（信号与信息处理专业论文）一种信息系统安全漏洞综合分析与评估模型的研究.pdf

四川大学硕士学位论文 一种信息系绩宜全漏洞综合分折与评估模型的研究 一种信息系统安全漏洞综合分析与评估模型的研究 信号与信息处理专业 研究生：汤云革指导教师：刘嘉勇 摘要 随着i n t e r n e t 广泛深入的运用，网络系统安全事件频频发生，其造成的经济 损失越来越惨重、政治影响越来越严重。而在这些安全事件中，大多是由于网络 系统存在漏洞的结果，所以如何发现和修补这些存在的漏洞就成为当前研究的热 点课题。针对这个问题，人们设计了安全漏洞扫描系统。所谓安全漏洞扫描系统 是自动地对计算机系统或者网络设备的安全隐患进行检测的系统。但是，对于这 些扫描系统，一方面它们大都是基于规则的漏洞库匹配技术，存在着漏报、误报 现象；另一方面，由于被测试目标的软硬件设备更新及技术的发展，也存在着扫 描不到漏洞的现象。因此，挖掘深化漏洞，提高扫描精度成为扫描系统的灵魂。 针对这种情况，本文在对t c p 协议介绍在基础上，对目前的漏洞扫描技术进 行了研究，介绍了安全扫描的必要性，以及安全扫描的步骤和分类。扫描技术包 括：端口扫描技术与漏洞扫描技术，漏洞扫描技术是基于端口扫描技术，并分别 对它们的技术进行了阐述，指出了漏洞扫描技术未来发展的方向。然后针对各类 网络漏洞的网络攻击进行了介绍并予以分类，这些攻击一般可分为四大类，即： 信息收集型攻击、拒绝服务攻击、利用型攻击、欺骗攻击，从而进步明确了攻击 参数的多样性。 结合对网络漏洞扫描技术的研究及对网络攻击的分析，知道无论是漏洞扫描 还是网络攻击都会引起系统资源的变化，甚至出现异常，而这正是本文分析问题 的出发点。在此基础上，本文从另一个角度，提出了漏洞综合分析及讦估的思想， 利用网络检测程序引起系统资源变化信息，以及资源变化信息之间的相互并联性。 建立起资源变化信息的数学模型，进而描述了漏洞评估及细化的方法。 文章的虽后部分，设计了种漏洞综合分析及评估模型，它包括：漏洞检测 模块、信息反馈模块、综合判断模块。漏洞检测模块表现在各种扫描工具的一项 或几项的集成，包括信息探测予模块和漏洞检测子模块，前者的作用确保后者的 四川大学硕上学位论文 种信息系统安全漏洞综合分析与评估模型的研究 模块只针对在线的主机进行探测，以利于后者提高效率。信息反馈模块主要是利 用网管系统收集目标系统的资源变化信息，然后反馈给测试系统。综合判断模块 是利用建立的数学模型来分析与计算，得到相应的资源点及相关点，从而评估漏 洞的存在。这在一定程度上提高了挖掘未知漏洞的效率与深度，为分析检测漏洞 提供了一种有益的尝试。 关键词：t c p i p 协议，漏洞扫描技术研究，网络攻击，综合分析及评估，模型设 计 i i 婴型查兰堡生兰竺堡苎 二苎堕：垦墨丝壅全塑塑堡鱼坌堑皇堕堡型塑! ! 堑 ar e s e a r c ho fs y n t h e t i c a l l ya n a l y s i sa n de v a l u a t i o n m o d e lo ni n f o r m a t i o ns y s t e ms e c u r i t yv u l n e r a b i l i t y m a j o r ：s i g n a la n di n f o r m a t i o np r o c e s s i n g p o s 蟾r a d u a t e ：t a n gy u ng c s u p e r v i s o r ：l i uj i ay o n g a b s t j - a c t a l o n gw i t ht h ee x t e n s i v et h o r o u g hu s a g eo fi n t e r a c t ，t h es e c u r ee v e n t so ft h e n e t w o r kt a k e sp l a c ef r e q u e n t l yw h i c hi tl e a dt ot h ee c o n o m yl o s i n gm o r ea n dm o r e h e a v ya n dt h ep o l i t i c a li n f l u e n c em o r ea n dm o r es e r i o u s w h i l ei nt h e s es e c u r ee v e n t s ，a m a j o r i t yo fi st h a tt h en e t w o r ks y s t e me x i s t s t h es e c u r i t yv u l n e r a b i l i t i e s s oh o w d i s c o v e ra n dr e p a i rt h e s ee x i s t e n ts e c u r i t yv u l n e r a b i l i t i e sb e c o m et h ec u r r e n th o tt o p i c r e s e a r c h a i ma tt h i ss e v e rs i t u a t i o n ，t h ep e o p l ed e s i g n e dn e t w o r ks e c u r i t yv u l n e r a b i l i t y s c a n n e rs y s t e m w h yt h e ys o c a l l e di ti st h a tt h e yc a na u t o m a t i c a l l ys c a nl a t e n t v u l n e r a b i l i t i e so ft h ec o m p u t e rs y s t e ma n dn e t w o r ke q u i p m e n t s h o w e v e rf o rt h e s es c a n s y s t e m s ，o nt h eo n eh a n d , t h e ya r eb a s e d0 nt h e r u l eo fv u l n e r a b i l i t i e sd a t a b a s em o s t l y , e x i s t i n gt of a i lt or e p o r t ，m i s i n f o r m a t i o np h e n o m e n o n ：o nt h eo t h e rh a n d ，o w i n g t ot h e t e s t e dt a r g e t ss o f ta n dh a r d w a r ee q u i p m e n t sr e n e w a la n dt e c h n i c a ld e v e l o p m e n t s ，t h e s e v u l n e r a b i l i t i e sm a yb en o td e t e c t e d s o ，d i gd e e p l yv u l n e r a b i l i t i e sa n di m p r o v ep r e c i s i o n o fs c a nb e c o m e st h es o u lo f s c a n n i n gt h es y s t e m a i m i n ga tt h i sk i n do fc i r c u m s t a n c e t h ed i s s e r t a t i o nd o e st h ef o l l o w i n gw o r k s t h r o u g ht h ef o u n d a t i o no ft c p f l pp r o t o c o la n a l y s i s ：r e s e a r c h i n gt h ec u r r e n t v u l n e r a b i l i t ys c a nt e c h n i q u e s ，i n t r o d u c i n gt h en e c e s s i t yo fs a f e t ys c a na n ds e c u r i t y s c a n ss t e pa n dt h ec l a s s i f i c a t i o n s c a nt e c h n i q u ei n c l u d ep o r ts c a na n dv u l n e r a b i l i t y s c a nw h i c ht h el a t t e rb a s eo i lt h ef o r m e r t h et e x te l a b o r a t e st h e i rt e c h n i q u ea n dp o i n t s o u tt h ed i r e c t i o no ft h ev u l n e r a b i l i t ys c a nt e c h n i q u ef u t u r ed e v e l o p m e n t t h e na i m i n ga t t h en e t w o r ka t t a c kb a s e do nn e t w o r kv u l n e r a b i l i t i e s 。i ti si n t r o d u c e da n dc l a s s i f i e d t h e s ea t t a c k sa r ed i v i d e di n t ot h ef o u rm a j o rt y p e sg e n e r a l y , n a m e l y ：i n f o r m a t i o n c o l l e c t i o n sa t t a c k s ，d e n i a lo fs e r v i c ea t t a c k ，u s e da t t a c ka n dc h e a t sa t t a c k t h e s ef u r t h e r e x p l i c i td i v e r s i t i e s a t t a c kp a r a m e t e r c o m b i n e dt h et e c h n i c a lr e s e a r c ho ft h en e t w o r kv u l n e r a b i l i t i e ss c a na n dt h e m 婴业查兰堡主兰堡堡苎二登堕皇墨垄窒全墨塑堡垒坌堡兰塑堡堡望塑堑塞 a n a l y s i st on e t w o r ka t t a c k s ，w ek n o wt h a tr e g a r d l e s st h ev u l n e r a b i l i t i e ss c a no r t h e n e t w o r ka t t a c k sw o u l dc a u s et h es y s t e mr e s o u r c e so fv 耐e t y ，e v e n 印p e a rt h e a b n o r m a l i t y i ti s t h ep o i n to fd e p a r t u r et h a tt h i sd i s s e r t a t i o na n a l y s e st h e s ep r o b l e m s b a s i so nt h i s ，f r o ma n o t h e ra n g l e ，t h i sd i s s e r t a t i o ni sp u t t i n gf o r w a r dt h et h o u g h to f v u l n e r a b i l i t ys y n t h e t i c a l l ya n a l y s i sa n de v a l u a t i o n m a k eu s eo ft h en e t w o r kd e t e c t i o n p r o c e d u r et oc a u s et h es y s t e mr e s o u r c e sv a r i e t ya n dt h ei n f o r m a t i o nr e s o u r c e sm u t u a l l y a f f e c t ，w es e tu pak i n do fi n f o r m a t i o nr e s o u r c e sm a t h e m a t i c a lm o d e lw h i c hd e s c r i b e s t h ew a y sa b o u tv u l n e r a b i l i t i e se v a l u a t i o na n dd e t a i l e da n a l y s i s a tt h el a s to ft h ed i s s e r t a t i o n ，w ed e s i g nak i n do fs y n t h e t i c a l l ya n a l y s i sa n d d e t e c t i o nv u l n e r a b i l i t ym o d e lt h a ti n c l u d ev u l n e r a b i l i t i e sd e t e c t i o nm o d u l e ，i n f o r m a t i o n f e e d b a c km o d u l ea n dt h es y n t h e s i sj u d g m e n tm o d u l e t h ef t r s tm o d u l ei sm a d eu po fa k i n do fs c a nt o o lo rs e v e r a lt o o l st h a ti n c l u d ei n f o r m a t i o ne x p l o r em o d u l ea n d v u l n e r a b i l i t i e sd e t e c t i o nm o d u l e t h ef u n c t i o no ft h ef o r m e ri n s u r e so n l yo nd e t e c t i n g o n l i n eh o s tf o r t h el a t t e r a sw ea l lk n o wt h a t t h i sh e l pt oi m p r o v i n gt h el a t t e r h i 曲一e f f i c i e n c y a st ot h ei n f o r m a t i o nf e e d b a c km o d u l e 。i tc a nc o l l e c tt h et a r g e ts y s t e m r e s o u r c e sv a r i e t yi n f o r m a t i o nt h r o u g hn e t w o r km a n a g e m e n ts y s t e m ，t h e nf e e d b a c kt o t h et e s ts y s t e m t h el a s tm o d u l eu s et h ee s t a b l i s h e dm a t h e m a t i c sm o d e lt oa n a l y z ea n d c a l c u l a t e ， a c c o r d i n g t ot h e s er e s o n r c ep o i n t sa n d r e l a t i v i t yp o i n t s ，w ec a l lf o r e c a s tt h e e x i s t e n c eo fv u l n e r a b i l i t y t og o m ee x t e n t ，t h i sw a y si m p r o v ed i g g i n gu n k n o w nt h e e f f i c i e n c ya n dd e p mo fv u l n e r a b i l i t y , p r o v i d i n gak i n do fu s e f u lw a yo ft e s t i n gf o rt h e a n a l y t i c a ld e t e c t i o nv u l n e r a b i l i t i e s k e y w o r d s ：t c p i pp r o t o c o lv u i n e r a b i l i t i e ss c a nt e c h n i q u er e s e a r c h , n e t w o r ka t t a c k , s y n t h e t i c a l l ya n a l y s i sa n de v a l u a t i o n ，m o d e ld e s i g n ， 四川大学项j 学位论文种信息系统安全漏洞综合分析与评估模型的研塞 i 绪论 1 1 引言 近年来，随着计算机网络及i n t e r n e t 的普及，网络系统安全事件频频发生， 其对单位网络及个人计算机构成的威胁也越来越严重。究其原因，大多是由于计 算机网络系统存在漏洞的结果，所以如何发现和修补这些存在的漏洞就成为当前 研究的热点课题。针对这个问题，人们设计了安全漏洞扫描系统。所谓安全漏洞 扫描系统是自动地对计算机系统或者网络设备的安全隐患进行检测的系统，并且 能为检测到的隐患提供修补措施，从而预防被攻击的危险。 但是，对于这些扫描系统，一方面它们大都是基于规则的漏洞库匹配技术， 如果漏洞库未能及时更新，就可能存在着漏报、误报现象；另一方面，随着被测 试目标的计算机及网络设备软硬件技术的发展，也存在着扫描不到漏洞的现象， 因此挖掘漏洞，提高扫描精度成为扫描系统的灵魂。总之，目前还没有一种扫描 工具能够穷尽所有已知或未知漏洞，因此必然存在着漏检或检测不到的情况。因 此，在实际的漏洞检测中，很有必要多方面的综合考虑去评估漏洞的存在与否。 本文基于此种考虑，提出了漏洞综合分析及评估的思想，利用攻击对系统资源的 影响，以及资源响应之间的关联性，建立了漏洞分析与评估的模型，在一定程度 上提高了挖掘未知漏洞的效率与深度，为评估漏洞提供了一种有益的尝试。 1 2 国内外发展现状与趋势 安全漏洞扫描系统的发展历史并不长，在国外，第个称得上安全漏洞扫描系 统的是1 9 9 5 年4 月推出的s a t a n ( s e c u r i t ya d m i n i s t r a t o rt o o lf o ra n a l y s i n g n e t w o r k s ) ，它是一个端口扫描系统，运行在u n i x 环境下，它能对已知的大多数漏 洞进行扫描，并把结果提交给用户且告知用户如何进行修补漏洞。由予s a t a n 存 在较多的缺点，所以另一个端口扫描系统n m a p 的推出，令端口扫描技术的应用更 上一层楼。这一系统综合了较全面的端口扫描方法，利用了堆栈指纹识别等比较 先进的技术。另外一个针对漏洞的扫描系统- - n e s s u s ，是第一个使用漏洞插件的 扫描系统，且其插件编写采用c v e ( c o m m o n v u l n e r a b i l i t ye x p o s u r e ) 标准，系统 结构采用了服务端客户端模式，部分实现上借鉴了n 姐p 端口扫描的技术，n e s s u s 扩展性强、容易使用、功能强大，可以扫描出多种安全漏洞。在国内，免费的扫 描工具如x s e a n 、流光、x - w a y 2 5 等等o 】。 另外，国内外的许多学术机构、标准化组织也在安全漏洞扫描方面作了大量 工作r 从而促进了安全漏洞扫描技术飞速发展。但是，目前的网络安全扫描技术 仍然有许多不完善的地方，随着技术的不断发展，它的发展趋势应普遍朝以下几 四川大学硕士学位论文种信息系统安全漏洞综台分析与评估模型的研究 个方向发展即：高速化、智能化、标准化的方向发展，高速化主要解决面对大规 模的网络系统实旌全面的扫描，需要高速的网络扫描技术；智能化即需要人工智 能的技术，使扫描走向自动化，精度化；标准化b p c v e 的建立，方便用户更有效地 更新扫插工具。 1 3 本人所做的工作 1 、介绍了端口扫描的各类技术，并在此基础上对网络漏洞扫描的技术进行了分析 与研究，指出了漏洞扫描的不足及其发展方面。 2 、分析了网络攻击技术的主要特征、发展趋势、网络攻击的一般步骤及网络攻击 的分类，明确了各类网络攻击的攻击参数的多样性。 3 、建立了漏洞综合分析及评估原理的数学描述模型，并予以量化分析，深化了漏 洞评估的深度。 4 、依据漏洞综合分析与评估的过程，设计了的漏洞综合分析与评估模型，在漏洞 检测评估方面做了一种尝试。 1 4 论文的内容和结构 第一章引言介绍了研究背景及国内外的研究现状和本人所做的工作。 第二章通过对t c p i p 协议基础的分析，为后边各章分析与设计奠定基础。 第三章介绍了国内外网络漏洞的研究状况，总结了漏洞的来源及分类，通过对目 前网络扫描技术的介绍，指出了漏洞扫描技术的不足及发展方向。 第四章介绍了网络攻击的主要特征、一般步骤，进而对基于网络漏洞的攻击进行 了分类，明确了网络攻击参数的多样性。 第五章依据网络攻击对系统的资源影响，及资源的相关性，建立了漏洞综合分析 及评估原理的数学模型描述，为分析与评估漏洞存在与否提供了方法。 第六章依据建立的漏洞综合分析及评估的数学模型，建立了其相应的漏洞评估模 型设计的一般流程。 2 婴型盔兰堡主兰堡堡苎二! 堕：垦墨竺塞兰塑塑壁全坌堑皇堡堡壁型堕堕塞 2t c p ，i p 协议基础分析 由于网络漏洞大都是基于t c p i p 协议的漏洞，网络攻击者利用此协议的漏洞 可以发动了各种类型的攻击，在本论文的各章节都要用到t c p i p 协议。特别是论 文最后的模型设计也牵涉到了t c p i p 的数据包的头部构建及协议连接的原理，因 此很有必要对所用到的t c p i p 侨议做一简要分析。 2 1 t c p l p 的分层结构 t c p i p 协议是一种层次式的结构，每一层都呼叫它的下一层所提供的服务来 完成自己的需求，t c p i p 协议分四个不同的层次，分别是链路层、网络层、传输 层和应用层n ，。 链路层：处于t c p i p 协议族的最低层，有时也称作网络接口层，通常包括 操作系统中的设备驱动程序和计算机中对应的网络接口卡，负责接收i p 数据报并 通过网络发送之，或者从网络上接收物理帧，抽出i p 数据报，交给i p 层。 网络层：负责相邻计算机之间的通信。在t c p i p 协议族中，网络层协议包 括! p 协议，i 铡p 协议( i n t e r n e t 互联网控制报文协议) ，以及i g m p 执议( i n t e r a e t 组管理协议) 。其功能主要包括处理来自传输层的分组发送请求，处理i c m p 报文， 处理路径、流控、拥塞等问题。 ( d 传输层：提供应用程序问( 即端到端) 的通信。在t c p i p 协议族中，有两 个互不相同的传输协议：t c p ( 传输控制协议) 和u d p ( 用户数据报协议) 。前者提 供高可靠性服务，后者提供高效率服务。高可靠性的t c p 用于一次传输要交换大 量报文的情形( 比如文件传输、远程登录等) ；高效率的u d p 用于一次传输交换少 量报文( 尤其是交易型应用，比如数据库查询) 的情形，其可靠性由应用程序提 供，因为交换次数不多，即便发生传输错误时重传，应用程序也不会为此付出太 大的代价。 ( d 应用层：负责处理选定的应用程序细节，为用户服务。应用层中大部分协 议都是直接为用户服务，很多协议对用户来说都是非常熟悉的，如： 用于远程登录t e l n e t 协议 用于传输w e b 内容的h t t p 协议( h y p e r t e x tt r a n s f e rp r o t o c 0 1 ) 用于传输文件的f f p 协议( f i l et r a n s f e rp r o t o c 0 1 ) 用于发送和转发电子邮件的s m t p 协议( s i m p l em a i lt r a n s f e rp r o t o c 0 1 ) 用于收取邮件的p o p 3 协议( p o s to f f i c ep r o t o c o l v e r s i o n3 ) 用于网络管理的s n m p 协议( s i m p l en e t w o r km a n a g e m e n tp r o t o c 0 1 ) 婴! ! ! 奎堂堡圭兰堡堡苎 二苎笪璺墨竺塞全塑塑壁鱼坌堑兰堡笪堡型竺堑塞 2 2 ip 、i c m p 头部的构建 i p 协议是在网络层的协议，是整个网际网络的中心协议，它的数据报格式如 下图2 1 所示：头部为2 0 个字节，1 2 个字段，数据的最大长度随数据链路层的帧 格式的数据字段的最大长度不同而不同，即：m t u ( m a x i m u mt r a n s f e ru n i t ) ，当 超过m t u 时，需要分片，到达目标时重组。 01 63 1 4 位1 4 位首部 8 位服务 1 6 位总长度 版本i 长度类型( 1 d s ) 1 6 位标识 3 位 1 3 位片偏移 标志 8 位生存时间 8 位协议 1 6 位首部校验和 3 2 位源地址 3 2 位目的地址 选项( 如果有) 二 数据 二 图2 1i p 数据报格式 根据对i p 数据包的头部结构的定义，用c 十十语言在w i n d o w s 中以如下数据结 构来实现i p 数据包头部构建。3 ： t y p e d e fs t r u c ti p h d r 定义i p 首部 ( u n s i g n e dc h a rh _ v e r l e n ：4 位首部长度，4 位i p 版本号 u n s i g n e dc h a rt o s ：8 位服务类型t o s u n s i g n e ds h o r tt o t a l l e n ：1 6 位总长度( 字节) u n s i g n e ds h o r ti d e n t ：1 6 位标识 u n s i g n e ds h o r tf r a g _ a n df l a g s ：3 位标志位 u n s l g n e dc h a rt t l ；8 位生存时间t t l u n s i 。g n e dc h a rp r o t o ：8 位协议( t c p ，u d p 或其它) 4 粤业查兰堡主兰竺垦苎； 二壁堕：垦墨竺塞全塑塑堡鱼坌堑曼堡笪堕型盟! 翌蔓 u n s i g n e ds h o r tc h e c k s u m ；1 6 位i p 首部校验和 u n s i g n e di n ts o u r e e i p ：3 2 位源i p 地址 u n s i g n e di n td e s t i p ；3 2 位目的i p 地址 i p h e a d e r ； i c m p 是消息控制协议，也处于网络层。在网络上传递i p 数据包时，如果发生了错 误，那么就会用i c h l p 协议来报告错误，我们常用的p i n g 命令就是其中的一个应用， i c m p 包的基本结构如图2 2 所示： 图2 2l c m p 报文格式 根据i c m p 数据包的结构，用c 什语言在w i n d o w s 中用如下数据结构来实现i c m p 数据包头部构建。1 ： t y p e d e fs t r u c ti c m p h d r u n s i g n e dc h a ri _ t y p e ：i c m p 报文类型 u n s i g n e dc h a ri _ c o d e ：i c m p 代码 u n s i g n e ds h o r ti _ c k s u m ；校验和 li c m p _ h e a d e r ： 2 3t o p 、u d p 头部的构建 t c p 协议是建立在i p 协议之上，是t c p i p 体系中面向连接的运输层协议，它 提供全双工的和可靠交付的服务，如图2 3 所示。 由于第三章的内容要用到关于t c p 的报文首部的六个标志位。现大致介绍其 基本情况如下。 5 四j j i 大学颁士学位论文 种信息系统安全漏洞综合分析与评估横型的研究 u r g ：( u r g e n tp o in t e ff i e l ds i g n i f i c a n t ) 紧急指针。为紧急数据标志。 如果它为l ，表示本数据包中包含紧急数据，此时紧急数据指针有效； a c k ：( a c k n o w l e d g m e n tf i e l ds i g n i f i c a n t ) 置1 时表示确认号 ( a c k n o w l e d g m e n tn u m b e r ) 为合法，为0 的时候表示数据段不包含确认信息，确 认号被忽略； p s h ：( p u s hf u n c t i o n ) ，p u s h 标志的数据，置l 时请求的数据段在接收方 得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。即如果置位，接 收端应尽快把数据传送给应用层； ( d r s t ：( r e s e tt h ec o n n e c t i o n ) 用于复位因某种原因引起出现的错误连接， 也用来拒绝非法数据和请求。如果接收到r s t 位时候，通常发生了某些错误； 01 63 l 源端口目的端口 序列号 确认号 首部 uapsf 长度 保留 rcsyi 窗口 gk h n n 检验和紧急指针 选项( 长度可变) 填充 围2 3t o p 报文段首部 s y n ：( s y n c h r o n i z es e q u e n c en u m b e r s ) 用来建立连接，在连接请求中， s y n = i ，a c k = o ，连接响应时，s y n = i ，a c k = i 。即，s y n 和a c k 来区分c o n n e c t i o nr e q u e s t 和c o n n e c t i o na c c e p t e d ； 0 f i n ：( n om o r ed a t af r o ms e n d e r ) 用来释放连接，表明发送方已经没有 数据发送了。 用c + + 语言在w i n d o w s 中用如下数据结构来实现t c p 数据包头部构建。1 ； t y p e d e fs t r u c tt c p _ h d r 定义t c p 首部 ( u n s i g n e ds h o r tt hs p o r t ：1 1 6 位源端口 u n s i g n e ds h o r tt h _ d p o r t ：1 6 位目的端口 u n s i g n e di n tt h _ s e q ：3 2 位序列号 6 婴查堂堡主堂堡堡塞 二登笪星墨竺室生塑塑堡垒坌堑皇堡笪堡型竺里墅 t l n s i g n e di n tt ha c k ：3 2 位确认号 u n s i g n e dc h a rt h l e n r e s ：4 位首部长度6 位保留字 u n s i g n e dc h a rt h f l a g ；6 位标志位 u n s i g n e ds h o r tt hw i n ；1 6 位窗口大小 u n s i g n e ds h o r tt hs u m ；1 1 1 6 位校验和 u n s i g n e ds h o r tt h u r p ：1 6 位紧急数据偏移量 ) t c ph e a d e r ： u d p 提供的是非面向连接的、不可靠的数据流传输，非面向连接的传输协议在 数据传输之前不建立连接，而是在每个中间节点对非面向连接的包和数据包进行 路由，当一个u d p 数据包在网络中移动时，发送过程并不知道它是否到达了目的 地，除非应用层已经确认了它已到达的事实，非面向连接的协议也不能探测重复 的和乱序的包，因此，u d p 数据包的数据结构比前面的结构都要简单，它只有四个 部分如图2 4 所示。 01 63 1 u d p 源端口 u d p 目的端口 u d p 长度 检验和 图2 4u d p 用户数据报首部 用c + + 语言在w i n d o w s 中以如下数据结构来实现u d p 数据包头部构建 t y p e d e fs t r u c tu d p h d r 定义u d p 首部 u n s i g n e ds h o r tu h s p o r t ：1 6 位源端口 u n s i g n e ds h o r tu h _ d p o r t ：1 0 位目的端口 u n s i g n e ds h o r tu h _ l e n ：1 6 位u d p 数据报长度 u n s i g n e ds h o r tu h s u m ；z 6 位校验和 u d ph e a d e r ： 7 四川大学须士学位论文一种信息系统安全漏洞综合分析与评焦模型的研究 2 4t o p 连接的建立 t c p 协议是i n t e r n e t 中许多服务的基础，它是一种可靠的连接，为了保证连接 的可靠性，t c p 的连接分为几个步骤。我们把这个连接过程称为”三次握手”，从图 2 5 来分析建立连接的过程“3 ： 第一步，客户机向服务器发送一个t c p 数据包，表示请求建立连接。为此，客 户端将数据包的s y n 位设置为1 ，并且设置序列号c _ s e q = x 。 第二步，服务器收到了数据包，并从s y n 位为l 知道这是一个建立请求的连接。 于是服务器也向客户端发送个t c p 数据包。因为是响应客户机的请求，于是，服 务器设置a c k 为1 ，返回c _ s e q = x + l ，同时设置自己的序列号s _ s e q = y 。 第三步。客户机收到了服务器的t c p ，并从a c k 为i 和c _ s e q = x + l 知道是从服务 器来的确认信息，于是客户机也向服务器发送确认信息，客户机设置a c k = 1 ，和s _ s c q = y + 1 ，发送给服务器，至此客户端完成连接。最后一步服务器受到确认信息，也完 成连接。 冈一syn=i,c_seq=x 通过上面几个步骤，一个t c p 连接就建立了，当然在建立过程中可能出现错误 不过t c p 协议可以保证自己去处理这些错误。 四川大学硕上学位论文 种信息系统安全漏荆综合分析与评估模型的研究 3 网络漏洞扫描技术研究 3 1 国内外漏洞研究的状况 漏洞是指由于系统硬件、软件或者是安全策略上的错误而引起的缺陷，是违 背安全策略的软件或硬件特征，是某种形式的脆弱特征，是某种形式的脆弱性， 从而可以使个别用户能够利用这种脆弱性非法访问系统或者破坏系统的正常使用 ”。无论是硬件平台还是软件平台都存在漏洞，计算机系统漏洞库主要集中了现 有系统中已发现的各种软、硬件漏洞特征和应对措施，它是信息安全基础设施中 重要的一环。国外在1 9 9 5 年左右便开展了相关的研究工作。目前，国外的许多重 要安全组织和厂商都建立了自己的漏洞数据库并开展了相关的研究，一般是从 b u g t r a q ( 黑客电子邮件组，2 0 0 2 年被s y m a n t e c 收购) 和n t 8 u g t r a q ( n t b u g t r a q 是一 个信息交换论坛，专门从事发现微软产品的可疑漏洞或者对蠕虫病毒发出警报， n t b u g t r a q 位于美国芝加哥的邮件服务器是该论坛的心脏，每天都要负责为其3 万 多名订阅用户发送各种有关安全漏洞的信息) 等邮件列表中获取漏洞信息并从 c e r t 等安全组织获取修补建议”1 。 当前国外的漏洞数据库主要分为两类，一类是受限分布的私有数据库，它们 通常具有重要的商业或军事价值，例如美国空军信息战中心的c m e t 漏洞数据库和 澳大利亚应急响应小组( a u s c e r t ) 9 8 年建成的漏洞数据库等，另一类是公开可共 享的漏洞数据库，例如i s s 的x - f o r c e 数据库。由于私有漏洞库具有重要的军事 或商业价值，因而很难获得它的相关资料；而后种漏洞库的一般都是从各种黑 客组织或安全站点中获取相关的漏洞信息，而且所存储的漏洞信息基本上是未经 验证杂乱的安全公告，而且漏洞的描述模糊，一部分漏洞具体很难操作或者是低 效的解决方案和验证方法，可信度低“1 。 国内漏洞库的研究现状还处于各个组织只是简单收集国外安全组织所公布的 漏洞这一状态，建有漏洞数据库的组织还属于少数，而且已经建立的漏洞数据库 基本是照搬的描述性安全公告。例如，中国信息安全论坛的漏洞信息库，已有记 录8 0 0 0 多条，而北京绿盟公司，已有漏洞记录3 0 0 0 余条。但是它们的利用价值 也较低，其中充斥了许多杂乱冗余的信息，部分漏洞给出的测试程序不能使用， 解决方案不全。 基于以上情况，目前的漏洞扫描工具，漏洞库不可驻穷尽漏洞，只能扫描出 已知常见能使用的漏洞。目前，比较常见的网络安全扫描器有s a t a n 、n m a p 、 n e s s u s 、x s c a n 等o ”。s a t a n 是一个端口扫描程序，1 9 9 5 年4 月推出，扫描的 目标是u n i x 系统，它对大多数已知的漏洞进行扫描，发现漏洞提交报告给用户； n m a p 是当前比较受欢迎的扫描工具，其特点是提供了比较全面的扫描方法及利用 9 四川大学硕士学位论文 一种信息系统安全漏洞综合分析与评估模型的研究 t g p r p 协议栈指纹技术的远程操作系统识别功能，n m a p 扫描速度很快，它提供的 扫描方法包括：t c pc o n n e c t ( ) 扫描、t c p s y n0 扫描、t c pf i n 扫描、i d e n t 扫 描、u d p 扫描、利用i pf r a g m e n t s 的s y n f i n 扫描等等；n e s s u s 是法国人r e n a u d d e r a s i o n 编写的，n e s s u s 是第个使用漏洞插件的扫描工具，并且漏洞数据库是 与c v e ( c o m m o nv u l n e r a b i l i t ye x p o s u r e ) 兼容的。n e s s u s 是客户机服务器架 构的，客户端是利用g t k 开发的运行在x w i n d o w s 下的图形界面工具。 3 2 漏洞的来源及分类 我们所说的漏洞，一般也称之为安全威胁，威胁的来源分类一般把它分为四个 方面：主机方面漏洞、网络方面漏洞、物理方面及管理方面漏洞。 主机方面漏洞：主要是操作系统，主机设备等方面引起的漏洞。如图3 1 所示。 匦争鏊冀纂掌瓠r 舢s 隅共享 匡垂i i j 卜服务器、蹄由器、打e 】机崞硬件漏洞和驱动缺陷 图3 1 主机方面的隐患及漏洞 网络方面漏洞：各种网络入侵、协议缺陷、网络介质的脆弱性等引起的漏洞。 如图3 2 所示。 鼗聪精的各桃患 褰瓣轳 图3 2 网络方面的隐患及漏洞 熟 瓣=萎 譬 回 堕型查兰堡主兰堡堕兰 二壁堕璺墨垫室全塑塑堡鱼坌堑兰塑笪苎型堕! ! 墨 物理方面漏洞：环境区域、设备安全等方面非技术方面引起的漏洞，但又是最 重要的隐患。如图3 3 所示。 圈33 物理方面的隐患及漏洞 匦囹 匦垂囹 管理方面漏洞：主要人员管理、培训等存在的问题引起的漏洞，也是一个非常 可怕的隐患。如图3 4 所示。 图3 4 管理方面的隐患及漏洞 i s 啦运供漏洞 塞 堡 娘 b 一 口黼分 一陌一r = 丁 行费 蚵= 榔一 执驭 一砸= 蹑一 触的 一辑= ! ! 至一 议捱 一洲| | 辩一 黧墅夔篓莺 四川大学硕士学位论文 种信息系统安全漏洞综合分析与迓估模型的研究 3 3 网络安全扫描技术简介 3 31 网络安全扫描技术的概述 网络安全扫描技术是一种基于i n t e r n e t 检测远程目标网络或本地主机安全性 脆弱点的技术。通过网络安全扫描，系统管理员能够发现所维护的w e b 服务器的 各种t c p i p 端口的分配、开放的服务、w e b 服务软件版本和这些服务及软件呈现 在i n t e r n e t 上的安全漏洞。网络安全扫描技术也是采用积极的、非破坏性的办法 来检验系统是否有可能被攻击崩溃。它利用了一系列的脚本模拟对系统进行攻击 的行为，并对结果进行分析。这种技术通常被用来进行模拟攻击实验和安全审计。 网络安全扫描技术与防火墙、安全监控系统互相配合就能够为网络提供很高的安 全性。 3 3 2 网络安全扫描步骤和分类 一、步骤： 第1 阶段：发现目标主机或网络。比如p i n g 是最常用的，也是最简单的探测手段， 用来判断目标是