网络安全漏洞的检测工具accessdiver

1 / 26网络安全漏洞的检测工具 AccessDiver论文关键词：漏洞漏洞检测技术漏洞检测工具Accessdiver 论文摘要：在飞速发展的网络经济时代，信息技术和计算机网络技术迅猛发展。而网络技术的快速发展带来了一系列的网络问题，网络安全漏洞就是一个典型的例子。由于网络安全漏洞的产生，各类的网络安全漏洞的检测工具也随之产生。设计一个好的网络安全漏洞扫描器有很多的要求,如具备比较全面的扫描方法、扫描的速度要快、误报率和漏报率要低、发现漏洞的数量要多、覆盖面要广、可扩展性要强,要具有可移植、可配置性,扫描结果要详尽以及要具有良好的人机交互界面等。网络安全漏洞的检测工具 AccessDiver 就是一款很实用的网络漏洞检测工具。 1.漏洞的相关知识 什么是漏洞 从广泛的意义上来讲，漏洞是在硬件、软件、协议的具体实现或系统安全策略以及人为因素上存在的缺陷，2 / 26从而可以使攻击者能够在未经系统的许可者授权的情况下访问或破坏系统。就像是在 IntelPentium 芯片中存在的逻辑错误，在 Sendmail 早期版本中的编程错误，在 NFS 协议中认证方式上的弱点，在 Unix 系统管理员设置匿名 Ftp 服务时配置不当的问题，Winndows 操作系统的缓冲区溢出，InternetExplorer 浏览器的 ActiveX 控件被执行后门程序，MicrosoftOffice 编程中的内存错误等都可能被攻击者使用，攻击者有可能利用这些错误来运行自己的代码以达到完全控制设备、操作系统等目的，从而威胁到系统的安全。这些都可以认为是系统中存在的安全漏洞。 几种常见的漏洞 操作系统的安全漏洞 各种操作系统都存在着先天的缺陷和由于不断增加新功能而带来的漏洞.Unix 操作系统就是一个很好的例子.大多数 Unix 操作系统的源代码都是公开的,三十多年来很多的人为 Unix 开发操作系统和应用程序,这种情况导致了Unix 系统存在很多致命的漏洞.最新的版本虽然改进了以往发现的安全问题,但是随着新功能的增加，又给系统带来了新的漏洞。 3 / 26操作系统的安全漏洞主要有四种： 输入输出的非法访问 在某些操作系统中，一旦 I/O 操作被检查通过之后，该操作系统就继续执行下去而不再检查，从而造成后续操作的非法访问。还有某些操作系统使用公共的系统缓冲区，任何用户都可以搜索这个缓冲区，如果这个缓冲区没有严格的安全措施，那么其中的机密信息就有可能被泄露。 访问控制的混乱 安全访问强调隔离和保护措施,但是,资源共享要求开放。如果在设计操作系统时不能处理好这两个矛盾的关系,就可能出现操作系统的安全问题。 操作系统陷门 一些操作系统为了安装其他公司的软件包而保留了一种特殊的管理程序功能.尽管此管理功能的调用需要以特权方式进行,但如果未受到严密的监控和必要的认证限制,4 / 26就有可能被用于安全访问控制,形成操作系统陷门。 不完全的中介 某些操作系统省略了必要的安全保护,仅检查一次访问或没有全面实施保护机制。要建立安全的操作系统,必须构造操作系统的安全模型和不同的实施方法。另外应该采用诸如隔离、核化(最小特权)等和环结构等安全科学的操作系统设计方法。再者,还需要建立和完善操作系统的评估标准、评价方法和测试质量。 网络协议的安全漏洞 目前,TCP/IP 协议在网上广泛使用,目标是要保证通达、保证传输的正确性.通过来回确认来保证数据的完整性,不确认则要重传。TCP/IP 没有内在的控制机制来支持源地址的鉴别,来证实 IP 从哪儿来,这就是 TCP/IP 漏洞的根本原因.黑客利用 TCP/IP 的这个漏洞,可以使用侦听的方式来截获数据,能对数据进行检查,推测 TCP 的系列号,修改传输路由,修改鉴别过程,插入黑客的数据流。莫里斯病毒就是这样给互联网造成巨大的危害。 5 / 26数据库的安全漏洞 据一项相关的调查，说明了安全性漏洞的特征:可以成功摧毁或删除数据库数据的计算机病毒、人为操作失误对数据库产生的破坏以及未经授权而非法进入数据库。在这些产生漏洞的方法中，计算机病毒被认为是导致错误的最常见途径。 网络软件与网络服务的漏洞 匿名 FTP FTP 匿名登录存在很多漏洞，如 MicrosoftFTP 就有匿名登录漏洞；WU-FTP 的一些版本也存在目录可写的权限漏洞；还有些网站培植 FTP 服务器的时候，还存在有匿名登录可以往脚本目录写文件的权限，这样就更加危险。因此需要对匿名登录控制的权限要严格审核，如果没必要使用匿名登录，就关闭匿名登录，并定时检查服务器日志。 电子邮件 6 / 26电子邮件存在的安全漏洞使得电脑黑客很容易将经过编码的电脑病毒加入该系统中,以便对上网用户进行随心所欲的控制.有些病毒甚至无需用户打开电子邮件的附件就可以启动,简单的接收邮件过程就足以使用户的电脑感染上病毒.电脑黑客可以将病毒隐藏在电子邮件的时间和日期记录器当中,并使邮件表面看来非常正常,以迷惑用户.在成功打入收件人的电脑后,黑客便可为所欲为,任意删除电脑硬盘内的文件,甚至可以切断互联网连线,从而完全操控该部电脑. 域名服务 攻击者常采用的攻击步骤是：先挑选一个系统，抹掉系统记录，安装一个工具软件，获得管理员级别的访问权限；然后编译安装 IRC 工具和网络扫描工具，扫描更多的 B 类网络，找到使用有漏洞版本的域名服务器，这样在短时间内就可以攻入成百上千个远程系统. Web 服务 WEB 编程人员编写的 CGI、ASP、PHP 等程序存在的问题，会暴露系统结构或服务目录可读写，黑客入侵的发挥7 / 26空间就更大。还有 IIS510 跟 IIS410SP6 的 WEB 服务有unicode 编码安全漏洞. 漏洞存在的隐患 一、漏洞与具体系统环境之间的关系及其时间相关特性 漏洞会影响到很大范围的软硬件设备，包括作系统本身及其支撑软件，网络客户和服务器软件，网络路由器和安全防火墙等。换而言之，在这些不同的软硬件设备中都可能存在不同的安全漏洞问题。在不同种类的软、硬件设备，同种设备的不同版本之间，由不同设备构成的不同系统之间，以及同种系统在不同的设置条件下，都会存在各自不同的安全漏洞问题。 漏洞问题是与时间紧密相关的。一个系统从发布的那一天起，随着用户的深入使用，系统中存在的漏洞会被不断暴露出来，这些早先被发现的漏洞也会不断被系统供应商发布的补丁软件修补，或在以后发布的新版系统中得以纠正。而在新版系统纠正了旧版本中具有漏洞的同时，也会引入一些新的漏洞和错误。因而随着时间的推移，旧的漏洞会不断消失，新的漏洞会不断出现。漏洞问题也会8 / 26长期存在。因而脱离具体的时间和具体的系统环境来讨论漏洞问题是毫无意义的。只能针对目标系统的作系统版本、其上运行的软件版本以及服务运行设置等实际环境来具体谈论其中可能存在的漏洞及其可行的解决办法。 同时应该看到，对漏洞问题的研究必须要跟踪当前最新的计算机系统及其安全问题的最新发展动态。这一点如同对计算机病毒发展问题的研究相似。如果在工作中不能保持对新技术的跟踪，就没有谈论系统安全漏洞问题的发言权，既使是以前所作的工作也会逐渐失去价值。 二、漏洞问题与不同安全级别计算机系统之间的关系 目前计算机系统安全的分级标准一般都是依据“橘皮书”中的定义。橘皮书正式名称是“受信任计算机系统评量基准”可由该系统主体自主定义访问权。例如：管理员可以决定系统中任意文件的权限。当前Unix、Linux、WindowsNT 等作系统都为此安全等级。 B 级强制访问控制及主体都有自己的安全标签，系统依据用户的安全等级赋予其对各个对象的访问权限。 9 / 26A 级可验证访问控制（VerifiedProtection)，而其特点在于该等级的系统拥有正式的分析及数学式方法可完全证明该系统的安全策略及安全规格的完整性与一致性。 可见，根据定义，系统的安全级别越高，理论上该系统也越安全。可以说，系统安全级别是一种理论上的安全保证机制。是指在正常情况下，在某个系统根据理论得以正确实现时，系统应该可以达到的安全程度。 漏洞的防御 程序逻辑结构漏洞的防御 对于程序逻辑结构漏洞来说，如果是程序逻辑设计不合理的漏洞，就要尽量更新成软件厂商提供的纠正过错误的版本；如果是程序的合法用途被黑客非法利用，就需要对黑客的利用方法和步骤进行详细的了解，在使用程序的时候想办法不执行黑客利用的那个程序步骤，绕过黑客的攻击程序，如黑客利用 WinRAR 自解压文件植入木马和病毒的方法，他们是利用用户在使用 WinRAR 工具解压自解压缩文件时，双击自解压文件会运行一个附加在自解压文件10 / 26中的可执行文件的功能运行他们的木马程序。那么我们再防御这种方法的攻击时，首先就要了解黑客利用这种漏洞的原理，在了解清楚原理后，我们再解压缩自解压缩文件时，可以不以双击鼠标左键的方式解压缩自解压缩文件，而是通过 Windows 的右键来启动 WinRAR 程序解压自解压缩文件，就不会运行黑客在自解压文件里面夹带的木马和病毒了。 缓冲区溢出漏洞的防御 缓冲区溢出的漏洞有远程溢出和本地溢出两种，对于缓冲区溢出漏洞来说，不管是远程溢出还是本地溢出漏洞，首先得解决方案当然是及时打上软件开发商提供的补丁程序或更新到厂商提供的纠正过错误的更新的版本。对于防御远程溢出漏洞，最基本的是尽量不要开放没有必要的服务，屏蔽掉一些没有用上的服务端口，开放的系统服务端越少，所面临的远程缓冲区溢出的攻击的威胁也就会越少一些。在 Windows 操作系统中最容易引发远程溢出攻击的端口是 135 和 139 端口，所以如果用户的计算机系统没有服务需要关联到这两个端口，建议通过设置防火墙或是配置 Windows 操作系统的 TCP/IP 过滤屏蔽掉这两个端口对外的服务，这样就可以大大减少针对 Windows 操作系统11 / 26服务的远程缓冲区溢出攻击和蠕虫病毒的攻击。对于本地的溢出，除了打好安全补丁外，可以安装像 McAfee 这样具有防护本地缓冲区溢出功能的安全防护软件。最重要的是，要提高安全防范意识，不要随意接收和打开陌生人发给你的文件。 开放式协议造成的漏洞的防御 开放式协议造成的漏洞带来的威胁主要有 DOS 攻击和明文传送数据包造成的信息的泄密。对于防御开放式协议造成的 DOS 攻击，主要要在协议栈的安全防护上采取一些措施，如安装一些对协议栈进行管理和平衡保护的软件。对于防御因开放式协议引起的信息的泄密，采取一些针对敏感和重要数据以及文件进行加密的保护措施，可以有效防止信息在网络的传输过程中被拦截和泄密。 人为因素造成的漏洞的预防 人为因素造成的漏洞主要是系统管理人员运行了错误的配置和设置了弱口令以及人为疏忽造成了口令泄密，对于错误的配置引起的安全漏洞，针对不同的配置错误，12 / 26要根据用户自己的网络和系统应用环境做出相应的更正，如 UNIX 系统管理员设置匿名 FTP 服务时配置不当而导致远程访问者权限过大的问题，就应该针对问题更正不正确的匿名 FTP 服务配置；对于弱口令要建立一套完善的口令检查策略，如果管理员设置了过于简单的口令，就应该提示或告警管理员口令不安全，必须重新设置，否则口令就无法生效，强制系统管理员或用户更改成一个符合安全策略和要求的口令；对于口令泄密的问题，应该制定一套安全的口令保管和存放制度，并严格按照管理制度实施管理。 2 安全扫描 扫描技术的发展史上随着网络的普及和黑客手段的逐步发展而发展起来的，扫描技术的发展事业就是一部网络普及史和黑客技术发展史。随着网络规模的逐步扩大和计算机系统的日益复杂化，更多的系统漏洞和应用程序的漏洞也不可避免地伴随而来，当然漏洞的存在本身并不能对系统安全造成什么损害，关键的问题在于攻击者可以利用这些漏洞引发安全事件。漏洞对系统造成的损害，在于它可能会被攻击者利用，继而破坏系统的安全特性，而它本身不会直接对系统造成损害。漏洞的发现者主要是程序员、系统管理员、安全服务商组织、黑客以及普通用户。13 / 26其中，程序员、系统管理员和安全服务商组织主要是通过测试不同应用系统和操作系统的安全性来发现漏洞。而黑客主要是想发现并利用漏洞来进行攻击活动。 安全扫描技术 安全扫描技术是为是系统管理员能够及时了解系统中存在的安全漏洞，并采取相应防范措施，从而降低系统的安全风险而发展起来的一种安全技术。利用扫描技术，可以对局域网络、Web 站点、主机操作系统、系统服务以及防火墙系统的安全漏洞进行扫描，系统管理员可以了解在运行的网络系统中存在的不安全的网络服务，在操作系统上存在的可能导致攻击的安全漏洞。扫描技术是采用积极的、非破坏性的办法来检验系统是否有可能被攻击崩溃。它利用了一系列的脚本模拟对系统进行攻击的行为，并对结果进行分析。扫描技术与防火墙、安全监控系统互相配合就能够为网络提供很高的安全性。 安全扫描工具的原理、结构 安全扫描工具的原理 14 / 26安全扫描器发展到现在，已经从初期的功能单一、结构简单的系统，发展到目前功能众多、结构良好的综合系统。虽然不同的扫描器功能和结构差别比较大，但是其核心原理是相同的。 主机性安全扫描器 主机型安全扫描器主要是针对操作系统的扫描检测，通常涉及系统的内核、文件的属性、操作系统的补丁等问题，还包括口令解密等。主机型安全扫描器通过扫描引擎以 root 身份登录目标主机，记录系统配置的各项主要参数，在获得目标主机配置信息的情况下，一方面可移植到目标主机开放的端口以及主机名等信息；另一方面将获得的漏洞信息与漏洞特性库进行比较，如果能够匹配则说明存在相应的漏洞。 网络型安全扫描器 网络型安全扫描器是针对远程网络或者主机的端口、开放的服务以及已知漏洞等。主控台可以对网络中的服务器、路由器以及交换机等网络设备进行安全扫描。对检测的数据进行处理后，主控台以报表形式呈现扫描结果。网15 / 26络型安全扫描器利用 TCP/IP、UDP 以及 ICMP 协议的原理和特点，扫描引擎首先向远端目标发送特殊的数据包，记录返回的响应信息，然后与已知漏洞的特征库进行比较，如果能够匹配，则说明存在相应的开放端口或者漏洞。此外，还可以通过模拟黑客的攻击方法，对目标主机系统发送攻击性的数据包。 安全扫描器的结构 目前许多安全扫描器都集成了端口和漏洞扫描的功能。下面首先从体系结构上看主机型安全扫描器和网络型安全扫描器的结构特点。 主机性安全扫描器 主机型安全扫描器主要是由两部分组成，即管理端和代理端。其中管理端管理各个代理端，具备向各个代理端发送扫描任务指令和处理扫描结果的功能；而代理端是采用主机扫描技术对所在的被扫描目标进行检测，收集可能存在的安全状况。 16 / 26主机型安全扫描器一般采用 Client/Server 的构架，其扫描过程是：首先在需要扫描的目标主机上安装代理端，然后由管理端发送扫描开始命令给各代理端，各代理端接收到命令后执行扫描操作，然后把扫描结果传回给管理端分析，最后管理端把分析结果以报表方式给出安全漏洞报表。 网络型安全扫描器 网络型安全扫描器也主要由两部分组成，即扫描服务端和管理端，其中服务端是整个扫描器的核心，所有的检测和分析操作都是它发起的；而管理端的功能是提供管理的作用以及方便用户查看扫描结果。 网络型安全扫描器一般也采用 Client/Server 的构架：首先在管理端设置需要的参数以及制定扫描目标；然后把这些信息发送给扫描器服务端，扫描器服务端接收到管理端的扫描开始命令后即对目标进行扫描；此后，服务端一边发送检测数据包到被扫描目标，一边分析目标返回的响应信息，同时服务端还把分析的结果发送给管理端。 从逻辑结构上来说，不管是主机型还是网络型安全17 / 26扫描器，都可以看成是策略分析、获取检测工具、获取数据、事实分析和报告分析这样 5 个主要组成部分。其中策略分析部分用于决定检测哪些主机并进行哪些检测。对于给定的目标系统，获取检测工具部分就可以根据策略分析部分得出的测试级类别，确定需要应用的检测工具。对于给定的检测工具，获取数据部分运行对应的检测过程，收集数据信息并产生新的实时记录。对于给定的事实记录，事实分析部分能产生出新的目标系统、新的检测工具和新的事实记录。新生成的目标系统作为获取检测工具部分的输入，新生成的检测工具又作为获取数据部分的输入，新的事实记录再作为事实分析部分的输入。如此循环直至不再产生新的事实记录为止。报告分析部分则将有用的信息进行整理，便于用户查看扫描结果。 漏洞扫描技术及原理 漏洞扫描技术是建立在端口扫描技术的基础之上的。从对黑客攻击行为的分析和收集的漏洞来看，绝大多数都是针对某一个网络服务，也就是针对某一个特定的端口的。所以漏洞扫描技术也是以与端口扫描技术同样的思路来开展扫描的。漏洞扫描技术的原理是主要通过以下两种方法来检查目标主机是否存在漏洞：在端口扫描后得知目标主18 / 26机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞与网络漏洞扫描系统提供的漏洞进行匹配，查看是否有满足匹配条件的漏洞存在；通过模拟黑客的攻击手段，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等。若模拟攻击成功，则表明目标主机系统存在安全漏洞。 基于网络系统漏洞库，漏洞扫描大体包括 CGI 漏洞扫描、POP3 漏洞扫描、FTP 漏洞扫描、SSH 漏洞扫描、HTTP漏洞扫描等。这些漏洞扫描是基于漏洞库，将扫描结果与漏洞库相关数据匹配比较得到漏洞信息；漏洞扫描还包括没有相应漏洞库的各种扫描，比如 Unicode 遍历目录漏洞探测、FTP 弱势密码探测、OPENreply 邮件转发漏洞探测等，这些扫描通过使用插件进行模拟攻击，测试出目标主机的漏洞信息。 基于网络系统漏洞库的漏洞扫描的关键部分就是它所使用的漏洞库。通过采用基于规则的匹配技术，即根据安全专家对网络系统安全漏洞、黑客攻击案例的分析和系统管理员对网络系统安全配置的实际经验，可以形成一套标准的网络系统漏洞库，然后再在此基础之上构成相应的匹配规则，由扫描程序自动地进行漏洞扫描的工作。 19 / 26插件是由脚本语言编写的子程序，扫描程序可以通过调用它来执行漏洞扫描，检测出系统中存在的一个或多个漏洞。添加新的插件就可以使漏洞扫描软件增加新的功能，扫描出更多的漏洞。插件编写规范后，甚至用户自己都可以用 C 或者自行设计的脚本语言编写插件来扩充漏洞扫描软件的功能。这种技术使漏洞扫描软件的升级维护变得相对简单，而专用脚本语言的使用也简化了编写新插件的编程工作，使漏洞扫描软件具有很强的扩展性。 3 网络安全漏洞扫描工具 Accessdiver Accessdiver 是外国的一款扫描网络漏洞的工具，它具有的功能非常的强大，可以扫描网站存在的漏洞，也可以对一些网站的暴破！首先，先介绍 Accessdiver 的各个分页卡的设置和功能。 、Accessdiver 的各个分页卡 从这里我们就开始对 Accessdiver 的各个分页卡进行设置。 20 / 26打开 Accessdiver 之后，我们可以在“模式”中选择“专家”的模式，因为专家的模式里面就包括了所有的功能，方便了我们对这个软件各个功能的掌握。 主页卡-设置 点击主页卡“设置” ，我们可以看到里面的七个分页卡分别是“访问” 、 “搜索” 、 “处理” 、 “HTML 设置” 、 “杂项” 、“音频和/或语言”和“附加” ，下面将对各个分页卡进行设置。 分页卡-访问 进入分页卡“访问”后我们就会看到下面的图： 图 1 分页卡-访问图 我们需要在“精确分析”中选中并打勾里面的两项。分页卡-搜索 21 / 26在这个分页卡里面的“怎么用注册查找”中选择“绝不指定”的选项。这样就设置好了“搜索”这个分页卡，如下图 图 2 分页卡-搜索图 分页卡-处理 在这个分页卡中先选定“使用 only 字操作” ，选中后会出现一个界面，这个界面主要是设置“字典”里面的用户和密码，查看用户和密码的宏，可以点击界面右边的导入用户和密码，如下图所示: 图 3 分页卡-处理图 也可以自己在“用户片段”和“密码片段”中输入自己找到的用户和密码，点击+号就可以增加到界面框中。 分页卡-杂项 22 / 26在这个分页卡中，只要在“Accessdiver 任务优先权”中选择“低优先权”就可以了，这样可以减少 Accessdiver给你的电脑加载的负担。 图 4 分页卡-杂项图 主页卡-代理 分页卡-我的列表 在该分页卡中选择“使用 WEB 代理” ，在下面的“循环代理在交换前尝试注册”前面打勾并在里面填上 1，在右边的界面框中可以导入代理的 IP 地址和端口，点击就可以导入你已经收集的 IP 地址和端口，被导入的文件是以 TXT的形式导入的，如下图： 图 5 分页卡-我的列表图 分页卡-代理分析器 图 6 分页卡-代理分析器图 23 / 26如上图，代理分析器是分析收集的代理是否合法，在用这个功能的时候，得先设置代理的脚本，点击右下边的“代理判断” ，你可以自己加入代理的脚