（计算机应用技术专业论文）基于oval的漏洞扫描系统设计与实现.pdf

摘要 摘要 随着网络技术的迅速发展，网络安全问题已经成为当今网络技术的研究重 点。通常黑客和病毒是通过系统中存在的漏洞对目标主机进行系统攻击的。漏洞 扫描技术就是对系统中存在的漏洞和安全隐患检测，使用户了解系统的漏洞所 在，进而采取相应的措施，实现对系统的安全防护。 论文首先对当前主要的漏洞扫描技术进行了系统的分析探讨，比较了基于主 机的扫描技术和基于网络的扫描技术的扫描原理和特点。在此基础上深入研究了 近年来得到广泛应用的漏洞评估新标准o v a l 的评估原理和系统体系架构，提 出了基于o v a l 的漏洞扫描系统体系模型。 本文对系统的流程，体系结构，基本功能模块和模块间的逻辑关系进行了详 细的分析，着重对收集特征信息、漏洞扫描过程和漏洞分析过程进行探讨和研究。 由于系统要求信息有统一的表示形式，本文给出了与系统兼容的解决方法，并得 到初步实现。 在对漏洞扫描系统的是实现阶段，结合用户系统的特点，本文提出了一种对 漏洞定义库进行重组的方法，目的是能够对漏洞定义库进行优化，使得漏洞扫描 系统在对用户系统进行漏洞扫描时，不必使用漏洞定义库中的全部漏洞定义信 息，可以根据用户系统的历史配置情况，提供与之相适应的漏洞定义信息，从而 有效地完成对用户系统进行扫描的工作。 该漏洞扫描系统分别在l i n u x 和w i n d o w s 操作系统的计算机中进行测试，结 果显示，本系统能够对用户系统进行全面、准确的扫描，同时有效解决了漏洞的 漏报和误报问题，降低了扫描开销，具有良好的可移植性和通用性。 关键词：漏洞；漏洞扫描技术；o v a l ；漏洞定义库；网络安全 a b s t r a c t t h e d e s i g na n d r e a l i z a t i o no fv u l n e r a b i l i t ys c a n n i n g s y s t e mb a s e d o no v a l a b s t r a c t w i t ht h er a p i di m p r o v e m e n to fn e t w o r k ，t h ep r o b l e m so fn e t w o r ks e c u r i t yh a s b e c o m ek e yp o i n t so fc u r r e n tn e t w o r kt e c h n o l o g y i nn o r m a lc a s e s ，i ti st h es y s t e m b r e a c hw h i c hb r i n g sc h a n c et oh a c k sa n dv i r u s e st ol a u n c ha t t a c k s t h ev u l n e r a b i l i t y s c a n n i n gt e c h n o l o g yi sa b l et oe x a m i n et h ep o t e n t i a lv u l n e r a b i l i t ya n de n a b l e st h e u s e rt ou n d e r s t a n dw h e r et h ev u l n e r a b i l i t yi s i nt h i sw a y ，s y s t e mw i l lb es a f eb y s o m em e a s u r e s f i r s t ，v u l n e r a b i l i t ys c a n n i n gt e c h n o l o g i e si sa n a l y z e d ，a n dt h ef u n d a m e n ta n d f e a t u r e so fs c a n n i n gt e c h n o l o g i e sb a s e do nh o s ta n dn e t w o r ki sr e s e a r c h e d b a s e do n t h i s ，t h ea s s e s s m e n tp r i n c i p l ea n dt h es y s t e ma r c h i t e c t u r eo fo v a lw e r ed e e p l y s t u d i e da san e wv u l n e r a b i l i t ya s s e s s m e n ts t a n d a r d f i n a l l y ，am o d e lo fv u l n e r a b i l i t y s c a n n i n gs y s t e mb a s e do no v a l i sp u tf o r w a r d t h ed e t a i lo fr e a l i z a t i o no fv u l n e r a b i l i t ys c a n n i n gs y s t e mi sg i v e n ，i n c l u d i n g s y s t e ma r c h i t e c t u r e ，f u n c t i o n a lm o d u l e s ，p r o g r a mf l o w s ，e r e t h em o s ti m p o r t a n t f e a t u r ei sh o wt oc o l l e c tt h es y s t e mi n f o r m a t i o n ，t h ew o r k f l o wo fv u l n e r a b i l i t y s c a n n i n ga n dt h ep r o c e s so fv u l n e r a b i l i t ya n a l y s i s t h ef i r s tr e a l i z a t i o no ft h es o l u t i o n i sb r o u g h to u tt om e e tt h er e q u i r e m e n to fu n i f o r mi n f o r m a t i o nd e s c r i p t i o n a n di ti s a l s oc o m p a t i b l ew i t ht h i ss y s t e m i nt h ec o u r s eo ft h ei m p l e m e n t ，c o n s i d e r i n gt h eu s e rs y s t e m sf e a t u r e ，t h e v u l n e r a b i l i t yd a t a b a s ei sr e c o m p o s e di no r d e rt oo p t i m i z et h ev u l n e r a b i l i t yd e f i n i t i o n c l a s s w h e nu s e rs y s t e mr e q u e s t sf o rs c a n n i n g ，o n l yap a r to fr e l a t e dv u l n e r a b i l i t y i n f o r m a t i o nw o u l db ep r o v i d e dt oe n s u r et h ee f f i c i e n c yo fs c a n n i n g a n di tc o u l da l s o o f f e rs u i t a b l ed e f i n i t i o no fv u l n e r a b i l i t yb a s eo nt h eh i s t o r yo fu s e rc o n f i g u r a t i o na n d c o m p l e t et h es c a n n i n ge f f i c i e n c y i i a b s t r a c t t h o r o u g ht h et e s t sb o t hi nl i n u xa n dw i n d o w st h er e s u l ts h o wt h a tt h i ss y s t e m c o u l dw o r ke f f i c i e n t l ya n dp o r t a b i l i t y i nt h em e a nt i m ei tr e d u c e dt h es c a n n i n g c o n s u m i n ga n di sw i t ht h ef e a t u r eo fe a s i l yp o r t a b i l i t ya n du n i v e r s a l i t y k e y w o r d s ：v u l n e r a b i l i t y ；v u l n e r a b i l i t y i e ss c a n n i n gt e c h n o l o g y ；o v a l ；v u l n e r a b i l i t y d e f i n i t i o nd a t a b a s e ；n e t w o r ks e c u r i t y i i i 西北大学学位论文知识产权声明书 本人完全了解西北大学关于收集、保存、使用学位论文的规定。 学校有权保留并向国家有关部门或机构送交论文的复印件和电子版。 本人允许论文被查阅和借阅。本人授权西北大学可以将本学位论文的 全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫 描等复制手段保存和汇编本学位论文。同时授权中国科学技术信息研 究所等机构将本学位论文收录到中国学位论文全文数据库或其它 相关数据库。 保密论文待解密后适用本声明。 学位论文作者签名：痖熟 指导教师签名：毫勤仓签名：冬型型 翮年月莎日二匆矿年厂月矽日 西北大学学位论文独创性声明 本人声明：所呈交的学位论文是本人在导师指导下进行的研究工作及取得的研究 成果。据我所知，除了文中特别加以标注和致谢的地方外本论文不包含其他人已经 发表或撰写过的研究成果，也不包含为获得西北大学或其它教育机构的学位或证书而 使用过的材料与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确 的说明并表示谢意 学位论文作者签名：夥歌 。钐髟年多月多日 第一章引言 第一章引言 全球化网络信息的迅速发展，在很大程度上改变了人们的生活方式、学习方 式、工作方式以及思维方式。一方面它给人们带来了便利和进步；另一方面，也 为一些不法用户提供了非法访问计算机中的信息资源、窃取机密信息和破坏计算 机系统的机会。近年来，随着i n t e m e t 的广泛应用，随之带来的安全风险也日益 成为人们关注的热点问题。 1 1 研究背景 随着网络化和信息化的高速发展，计算机网络已经逐渐渗透到国民经济的各 个领域，伴随人们生活工作的方方面面。以i n t e m e t 为代表的信息化浪潮使网络 应用日益普及，层次逐渐深入，它使得众多企业、组织、机构、个人等能够充分 共享、利用网络的信息和资源。 然而，随着网络信息应用层次逐渐深入，应用领域从传统的、小型业务系统 逐渐向大型、关键业务系统扩展，人们对计算机网络的依赖性越来越强，随之带 来的网络安全问题也日益突出。由于i n t e r n e t 从建立开始就是假设在一个安全的 环境下进行总体构想和设计，相关的协议也是在可信的环境下为网络互联进行专 门设计的，同样缺乏安全措施的考虑。而且目前网络上的各种计算机、服务器和 其他网络设备都或多或少的存在漏洞或安全隐患，这就使得越来越多不同背景和 不同动机的参与者介入到互联网的环境中，利用计算机中存在的漏洞或安全隐患 对用户进行攻击及病毒的干扰，为人们带来工作生活上的困扰。 诸多不安全的因素已涉及到人们工作和生活的方方面面，轻则干扰人们的正 常生活、工作，重则造成巨大的经济损失，甚至威胁到国家安全。因此，了解网 络面临的各种威胁，防范和消除这些威胁，实现真正的网络安全已经成了网络发 展中亟待解决的重大问题。根据国际权威应急组织c n c e i 玎c c ( 国家互联网应 急中心) 2 0 0 7 年收到的漏洞报告为7 2 3 6 个，与2 0 0 6 年相比，有所减少，但是 仍然比以往十几年的漏洞个数有很大程度的增加。具体统计结果如图1 1 所示。 第一章引言 自1 9 9 5 年以来共计收到漏洞报告总数3 8 0 1 6 个【1 1 。 i ￥0 j v 0 i ，￥t1 ，4 l ，zvuuz u u lzuuzz u u jz u l ，qz u u 口z u u 0 z u u i 图1 - 1c n c e r t c c 漏洞统计图 每年各个安全组织、机构、公司等都会公布很多影响网络安全的漏洞信息， 这些漏洞很大部分是来源于计算机操作系统和浏览器。例如，s e c u n i a 在2 0 0 7 网 络安全报告中指出，微软在2 0 0 7 年公布w i n d o w s 操作系统中存在1 1 8 个漏洞和 3 个来自第三方插件的漏洞；r e dh a t 操作系统本身包含了4 个漏洞，但是第三 方插件中包括了6 2 9 个漏洞；使用普遍的浏览器m 中包括了4 3 个漏洞，f i r e f o x 中包括了6 4 个漏洞【2 】；另外的一些漏洞来源于应用软件，各软件供应商推出的 各种网络产品的时候，通常很少考虑到抵挡黑客的攻击，在设计和实现上或多或 少都存在漏洞，这就为为用户计算机系统留下了安全隐患。 从这些报告信息可以看出，系统中存在的大量漏洞是网络安全问题日趋严重 的重要原因之一。如何预先发现系统和应用软件中存在的漏洞和安全隐患，并能 采取有效的防范措施已经成为当前迫切需要解决的问题。一个完整的安全体系和 安全解决方案是根据具体的网络体系结构和环境来确定的，并且这些安全性的提 高是需要一定代价的【3 】。因此，不能毫无根据的提高安全性，而是应该对计算机 系统进行全面的扫描后，根据系统的具体情况采取适当的措施。对计算机系统信 息进行全面的分析是保证网络安全的前提【4 1 。 虽然国内外针对该方面进行了研究，开发了一些漏洞扫描系统进行改善。但 是，通过这些权威部门的报告，网络安全方面没有得到明显的改善。 由c n c e i 玎c c 报告的2 0 0 7 年上半年网络安全事件统计结果如图1 2 所示。 这些事件包括网络仿冒、垃圾邮件、网页恶意代码、漏洞和病毒事件等。半年内 接收的网络安全事件大大超出了2 0 0 6 年同期数量。从2 0 0 7 年下半年和2 0 0 8 2 第一章引言 现产品和服务之间的兼容和互操作。这两方面的原因，导致目前存在的漏洞扫描 系统无法全面、准确地得出用户计算机系统中存在的漏洞，安全隐患以及系统配 置错误等信息。这就要求必须在一个权威、完备、兼容的网络安全评估标准的基 础上建立漏洞扫描工具。 1 2 国内外研究概况 面对当前的发展状况，国内外各国都已经意识到系统漏洞对网络安全起到的 重要作用。从总体来说，国外对漏洞检测技术的研究开展的比较早，因此取得的 成果比较好，处于领先地位；国内对这方面的研究较晚，但是发展空间比较大， 近年来，也取得了很好的成果。 1 2 1 国外研究现状 在使用漏洞扫描技术来确保网络安全方面，国外的研究工作起步较早。历史 上的第一个扫描器w a rd i a l e r ，实现了自动扫描功能，并且以统一的格式记录扫 描结果【8 】。这是扫描技术上取得的极大的发展，推动了网络安全性能的发展。 1 9 9 0 年，美国国家标准局启动了针对当时的操作系统脆弱性问题进行研究的 r e s e a r c hi ns e c u r e d o p e r a t i n gs y s t e m s 项目在美国伊利诺伊大学发表了关于软件 漏洞的调查报告年。 1 9 9 2 年，c h r i sk l a u s 编写了一个扫描工具i s s ( i n t e r n e ts e c u r i t ys c a n n e r 网络 安全扫描器) ，它是在因特网上进行安全评估扫描最早的工具之一。 1 9 9 3 年，美国海军研究实验室收集了不同操作系统的安全缺陷，然后对每一 缺陷按其来源、成因、发现时间和部分代码进行分类。 19 9 5 年，在d a nf a r m e r 和w i e t s e v e n e m a 编写的s a t a n ( s e c u r i t ya d m i n i s t r a t o r t o o lf o ra n a l y z i n gn e t w o r k s 基于网络的安全管理工具) 扫描引擎的带动下，促进了 安全扫描技术的发展，并推动一些安全检测产品的产生。 1 9 9 6 年，普渡大学c o a s t 实验室的t a i m u r 、a s l a m 、i v a nk r s u l 和e u g e n e h s p a f o r d 第一次高水平地定义了缺陷的范围，漏洞分类方法被第一次用于该实 验室的漏洞库。开始时由一些个人收集漏洞，后来这项工作变成c e r i a s ( t h e 4 第一章引言 c e n t e rf o re d u c a t i o na n dr e s e a r c hi ni n f o r m a t i o na s s u r a n c ea n ds e c u r i t y 信息、保障 和安全教育研究中心) 的研究项卧9 1 。 同时，一些国家纷纷建立安全组织和机构来关注网络安全的问题，特别是对 漏洞检测和评估方面： c n c e r t c c 是一个网络安全问题的主要研究中心，由美国国防部资助，目 的是在网络安全问题发生时，快速有效协调专家处理互联网社区的安全问题。 u s c e r t 将和n c s d 一起工作，阻止和减轻网络攻击，并减少网络漏洞。该机 构成立的初衷是借助c n c e r t c c 的能力加速美国对网络事件的响应。 s y m a n t e c 是互联网安全技术的全球领导厂商，为企业、个人用户和服务供 应商提供广泛的内容和网络安全软件及硬件的解决方案。基于网络的漏洞和风险 评估开发的n e t r e c o n 是一个基于网络的漏洞和风险评估工具，用于发现、发 掘和报告网络安全漏洞。 n e s s u s 是一种有多种功能的强大工具，是由法国巴黎r e n a u dd e r a s i o n 和另 外两个黑客编写的。n e s s u s 是一种用来自动检测和发现已知安全问题的强大工 具，它的设计用来帮助i t 相关人员在黑客对这些漏洞进行利用前确定和解决这 些己知安全问题的。n e s s u s 是第一个在志愿的基础上由黑客开发的扫描程序。 1 2 2 国内研究现状 国内在扫描技术方面起步较晚，是在国外扫描技术的基础上发展起来的，在 研究方面取得了一定的成果，但与国际水平相比，还存在着一定的差距，对漏洞 扫描技术的研究相对要缓慢一些，还有一个需要高速发展的阶段。 目前，从事漏洞检测与评估系统的组织机构主要是一些网络安全公司，有这 些公司开发并且使用广泛的有著名的奇虎3 6 0 安全卫士，金山清理专家和瑞星系 统安全漏洞扫描系统。 1 、3 6 0 安全卫士是由奇虎公司推出的完全免费的安全类上网辅助工具软件， 它拥有查杀流行木马、清理恶评及系统插件，管理应用软件，系统实时保护，修 复系统漏洞等功能，同时还提供系统全面诊断，弹出插件免疫，清理使用痕迹以 及系统还原等特定辅助功能，并且提供对系统的全面诊断报告，为用户提供系统 5 第一章引言 安全保护。 2 、金山清理专家是有金山软件公司开发一款免费清理软件，它能扫描系统 中的恶意软件、系统漏洞、病毒、可疑文件等情况，并在检测后根据系统情况提 供系统漏洞补丁，m 修复等功能，从一定程度上修复操作系统和应用程序漏洞， 降低了安全风险。 3 、瑞星系统安全漏洞扫描系统是由瑞星公司从杀毒软件中分离出来，对 w i n d o w s 系统存在的系统漏洞和安全设置缺陷进行检查，并提供相应的补丁下载 和安全设置缺陷自动修补的工具，为用户提供系统漏洞扫描，病毒查杀，未知病 毒检测等功能，从而保障用户信息安全的防御体系。 目前这些国内外开发的产品，在实现上能够提供用户安全漏洞评估的基本功 能，但是他们使用的技术和系统配置各不相同，没有形成规范的方法和服务，不 能很好地实现网络安全产品和服务间的兼容和互操作。随着越来越严格的网络安 全的管理要求，检测评估系统漏洞的扫描技术要求具有全面性、完善性、隐蔽性 以及灵活性等方面的发展。 根据目前的发展状况，由美国u s c e r t ( 美国计算机紧急情况反应小组) 针对漏洞评估过程提出了o v a l 【1 0 l ( o p e nv u l n e r a b i l i t ya n da s s e s s m e n tl a n g u a g e 开 放漏洞评估语言) 标准。o v a l 是用于对计算机系统漏洞进行评估的新标准【1 l 】， 它就有关漏洞信息的描述方法，系统特征的收集方式以及漏洞扫描、分析的具体 过程提出了严格完整的书写规范，使得符合这种规范的软件之间实现了产品和服 务有效兼容和互操作性。在应用过程中，提高了对计算机系统的扫描效率，增强 了用户控制网络安全和系统安全的能力，进而降低了网络风险。本文通过对 o v a l 规范进行深入的研究，设计并初步实现一个基于o v a l 标准的漏洞扫描系 统。 1 3 本文结构 第一章分析了当前网络和系统漏洞发展与现状，对国内外漏洞扫描技术和 现有的漏洞扫描评估系统的产品进行研究分析。根据当前漏洞扫描系统存在的缺 点，提出在现有的漏洞评估新标准o v a l 的基础上，设计实现基于o v a l 的漏 6 第一章引言 洞扫描系统。 第二章对漏洞的基本概念、漏洞的主要特征和漏洞扫描技术进行分析研究。 从漏洞的分类，漏洞造成的危害和漏洞的特征几个方面对漏洞进行分析，对漏洞 扫描技术进行研究。 第三章对漏洞扫描标准进行研究。在对o v a l 的基本内容进行分析后，深 入探讨基于o v a l 的漏洞扫描系统的体系结构。 第四章对漏洞扫描系统进行详细设计。根据系统的总体结构和系统组成， 对系统中心服务器和用户代理的主要功能模块进行设计并分析其工作内容。 第五章实现漏洞扫描系统的基本功能，对中心服务器和用户代理两部分的 关键技术的结构进行分析和探讨。在不同操作系统中测试系统功能，产生测试结 果报告。 第六章对全文进行总结，对下一步工作进行展望。 7 第二章漏洞扫描技术的分析与研究 第二章漏洞扫描技术的分析与研究 随着计算机技术和网络技术的飞速发展，信息安全问题日益严重。导致网络 系统不安全，网络攻击、入侵等安全事件频繁发生的很大原因，是由于系统存在 漏洞造成的。为解决这一问题，需要对系统信息进行研究，利用有关漏洞扫描技 术及时发现系统中存在的漏洞，分析系统存在的安全隐患，从而根据给出解决方 案，减少系统被攻击的可能性，提高系统的安全性。因此，需要研究系统漏洞和 相关的漏洞扫描技术。 2 1 漏洞的基本概念及主要特征 2 1 1 漏洞及漏洞分类 ： 漏洞也叫脆弱性( v u l n e r a b i l i t y ) ，是计算机系统在硬件、软件、协议的设计 和实现或系统安全策略上存在的缺陷和不足。漏洞一旦被非法用户发现，他们就 可以利用漏洞获得计算机系统的额外权限，在未授权的情况下访问或破坏系统， 从而导致破坏计算机系统的安全 1 2 , 1 3 】。目前，国外从不同的角度对漏洞进行了定 义 1 4 】： 基于访问控制的定义：d e n n i n g 在( ( c r y p t o g r a p ha n dd a t as e c u r i t y ) ) 一文中 从访问控制的角度给出了漏洞的定义。他认为，系统中主体对对象的访问是通过 访问控制矩阵实现的，这个访问控制矩阵就是安全策略的具体实现，当操作系统 的操作和安全策略之间发生冲突时，就产生了漏洞。 基于状态空间的定义：b i s h o p 和b a i l y 在1 9 9 6 年发表的“a c r i t i c a la n a l y s i s o fv u l n e r a b i l i t yt a x o n o m i e s ”一文中提出了对计算机漏洞的状态空间的定义，计 算机系统是由若干描述实体配置的当前状态所组成的。系统通过应用程序的状态 转变为改变系统的状态。同安全策略的定义一样，通过系列授权和非授权的状态 转变，所有的状态都可以从给定的初始状态到达。容易受到攻击的状态是指通过 授权的状态转变从非授权状态可以到达的授权状态。受损害的状态是指己完成这 种转变的状态。攻击就是指到达受损状态的状态转变过程。从状态空间角度来讲， 8 第二章漏洞扫描技术的分析与研究 漏洞就是指区别于所有非受损状态的容易受攻击的状态特征。通常地讲，漏洞可 以刻画许多容易受攻击的状态。 基于模糊概念的定义：l o n g s t a b 和s h a i n 在1 9 9 0 年出版的“t h ed a t a & c o m p u t e rs e c u r i t yd i c t i o n a r yo fs t a n d a r d s ，c o n c e p t s ，a n dt e r m s ”中，对漏洞的 定义是： 1 、在计算机安全中，漏洞是指自动化系统安全过程、管理控制以及内部控 制等的缺陷，它能够被威胁利用，从而获得对信息的非授权访问或者破坏关键数 据处理。 2 、在计算机安全中，漏洞是指在物理层、组织、程序、人员、软件或硬件 方面的缺陷，它能够被利用而导致对自动数据处理系统或行为的损害。漏洞的存 在并不能导致损害，漏洞仅仅是可以被攻击者利用，对自动数据处理系统或行为 进行破坏的条件。 3 、在计算机安全中，漏洞是指系统中存在的任何不足或缺陷。不同于前面 的两个定义，这个定义指出漏洞是在许多不同层次和角度下可以觉察得到的预期 功能。按照这个定义，漏洞是对用户、管理员和设计者意愿的一种违背，特别是 对这种违背是由外部对象触发的。 每一条漏洞都有多个特征，根据这些特征可以将漏洞分为相应的几类。同样 一条漏洞根据这个特征可以归为这一类，根据另外一个特征又可以归为另一类。 所以根据哪些特征对漏洞进行分类，哪些分类是有价值的是一个很重要的问题。 国外在这方面的研究工作起步较早，2 0 世纪7 0 年代中期，美国开始了针对操作 系统保护错误的p a ( p r o t e c t i o na n a l y s i sp r o j e c t ) 研究计划，以增强计算机操作 系统的安全性。该研究小组发表了一系列研究论文，主要内容都是描述操作系统 中的保护错误，以及这些错误的发现方法。他们提出了基于模式匹配漏洞检测技 术，并将系统的漏洞分为范围错误、校验错误、名字错误和串行化错误四类。尽 管p a 计划并没有程序实现使用模式匹配全自动查找系统漏洞，但该研究计划 是计算机安全研究工作的重要里程碑，具有划时代的重要意义。 在p a 计划进行的同时，美国还秘密开始了r i s o s ( r e s e a r c hi ns e c u r e d o p e r a t i n gs y s t e m s ) 计划。该计划以i b m 的o s m v t 、u n i v a c 的1 1 0 0 系列和 n e w m a n 的t e n e x 操作系统为研究对象，着眼于对操作系统中安全问题的理解 9 第二章漏洞扫描技术的分析与研究 以及加强系统安全的方法。在其最后研究报告中，讨论了一些关于数据安全的相 关问题，并认为加强管理可以防止对系统的非法访问和系统的信息泄露。这项研 究的主要贡献是对操作系统中完整性错误的分类，即将系统漏洞分为七大类【1 5 】： 1 、异步校验不适当的串行化。 2 、不完整的参数校验。 3 、可利用的逻辑错误。 4 、绝对的特权秘密数据共享。 5 、不恰当的身分认证授权。 6 、矛盾的参数校验。 7 、易违背的禁令邝艮制。 2 1 2 漏洞造成的危害 漏洞对系统造成的危害，在于它可能会被攻击者利用，继而破坏系统的安全 特性，而它本身不会直接对系统造成危害。通常而言，漏洞会对以下五种系统安 全特性造成危害【1 6 】： 1 、系统的完整性。攻击者可利用漏洞入侵系统，对系统数据进行非法篡改， 达到破坏数据完整性的目的。 2 、系统的可用性。攻击者利用漏洞破坏系统或者网络的正常运行，导致信 息或网络服务不可用，合法用户的正常服务要求得不到满足。 3 、系统的机密性。攻击者利用漏洞给非授权的个人和实体泄漏受保护信息。 有些时候，机密性和完整性是交叠的。 4 、系统的可控性。攻击者利用漏洞对授权机构控制信息的机密性造成危害， 使这些合法的用户处于“失控”状态。 5 、系统的可靠性的。攻击者利用漏洞对用户认可的质量特性信息传递的迅 速性、准确性以及连续地转移等造成危害。 2 1 3 漏洞产生的原因 漏洞的产生主要是由于程序员不正确和不安全编程引起的。由于大多数程序 1 0 第二章漏洞扫描技术的分析与研究 员在编程初始阶段没有考虑到安全问题，在后期，用户不正确的使用以及不恰当 的配置都可导致漏洞的出现。通过分析总结，产生漏洞主要是由于以下原因 1 7 , 1 8 , 1 9 ： 1 、输入验证错误：产生此类漏洞的原因是未对用户提供的输入数据的合法 性做适当的检查。此错误导致的安全问题最多，常见于w e b 上的动态交互页 面，比如a s p 页面等。此类漏洞的产生原因主要是程序编写者不熟练，对安全 缺乏认识所导致。 2 、访问验证错误：程序的访问验证部分存在某些可利用的逻辑错误或用于 验证的条件不足以确定用户的身份而造成的。此类漏洞使得非法用户可以绕过访 问控制成为可能，从而导致未经授权的访问。 3 、竞争条件错误：此漏洞的产生是由于程序在处理文件等实体时在时序和 同步方面存在问题，在处理的过程中可能存在一个机会窗口使攻击者能够施以外 来的影响。 4 、意外情况处置错误：漏洞的产生是由于程序在它的实现逻辑中没考虑到 一些本应该考虑的意外情况。此类错误比较常见，如在没检查文件是否存在的情 况就直接打开文件而导致拒绝服务、没检查文件是否存在就打开文件提取内容进 行比较而绕过验证、上下文攻击导致执行任意代码等，其安全威胁是显而易见的。 5 、配置错误：由于系统和应用的配置有误，或是软件安装在错误的地方， 或是参数配置错误，或是访问权限配置错误等。 6 、环境错误：由于环境变量的错误或恶意设置造成的漏洞，导致有问题的 特权程序可能去执行攻击代码。 7 、设计错误：此类包括的范围比较大，包含了系统设计上和系统具体实现 上的设计错误。 8 、缓冲区溢出错误：由于向程序的缓冲区中录入的数据超过其规定长度， 造成缓冲区溢出，破坏程序正常的堆栈，使程序执行其他命令。 2 1 4 漏洞的特征 系统中的漏洞是客观存在的，但人们不可能把系统中的所有漏洞一次性完全 第二章漏洞扫描技术的分析与研究 发现，需要一个时间过程对系统进行分析，逐渐将漏洞一一公布出来。在分析过 程中，如何判定系统存在漏洞，需要了解漏洞的特征才能得出系统是否安全的结 论。漏洞是一个独特的抽象概念，具有如下特征【2 0 】： 1 、计算机系统漏洞是一种状态或条件，表现为不足或者缺陷。其存在并不 能导致损害，但是可以被攻击者利用，从而造成对系统安全的威胁、破坏。计算 机系统漏洞也不同于一般的计算机故障，漏洞的恶意利用能够影响人们的工作和 生活，甚至会带来灾难性的后果。 2 、漏洞问题是与时间紧密相关的。一个系统从发布的那天起，随着用户的 深入使用，系统中存在的漏洞便会不断地被发现，那些发现较早的漏洞也会不断 地被系统供应商发布的补丁所修复，或在以后发布的新版本中得到纠正。而在新 版统纠正旧版中漏洞的同时，也会引入一些新的漏洞和错误。因而随着时间的推 移，虽然旧的漏洞会不断消失，但新的漏洞会不断出现。漏洞问题是长期存在的， 变化的是只是漏洞内容。 3 、软件编程过程中出现逻辑错误是很普遍的现象，这些错误绝大多数是不 正确的系统设计或错误逻辑造成的。在所有的漏洞类型中，逻辑错误所占的比例 是最高的。而绝大多数的漏洞是由于疏忽造成的。数据处理( 例如对变量赋值) 比数值计算更容易出现逻辑错误，过小和过大的程序模块都比中等程序模块更容 易出现错误。 4 、漏洞能影响到很大范围的软硬件设备，包括操作系统本身及其支撑软件， 网络客户和服务器软件，网络路由器和安全防火墙等。也就是说，在这些不同的 软硬件设备中都可能存在着不同的漏洞问题。在不同种类的软、硬件设备，同种 设备的不同版本之间，不同设备构成的不同系统之间，以及同种系统在不同的设 置条件下，都会存在各自不同的漏洞问题。通过对漏洞的分析研究可以发现，所 有的安全问题最终都有同样的基本属性，这些基本属性包括：漏洞类型、严重程 度、利用需求、后果特征以及漏洞的一些外界特征等。通过这些特征属性可以实 现对漏洞各个角度描述，从更深层次的帮助人们对漏洞形成机制的理解。除此之 外，漏洞还与其它对象密切相关，l l 女n 存在漏洞的软( 硬) 件、操作系统、相应 的补丁程序和修补漏洞的方法等。 1 2 第二章漏洞扫描技术的分析与研究 2 2 漏洞扫描技术 由于系统漏洞导致的网络不安全因素，使得网络使用者必须采取相应的网络 安全技术来分析处理存在的漏洞，达到安全服务的目的。比较常见的关键技术主 要包括漏洞扫描技术、数据加密技术、访问控制技术、防火墙技术、网络入侵检 测技术等。 漏洞扫描技术是为使系统管理员能及时了解本机系统中存在的漏洞，采取相 应防范措施，从而降低系统的安全风险而发展起来的一种安全技术【13 1 。利用漏 洞扫描技术，可以对主机的操作系统、系统服务、系统安装的应用软件以及网络 服务端口等进行漏洞扫描，从而可以检查出计算机系统的操作系统和安装的应用 软件中是否存在不安全的因素，是否存在不正确的配置信息等安全隐患。 从扫描对象的角度，可以将漏洞扫描技术分为两类：基于主机的漏洞扫描技 术和基于网络的漏洞扫描技术。 2 2 1 基于主机的漏洞扫描技术 基于主机的漏洞扫描系鲥2 1 】通常在目标系统上安装了一个代理或者服务， 以便漏洞扫描系统能够访问系统内的所有文件与进程，这使得基于主机的漏洞扫 描系统可以全面的对计算机系统信息进行分析，扫描出更多的系统漏洞。 基于主机的漏洞扫描系统是从一个内部用户的角度来检测操作系统的漏洞。 扫描的内容包括对注册表、系统配置、文件系统以及应用软件的扫描，收集所有 这些信息后，将这些信息反馈给中心服务器，中心服务器通过控制平台进行处理。 基于主机的漏洞扫描系统通常有三个部分组成：漏洞扫描控制台、中心服务 器和用户代理。 漏洞扫描控制台通常被安装在一台计算机中，从用户代理的角度来看，漏洞 扫描控制台负责接收用户代理的扫描请求等指令，为用户显示信息，提供可用操 作等。从中心服务器的角度来看，漏洞扫描控制台负责控制中心服务器调用相应 指令来响应用户代理的请求。 用户代理是漏洞扫描系统的核心部分，安装在需要执行扫描的计算机系统 中。用户代理以漏洞扫描控制台为媒介，与中心服务器进行通信，对计算机系统 1 3 第二章漏洞扫描技术的分析与研究 执行漏洞扫描任务，扫描结束后，将扫描结果传输给中心服务器。 中心服务器为漏洞扫描系统各部分提供服务。 基于主机的漏洞扫描系统的优点【2 2 】： 1 、用户代理可以直接获取被扫描计算机系统的操作系统的细节信息，如特 殊服务和配置的细节，因此基于主机的漏洞扫描方式通常可以访问所有的文件和 进程，这就使得它可以扫描更多的漏洞。 2 、用户代理在漏洞扫描系统中是自主运行的软件实体，代理之间没有互相 影响的因素，自主控制数据之间的交互。可以简单的认为用户代理可以独立的完 成一定的扫描功能的软件实体。 3 、在基于主机的漏洞扫描系统中，便于中心服务器对用户代理的管理和信 息的升级。中心服务器对用户代理采取统一的管理，当漏洞扫描系统中有信息更 新时，只需要中心服务器对信息进行更新、升级，再分发给用户代理，减少了网 络流量的负载。 基于主机的漏洞扫描系统的缺点： l 、需要在计算机系统中安装用户代理。一些使用者更希望在机器上直接进 行扫描，而不需要安装其他软件。 2 、用户代理与操作系统相关，因此对漏洞扫描系统中使用的漏洞定义库有 较高的要求。 2 2 2 基于网络的漏洞扫描技术 基于网络漏洞扫描技术【2 3 , 2 4 是一种基于i n t e m e t 远程检测目标网络与本地主 机漏洞的技术。基于网络的扫描是从外部攻击者的角度对系统的不同端口、开放 的服务和架构进行的扫描，主要用于查找网络服务和协议中的漏洞。基于网络的 漏洞扫描系统通过扫描系统中的端口服务，分析相关信息并与系统漏洞定义库中 的信息进行匹配比较，从比较结果上得出系统是否存在漏洞的结论。基于网络的 扫描技术可以及时获取网络漏洞信息，有效的发现那些网络服务和协议的漏洞， 如一些服务和底层协议的漏洞；同时能够有效的发现那些基于主机的扫描不能发 现的网络设备漏洞( 如路由器、交换机、远程访问服务和防火墙等存在的漏洞。 1 4 第二章漏洞扫描技术的分析与研究 一般的，一次完整的网络漏洞扫描分为3 个阶段【2 5 】： 第1 阶段：发现目标主机或网络。 第2 阶段：发现目标后进一步搜索目标信息，包括操作系统类型、运行的服 务以及服务软件的版本等。如果目标是一个网络，还可以进一步发现该网络的拓 扑结构、路由设备以及各主机的信息。 第3 阶段：根据收集的信息判断或者进一步测试系统是否存在系统漏洞。 网络漏洞扫描技术包括有端口扫描、漏洞扫描以及p i n g 扫射等。其中端口扫 描技术和漏洞扫描技术是网络漏洞扫描技术中的两种核心技术，并且是当前应用 比较广泛的的技术，被用在一些比较成熟的网络扫描器中，例如n e s s u s 等。 基于网络的扫描方式的优点在于在操作过程中不需要涉及目标主机的管理 员，也不需要在目标系统中安装任何软件。 基于网络的扫描方式的缺点在于它不能直接访问目标主机系统的文件系统， 因此不能全面的扫描目标主机的系统信息；另外，目标主机如果开放了防火墙， 会对网络扫描进行拦截，导致扫描工具无法访问目标主机。 2 2 3 其他漏洞扫描技术 除了以上的两种主要的漏洞扫描技术外，还有一些常用的漏洞扫描技术。包 括传统的扫描技术，端口技术和操作系统辨别技术等【2 6 】。 1 、传统的扫描技术 常用的传统扫描技术有i c m pe c h o 扫描，i c m pe c h o 扫描、b r o a d c a s ti c m p 扫描、n o n e c h oi c m p 扫描【2 7 1 。这几种扫描手段的扫描方式不同，但是存在共 同点，它们通过采取不同的方式在网络上发送请求，用来发现目标主机并探测它 的当前状态。目标主机根据这些请求给出应答和响应。 这些扫描技术比较容易实现，但是也各有缺点，例如i c m pe c h o 扫描方式容 易受到本地防火墙的限制，b r o a d c a s ti c m p 扫描方式不适合w i n d o w s 操作系统， 而w i n d o w s 是目前使用普遍的操作系统，这种扫描手段不具备使用的普遍性。 2 、端口扫描技术 端口扫描技术不仅能够自动探测本地或者远程系统的端口开放情况，而且可 1 5 第二章漏洞扫描技术的分析与研究 以获得目标主机的详细网络服务清单。目前常用的端口扫描技术主要包括：完全 连接扫描，半连接扫描，秘密扫描和u d p 扫描和其他端口的扫描技术。 一般的，端口扫描技术是对不同的操作系统进行扫描的方式，比较适合已知 目标操作系统类型的计算机漏洞扫描，同时这种扫描方式也是攻击者进行系统攻 击时，经常利用的手段。 3 、操作系统识别技术 不同的操作系统有着不同的漏洞，不同版本的同一的操作系统中也会存在不 同的漏洞。使用操作系统识别的目的就是了有针对性的探测系统中的漏洞，从而 可以高效的对系统执行扫描。 从防御的角度来讲，掌握远程操作系统辨识技术有助于抵御攻击，网络管理 员可以对操作系统进行适当的配置，采用一些虚假的信息来迷惑扫描系统而躲避 攻击或者增大攻击的难度，从而做到有针对性的防御( 2 8 】。 然而，一些操作系统识别技术主要是通过相关服务的信息或者使用一些应用 软件的开放端口进行识别，因此具有一定的盲目性，缺乏扫描准确性。 2 3 本章小结 在本章中，主要是对系统漏洞和漏洞扫描技术进行分析和研究。首先，对漏 洞的定义、漏洞的危害、产生的原因、漏洞的分类以及漏洞的特点进行了详细的 研究。然后，根据目前存在的漏洞扫描技术：基于主机的漏洞扫描技术和基于网 络的漏洞扫描技术进行研究，并对二者的优缺点进行分析、比较。 1 6 第三章漏洞扫描标准的研究 第三章基于o v a l 的漏洞扫描体系的研究 从目前漏洞扫描系统的发展状况可以看出，利用不同扫描技术开发的漏洞扫 描系统，在一定程度上可以有效保障系统和网络的安全。但是，没有统一的标准 对现有的这些系统进行规范，在功能上和性能上都存在局限性，只能在特定的环 境下，满足系统和网络的需要，不能在宏观上整体保证计算机系统的安全。因此， 需要一个规范性比较强的、权威性比较高的标准来提高漏洞扫描系统的性能，保 障系统的安全。 在共享网络信息资源过程中，要想提供用户一个相对安全的运行环境，不仅 要保证获取的资源是安全的，同样也要保证用户本身的计算机系统可以安全运 行。因此，一个漏洞扫描系统所做工作的第一步就是对用户计算机的系统状况有 详细的了解。当漏洞扫描系统对用户系统进行漏洞扫描时，首先要对用户系统进 行探测，了解它的部署情况，对系统当前的环境的信息详细了解后，再对用户系 统进行扫描和评估，最终得出系统中存在的漏洞和安全隐患信息。 目前，为解决漏洞对计算机系统的影响，很多组织、机构和公司都开发了各 种漏洞扫描系统来发现用户系统中存在的漏洞，