1、第四章 网络攻击及防御技术为什么要研究攻击技术 知己知彼，百战不殆 中国孙子 Pay attention to your enemies, for they are the first to discover your mistakes.Antistthenes, 440 BC 了解网络安全的重要手段 黑客攻击技术 网络防护的一部分 研究网络攻击，是为了更加有效地对网络进行防护技术繁多，没有明显的理论指导一些技术，既是黑客技术，也是网络管理技术，或者是网络防护技术1、严峻的信息安全问题2000 年 2 月 6 日前后，美国 YAHOO 等 8 家大型网站接连遭受黑客的攻击，直接经济损失约为 1
2、2 亿美元（网上拍卖“电子港湾”网站、亚马逊网站、AOL）此次安全事故具有以下的特点：攻击直接针对商业应用；攻击造成的损失巨大；信息网络安全关系到全社会2、急需解决的若干安全问题信息安全与高技术犯罪 1999 年，上海 XX 证券部电脑主机被入侵 2000 年 2 月 14 日，中国选择网（上海）受到黑客攻击，造成客户端机器崩溃，并采用类似攻击 YAHOO 的手法，通过攻击服务器端口，造成内存耗尽和服务器崩溃 我国约有 64%的公司信息系统受到攻击，其中金融业占总数的 57% 不受欢迎的垃圾邮件的现象愈演愈烈 1999 年 4 月 26 日，CIH 病毒“世纪风暴” 媒体内容的安全性凯文米特尼
3、克 凯文米特尼克是美国 20 世纪最著名的黑客之一，他是“社会工程学”的创始人 1979 年他和他的伙伴侵入了北美空防指挥部 1983 年的电影战争游戏演绎了同样的故事，在片中，以凯文为原型的少年黑客几乎引发了第三次世界大战莫里斯蠕虫（Morris Worm） 时间：1988 年 肇事者：Robert T. Morris , 美国康奈尔大学学生，其父是美国国家安全局安全专家 机理：利用 sendmail, finger 等服务的漏洞，消耗 CPU 资源，拒绝服务 影响：Internet 上大约 6000 台计算机感染，占当时 Internet 联网主机总数的 10%，造成 9600 万美元的损
4、失 CERT/CC 的诞生：DARPA 成立 CERT（Computer Emergency Response Team） ，以应付类似“蠕虫（Morris Worm） ”事件网络攻击案例 94 年末，俄罗斯黑客弗拉基米尔利文与其伙伴从圣彼得堡的一家小软件公司的联网计算机上，向美国 CITYBANK 银行发动了一连串攻击，通过电子转帐方式，从 CITYBANK 银行在纽约的计算机主机里窃取 1100 万美元 96 年 8 月 17 日，美国司法部的网络服务器遭到黑客入侵，并将“ 美国司法部” 的主页改为“ 美国不公正部” ，将司法部部长的照片换成了阿道夫希特勒，将司法部徽章换成了纳粹党徽，并加
5、上一幅色情女郎的图片作为所谓司法部部长的助手。此外还留下了很多攻击美国司法政策的文字 96 年 9 月 18 日，黑客光顾美国中央情报局的网络服务器，将其主页由“ 中央情报局” 改为“ 中央愚蠢局” 96 年 12 月 29 日，黑客侵入美国空军的全球网网址并将其主页肆意改动，其中有关空军介绍、新闻发布等内容被替换成一段简短的黄色录象，且声称美国政府所说的一切都是谎言。迫使美国国防部一度关闭了其他 80 多个军方网址 98 年 2 月 25 日，美国国防部四个海军系统和七个空军系统的电脑网页遭侵入 98 年 5 月底，印度原子研究中心的主页(www.barc.ernet.in)遭侵入 98 年
6、 8 月 31 日，澳大利亚主要政党和政府官员的网站遭黑客袭击，网址被篡改 98 年 9 月 13 日，纽约时报站点（）遭黑客袭击 2000 年 2 月，著名的 Yahoo、eBay 等高利润站点遭到持续两天的拒绝服务攻击，商业损失巨大 2002 年 3 月底，美国华盛顿著名艺术家 Gloria Geary 在 eBay 拍卖网站的帐户，被黑客利用来拍卖 Intel Pentium 芯片 2002 年 6 月，日本 2002 年世界杯组委会的官方网站由于黑客成功侵入并在该网站上发布侮辱性内容而被迫关闭中美五一黑客大战 2001 年 5 月 1 日是国际劳动节，5 月 4 日是中国的青年节，而
7、5 月 7 日则是中国在南斯拉夫的大使馆被炸两周年的纪念日。中国黑客在这几个重大的纪念日期间对美国网站发起了大规模的攻击美国部分被黑网站美国加利福尼亚能源部；日美社会文化交流会；白宫历史协会UPI 新闻服务网；华盛顿海军通信站2001 年中美黑客大战事件背景和经过 4.1 撞机事件为导火线 4 月初，以 PoizonB0x、pr0phet 为代表的美国黑客组织对国内站点进行攻击，约 300 个左右的站点页面被修改 4 月下旬，国内红（黑）客组织或个人，开始对美国网站进行小规模的攻击行动，4 月 26 日有人发表了 “五一卫国网战”战前声明，宣布将在 5 月 1日至 8 日，对美国网站进行大规模
8、的攻击行动。 各方都得到第三方支援 各大媒体纷纷报道，评论，中旬结束大战被美国黑客更改的网页和国内黑客组织更改的美国网站，这次事件中采用的常用攻击手法：红客联盟负责人在 5 月 9 日网上记者新闻发布会上对此次攻击事件的技术背景说明如下： “我们更多的是一种不满情绪的发泄，大家也可以看到被攻破的都是一些小站，大部分都是 NT/Win2000 系统， 这个行动在技术上是没有任何炫耀和炒作的价值的。 ” 主要采用当时流行的系统漏洞进行攻击。 这次事件中被利用的典型漏洞：用户名泄漏，缺省安装的系统用户名和密码（入侵者，利用黑客工具扫描系统用户，获得用户名和简单密码） Unicode 编码可穿越 fi
9、rewall,执行黑客指令ASP 源代码泄露可远程连接的数据库用户名和密码 SQL server 缺省安装微软 Windows 2000 登录验证机制可被绕过 Bind 远程溢出，Lion 蠕虫 SUN rpc.sadmind 远程溢出，sadmin/IIS 蠕虫 Wu-Ftpd 格式字符串错误远程安全漏洞拒绝服务 (syn-flood , ping )红色代码 2001 年 7 月 19 日，全球的入侵检测系统(IDS)几乎同时报告遭到不名蠕虫攻击 在红色代码首次爆发的短短 9 小时内，以迅雷不及掩耳之势迅速感染了250,000 台服务器 最初发现的红色代码蠕虫只是篡改英文站点主页，显示“
10、Welcome to http:/! Hacked by Chinese!” 随后的红色代码蠕虫便如同洪水般在互联网上泛滥，发动拒绝服务(DoS)攻击以及格式化目标系统硬盘，并会在每月 20 日28 日对白宫的 WWW 站点的 IP地址发动 DoS 攻击，使白宫的 WWW 站点不得不全部更改自己的 IP 地址。尼姆达（Nimda） 尼姆达是在 911 恐怖袭击整整一个星期后出现的，当时传言是中国为了试探美国对网络恐怖袭击的快速反应能力而散布了尼姆达病毒 尼姆达是在早上 9:08 发现的，明显比红色代码更快、更具有摧毁功能，半小时之内就传遍了整个世界。随后在全球各地侵袭了 830 万部电脑，总共
11、造成将近 10 亿美元的经济损失 传播方式包括：电子邮件、网络临近共享文件、IE 浏览器的内嵌 MIME 类型自动执行漏洞、IIS 服务器文件目录遍历漏洞、CodeRedII 和 Sadmind/IIS 蠕虫留下的后门等SQL Slammer 蠕虫Slammer 的传播数度比“红色代码”快两个数量级 在头一分钟之内，感染主机数量每 8.5 秒增长一倍； 3 分钟后该病毒的传播速度达到峰值（每秒钟进行 5500 万次扫描） ； 接下来，其传播速度由于自身挤占了绝大部分网络带宽而开始下降； 10 分钟后，易受攻击的主机基本上已经被感染殆尽RPC DCOM 蠕虫 2003 年 8 月 11 日首先被
12、发现，然后迅速扩散，这时候距离被利用漏洞的发布日期还不到 1 个月 该蠕虫病毒针对的系统类型范围相当广泛（包括 Windows NT/2000/XP） 截至 8 月 24 日，国内被感染主机的数目为 25100 万台 全球直接经济损失几十亿美金3、网络威胁恶意代码及黑客攻击手段的三大特点 ：传播速度惊人；受害面惊人；穿透深度惊人传播速度 “大型推土机”技术(Mass rooter)，是新一代规模性恶意代码具备的显著功能。 这些恶意代码不仅能实现自我复制，还能自动攻击内外网上的其它主机，并以受害者为攻击源继续攻击其它网络和主机。 以这些代码设计的多线程和繁殖速度，一个新蠕虫在一夜之间就可以传播到
13、互联网的各个角落。受害面 许多国家的能源、交通、金融、化工、军事、科技和政府部门等关键领域的信息化程度逐年提高，这些领域的用户单位的计算机网络，直接或间接地与Internet 有所联系。 各种病毒、蠕虫等恶意代码，和各种黑客攻击，通过 Internet 为主线，对全球各行业的计算机网络用户都造成了严重的影响。穿透深度 蠕虫和黑客越来越不满足于攻击在线的网站，各种致力于突破各种边界防线的攻击方式层出不穷。 一个新的攻击手段，第一批受害对象是那些 24 小时在线的网站主机和各种网络的边界主机； 第二批受害对象是与 Internet 联网的，经常收发邮件的个人用户； 第三批受害对象是 OA 网或其它
14、二线内网的工作站； 终极的受害对象可能会波及到生产网络和关键资产主机。信息战 在海湾战争和伊拉克战争中，美国大量采用了信息战的手段,取得了绝对意义上的“制信息权” ，通过计算机病毒武器攻击伊拉克的指挥控制网络系统，使其完全失效，整个伊军就像一盘散沙，只能任人宰割。 在未来的局部战争中，信息战或信息威慑将成为非常重要的非常规战手段 信息战的范围不仅仅局限于军事领域，关系国家国计民生的行业（如政府、金融等）也会成为信息战的攻击目标信息时代威胁图类别 攻击举例信 息 战 士 减 小 美 国 决 策 空 间 、 战 略 优 势 ， 制 造 混 乱 ，进 行 目 标 破 坏 国 家 安 全 威 胁 情
15、报 机 构 搜 集 政 治 、 军 事 ， 经 济 信 息 恐 怖 分 子 破 坏 公 共 秩 序 ， 制 造 混 乱 ， 发 动 政 变 工 业 间 谍 掠 夺 竞 争 优 势 ， 恐 吓 共 同 威 胁 犯 罪 团 伙 施 行 报 复 ， 实 现 经 济 目 的 ， 破 坏 制 度 社 会 型 黑 客 攫 取 金 钱 ， 恐 吓 ， 挑 战 ， 获 取 声 望 局 部 威 胁 娱 乐 型 黑 客 以 吓 人 为 乐 ， 喜 欢 挑 战 V 敌国政府、间谍IV 商业间谍III 罪犯II 恶意用户、内部人员、普通黑客I 用户误操作网络攻击的动机偷取国家机密；商业竞争行为；内部员工对单位的不满；
16、对企业核心机密的企望；网络接入帐号、信用卡号等金钱利益的诱惑；利用攻击网络站点而出名；对网络安全技术的挑战；对网络的好奇心 攻击的一般过程预攻击 攻击 后攻击攻击入侵系统的常用步骤采用 选择 获取 提升为 安装 获取敏感信息漏洞-会用的- 系统 - 最高 - 系统-或者其他扫描 方式 一定 权限 后门 攻击目的工具 入侵 权限 较高明的攻击入侵步骤（见图一）攻击的种类预攻击阶段端口扫描、漏洞扫描、操作系统类型鉴别、网络拓扑分析攻击阶段（1）缓冲区溢出攻击操作系统漏洞、应用服务缺陷（2）脚本程序漏洞攻击 （3）口令攻击 （4）错误及弱配置攻击（5）网络欺骗与劫持攻击 后攻击阶段后门木马、痕迹擦除
17、其它攻击种类拒绝服务攻击、嗅探攻击、恶意网页攻击、社会工程攻击目的：收集信息，进行进一步攻击决策内容：获得域名及 IP 分布获得拓扑及 OS 等获得端口和服务获得应用系统情况跟踪新漏洞发布目的：进行攻击，获得系统的一定权限内容：获得远程权限进入远程系统提升本地权限进一步扩展权限进行实质性操作目的：消除痕迹，长期维持一定的权限内容：植入后门木马删除日志修补明显的漏洞进一步渗透扩展端 口判 断判 断系 统选 择最 简方 式入 侵分 析可 能有 漏洞 的服 务获 取系 统一 定权 限提升为最高权限安 装多 个系 统后 门清 除入 侵脚 印攻 击 其他 系 统获 取 敏感 信 息作 为 其他 用 途较
18、 高 明 的 攻 击攻 击 入 侵 步 骤（图一）信息收集非技术手段又称：“网络踩点” ，就是通过各种途径对所要攻击的目标进行多方面的了解（包括任何可得到的蛛丝马迹，但要确保信息的准确） 。合法途径从目标机构的网站获取，对主页进行分析； 新闻报道，出版物； 新闻组或论坛； 在域名及其注册机构的查询社会工程手段假冒他人，获取第三方的信任搜索引擎社会工程学攻击 社交工程是使用计谋和假情报去获得密码和其他敏感信息的科学，研究一个站点的策略其中之一就是尽可能多的了解这个组织的个体，因此黑客不断试图寻找更加精妙的方法从他们希望渗透的组织那里获得信息。举个例子：一组高中学生曾经想要进入一个当地的公司的计算
19、机网络，他们拟定了一个表格，调查看上去显得是无害的个人信息，例如所有秘书和行政人员和他们的配偶、孩子的名字，这些从学生转变成的黑客说这种简单的调查是他们社会研究工作的一部分。利用这份表格这些学生能够快速的进入系统，因为网络上的大多数人是使用宠物和他们配偶名字作为密码。凯文米特尼克是美国 20 世纪最著名的黑客之一，他是“社会工程学”的创始人假冒权威（1）黑客冒充公司的领导人员；（2）在大公司中，不认识所有上司的情况非常普通；（3）在 Internet 上，黑客可以通过邮件列表发出入侵的安全警告，并提供解决问题的指令，指令被设计成能使黑客访问系统。足够显眼的标题和时髦的行话假扮（1）电话、电子邮
20、件、聊天室和短消息里假扮你的熟人；（2）如果你是新来的职员，冒充你的同事同情如果一个人打电话来，讲述他的困难，你不帮助他吗？个人利益假冒来自财务部门的员工，访问系统管理员改善自我感觉（1）自我感觉良好的人易于被欺骗；（2）黑客进入热情的经理房间，表明自己是来自市场部的新员工，会得到详细的介绍不引人注意的职业（1）来自天然气、电力公司或者电话公司的员工；（2）请求拨号等上机操作；（3）人们会单独把黑客放在房间里奖赏（1）提供某种形式的奖赏会引诱人泄露信息；（2）口令比赛赢大奖、展示创造性，请列出密码社会工程学攻击的常用伎俩 1. 十度分隔法利用电话进行欺诈的一位社会工程学黑客的首要任务,就是要让
21、他的攻击对象相信,他要么是 1)一位同事,要么是 2)一位可信赖的专家(比如执法人员或者审核人员).但如果他的目标是要从员工 X 处获取信息的话,那么他的第一个电话或者第一封邮件并不会直接打给或发给 X.在社会心理学中,六度分隔的古老游戏是由很多分隔层的.纽约市警察局的一位老资格探员 Sal Lifrieri,如今正定期举办一个叫做“防范性运营”的企业培训课程,教授如何识别黑客穿透某个组织的社会工程学攻击手段.他说,黑客在一个组织中开始接触的人可能会与他所瞄准的目标或人隔着十层之远.“我讲课时不断地在告诫人们,多少得具备一些放人之心,因为你不知道某人到底想从你这儿获得什么,”Lifrieri
22、说.渗透进入组织的起点“可能是前台或门卫.所以企业必须培训员工彼此相识.而作为犯罪起点的秘书或者前台距离犯罪分子真正想接近的目标有可能隔着十层之远.”Lifrieri 说,犯罪分子所用的方法很简单,就是奉承某个组织里更多可以接近的人,以便从职务更高的人那里获得他们所需的信息.“他们常用的技巧就是伪装友好,”Lifrieri 说.“其言辞有曰:我很想跟您认识一下.我很想知道在您的生活中哪些东西是最有用的.然后他们很快就会从你那里获得很多你原本根本不会透露的信息.”2. 学会说行话每个行业都有自己的缩写术语.而社会工程学黑客就会研究你所在行业的术语,以便能够在与你接触时卖弄这些术语,以博得好感.“
23、这其实就是一种环境提示,”Lifrieri 说,“假如我跟你讲话,用你熟悉的话语来讲,你当然就会信任我.要是我还能用你经常在使用的缩写词汇和术语的话,那你就会更愿意向我透露更多的我想要的信息.” 3. 借用目标企业的“等待音乐”Lifrieri 说,成功的骗子需要的是时间、坚持不懈和耐心.攻击常常是缓慢而讲究方法地进行的.这不仅需要收集目标对象的各种轶事,还要收集其他的“社交线索”以建立信任感,他甚至可能会哄骗得你以为他是你还未到这家企业之前的一位同事.另外一种成功的技巧是记录某家公司所播放的“等待音乐”,也就是接电话的人尚未接通时播放的等待乐曲.“犯罪分子会有意拨通电话,录下你的等待音乐,然
24、后加以利用.比如当他打给某个目标对象时,他会跟你谈上一分钟然后说:抱歉,我的另一部电话响了,请别挂断,这时,受害人就会听到很熟悉的公司定制的等待音乐,然后会想:哦.此人肯定就在本公司工作.这是我们的音乐.这不过是又一种心理暗示而已.” 4. 电话号码欺诈但最分子常常会利用电话号码欺诈术,也就是在目标被叫者的来电显示屏上显示一个和主叫号码不一样的号码.“犯罪分子可能是从某个公寓给你打的电话,但是显示在你的电话上的来电号码却可能会让你觉得好像是来自同一家公司的号码,”Lifrieri 说.于是,你就有可能轻而易举地上当,把一些私人信息,比如口令等告诉对方.而且,犯罪分子还不容易被发现,因为如果你回
25、拨过去,可能拨的是企业自己的一个号码.5. 利用坏消息作案“只要报纸上已刊登什么坏消息,坏分子们就会利用其来发送社会工程学式的垃圾邮件、网络钓鱼或其它类型的邮件,”McAfee Avert 实验室的安全研究主任 Dave Marcus 说.Marcus 说,他们的实验室在这次的美国总统大选和经济危机中看到了此类活动的增多趋势.“有大量的网络钓鱼攻击是和银行间的并购有关的,”Marcus 说.“钓鱼邮件会告诉你说,你的存款银行已被他们的银行并购了.请你点击此处以确保能够在该银行关张之前修改你的信息.这是诱骗你泄露自己的信息,他们便能够进入你的账户窃取钱财,或者倒卖储户的信息.”6. 滥用网民对社
26、交网站的信任Facebook、MySpace 和 LinkedIn 都是非常受欢迎的社交网站.很多人对这些网站十分信任.而最近的一次钓鱼欺诈事件就瞄上了 LinkedIn 的用户,这次攻击让很多人感到震惊.Marcus 说,已经有越来越多的社交网站迷们收到了自称是Facebook 网站的假冒邮件,结果上了当.“用户们会收到一封邮件称:本站正在进行维护,请在此输入信息以便升级之用.只要你点进去,就会被链接到钓鱼网站上去.”Marcus 因此建议人恩最好手工输入网址以避免被恶意链接.并应该记住,很少有某个网站会寄发要求输入更改口令或进行账户升级的邮件.7. 输入错误捕获法犯罪分子还常常会利用人们在
27、输入网址时的错误来作案,Marcus 说.比如当你输入一个网址时,常常会敲错一两个字母,结果转眼间你就会被链接到其他网站上去,产生了意想不到的结果.“坏分子们早就研究透了各种常见的拼写错误,而他们的网站地址就常常使用这些可能拼错的字母来做域名.”避免受到社交工程攻击极度警惕Do not trust any stranger；即使是很友好的人怀疑一切声称并不代表他有权这样做；询问他们的权限；绝大多数社交工程在高度警惕下破产验证出处当某人电子邮件要求时，要求来电话确证；对于电话里的请求，要求回电号码并确证；员工号码或者身份证说不对于逾越日常行为准则的要求，要拒绝；要求按照正常程序和规定；书面报告和
28、授权信息用户培训培训员工，提高安全意识信息收集技术手段Ping 命令；Tracert / Traceroute 命令；Rusers / Finger 命令；Host / nslookup 命令Ping这是 TCP/IP 协议中最有用的命令之一,在安装了 TCP/IP 协议以后才可以使用。 它给另一个系统发送一系列的数据包，该系统本身又发回一个响应，这条实用程序对查找远程主机很有用，它返回的结果表示判断计算机是否开着，或者数据包发送到返回需要多少时间 。Ping 就是一个测试程序，如果 Ping 运行正确，你大体上就可以排除网络访问层、网卡、MODEM 的输入输出线路、电缆和路由器等存在的故障，
29、从而减小了问题的范围。但由于可以自定义所发数据报的大小及无休止的高速发送，Ping 也被某些别有用心的人作为 DDOS（拒绝服务攻击）的工具，Yahoo 就曾被黑客用数百台可以高速接入互联网的电脑连续发送大量 Ping 数据报而瘫痪的。 Ping 参数 IP 地址 Ping 命令的常用参数选项 ：ping IP -t-连续对 IP 地址执行 Ping 命令，直到被用户以 Ctrl+C 中断。 ping IP -l 2000-指定 Ping 命令中的数据长度为 2000 字节，而不是缺省的 32 字节。 ping IP -n-执行特定次数的 Ping 命令。 如果 ping 某一网络地址 ，出现
30、：“Reply from 61.172.201.228: bytes=32 time=9ms TTL=53“则表示本地与该网络地址之间的线路是畅通的；如果出现“Request timed out“，则表示此时发送的小数据包不能到达目的地，此时可能有两种情况，一种是网络不通，还有一种是网络连通状况不佳。此时还可以使用带参数的 Ping 来确定是哪一种情况。 例：ping -t -l 1500 不断地向目的主机发送数据，并且包大小设置为1500 字节， 。此时如果都是显示“Reply timed out“，则表示网络之间确实不通，如果不是全部显示“Reply times out“则表示此网站还是
31、通的，只是响应时间长或通讯状况不佳。 Tracert/Tracerout 命令:跟踪从一台计算机到另外一台计算机所走的路径。 如果在使用 ping 命令发现网络不通，可以用 tracert 跟踪一下包到达哪一级故障。例如：tracert Tracing route to 211.100.31.131 -解析出首都在线站点()的主机 IP 地址；over a maximum of 30 hops:1 1 ms 2 ms 2 ms 202.201.3.12 2 ms 2 ms 2 ms 210.202.88.1263 3 ms 4 ms 4 ms 210.112.46.134 5 ms 5 ms
32、 6 ms 210.112.46.1495 * * * Request timed out. -说明从 202.112.46.149 到上一级路由器之间发生了故障，导致连接不了首都在线站点 Finger 和 Rusers 命令:这两个都是 UNIX 命令。通过这两个命令，能收集到目标计算机上的有关用户的消息。 使用 rusers 命令，产生的结果如下所示：gajake :ttyp1 Nov 13 15:42 7:30 (remote)root :ttyp2 Nov 13 14:57 7:21 (remote)robo :ttyp3 Nov 15 01:04 01 (remote)angel11
33、1 :ttyp4 Nov14 23:09 (remote)pippen :ttyp6 Nov 14 15:05 (remote)root :ttyp5 Nov 13 16:03 7:52 (remote)gajake :ttyp7 Nov 14 20:20 2:59 (remote)dafr :ttyp15Nov 3 20:09 4:55 (remote)dafr :ttyp1 Nov 14 06:12 19:12 (remote)dafr :ttyp19Nov 14 06:12 19:02 (remote) 最左边的是通过远程登录的用户名。还包括上次登录时间，使用的 SHELL 类型等等信息
34、。 Host / nslookup 命令:Host 或者 Nslookup 命令，结合 Whois 和 Finger 命令获取主机、操作系统和用户等信息 Whois ：Linux 命令，用于查找并显示用户信息。端口扫描 目的：判断目标主机开启了哪些端口及其对应的服务，利用来作为入侵通道。 常规扫描技术（1）调用 connect 函数直接连接被扫描端口；（2）无须任何特殊权限；（3）速度较慢，易被记录 高级扫描技术（1）利用探测数据包的返回信息（例如 RST）来进行间接扫描；（2）较为隐蔽，不易被日志记录或防火墙发现TCP SYN 扫描也叫半开式扫描，扫描程序不必要打开一个完全的 TCP 连接。
35、优点在于一般不会在目标计算机上留下记录。缺点是，必须要有 root 权限才能建立自己的SYN 数据包。 利用 TCP 连接三次握手的第一次进行扫描端口扫描工具Nmap（1）简介：被称为“扫描器之王” ；有 for Unix 和 for Win 的两种版本；需要 Libpcap 库和 Winpcap 库的支持；能够进行普通扫描、各种高级扫描和操作系统类型鉴别等（2）使用-sS：半开式扫描 -sT:普通 connect()扫描 ；-sU：udp 端口扫描-O：操作系统鉴别；-P0：强行扫描（无论是否能够 ping 通目标）-p：指定端口范围；-v：详细模式SuperScan（1）简介基于 Wind
36、ows 平台；速度快，图形化界面；最新版本为 4.0（2）SuperScan 是由 Foundstone 开发的一款免费的，但功能十分强大的工具，与许多同类工具比较，它既是一款黑客工具，又是一款网络安全工具。一名黑客可以利用它的拒绝服务攻击（DoS，denial of service）来收集远程网络主机信息。而做为安全工具，SuperScan 能够帮助发现网络中的弱点。利用 SuperScan 检测网络安全 （1）打开主界面，默认为扫描（Scan）菜单，允许你输入一个或多个主机名或IP 范围。你也可以选文件下的输入地址列表。输入主机名或 IP 范围后开始扫描，点 Play button，Sup
37、erScan 开始扫描地址。 （2）扫描进程结束后，SuperScan 将提供一个主机列表，关于每台扫描过的主机被发现的开放端口信息。SuperScan 还有选择以 HTML 格式显示信息的功能。 （3）关于主机和服务器扫描设置（Host and Service Discovery）很多时候需要定制扫描。如图 C 上看到的 Host and Service Discovery 选项。这个选项让你在扫描的时候看到的更多信息。 在菜单顶部是 Host Discovery 项。默认的，发现主机的方法是通过重复请求（echo requests） 。通过选择和取消各种可选的扫描方式选项，你也能够通过利用
38、时间戳请求（timestamp） ，地址屏蔽请求（address mask requests）和消息请求（information requests）来发现主机。选择的选项越多，那么扫描用的时间就越长。如果你正在试图尽量多的收集一个明确的主机的信息，建议你首先执行一次常规的扫描以发现主机，然后再利用可选的请求选项来扫描。 在菜单的底部，包括 UDP 端口扫描和 TCP 端口扫描项。通过屏幕的截图，注意到 SuperScan 最初开始扫描的仅仅是那几个最普通的常用端口。原因是有超过65000 个的 TCP 和 UDP 端口。若对每个可能开放端口的 IP 地址，进行超过130000 次的端口扫描，那
39、将需要多长的时间。因此 SuperScan 最初开始扫描的仅仅是那几个最普通的常用端口，但给你扫描额外端口的选项。（4）关于扫描选项（Scan Options）Scan Options 项如图 D 所示，允许进一步的控制扫描进程。菜单中的首选项是定制扫描过程中主机和通过审查的服务数。1 是默认值，一般来说足够了，除非你的连接不太可靠。 Scan Options 中的接下来的选项，能够设置主机名解析的数量。同样，数量 1 足够了，除非你的连接不可靠。 另一个选项是获取标志（Banner Grabbing）的设置，Banner Grabbing 是根据显示一些信息尝试得到远程主机的回应。默认的延迟
40、是 8000 毫秒，如果你所连接的主机较慢，这个时间就显的不够长。 旁边的滚动条是扫描速度调节选项，能够利用它来调节 SuperScan 在发送每个包所要等待的时间。最快的可能扫描，当然是调节滚动条为 0。可是，扫描速度设置为 0，有包溢出的潜在可能。如果你担心由于 SuperScan 引起的过量包溢出，你最好调慢 SuperScan 的速度。（5） 关于工具（Tools）选项 SuperScan 的工具选项（Tools）允许你很快的得到许多关于一个明确的主机信息。正确输入主机名或者 IP 地址和默认的连接服务器，然后点击你要得到相关信息的按纽。如，你能 ping 一台服务器，或 tracer
41、oute，和发送一个HTTP 请求。图 E 显示了得到的各种信息。（6）关于 Windows 枚举选项（Windows Enumeration）如果你设法收集的信息是关于 Linux/UNIX 主机的，那这个选项是没什么用的。但若你需要 Windows 主机的信息，它确实是很方便的。如图 F 所示，能够提供从单个主机到用户群组，再到协议策略的所有信息。这个选项给人的最深刻的印象是它产生大量的透明信息。 漏洞扫描根据目标主机开放的不同应用和服务来扫描和判断是否存在或可能存在某些漏洞积极意义（1）进行网络安全评估；（2）为网络系统的加固提供先期准备消极意义被网络攻击者加以利用来攻陷目标系统或获取重
42、要的数据信息漏洞扫描的种类1） 系统漏洞扫描2） 特定服务的漏洞扫描WEB 服务、数据库服务、FTP 服务、Mail 服务3） 信息泄漏漏洞扫描用户信息、共享信息4） 人为管理漏洞扫描弱口令、错误配置5） 网络及管理设备漏洞扫描路由器、交换机、SNMP 设备漏洞扫描概述1 漏洞的概念漏洞源自“vulnerability” （脆弱性） 。一般认为，漏洞是指硬件、软件或策略上存在的的安全缺陷，从而使得攻击者能够在未授权的情况下访问、控制系统。 标准化组织 CVE（Common Vulnerabilities and Exposures, 即“公共漏洞与暴露” ）致力于所有安全漏洞及安全问题的命名标
43、准化，安全产品对漏洞的描述与调用一般都与 CVE 兼容。信息安全的“木桶理论”对一个信息系统来说，它的安全性不在于它是否采用了最新的加密算法或最先进的设备，而是由系统本身最薄弱之处，即漏洞所决定的。只要这个漏洞被发现，系统就有可能成为网络攻击的牺牲品。2 漏洞的发现 一个漏洞并不是自己突然出现的，必须有人发现它。这个工作主要是由以下三个组织之一来完成的：黑客、破译者、安全服务商组织。 每当有新的漏洞出现，黑客和安全服务商组织的成员通常会警告安全组织机构；破译者也许不会警告任何官方组织，只是在组织内部发布消息。根据信息发布的方式，漏洞将会以不同的方式呈现在公众面前。 网络管理者的部分工作就是关心
44、信息安全相关新闻，了解信息安全的动态。管理者需要制定一个收集、分析以及抽取信息的策略，以便获取有用的信息。 通常收集安全信息的途径包括：新闻组、邮件列表、Web 站点、FTP 文档。 漏洞的产生大致可分为有意和无意的两类。前者是在程序编写过程种，编程人员为了达到不可告人的目的，有意的在程序的隐蔽处留下各种各样的后门。后者是由于编程人员的水平问题，经验和当时安全技术加密方法所限，在程序中总会或多或少的有些不足之处，有的影响程序的效率，有的会导致非授权用户的权利提升。漏洞攻击的位置:（1）系统的对外服务，如“冲击波”病毒针对系统的“远程协助”服务；“尼姆达”病毒由系统的“IPC 漏洞” （资源共享
45、）感染。（2）集成的应用软件，IE、Outlook Express、MSN Messager、Media Player这些集成的应用程序，都可能成为漏洞攻击的桥梁。3、漏洞对系统的威胁 漏洞对系统的威胁体现在恶意攻击行为对系统的威胁，因为只有利用硬件、软件和策略上最薄弱的环节，恶意攻击者才可以得手。 目前，因特网上已有 3 万多个黑客站点，而且黑客技术不断创新，基本的攻击手法已多达 800 多种。 目前我国 95的与因特网相连的网络管理中心都遭到过境内外攻击者的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。国内乃至全世界的网络安全形势非常不容乐观。漏洞可能影响一个单位或公司的生存问题。
46、 4、漏洞扫描的必要性 帮助网管人员了解网络安全状况；对资产进行风险评估的依据；安全配置的第一步；向领导上报数据依据系统脆弱性分析信息系统存在着许多漏洞，如 IIS 的安全性、CGI 的安全性、DNS 与 FTP 协议的安全性、缓冲区溢出问题、拒绝服务和后门。由于网络的飞速发展，越来越多的漏洞也必将随之出现。1、IIS 安全问题 Windows 的 IIS 服务器存在着很多漏洞，如拒绝服务、泄露信息、泄露源代码、获得更多权限、目录遍历、执行任意命令、缓冲区溢出执行任意代码等。 2 、缓冲区溢出 缓冲区是用户为程序运行时在计算机中申请的一段连续的内存，它保存了给定类型的数据。通过往程序的缓冲区写
47、超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的。造成缓冲区溢出的根本原因是程序中缺少错误检测。缓冲区溢出漏洞大量存在于各种软件中缓冲区溢出攻击之所以成为一种常见安全攻击手段的原因在于缓冲区溢出漏洞太普遍，并且易于实现。而且，缓冲区溢出漏洞给予了攻击者他所想要的一切：植入并且执行攻击代码。被植入的攻击代码以一定的权限运行有缓冲区溢出漏洞的程序，从而得到被攻击主机的控制权。3、 拒绝服务攻击 DoS （Denial of Service）软件弱点是包含在操作系统或应用程序中与安全相关的系统缺陷，这些缺陷大多是由于错误的程序编制，粗心的源代码审核，无
48、心的副效应或一些不适当的绑定所造成的。根据错误信息所带来的对系统无限制或者未经许可的访问程度，这些漏洞可以被分为不同的等级。 典型的拒绝服务攻击有如下两种形式：资源耗尽和资源过载。当一个对资源的合理请求大大超过资源的支付能力时就会造成拒绝服务攻击（例如，对已经满载的 Web 服务器进行过多的请求。 ）拒绝服务攻击还有可能是由于软件的弱点或者对程序的错误配置造成的。区分恶意的拒绝服务攻击和非恶意的服务超载依赖于请求发起者对资源的请求是否过份，从而使得其他的用户无法享用该服务资源。错误配置也会成为系统的安全隐患。这些错误配置通常发生在硬件装置，系统或者应用程序中。如果对网络中的路由器，防火墙，交换机以
