扫描漏洞工具.doc

1 网络漏洞扫描黑客在攻击之前习描个系统是绝对不可缺少的黑客袭击就和战争一样知己知被方能百战不殆入。侵者一般利用扫描技术获取系统中的安全漏洞侵入系统，而系统管理员也需要通过扫描技术及时了解系统存在的安全问题，并采取相应的措施来提高系统的安全性11 网络漏洞扫描技术的分类从不同角度可以对扫描技术进行不同分类。从扫描对象来分，可以分为基于网络的扫描(Networkbased Scanning)和基于主机的扫描(HostbasedScanning)。从扫描方式来分，可以分为主动扫描(Active Scanning)与被动扫描(Passive Scanning)。111 基于网络和基于主机的扫描（1）基于网络的扫描是从外部攻击者的角度对网络及系统架构进行的扫描，主要用于查找网络服务和协议中的漏洞，如可以查找网络中运行的SNMP服务的漏洞。基于网络的扫描可以及时获取网络漏洞信息，有效的发现那些网络服务和协议的漏洞，如DNS服务和底层协议的漏洞；同时能够有效的发现那些基于主机的扫描不能发现的网络设备漏洞，如路由器、交换机、远程访问服务和防火墙等存在的漏洞。（2）基于主机的扫描是从一个内部用户的角度来检测操作系统级的漏洞，主要用于检测注册表和用户配置中的漏洞。基于主机的扫描的优势在于它能直接获取主机操作系统的底层细节，如特殊服务和配置的细节等。基于主机的漏洞扫描有如下优点：集中化管理：基于主机的漏洞扫描器通常都有个集中的服务器作为扫描服务器。所有扫描的指令，均从服务器进行控制这一点与基于网络的扫描器类似。服务器从下载到最新的代理程序后 过敏反应舒发给各个代理，这种集中化管理模式使得基于主机的漏洞，同扫描器部署上能够快速实现。网络流量负载小：由于漏洞扫描器管理器与漏洞扫描器代理之间只有 通讯的数据包漏洞扫描部分部有漏洞扫描器代理单独完成，这就大大减少了网络的流量负载。当扫描结束后，漏洞扫描器代理再攻与满淘扫描器管理器进行通讯，将扫描结果传送给漏洞扫描器管理器。扫描的漏洞数量多：由于通常在目标系统上安装了代理或者是服务以便能够访问所有的文件与进程。这也使的基于主机的漏洞扫描器能够扫描更多的漏洞。通讯过程中的加密机制:所有的通讯过程中的敬据包都经过加密.由于漏洞扫描都在本地完成漏洞扫描器代理和漏阋扫描器管理器之间只需要在扫描之前和扫描结束之后建立必要的通讯链路,因此,对于配置了防火墙的网络,只需要在防火墙上开放漏洞扫描器所需的5600和5601这两个端漏洞扫描器即可完成漏洞扫描的工作.基于主机的漏洞扫描工具也存在不足之处:首先是价格方面基于主机的漏洞扫描工具的价格 通常由一个营理器的许可证价格加上目标系境的数量来决定，当一个企业网络中的目标主机较 多时，扫描工具的价格就非常高。通常，只有实力强太的公司和政府部门才有能力购买这种漏嗣扫描工具，不适台个人用户使用。其次，基于主机的漏洞扫插工具。需要在目标主机上安装一个代理 或服务而管理员的角度来说，并不希望在重要的机器上安装自己不确定的软件。第三随着所要扫描范围的扩大在部署基于主机的漏洞扫描工具的代理软件时需要与每个目标系统的用户打交道必然延长了酋发部署的工作周期。 由分析可知，基于网络的扫描和基于主机的扫描各有优势，也各自存在了一定的局限性。只有把二者结合起来，才能尽可能多的获取漏洞信息，为系统管理员评估系统的安全风险提供有力的保证。112 主动扫描和被动扫描主动扫描是传统的扫描方式，拥有较长的发展历史，它是通过给目标主机发送特定的包并收集回应包来取得相关信息的，当然，无响应本身也是信息，它表明可能存在过滤设备将探测包或探测回应包过滤了。主动扫描的优势在于通常能较快获取信息，准确性也比较高。缺点在于： 易于被发现，很难掩盖扫描痕迹； 要成功实施主动扫描通常需要突破防火墙，但突破防火墙是很困难的。被动扫描是通过监听网络包来取得信息。由于被动扫描具有很多优点，近来倍受重视，其主要优点是对它的检测几乎是不可能的。被动扫描一般只需要监听网络流量而不需要主动发送网络包，也不易受防火墙影响。而其主要缺点在于速度较慢而且准确性较差，当目标不产生网络流量时，就无法得知目标的任何信息。虽然被动扫描存在弱点，但依旧被认为是大有可为的，近来出现了一些算法可以增进被动扫描的速度和准确性，如使用正常方式让目标系统产生流量。1.2 漏洞扫描器1.2.1 网络漏洞扫描器的概述(1) 网络扫描器的系统结构特点 网络扫描器基于BS结构，运行在Linx平台，工作于一个L i n u x 、UN I X和Windows操作系统相混合的T C PI P网络环境中。在网络扫描器中建有一个网络漏洞库。网络扫描器的控制台用于提供人机交互的界面。 (2) 网络扫描器的主要功能 采用众多的扫描和隐蔽技术，扫描目标主机和端口，识别其工作状态： 识别目标主机系统及服务程序的类型和版本； 根据漏洞库信息，分析系统脆弱点； 提供漏洞产生背景、影响、攻击方式、修补措施等信息； 以网页形式生成扫描结果报告； 具有可扩展性，提供用户动态加载和扩充系统的接口。 1.2.2网络漏洞扫描器的工作原理网络漏洞扫描器通过远程检测目标主机TCP/IP不同端口的服务，记录目标给予的回答。通过这种方法，可以搜集到很多目标主机的各种信息（例如：是否能用匿名登陆，是否有可写的FTP目录，是否能用Telnet，http是否是用root在运行）。在获得目标主机TCP/IP端口和其对应的网络访问服务的相关信息后，与网络漏洞扫描系统提供的漏洞库进行匹配，如果满足匹配条件，则视为漏洞存在。此外，通过模拟黑客的进攻手法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等，也是扫描模块的实现方法之一。如果模拟攻击成功，则视为漏洞存在。在匹配原理上，该网络漏洞扫描器采用的是基于规则的匹配技术，即根据安全专家对网络系统安全漏洞、黑客攻击案例的分析和系统管理员关于网络系统安全配置的实际经验，形成一套标准的系统漏洞库，然后再在此基础之上构成相应的匹配规则，由程序自动进行系统漏洞扫描的分析工作。所谓基于规则是基于一套由专家经验事先定义的规则的匹配系统。例如，在对TCP 80端口的扫描中，如果发现/cgi-bin/phf或/cgi-bin/Count.cgi，根据专家经验以及CGI程序的共享性和标准化，可以推知该WWW服务存在两个CGI漏洞。同时应当说明的是，基于规则的匹配系统也有其局限性，因为作为这类系统的基础的推理规则一般都是根据已知的安全漏洞进行安排和策划的，而对网络系统的很多危险的威胁是来自未知的安全漏洞，这一点和PC杀毒很相似。网络扫描是个集中的、重复的行为，显而易见，它也是个比较耗资源的行为。不光是耗费扫描主机的资源，也耗费被扫描主机的资源；不光占用主机的资源，同时也占用网络相当多的资源。总体上看是个特别耗时的过程。在该网络扫描器的设计和实现的过程中，我们从两方面进行了优化：利用非阻塞连接技术和多线程技术。其结果是，首先，这两种技术的运用明显地加快了扫描的速度；而且，用多进程来实现高效率的利用了资源，从而达到了节省资源的功效。网络漏洞扫描是建立在端口扫描的基础之上的。从黑客攻击行为的分析和收集的漏洞来看，绝大多数都是针对某一个网络服务，也就是针对某一个特定的端口的。所以漏洞扫描也是以同样的思路来进行的。而如今大多数国内国外的扫描器把端口扫描和具体的漏洞扫描分开来，相互之间几乎没有什么联系：端口扫描的目的就是为了向用户报出当前所开的端口和网络服务，以及看是否有些特定的后门存在；漏洞扫描则完全是另外一个独立的流程，不管目标主机的相应端口及服务是否打开，都要做一系列的扫描。这样看起来好像扫得很全面很彻底，但很明显的一点是，如果在对目标主机毫无了解的情况下，比如说是一台最普通的、几乎没有提供任何网络服务的机器，此时对它也进行彻底的漏洞扫描可以说是意义甚微的，甚至可以说在某些时候会对系统及网络有些反面的影响。而我们在设计实现该漏洞扫描系统时则从另一个角度出发，保证在达到同等目的的前提下，尽量少占用网络、主机以及时间资源，提高资源的利用率和扫描系统的效率。基本思想是：避免不必要的模块调用，根据不同的实际情况来调用相应的扫描子模块。1.2.3 漏洞扫描器的分类根据工作模式，漏洞扫描器分为主机漏洞扫描器和网络漏洞扫描器。它通常以三种形式出现：单一的扫描软件，安装在计算机或掌上电脑上；基于客户机(管理端)/服务器(扫描引擎)模式或浏览器服务器模式，通常为软件，安装在不同的计算机上,也有将扫描引擎做成硬件的；其他安全产品的组件。 12.4 现有网络漏洞扫描器的介绍 国内外开发了很多的网络安全扫描工具，现在主要的网络漏洞扫描工具主要有：（1） SATAN(Security Analysis Tools for Auditing Network)，它运行在Unix环境下，扫描的目标是Unix系统，为用户提供一个HTML界面，是第一个把扫描结果以用户友好的格式来显示的扫描工具，它的缺点是只能扫描几个比较老的漏洞，而且没有更新扩展功能。（2） NMAP(Network Mapper)，是目前较受欢迎的扫描器，它提供比较全面的端口扫描方法及利用指纹技术的远程操作系统识别功能，提供的端口扫描方法包括TCP Connect扫描、TCP SYN扫描、TCP FIN扫描、TCP FTP Proxy扫描、利用IP Fragments的SYN/FIN扫描、TCP ACK和Windows扫描、ICMP扫描等诸多扫描技术。Nmap虽然是一个强大的端口扫描工具，但它没有扫描漏洞的功能，无法对目标主机的脆弱进行深入挖掘。（3） Nessus，法国人Renaud Derasion编写的，是第一个使用漏洞插件的扫描器，并且漏洞数据是与CVE标准兼容的。该系统采用C/S架构，在服务端采用了插件的体系，允许用户加入执行特定功能的插件，这些插件可以进行更快速和更复杂的安全检查。它能够扫描较多的漏洞，且具有较强的扩展性。但它主要运行在UNIX系列操作系统平台，造成一定的局限性。（4） X-Scan，是由国内“安全焦点”编写的一个运行与Windows环境下的能够扫描漏洞的检测工具。它提供图形界面和命令行两种操作方式，但它的功能还需进一步完善，扫描的漏洞也较少。1.2.5现有网络安全扫描工具的评估及改进方案 针对网络漏洞监测的需要，网络漏洞扫描系统应运而生，国外流行的有ISS公司的Inteme t Scanner，Network Associates公司的CyberCop Scanner，开源软件NesSus等，这些产品都能检测出大部分的漏洞。 评估一套网络安全扫描工具的性能主要应该考虑下面一些因素： ( 1 ) 能够扫描发现安全漏洞并持续更新漏洞资料库； ( 2 ) 扫描效率以及对目标网络系统的影响及自定模拟攻击方法的灵活性； ( 3 ) 扫描程序的易用性、稳定性、分析报告的形式。 相关机构在对国外现有的各种商业和共享的漏洞扫描软件做过综合评价后，指出开源软件 Nessus的综合性能是最好的。Nessus 的特点包括： ( 1 ) 扫描速度快。支持多进程，可同时扫描多台主机，进程个数和主机个数可以根据运行机器的情况由用户设置。 ( 2 ) 采用模块化扫描插件结构。用户可以根据需要选择使用的插件， 也可以添加新的插件。当出现新的漏洞时， 可以编写新的插件脚本并添加到数据库中， 这样就实现了漏洞库的更新。扫描插件包括以下类型： Backdoors、CGI abuses、 CISCO、Default Unix Ac counts1 Denial of Service、Finger abuses、Firewa Us 、FTP、Gain a sheu remotely、Gain root remotely、SMTP problems、Windows 等。 ( 3 ) 提供完整的漏洞信息。N e s s u s 不但指出系统存在的漏洞，而且也提供修补漏洞的方法和建议，并给出漏洞的危险等级。 Nessus 网络漏洞扫描工具的功能是十分强大的，如果网管人员使用它进行网络安全的维护，将会大大减少维护的负担。但对于网管人员来说， 在使用 Nes SHS 时存在很多不方便的地方。主要表现在以下几点： ( 1 ) 使用不灵活。网管人员根据具体的网络环境需要对不同网段的主机进行定期的扫描，有的扫描还需要提供不同的参数， Nessus 不具有定时执行的功能， 也不能管理多个扫描任务，完成这些工作都需要管理人员手工输入，非常不方便。 ( 2 ) 不利于共享使用。在一个具体的网络环境中，可能只需要某一台或某几台主机来完成安全扫描任务，如果多个人员需要使用 Nessus ，就必须给他们分配该主机的账户， 这样给管理上带来不便。 ( 3 ) 不利于扫描结果的统计分析。原始的扫描结果如果不加以处理很难从中得到有用的信息，Nessus 把扫描的结果直接输出到控制台或保存在文本中， 如果想要做一些分析就不是很方便了。 经过上述调研分析， 本文在N e s s u s 的基础上设计的基于 We b的网络主机端口扫描和漏洞扫描系统充分考虑了网络管理人员的使用需求， 该系统具有如下特点： ( 1 ) 基于浏览器服务器( BS ) 结构，网络管理员利用 We b 浏览器在任何时候任何地方都可以监视和扫描网络，而且还可以使用 C G I 脚本语言和 HTML语言实现与用户的良好交互操作。 ( 2 ) 多用户机制。用户通过密码认证机制登录到we b服务器，而