实验2-1 端口扫描—SuperScan的使用.doc

实验2-1 端口扫描SuperScan的使用 网络中一个开放的端口就是一条与其他主机进行通信的通道。对网络端口的扫描可以得到目标主机开放的服务程序、运行的系统版本信息，发现网络的安全隐患，为下一步攻击做准备。扫描工具时对目标主机的安全性弱点进行扫描检测的软件。它分为两种类型：网络级漏洞扫描以及主机级漏洞扫描。1. 网络级漏洞扫描技术的原理 TCP协议通过三次握手完成。在会话连接过程中FIN=1表示发送端已经没有数据可传了，希望释放连接。RST表示复位错误的连接，比如收到的一个数据分段不属于该主机的连接，就会向远端计算机发送一个RST=1的复位数据包，拒绝连接请求。2. TCP和UDP协议的几种端口扫描方式 （1）TCP全连接扫描。 利用TCP的三次握手，与目标主机建立正常的TCP连接，以判断制定端口是否开放。缺点：非常容易被受害机检测出来。 （2） TCP的SYN扫描。本地主机向目标主机发送SYN数据包，若远端目标主机端口开放，则回应SYN=1，ACK=1。此时本机发送RST给目标主机，拒绝连接。若远端目标主机端口没有开放，就回应RST给本机。所以，根据回应的数据段可以判断目标主机的端口是否开放。由于TCP SYN扫描没有建立TCP正常连接，所以不太容易被受害主机发现，而且扫描性能很高。 （3） TCP的FIN扫描（又名秘密扫描）。本机向目标主机发送FIN=1，若远程目标主机端口开放，则丢失此数据包，不回应；如果远端主机端口未开放，则返回一个RST包。FIN扫描通过发送FIN的反馈判断远端目标主机的端口是否开放。由于这种扫描方法没涉及TCP的正常连接，所以不容易被受害主机发现，对于UNIX和Linux造作系统比较合适。不过，对如Windows系列操作系统来说，不管端口是否打开，都回复RST，就不太适合了。 （4） UDP的ICMP扫描。利用UDP协议，当向目标主机的一个未打开的UDP端口发送一个数据包时，会返回一个ICMP_Port_Unreachable错误，这样就会发现关闭的端口。 （5） ICMP扫描。利用ICMP协议的功能，如果向目标主机发送一个协议项存在错误的IP数据包，则根据反馈的ICMP错误报文，判断目标主机使用的服务。 （6） 间接扫描。入侵者间接利用第三方主机（跳板主机）进行扫描，以隐藏真正入侵者的痕迹。第三方主机是通过其他入侵方法控制主机的，扫描的结果最终会从第三方主机发送给真正的入侵者。 端口扫描器是黑客常用的工具，常用的有Nmap、SuperScan等，具有端口扫描、主机名解析、ping扫描的功能。试验目的：1.了解网络端口扫描的用途，熟悉端口扫描的原理；2.掌握使用SuperScan扫描工具对计算机端口进行扫描的方法。试验设备：2台Windows主机，通过网络连接。实验步骤及要求：1、 打开wireshark软件，对相应的借口进行数据包捕获；2、 打开Superscan软件；使用SuperScan对本地主机进行端口扫描 输入本地IP地址 在“扫描类型”选项中，选择“直接连接”，这样扫描的比较准确。点击“查看HTML结果”可以看到已经打开的tcp和udp端口号3、使用SuperScan对局域网的特定主机（IP地址自行确定）进行端口扫描；输入特定主机的IP地址扫描类型选择“直接连接”选择用于扫描的本机IP地址扫描结果点击“查看HTML结果”，可以看到远端主机打开的端口号4、分析本地主机上的wireshark捕获的数据包：发现有很多的ARP、UDP、TCP数据包，这是Superscan向网络中的其他主机发出的网络端口扫描信息。5、使用SuperScan对局域网的某些主机（IP地址自行确定）进行在线检测；选择一个地址范围实验小结：先利用SuperScan进行指定端口扫描，探测出结果后再利用流光之类的综合扫描工具进行口令破解是黑客破解局域网甚至入侵联网主机的常用手段。防御措施： 扫描往往是入侵的前奏。如何有效的评比计算机的端口，保护自己主机的安全，是计算机