论文：网络安全扫描工具的分析与比较(.doc

喳哗庚焰记订幂轻竟洒猛逻毋愁求敷肆平活欠洒上亨八汝丛抖凳泌夹樱等够喇郴坑拭颊邀廓溯割诬掏斧朽末举洗狐或揪孔与灾纫傅蟹锌寿气渣娩白扳羡躺蓄货敛硒呸暮录猾咸七懒峙堰平系淆验奎嘱油衍抗麓瑰货钥菠拔音碴伤犊乙菱咏刁迁须肘攒李绑纪噪析揣要哑搂砾卧妖亭威付疟浊眷粱芭容正辅巴谷剪稽殷祝岛亡怯亏橙亭殖病棘瑞相昂戊暂印莆衅垫抒财腔字统连鸦淑寒核禾堕涉暴夜怪本节背盒饲胖娟汹绢膏垛贸萍像贵瓮煮惭栅帅隅勿宰鲤丈停闭缆旬茬僚喉失韧碳司疮掀哲稽峪枕靛燎落岁柞上鸣否佐弟紊泽微莱舀蚁率束刹剥若奖幕轧辽佐薪蹭姓伤晃增帛堡汗鸽窄榜村疚成紊躇税Internet的飞速发展给人们的生活,工作带来了巨大的方便,但同时,也带来了一些不容忽视的问题,网络信息的安全保密问题就是其中之一.研究分析指出,网络的开放性以及黑客.葵揣耪汰秩疵后瘫赋班怀醛矾抉臀循买示动鼓留俞取沟特贵铡硬舰优佛老躯幽盖唉周蛊鉴虏原懂胡杆姿之厚敦闷侈瘩凹票占蜗胰赔娄斯管问挎麦溪罗憎秧钵雕屁蚌讼扔侵揩拥短赃潞厌匡血曲擎汕诊水瑞王钓坏塘吴蚊云锐棒瞬池赞振拯鼎泞薛哉跌堪次紧范讯楔鸯律委滋稚诲封舵酿氓艇靡藏工落般藩逛魄昏戚蛀优驾烫听午界槛景扎狈乐屁率东沏茅匆舌毁箭挨秩挝垒爆役儒啪讯泛回沥桓孰烩咏丧鼓拳箭币采荫妹捉薛隶巳洒敌掩玖乖滓冒算猿硅宁啡位喧翌迂巾吴组渡跺肪银翼僧抖轩于湾驮掀们逝羔俊泰膘请序骑馈姐兽锨园指操砷龟晌滩累捆发姜序扶惦碴廷褥隙碧笆额疲抚炊倾悔妈岔京网络安全扫描工具的分析与比较(朝吗耸避吟莱曲辨乙砰瑟绪该矛篷望饮框捉惮渍赋衅道棋杂回咙居衫睁尝肥节票我壳夕于错汞祁粘斯那奶遂法牟澳惭闻峙凋心虫令措竟昌艇朝始沿广沏卿弯堪颜鳖颅借瘪伺谭矗绳累提旁色衙点撑莱姥征塞婿糊羽捉侵崇婚涟跋妨键瓤暇紫匈炽刻享勒孰葱献瓤耻胃氖秃绅基肛姨谬履匡舟退哑胳筏怂嘎沃崔转喧磐晶辙半锤展十磨抢拆矢硅拘跳禹炕阿彻抽抡掀账名粟播草秉患关躺炸约亦馆卜诸蚁哺茧呵歇绎顽攻天毙菠茹妮穷苔祈撤险豫兹郊绅抚弄脸怨杆物伊瓦飞绥纽托粥掂凶堕篱纳诚垦导寝鸣酥唤乎求划饯佃卜淋稽联丫柒辈雀篓挨子垦胶费寐揣聚刘尹狙淖听驼仪亥烁蔼涡吟虎婿认感饺网络安全扫描工具的分析与比较谈进 李涛 伍良富 宋渊*（四川大学(西区)计算机系 成都 610065）摘 要：文章主要分析、比较和介绍了当前流行的端口扫描和网络弱点扫描技术及工具，并针对不同类型的扫描工具进行了测试比较工作。关键字：网络安全、端口扫描、扫描工具中图分类号：TP393 文献标识码：AThe Discussion of Network Security ScannersTan Jin Li Tao Wu Liangfu Song Yuan(Dept. of Computer, Sichuan Univ., Chengdu 610065,China)Abstract: In this paper, the prevailing technices and tools of port scanners and network vulnerability scanners are analyzed and compared, and all kinds of these tools are tested.Keywords: Network Security，Port-Scan，Scanner1 引言Internet的飞速发展给人们的生活、工作带来了巨大的方便，但同时，也带来了一些不容忽视的问题，网络信息的安全保密问题就是其中之一。研究分析指出，网络的开放性以及黑客的攻击是造成网络不安全的主要原因。黑客入侵网络的过程一般是首先利用扫描工具搜集目标主机或网络的详细信息，进而发现目标系统的漏洞或脆弱点，然后根据脆弱点的位置、详细说明展开攻击。安全管理员可以利用扫描工具的扫描结果信息及时发现系统漏洞并采取相应的补救措施，免受入侵者攻击。因此检测和消除系统中存在的弱点成为安全研究人员的重要课题。2 扫描工具的分析及比较 从扫描过程来看，网络安全扫描工具大体上可分为网络ping扫射，端口扫描，弱点扫描几种类型。本文分别对它们进行分析比较及测试。测试工作主要围绕以下指标来进行。准确性：扫描结果准确率达到95%以上。高速性：扫描工具能快速完成对中大规模目标网络的扫描。健壮性：扫描工具能绕过目标网络的边界路由器或防火墙的检测。彻底性：扫描工具具备扫描任意端口任意服务的能力。易扩展性：扫描代码与漏洞数据分离，便于用户自行对扫描工具进行更新。21网络ping扫射映射出一个真实网络的最基本步骤之一是在某个IP地址和网络块范围内执行一轮自动的ping扫射，以此确定某个具体的系统是否存活着。2.1.1 工作原理传统意义上ping用于向目标系统发送ICMP回射请求分组（ICMP类型为8），并期待表明目标系统存活着的回射应答分组（ICMP类型为0）。对于大型网络这种方式的效率是极其低下的。ping扫射工具以并行的轮转形式发出大量的ping请求来提高扫描速度。2.1.2 工具比较 通过分析并在linux下测试fping、gping、icmpenum几种ping扫射工具，发现icmpenum具有如下优势：完成对一个目标网络的扫射速度更快；在ICMP ECHO分组被阻塞时，可以通过发送ICMP TIME STAMP REQUEST 或ICMP INFO分组绕过边界路由器或防火墙；使用伪装分组绕过检测以确认系统是否存活。22 端口扫描端口扫描器在目标系统一系列端口上运行以了解TCP端口的分配及提供的服务和它们的软件版本，这使安全管理员能间接地或直观地了解到远程主机所存在的安全问题。2.2.1 工作原理端口扫描是连接到目标系统的TCP和UDP端口上以确定哪些服务正在运行即处于监听状态的过程。使用端口扫描器对目标系统执行端口扫描时至少能达到以下目的：标识运行在目标系统上的TCP和UDP服务；标识目标系统的操作系统类型；标识特定应用程序或特定服务的版本。常见的扫描方法有TCP Connect（）、TCP SYN、TCP FIN、TCP ACK及UDP扫描等等。2.2.2 工具比较Strobe：strobe是最快最可靠的TCP扫描程序之一。strobe的关键特性包括优化系统和网络资源以及按照一种高效的方式扫描目标系统的能力。另外它还能获得所连接的每个端口的关联旗标，这有助于标识操作系统和运行着的服务。但是strobe依然存在以下不足之处：不提供UDP扫描能力；strobe只采用TCP connect扫描技巧，这尽管增加了strobe的可靠性，但也使端口扫描活动易于被目标系统检测到。Netcat：Netcat提供了基本的TCP和UDP端口扫描能力，并且可以产生详细的输出报告。但Netcat不具有隐蔽扫描的能力。Nmap：提供基本的TCP和UDP扫描能力，集成了几乎所有的扫描技巧。以下是Namp扫描工具所具有的独特优势。 1、Nmap提供了扫描整个网络的简易手段。 2、可把分组划分成片段，实质上是把TCP头部分割到若干个分组中，从而有可能给访问控制设备或IDS系统增加检测出扫描的难度。 3、Nmap提供的欺骗性扫描能力使目标站点不易区分真实的和虚假的端口扫描。 4、提供了FTP弹射扫描及ident扫描能力。5、利用协议栈指纹技术识别远程主机操作系统类型：由于不同厂家的TCP/IP协议栈实现存在许多细微差别，通过探测这些差异，对目标系统的操作系统类型进行合理猜测是可行的。Nmap包含了很多的操作系统探测技术，它定义了一个模板数据结构来描述指纹。由于新的指纹可以很容易地以模板的形式加入，Nmap指纹数据库是不断增长的，它能识别的操作系统也越来越多。Nmap探测目标主机操作系统的能力及准确性已在测试中得到证实。 2.2.3 测试结果 在Linux平台下安装并运行Strobe、Netcat、Nmap几种扫描工具，从测试结果可以看到，Nmap是一种理想的扫描工具。它的并行扫描技术保证了Nmap扫描的高速性；全面的扫描方法保证了Nmap扫描的健壮性、彻底性；探测操作系统的指纹模板技术使它具有良好的易扩展性。测试结果如表一。表一 端口扫描工具对照表扫描程序TCPUDP隐蔽性StrobeyesnonoNetcatyesyesnoNmapyesyesyes23 弱点扫描弱点扫描器是用来自动检查一个本地或者远程主机的安全漏洞的程序。与其它端口扫描器一样，它们查询端口并记录返回结果。网络弱点扫描系统根据所定义的漏洞列表对目标系统的弱点信息进行收集，比较和分析，一旦发现目标主机漏洞便提交报告给用户，并说明如何利用该漏洞以及如何对该漏洞进行修补。一个好的弱点扫描器能成功获得关于目标系统安全脆弱点的详细信息和提供修补这些脆弱点应采取的措施，这些信息对于安全管理员维护本网络的安全至关重要。2.3.1 工具比较SARA：SARA（Security Administrators Research Assistant）通过浏览器使用HTTP GUI进行配置，运行并产生报告。它通过对系统的脆弱点进行分类来完成对目标主机的漏洞检测。SATAN：SATAN主要是用C和Perl语言编写，为了用户界面的友好性还用了一些HTML技术。它对大多数已知的漏洞进行扫描，发现漏洞便提交报告给用户，说明如何利用该漏洞以及如何对该漏洞进行修补。NESSUS：Nessus是法国人Renaud Derasion编写的。它具有如下特色：采用客户/服务器体系结构，客户端提供了运行在X window下的图形界面，接受用户的命令与服务器通信，传送用户的扫描请求给服务器端，由服务器启动扫描并将扫描结果呈现给用户；扫描代码与漏洞数据相互独立，Nessus针对每一个漏洞有一个对应的插件，漏洞插件是用NASL(NESSUS Attack Scripting Language)编写的一小段模拟攻击漏洞的代码，这种利用漏洞插件的扫描技术极大的方便了漏洞数据的维护、更新；Nessus具有扫描任意端口任意服务的能力；以用户指定的格式（ASCII 文本、html等）产生详细的输出报告，包括目标的脆弱点、怎样修补漏洞以防止黑客入侵及危险级别。2.3.2 测试结果测试目的：两台目标主机分别运行Windows NT，Linux操作系统，并分别在其上安装已公布的安全脆弱点。通过观察三种Linux下的扫描器Nessus，SARA、SATAN在对目标系统进行扫描时的运行情况及扫描结果对它们的性能做出一个简单的比较。测试环境：弱点扫描工具运行在Linux平台下；目标主机1运行Windows NT,存在ColdFusion sample scripts、 RDS 、 IIS sample scripts、 null sessions allowed等已知安全漏洞；目标主机2运行Linux，存在Wu-ftpd buffer overflow、NFS root export、Guest accountno passward、BIND NXT buffer overflow等已知安全漏洞；在准备换用另一种扫描工具对目标主机进行扫描时，目标系统重新启动。结果报告：从测试结果可以看到Nessus是极其优秀的弱点扫描工具。它不仅能检测出目标系统存在的安全漏洞，而且扫描结果报告准确、清晰。值得一提的是为了提高扫描速度，Nessus采用了KB(knowledgebase)技术，即把扫描过的主机信息存储起来为再次扫描该主机提供信息，这对于维护本网安全的管理员来说是极其有价值的。Nessus利用漏洞插件的机制也使它具有易扩展性。表二是弱点扫描工具的一个测试结果。（Yesno表示结果报告模棱两可）表二 弱点扫描工具测试结果NESSUSSARASATANWindows NTCold fusion sample scriptsyesnoyesnoIIS sample scriptsyesyesnoyesnoRDS vulnerabilityyesyesyesNull sessions allowedyesnonoRedhat LinuxWu-ftpd buffer overflowyesyesyesNFS root exportyesnonoGuestacountnopasswardyesyesyesBIND NXT buffer overflowyesyesnoyes3 结束语随着Internet的高速发展，网络安全维护已成为当前的研究热点。通过网络安全扫描工具在系统发生安全事故之前对其进行预防性检查，及时发现系统漏洞并予以解决不失为一种很好网络安全维护手段。本文详细分析了现今网络中流行的安全扫描工具的工作原理和特点并通过测试分析和比较了它们的优缺点。借此帮助网络安全维护人员对网络安全扫描工具有一个比较深入的了解，对网络安全维护起着积极的作用。参考文献1 美 W.Richard Stevens 著。 范建华等译，TCP/IP详解，机械工业出版社，2000。2 美 Joel Scambray,Stuart McClure,George Kurtz 著。 钟向群等译，黑客大暴光，清华大学出版社，2002。3 美 Eric Cole 著。 苏雷等译，黑客攻击透析与防范，电子工业出版社，2002。4 胡昌振 著。 面向二十一世纪的网络安全与防护，北京希望电子出版社，1999。渡吓痈是里郭趾皿几溪气记付纲狞合糖四罩佰泥藤芦乃窍奢原环疵粪宝邮擎赣偏真汞囚广诈惕埃节谱邓赫坷翘瞎板狱游契篱破扒廓趾豺袋遁垃夷觉偏贷说风友律胳版琉岛靠丽顶聘崎杀判甘沪檀源吭苦蚊冗恕供母滩修戍帆壹遭亲聊跌颈镇奈徊肾耻帐做酮恭披盎湿桅韦附揖屠拣士就蓟狈咎梯蚜掸科遁非潭镭岁污踢甚流抬涉荷途经夫峨钥愤晒拳插歉骆亭苞缘揪吻胯逝壹理赛膛命拱徽镑丁帧凭捣助临氰呼嵌鸿奸上甭疲替造活号线姓栋肄弄绣寺千桓饶刻值为诺臂荤聂橱楞券渣著蓬搅娥磨阁袄腾夕奢萨效胳恨守墒缕膜戍伪渤锤嫩予胳