端口与漏洞的安全扫描.doc

甘肃政法学院安全扫描课程设计题 目:端口与漏洞的安全扫描计算机科学学院 计算机科学与技术 专业 09 级 计算机科学与技术本科 班学 号：_ _姓 名：_ _ 指导教师：_李启南_成 绩：_完成时间：_2011 年 _12 月摘要：随着计算机网络和通讯技术的高速发展，利用开放的网络环境进行全球通信已成为时代发展的趋势。但是网络在提供便利的共享资源的同时也带来了各种各样的安全风险。因此，网络安全问题越来越引起人们的广泛关注，并成为当今网络技术研究的重点。通常黑客和病毒是通过安全漏洞渗入目标系统的，因此只要找到并修补所有的安全漏洞，就可以抵御绝大部分的黑客攻击。安全漏洞扫描技术能够检测网络系统潜在的安全漏洞，使网络管理者可以预先了解网络的脆弱性所在，从而确保网络系统的安全。通常，一次成功的网络攻击，首先要收集目标网络系统的漏洞信息，然后才能进一步对目标实施有针对性的有效攻击。而对目标系统漏洞信息的获取，目前主要是通过网络漏洞扫描工具实现的。关键词：网络安全 漏洞 漏洞扫描 网络攻击目 录第一章 绪论1第2章 相关理论及技术基础32.1 漏洞扫描简介32.1.1 漏洞扫描技术：32.1.2 漏洞扫描技术意义：32.1.3 漏洞扫描的相关定义：32.2漏洞扫描基本原理32.3端口简介42.3.1端口概念42.3.2端口分类42.3.3查看端口52.3.4常用端口及漏洞6第3章 设计的要求与分析93.1设计目的与要求93.2设计原理93.3设计环境93.4 流光扫描软件简介9第4章 设计的实现114.1流光的扫描过程114.2分析扫描结果并模拟入侵。174.3关闭139和445端口的方法184.3.1关闭139端口18总结22参考文献23第一章 绪论随着信息化科学技术的快速发展，21世纪的人们将步入一个前所未有信息时代。计算机技术和网络技术将深入地影响到人们社会生活的各个领域。各种网络资源成为现代社会不可或缺的一部分。无论是对教育、医疗，乃至军事、社会生活的方方面面都有着深刻的影响。Internet的飞速发展带来的众多有价值的信息共享，使互联网越来越被广大用户所接受，进而在全球迅速蔓延。现代社会中，无论你从事的是什么行业，在互联网中都可以找到你想要的有用资源。某种意义上讲，互联网已经深入影响到了社会生活的每个角落，给人们的生活带来了全新的感受。很多的网络活动已经成为了一种时尚。同时，人类社会的诸多方面对网络的依赖程度越来越强。一个崭新的“网络时代”正在急速向现代社会走来。网络技术的日益成熟，众多的娱乐、新闻、商业网站的涌现。通过浏览网页获取有用的信息成为了人们应用Internet的主要活动。大型的网站甚至直接为广大网民提供了集娱乐、新闻，商业于一身的全方位的服务。各种网站、网页的涌现，已经在一定程度上改变了人们的生活和习惯。对有用信息方便、快捷的检索和获取代替了人们去翻开众多的书籍来找寻相关的资料。然而，网络技术的迅速发展在给人们带来巨大的方便的同时，也带来了很多的安全隐患。Internet的迅速发展使网络安全面对着前所未有的挑战。实践表明，众多的不法分子利用各种网络漏洞为了个人的利益来入侵和攻击网络，使人们的正常网络活动受到严重的阻碍，乃至很多的个人秘密信息的外泄。随着互联网的快速发展，也由于早期很多的协议出台时缺乏对安全方面的考虑，使现在很多的漏洞攻击成为可能，服务器自然也是此类不法活动的重点关注的目的。目前，由于网络犯罪活动越来越频繁，以及由此造成的损失也越来越大，使这些非法的网络活动在全世界都倍受重视。各种保护措施如雨后春笋般地大量涌现。当然，不管入侵活动来自内部还是外部网络，都是通过利用系统的某些漏洞来达到其攻击目的的，“熊猫烧香”就是一个典型的实例。自然，HTTP网站服务器也是一样，攻击网站多数是挖掘服务器上存在的安全漏洞。之后，通过利用某些漏洞攻击并入侵网络，破坏网站或网页。入侵者通过漏洞成功入侵网络后，可以更改登陆权限，也可以对网站、网页进行大肆的删改，甚至窃取部分机密的内部信息，更可以大肆地传播病毒，最终导致服务器瘫痪，造成严重的损失。目前的安全机制主要是通过访问控制，如信息加密、安全路由器和防火墙技术等来保护计算机和网络尽量不受到非法入侵和未经授权的使用。然而，如果相关信息泄露或者入侵者绕过相关的安全设施，没有被授权的时候同样可以访问，使系统遭受巨大的损失，甚至服务崩溃。比如目前的防火墙技术，同样存在其他方面的问题。目前的防火墙普遍配置过高，这样会影响到网络信息交换的速度，影响整个网络的处理能力。更严重的是，防火墙几乎把所有的安全问题全集中在了一起，一旦防火墙被攻破，整个内部网络就容易遭到破坏。另外一个实际的问题是，不能在所有的情况下都依赖访问控制来防范内部人员的攻击，几乎所有的安全系统内部人员的滥用权限都是脆弱的。因此，如果能够提前扫描发现漏洞并对其进行修补便可以防范于未然，进而达到主动保护网络系统安全的目的。于是，人们提出了采用漏洞扫描技术进行主动防范的思想。扫描器是一种能够检测远程或本地主机服务器上相关漏洞的程序。通过使用扫描器可以不留痕迹地发现相关服务器的端口配置信息，以及它所提供的服务和版本信息，这样我们就可以直接或间接地发现远程或本地服务器上存在的安全漏洞。 本文首先介绍了计算机扫描技术的相关基础理论，然后设计了用一款扫描软件对计算机进行相关扫描实验，最后是实验的实现过程。第2章 相关理论及技术基础2.1 漏洞扫描简介2.1.1 漏洞扫描技术：漏洞扫描基于网络系统漏洞库，漏洞扫描大体包括CGI漏洞扫描、POP3漏洞扫描、FTP漏洞扫描、SSH漏洞扫描、HTTP漏洞扫描等。这些漏洞扫描是基于漏洞库，将扫描结果与漏洞库相关数据匹配比较得到漏洞信息；漏洞扫描还包括没有相应漏洞库的各种扫描，比如Unicode遍历目录漏洞探测、FTP 弱势密码探测、邮件转发漏洞探测等，这些扫描通过使用插件（功能模块技术）进行模拟攻击，测试出目标主机的漏洞信息2.1.2 漏洞扫描技术意义：每个系统都有漏洞，不论你在系统安全性上投入多少财力，攻击者仍然可以发现一些可利用的特征和配置缺陷。但是，多数的攻击者，发现一个已知的漏洞，远比发现一个未知漏洞要容易的多，这就意味着：多数攻击者所利用的都是常见漏洞。漏洞扫描就是对重要计算机信息系统进检查，发现其中可被黑客利用的漏洞。2.1.3 漏洞扫描的相关定义：漏洞任何可能会给系统和网络安全带来隐患的因素。漏洞的分类：系统或应用本身存在的漏洞和配置不当所造成的漏洞。漏洞扫描是一种基于网络远程检测目标网络或主机安全性脆弱点的技术。可以用来进行模拟攻击实验和安全审计，漏洞扫描就是一种主动的防范措施，可以有效避免黑客攻击行为。2.2漏洞扫描基本原理漏洞扫描主要通过以下两种方法来检查目标主机是否存在漏洞：在端口扫描后得知目标主机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞存在；通过模拟黑客的攻击手法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等。若模拟攻击成功，则表明目标主机系统存在安全漏洞。网络漏洞扫描主要包括三个步骤:端口扫描，操作系统检测和系统漏洞扫描。端口扫描和操作系统检测是为系统漏洞提供必要的信息，系统漏洞扫描完成后，返回系统的脆弱性报告。系统漏洞检测采用基于规则的匹配技术，如果检测结果与漏洞库的一条记录相匹配，则认为系统存在这个漏洞。2.3端口简介2.3.1端口概念在网络技术中，端口（Port）大致有两种意思：一是物理意义上的端口，比如，ADSL Modem、集线器、交换机、路由器用于连接其他网络设备的接口，如RJ-45端口、SC端口等等。二是逻辑意义上的端口，一般是指TCP/IP协议中的端口，端口号的范围从0到65535，比如用于浏览网页服务的80端口，用于FTP服务的21端口等等。我们这里将要介绍的就是逻辑意义上的端口。2.3.2端口分类逻辑意义上的端口有多种分类标准，下面将介绍两种常见的分类：1. 按端口号分布划分（1）知名端口（Well-Known Ports）知名端口即众所周知的端口号，范围从0到1023，这些端口号一般固定分配给一些服务。比如21端口分配给FTP服务，25端口分配给SMTP（简单邮件传输协议）服务，80端口分配给HTTP服务，135端口分配给RPC（远程过程调用）服务等等。（2）动态端口（Dynamic Ports）动态端口的范围从1024到65535，这些端口号一般不固定分配给某个服务，也就是说许多服务都可以使用这些端口。只要运行的程序向系统提出访问网络的申请，那么系统就可以从这些端口号中分配一个供该程序使用。比如1024端口就是分配给第一个向系统发出申请的程序。在关闭程序进程后，就会释放所占用的端口号。不过，动态端口也常常被病毒木马程序所利用，如冰河默认连接端口是7626、WAY 2.4是8011、Netspy 3.0是7306、YAI病毒是1024等等。2. 按协议类型划分按协议类型划分，可以分为TCP、UDP、IP和ICMP（Internet控制消息协议）等端口。下面主要介绍TCP和UDP端口：（1）TCP端口TCP端口，即传输控制协议端口，需要在客户端和服务器之间建立连接，这样可以提供可靠的数据传输。常见的包括FTP服务的21端口，Telnet服务的23端口，SMTP服务的25端口，以及HTTP服务的80端口等等。（2）UDP端口UDP端口，即用户数据包协议端口，无需在客户端和服务器之间建立连接，安全性得不到保障。常见的有DNS服务的53端口，SNMP（简单网络管理协议）服务的161端口，QQ使用的8000和4000端口等等。2.3.3查看端口在Windows 2000/XP/Server 2003中要查看端口，可以使用Netstat命令：依次点击“开始运行”，键入“cmd”并回车，打开命令提示符窗口。在命令提示符状态下键入“netstat -a -n”，按下回车键后就可以看到以数字形式显示的TCP和UDP连接的端口号及状态。图2-1 端口号及状态显示2.3.4常用端口及漏洞25端口端口说明：25端口被很多木马程序所开放，比如Ajan、Antigen、Email Password Sender、ProMail、trojan、Tapiras、Terminator、WinPC、WinSpy等等。拿WinSpy来说，通过开放25端口，可以监视计算机正在运行的所有窗口和模块。操作建议：如果不是要架设SMTP邮件服务器，可以将该端口关闭。21端口端口说明：主要用于FTP（File Transfer Protocol，文件传输协议）服务。FTP服务主要是为了在两台计算机之间实现文件的上传与下载，一台计算机作为FTP客户端，另一台计算机作为FTP服务器，可以采用匿名（anonymous）登录和授权用户名与密码登录两种方式登录FTP服务器。目前，通过FTP服务来实现文件的传输是互联网上上传、下载文件最主要的方法。另外，还有一个20端口是用于FTP数据传输的默认端口号。 在Windows中可以通过Internet信息服务（IIS）来提供FTP连接和管理，也可以单独安装FTP服务器软件来实现FTP功能，比如常见的FTP Serv-U。操作建议：因为有的FTP服务器可以通过匿名登录，所以常常会被黑客利用。另外，21端口还会被一些木马利用，比如Blade Runner、FTP Trojan、Doly Trojan、WebEx等等。如果不架设FTP服务器，建议关闭21端口。 4000端口 端口说明：4000端口是用于大家经常使用的QQ聊天工具的，再细说就是为QQ客户端 开放的端口，QQ服务端使用的端口是8000。通过4000端口，QQ客户端程序可以向QQ服务器发送信息，实现身份验证、消息转发等，QQ用户之间发送的消息默认情况下都是通过该端口传输的。4000和8000端口都不属于TCP协议，而是属于UDP协议。 端口漏洞：因为4000端口属于UDP端口，虽然可以直接传送消息，但是也存在着各种漏洞，比如Worm_Witty.A(维迪)蠕虫病毒就是利用4000端口向随机IP发送病毒，并且伪装成ICQ数据包，造成的后果就是向硬盘中写入随机数据。另外，Trojan.SkyDance特洛伊木马病毒也是利用该端口的。 操作建议：为了用QQ聊天，4000大门敞开也无妨。 5554端口 端口说明：在2007年4月30日就报道出现了一种针对微软lsass服务的新蠕虫病毒震荡波(Worm.Sasser)，该病毒可以利用TCP 5554端口开启一个FTP服务，主要被用于病毒的传播。 端口漏洞：在感染“震荡波”病毒后会通过5554端口向其他感染的计算机传送蠕虫病毒，并尝试连接TCP 445端口并发送攻击，中毒的计算机会出现系统反复重启、运行缓慢、无法正常上网等现象，甚至会被黑客利用夺取系统的控制权限。 操作建议：为了防止感染“震荡波”病毒，建议关闭5554端口。 5632端口 端口说明：5632端口是被大家所熟悉的远程控制软件pcAnywhere所开启的端口，分TCP和UDP两种，通过该端口可以实现在本地计算机上控制远程计算机，查看远程计算机屏幕，进行文件传输，实现文件同步传输。在安装了pcAnwhere被控端计算机启动后，pcAnywhere主控端程序会自动扫描该端口。 端口漏洞：通过5632端口主控端计算机可以控制远程计算机，进行各种操作，可能会被不法分子所利用盗取账号，盗取重要数据，进行各种破坏。 操作建议：为了避免通过5632端口进行扫描并远程控制计算机，建议关闭该端口。 8080端口 端口说明：8080端口同80端口，是被用于WWW代理服务的，可以实现网页浏览，经常在访问某个网站或使用代理服务器的时候，会加上“:8080”端口号，比如:8080。 端口漏洞：8080端口可以被各种病毒程序所利用，比如Brown Orifice(BrO)特洛伊木马病毒可以利用8080端口完全遥控被感染的计算机。另外，RemoConChubo，RingZero木马也可以利用该端口进行攻击。 操作建议：一般我们是使用80端口进行网页浏览的，为了避免病毒的攻击，我们可以关闭该端口第3章 设计的要求与分析3.1设计目的与要求 掌握网络端口扫描器的使用方法，熟悉常见端口和其对应的服务程序，掌握发现系统漏洞的方法。 掌握综合扫描及安全评估工具流光Fluxay的使用方法，了解进行简单系统漏洞入侵的方法，了解常见的网络和系统漏洞以及其安全防护方法。3.2设计原理获得主机系统在网络服务、版本信息、Web应用等相关信息，然后采用模拟攻击的方法，对目标主机系统进行攻击性的安全漏洞扫描，如果模拟攻击成功，则视为漏洞存在。最后根据检测结果向系统管理员提供周密可靠的安全性分析报告。3.3设计环境两台预装Windows2000/XP的计算机，通过网络相连，其中一台连接流光Fluxay软件。注意：请把安装有“流光”的主机病毒防火墙关闭，有时防火墙会把“流光”的某些组件认为是病毒。3.4 流光扫描软件简介流光这款软件除了能够像X-Scan那样扫描众多漏洞（可以探测POP3， FTP, HTTP,PROXY, FROM, SQL, SMTP, IPC, 等各种漏洞。并针对各种漏洞设计不同的破解方案。），弱口令外，还集成了常用的入侵工具，如字典工具、NT/IIS工具等，还独创了能够控制“肉鸡”进行扫描的“流光Sensor工具”和为“肉鸡”安装服务的“种植者”工具。由于流光的功能过于强大，而且功能还在不断扩充中，因此开发者限制了流光所能扫描的IP范围（210._._.2210._._.253），不允许流光扫描国内IP地址，而且流光测试版在功能上也有一定的限制。但是，入侵者为了能够最大限度地使用流光，在使用流光之前，都需要用专门的破解程序对流光进行破解，去除IP范围和功能上的限制。它的具体功能如下：1、用于检测POP3/FTP主机中用户密码安全漏洞。2、163/169双通。3、多线程检测，消除系统中密码漏洞。4、高效的用户流模式。5、高效服务器流模式，可同时对多台POP3/FTP主机进行检测。6、最多500个线程探测。7、线程超时设置，阻塞线程具有自杀功能，不会影响其他线程。8、支持10个字典同时检测。9、检测设置可作为项目保存。第4章 设计的实现4.1流光的扫描过程流光是一款非常优秀的综合扫描工具，不仅具有完善的扫描功能，而且自带了很多猜解器和入侵工具，可方便地利用扫描的漏洞进行入侵。启动流光工具后可以看到它的主界面，如图4-1所示，熟悉流光的菜单和界面。 图4-1 “流光Fluxay5”主界面扫描主机漏洞（1）打开“文件”菜单下的“高级扫描向导”选项，如图4-2所示。 图4-2 扫描设置选项(2)在“起始地址”中填入要扫描主机的结束地址。由于我们只扫描一台主机，所以填入的主机IP地址一样。“Ping检查”选项一般要选上，这样就会先Ping主机,如果成功再进行扫描,这可以节省扫描时间.在检测项目中选项中选上PORTS,FTP,TELNET,IPC,IIS,PLUGINS,我们只对这些漏洞进行扫描,接着单击下一步按钮,弹出如图4-3所示的对话框. 图4-3 端口扫描设置(3)在PORTS对话框中可以选择标准端口扫描或自定义端口扫描范围，一般建议选择标准端口扫描，流光会扫描大约几十个标准服务端口，而自定义扫描端口的范围可以在165535范围内选择。我们可以选择“标准端口扫描”，单击【下一步】按钮，打开POP3对话框。图4-4 POP3设置选项(4)在POP3对话框中可以设置POP选项，一般建议选中【获取POP3版本信息】和【尝试猜解用户】复选框，单击【下一步】按钮，打开FTP对话框。图4-5 FTP设置选项(5)单击下一步，弹出打开TELNET对话框。在TELNET对话框中可以设置是否使用SunOS Login远程溢出功能。图4-6 TELNET设置选项(6)单击【下一步】按钮，是对MSSQL2000数据库的漏洞、SA密码和版本信息进行扫描的对话框。图4-7 SQL设置选项（7)接着单击【下一步】按钮，弹出如图4-8所示的对话框。在这里，将对主机系统的IPC漏洞进行扫描，查看是否有空连接、共享资源、获得用户列表并猜解用户密码。图4-8 IPC设置选项(8)选择我们需要扫描的选项，如果不选择最后一项，则此软件将对所有用户的密码进行猜解，否则只对管理员用户组的用户密码进行猜解。单击【下一步】按钮，弹出如图4-9所示的对话框。图4-9 IIS设置选项(9)在IIS对话框中，可以设置针对网页页面和代码漏洞的IIS选项，建议选中所有复选框，然后单击【下一步】按钮，下面将对FINGER、RPC、BIND、MySQL、SSH的信息进行扫描,之后单击下一步按钮,弹出如图4-10所示对话框。图4-10 PLUGINS设置选项(10)在这里，流光提供了对11个插件的漏洞扫描，可根据需要把对勾打上，单击【下一步】按钮，弹出如图所示对话框。图4-11 选项对话框在这个对话框里，通过“猜解用户名字典”尝试暴力猜测的用户，除了用于IPC之外的项目。此外，如果扫描引擎通过其他途径获得了用户名(例如FINGER等)，那么也不采用这个用户名字典。保存扫描报告的存放名称位置，默认情况下文件名以【起始IP】-【结束IP】.html为命名规则。这样，就设置好了要扫描的所有选项，单击【完成】按钮，弹出扫描引擎对话框，如图4-12所示。图4-12 选择扫描引擎(11)选择默认的本地主机作为扫描引擎，单击【开始】按钮开始扫描，经过一段时间后，会有类似的扫描结果，如图4-13所示。图4-13 扫描结果以上就是使用流光软件对目标主机端口的扫描。4.2分析扫描结果并模拟入侵。（1）端口漏洞分析。139端口漏洞：NETBIOS会话服务端口，主要用于提供Windows文件和打印机共享以及Unix中的Samba服务。开启139端口虽然可以提供共享服务，但是常常被攻击者所利用进行攻击，比如使用流光，如果发现有漏洞，可以试图获取用户名和密码，这是非常危险的。445端口是一个毁誉参半的端口,有了它我们可以在局域网中轻松访问各种共享文件夹或共享打印机,但也正是因为有了它,黑客们才有了可乘之机,他们能通过该端口偷偷共享你的硬盘,甚至会在悄无声息中将你的硬盘格式化掉!（2）IPC$漏洞分析IPC$(Internet Process Connection)是共享命名管道的资源，它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方可以建立安全的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。利用IPC$连接者可以与目标主机建立一个空的连接而无需用户名和密码。利用这个空的连接，连接者还可以得到目标主机上的用户列表。4.3关闭139和445端口的方法4.3.1关闭139端口点击“开始”选择“设置”中的“网络连接”在弹出的“网络连接”窗口中点击“本地连接”选中“属性”图4-14 网络连接然后选择“Internet协议（TCP/IP）”选项并点击“属性”图4-15 本地连接 属性进入“高级TCP/IP设置”窗口，选择“WINS设置”选项，在里面的一项“禁用TCP/IP的NETBIOS”，这样就关闭了139端口图4-16 高级TCP/IP设置4.3.2关闭445端口在“运行”输入regedit图4-17 运行选项点击确定找HKEY_LOCAL_MACHINESystemCu