返回一个 ICMP_PORT_UNREACH错误，这样扫描者就能知道哪个端口是关闭的。UDP和ICMP错误都不保证能到达，因此这种扫描器必须还实现在一个包 看上去是丢失的时候能重新传输。这种扫描方法是很慢的，因为RFC对ICMP错误消息的产生速率做了规定。同样这种扫描方法也需要具有root权限。 端口扫描技术 8．UDP recvfrom()和write() 扫描 当 非root用户不能直接读到端口不能到达错误时，Linux能间接地在它们到达时通知用户。比如，对一个关闭的端口的第二个write() 调用将失败。在非阻塞的UDP套接字上调用recvfrom() 时，如果ICMP出错还没有到达时回返回EAGAIN-重试。如果ICMP到达时，返回 ECONNREFUSED-连接被拒绝。这就是用来查看端口是否打开的技术。 典型的端口扫描工具 Superscan Superscan是由大名鼎鼎的foundstone开发的基于Windows的闭源TCP/UDP端口功能强大扫描工具，它包括许多的网络探测功能，如通过Ping来检验IP是否在线，使用traceroute检验一定范围目标计算机的是否在线和端口开放情况，通过IP查找主机名，通过ICMP实现路由跟踪，可使用http head，whois命令请求等。它包含三个版本：Slackware Package-Unicornscan 0.4.2、Fedora RPM - Unicornscan 0.4.2、FreeBSD Port - Unicornscan 0.4.2，这款工具非常适合入门者使用。 典型的端口扫描工具 典型的端口扫描工具 典型的端口扫描工具 典型的端口扫描工具 HostScan 网络主机扫描[HostScan] 是一款比较最强大的网络扫描软件，包括IP扫描，端口扫描和网络服务扫描。IP扫描可以扫描任意范围的IP地址( 到 55)，找到正在使用中的网络主机；端口扫描可以扫描已发现网上主机的端口，范围可以从1到65535，获得已经打开的端口的信息，对端口分析可以知道是否有人在你的电脑上留下了后门；网络服务扫描可以扫描打开的端口，返回端口后台运行的网络服务信息，例如,通常情况下，端口80运行的是HTTP服务。 典型的端口扫描工具 Nmap Nmap是一款针对大型网络的端口扫描工具，在不同情况下，你可能需要隐藏扫描、越过防火墙扫描或者使用不同的协议进行扫描，比如：UDP、TCP、ICMP 等。它支持：Vanilla TCP connect 扫描、TCP SYN（半开式）扫描、TCP FIN、Xmas、或NULL（隐藏）扫描、TCP ftp代理（跳板）扫描、SYN/FIN IP 碎片扫描（穿越部分数据包过滤器）、TCP ACK和窗口扫描、UDP监听ICMP端口无法送达扫描、ICMP扫描（狂ping）、TCP Ping扫描、直接RPC扫描（无端口映射）、TCP/IP指纹识别远程操作系统，以及相反身份认证扫描等。Namp同时支持性能和可靠性统计，例如：动态延时计算，数据包超时和转发，并行端口扫描，通过并行ping侦测下层主机。 典型的端口扫描工具 X-Scanner 采用多线程方式对指定IP地址段或单机进行安全漏洞扫描，扫描内容包括：标准端口状态及端口banner信息、CGI漏洞、RPC漏洞、FTP弱口令，NT主机共享信息、用户信息、组信息、NT主机弱口令用户等。扫描结果保存在/log/目录中，index.htm为扫描结果索引文件。对于一些已知的CGI和RPC漏洞，该工具可以给出相应的漏洞描述。X-Scanner扫描的内容是绝大多数的服务器容易出现的漏洞和安全设置问