网络攻防原理与技术 第3版 教案 -第4讲 网络侦查技术

内容备注

《网络攻防原理与技术》课程教案

讲课题目：第四讲网络侦查技术

目的要求：了解网络侦察的主要内容；掌握网络侦查的常用方法;

掌握网络扫描的主要技术；了解网络侦察的防御方法。

重点难点：网络侦查的常用方法；网络扫描的主要技术。

方法步骤：理论讲授。

器材保障：电脑、投影仪。

主要教学内容：

一、网络侦查概述

根据MITREATT&CK模型，网络侦察行为可分为10种。

1)主动扫描(ActiveScanning)

主动扫描是指通过网络流量主动探测目标网络基础设施相关的

信息，包括：扫描目标IP地址块(ScanningIPBlocks)中的所有IP

请学生分

地址来收集信息(如在线的主机、开放的网络端口、系统指纹等)，析哪些信

漏洞扫描(VulnerabiliiyScanning,发现目标主机/设备上存在的已知息对^广网

络攻击有

安全漏洞),词表扫描(WordlistScanning)。词表扫描中的词表内容

帮助.

通常包括通用的、常用的名字、文件扩展名或与特定软件有关的词

汇(term)©

2)收集目标主机信息(GaiherViclimHostInformation)

主机信息主要涉及主机的管理和配置，包括：目标硬件平台

(Hardware)信息、软件(Software)信息、固件(Firmware)信息、

客户机配置(ClientConfiguralion)信息。

3)收集目标身份信息(GatherVictimIdentilyInformation)

目标身份信息包括个人信息(如姓名，Email地址，住址、电话

内容备注

等联系信息等)以及敏感的身份认证信息，如账号凭证(credentials)。

4)收集目标网络信息(GatherVictimNetworkInformation)

网络信息主要包括：域名信息(DomainProperlies),如域名称、

域名注册人及联系人的电子邮件、电话、通信地址等联系信息、名

字服务器等；DNS信息，包括注册的域名服务器及服务器中的域名

记录；网络可信相关方信息(NetworkTrustDependencies)；网络拓

扑信息(Topology)；网络安全应用(NetworkSecurityAppliances)

信息，如防火墙、内容过滤设备、代理/堡垒主机等安全设备的部署

信息。

5)收集目标组织信息(GatherVictimOrgInformation)

目标组织信息主要涉及分部/部门信息、商业运行信息、关键雇

员的角色及分工等，具体包括：物理位置(PhysicalLocations),通

过物理位置可以推断该组织的关键资源和信息技术基础设施所在的

地理位置、行政区域等信息；业务关系(BusinessRelationships),利

用一个组织与其二级或第三方合作伙伴(如受管理的服务提供商、

承包商等)之间的关系信息，一方面可以利用与组织网络互联的合

作伙伴的网络进入组织的网络，另一方面通过这些信息可以进一步

了解该组织的软硬件资源的供应链和运输路径；业务活动时间

(IdentifyBusinessTempo),如每周的工作日以及每天的工作时间;

人员角色信息(IdentifyRoles),如关键员工的角色(职务)以及这

些角色能够访问的数据/资源权限等。

6)信息钓鱼(PhishingforInformation)比较信息

信息钓鱼是指向目标发送钓鱼消息，诱骗目标泄露一些对后续钓鱼和钓

鱼攻击的

攻击有用的信息。与钓鱼攻击(Phishing)不同的是，信息钓鱼的目

差异

的是从受害者那里收集数据，而不是执行恶意代码。

7)搜索闭源资源(SearchClosedSources)

攻击方有时需要从一些闭源资源(ClosedSources)中搜索、收

内容备注

集与攻击目标有关的信息,例如:从威胁情报服务提供商(ThreatIntel

Vendors)购买数据；从可信的私有资源和数据库提供商付费订购相

关技术情报数据，当然有时也会从不可信渠道(如暗网、网络黑市)

购买情报数据。

8)搜索公开技术数据库(SearchOpenTechnicalDatabases)

互联网上有大量公开(开源)的数据库或数据查询服务，从这

些公开数据库中可以搜索、整理出大量有价值的目标相关信息，例

如查询DNS服务器、WHOIS数据库、公共数字证书(Digital

Certificates)数据、CDN(ContentDeliveryNetwork)数据。此外,

互联网上还有很多发布互联网扫描/调查结果的在线服务，通过它们

可以查询到很多与目标有关的信息。

9)搜索公开网站/域(SearchOpenWebsites/Domains)

从公开可访问的网站/域中搜索与目标有关的信息，如求职网

站、社交媒体(SocialMedia)N搜索引擎(SearchEngines,如百度、

Google、ZoomEye、Shodan)、代码库(CodeRepositories,如GitHub>

Gitl>ab>SourceForgexRilRucket)。

10)搜索攻击目标的网站(SearchVictim-OwnedWebsites)

攻击目标自己的网站常常包含大量有价值的信息，例如公司的

组织架构(部门及名称)、地理位置、关键员工信息(姓名、职务、

联系方式、权力等信息)、业务信息、合作伙伴信息等。这些信息对

于实施网络渗透、社会工程学攻击具有重要意义。

二、信息收集方法

学生日常

(一)搜索引擎信息收集

生活中会

对网络侦察而言，要想提高搜索引擎在网络侦察中的利用效率利用搜索

和杳询精度，攻击者需要更加明确地向搜索引擎表达需要检索的内引擎查询

什么信

容。

息？

下面让我们来看看百度检索中几个常用的命令和操作符。

内容备注

其名字取自风靡一时的电脑游戏SystemShock中的邪恶主机，官网

http://www.shodan.io）,ZoomEye（钟尴之眼，官网

http:〃）和FOFA（官网/）＜＞

Shodan搜索对象分为网络设备、网络服务、网络系统、banner

信息关键字等四类。网络设备又分为网络连接设备和网络应用设备。

网络连接设备是指将网络各个部分连接成一个整体的设备，主要包

括：Hub（集线器）、Modem（调制解调器）、Switch（交换机）、

Router（路由器）、Gateway（网关）、Server（各种网络服务器网

络应用设备是指供助因特网提供的服务，实现了特定设计功能的设

备，常见的有打印机（printer）、摄像头（netcam）^智能电视（TV）

以及工业生产领域大量使用的传感器、控制单元等。网络服务是指

网络提供的各种服务，如FTP、HTTP、Apache.IIS等。网络系统

既包括操作系统（如Windows,Linux,Solaris,AIX等），也包括工

业生产领域广泛使用的各类控制系统，如数据采集与监视控制系统

（SupervisoryControlAndDataAcquisition,SCADA）^分散控制系统

（DistributedControlSystem,DCS）'配电网管理系统（Distribution

ManagementSystem,DMS）等。Banner信息关键字类搜索对象是指强调

Shodan使

用户分析Shodan搜索返回的banner后，将其中的关键字作为搜索对

用时注意

象,如弱口令（）N匿名登录（）＞管

defaultpasswordanonymouslogin避免泄露

理员（admin）、HTTP报头（如HTTP200OK）等。个人身份

Shodan搜索的工作原理：Shodan服务器从所有已分配的IP地信息

址中任选一个，然后尝试通过不同端口与其建立IP连接。在此过程

中，Shodan服务器记录那些返Flbanner信息的目的主机，并将返回

的banner信息写入数据库。Banner信息是指服务器在向客户机提供

服务前，告知客户机关于本机提供相关网络服务的系统及软件信息，

以便客户机更好地与服务器建立会话。

（二）WHOIS查询

内容备注

在互联网上建立网站服务器、电子邮件服务器或其他服务时，

需要向相关机构注册域名以方便用户访问。相关的注册资料，比如

域名、个人联系方式、IP地址、机构地址等会被保存到若干个WHOIS

数据库和DNS数据库中，这些数据库由注册机构和互联网基础设施

组织所维护。攻击者可以通过查询WHOIS数据库获取目标站点的

WHO1S库

注册信息，然后利用这些信息进行后续攻击。

中获得的

早期可以从域名注册机构的数据库中查询该域名的上

WHOIS信息可以

述很多信息，如管理人和技术人员联系信息（邮箱、电话、地址等）。如何利

出于安全和隐私保护的原因，现在绝大多数WHOIS数据库，不再用？

向非授权用户提供域名的详细信息，并且很多时候需要在其网站上

注册才能进行查询。

特别要强

另外，还可以查询某个域名所对应的IP地址分配情况，也可以调WHOIS

对某个IP地址进行查询以获得拥有该IP地址的机构信息。获取IP数据库查

询查询网

地址或地址段是进行精确网络扫描的基础。

站网站以

除了通过各WHOIS数据库维护方的网站上查询域名信息外，

及可查询

还可以通过各种工具查询WHOTS数据库-Windows和Linux操作系到的内容

统中均有相关的WHOIS查询命令。例如，WHOISCL是Windows可能会经

常发生变

下的命令行版本的WHOIS数据库查询工具；Linux下也可以安装

化

WHOIS工具。这些工具一般都支持用户添加WHOIS服务器，以支

持更多的域名后缀的查询。

（三）DNS信息查询

DNS服务

DNS是一个分布式数据库系统，以层次结构来存储IP地址、域

器中保存

名和邮件服务器等信息。根据DNS的层次结构，DNS命名空间也被

了哪些对

分割成多个区域，各个区分别保存一个或多个DNS域的名称信息、。于攻击有

域名服务器中的资源记录（ResourceRecord,RR）包含和域名相价值的信

息？

关的各项数据。资源记录包含很多种类，但常用的是Internet类（IN

类），这种类包含多种不同的数据类型，如A类表示“由域名获得

内容备注

IPv4地址记录”，AAAA类表示“由域名获得IPv6地址记录”，MX

类表示“域内邮件服务器地址记录”，NS类表示“域内权威域名服

务器地址记录”。

通常域名查询解析操作由多个DNS服务器提供，从而提供高可

用性和容错性。大多数DNS系统的运行至少需要两台DNS服务器：

一台主服务器和一台用来容错的辅助服务器。DNS服务器之间通过

复制数据库文件来进行同步，这一过程称为“区域传送（Zone

Transfer）\对于支持区域传送的目标DNS设施，攻击者可以利用

这个操作获取目标DNS上的有用信息，域内所有主机域名及其对应

的IP地址。

使用区域传送查询DNS信息最常用的工具是nslookup,

Windows系统和大多数Linux系统都支持这个命令。执行区域传送，

必须使用“server[dns_server]”指定目标的主DNS服务器或辅助DNS

服务器，然后使用“settypc=ANY”命令为查询指定某种类型的记

录，最后通过“1s-d[domain]”来请求目标域的DNS信息并将结

果在屏幕上显示出来°需要说明的是，目前很多域名服务器已经对

DNS区域传送进行了防御（禁止或限制请求来源）。

（四）网络拓扑发现

查明目标网络的拓扑结构有利于找到目标网络的关键节点（例

如路由器），从而提高攻击效率，达到最大攻击效果。我们一般通过

Traceroute工具来跟踪TCP/IP数据包从出发点到目的地所经过路径拓扑发现

对于网络

来构建目标网络拓扑结构。

攻击有什

是一种网络故障诊断和获取网络拓扑结构的工具，通

Traceroute么帮助？

过发送小的数据包到目的设备直到接收到返回信息，来测量耗时，（发现核

并返回设备的名称和地址；通过向目的地发送不同生存时间（TTL）心节点，

以作为攻

的ICMP报文来确定到达目的地的路由。

击目标）

针对目标网络中的若干IP地址或域名（这些目标可以来自之前

内容备注

的WHOIS查询和DNS查询结果）进行路由查询，即可以分析出目

标网络的拓扑结构。目前有不少图形化的分析工具用来辅助分析路

由查询结果并构建拓扑结构，例如VisualRoute

（/）等。

（五）利用社交网络获取信息

社交网络已经构成了一组巨大的网民信息“大数据”，这些数据

是了解攻击目标的重要情报来源。

社交网络被认为拥有获取情报的天然优势。通过社交网络，可

以挖掘出一个人的社会关系、朋友、敌人、工作、思维风格、喜好、

厌恶、银行信息等，而这些信息对于网络攻击非常有帮助。

利用社交网络进行情报搜集的方法可分为关注“用户”、关注“信

息”和引导用户参与三种。思考：通

1）关注“用户”。主要是利用社交网络的交互性特点，利用社过社交网

络可以获

交网络与想要关注的团体和个人建立联系，从中套取攻击目标有关

取哪些对

的信息。

于攻击有

2）关注“信息从社交网络上流动的海量信息中提取有用情实际帮助

报。针对社交网络的海量信息，搜集提取需要的信息内容，并运用的信息？

先进的分析技术，特别是人工智能算法，对海量信息进行处理。

3）主动邀请和引导社交网用户参与及建议。通过互动了解目标

的相关信息，例如进行网络调查问卷等。

（六）利用Web网站获取信息

Web站点通常会包含其组织机构的详尽信息，例如组织结构、

员工名单、日程安排等。有经验的攻击者一般会仔细浏览目标对象

Web网站

的Web站点，查找自己感兴趣的信息。Web站点上可能被攻击者利公布的信

用来攻击的比较有代表性的信息有：息对于网

络攻击的

1）站点架构。一些站点会对其系统架构进行描述，这类信息往

价值

往能够给攻击带来便利。

内容备注

2）联系方式。企业员工的电话号码、邮箱地址、家庭住址等信

息对于社会工程学非常有用。

3）招聘信息。招聘信息往往会暴露公司需要哪方面的人才。

4）公司文化。大多数机构的Web站点常常会披露机构的组织

结构、会议安排、重要公告、工作日程、工作地点、产品资料等等,

这些都可以用来进行社会工程学攻击。

5）商业伙伴。可以了解公司的业务关系，对于公司的某些敏感

信息很可能从其安全管理薄弱的合作伙伴那里取得。

（七）开源情报收集

公开资源情报计划（OpenSourceIntelligence,OSINT）是美国中

央情报局（CIA）最早启用的一种情报搜集手段，后泛指从各种公开

的信息资源（如，报纸、电台、电视等新闻媒体，研究机构发布的

研究报告，专家评论，论文，公开数据集，网站等）中寻找和获取

有价值的情报，简称为“开源情报收集:在网络攻防领域，开源情

报收集是一种重要的网络侦察手段，对于掌握攻击目标信息，有针

对性地制定作战方案具有重要意义。

开源情报涉及大量的情报类型和收集工具，JustinNordine建立

的开源情报收集框架（OSINTframework）包含了大量的开源情报及

其收集工具链接，框架官网地址https://osinlframework.eom/o网络扫描

三、网络扫描与前面所

（一）基本概念介绍的信

息获1仅方

网络扫描技术，简单来说，就是对特定目标进行各种试探性通

法的主要

信，以获取目标信息的行为。网络扫描的方法和手段种类多样，攻区别是：

击者通过网络扫描主要可以达成以下几种目的。会直接与

目标系统

（1）判断目标主机的工作状态，即判断目标主机是否联网并处

进行交

于开机状态。

互。

（2）判断目标主机的端口工作状态，即端口处于监听还是处于

内容备注

关闭的状态。

（3）判断目标主机的操作系统类型。通过远程扫描可以大致判

断目标主机运行的是Windows操作系统、Linux操作系统，还是

Solaris.IBMAIX等其他类型的操作系统。攻击者攻击时所采用的

方法与目标主机的操作系统紧密联系。

（4）判断目标主机可能存在的安全漏洞。向目标主机发送精心

设计的探测数据包，根据目标主机的响应，能够判断出目标主机存

在的安全漏洞。

主机发现、端口扫描、操作系统识别和漏洞扫描是网络扫描的

四种主要类型。

（二）主机发现

根据所采用的网络协议不同，主机发现技术可以划分为两类，

一类是基于ICMP协议的主机发现，另一类是基于IP协议的主机发

现。

利用ICMP协议进行主机发现的最简单方法是使用ping命令。

ping命令在网络中广泛使用，可以说是使用最频繁的网络命令°ping

命令的作用是检查一台主机网络连接情况，其实质上是发送ICMP

回送请求，根据是否收到对方主机的回答来判断对方是否是一台处

于工作中的联网主机。

除了回送请求之外,ICMP其他类型的查询报文也可以用于主机

发现。例如，向某个IP地址发送地址掩码请求，并收到了回答，那

么可以断定该IP地址对应于网络中的一台存活主机。

分析利用

向目标IP地址发送以ping命令为代表的ICMP查询报文是进行

ICMP报

主机发现的一种简单易行的方法，但是这种方法存在一个严重缺陷。文进行主

如果发送请求后没有接收到回答，不能简单地推断没有与该IP地址机发现的

局限

对应的存活主机。原因在于大部分防火墙会对ICMP查询报文进行

过滤，杳询报文无法到达目标主机。因此，没有接收到与ICMP杳

内容备注

询报文对应的回答，无法确定是防火墙对ICMP查询报文进行了过

滤，还是网络中没有与IP地址对应的存活主机。

基于IP协议进行主机发现往往可以避免防火墙的影响，此类主

机发现技术将向目标IP地址发送精心设计的IP数据包，诱使与目

标IP地址对应的存活主机反馈ICMP差错报告报文，暴露自己的存

活状态。

在这类主机发现技术中，一种较为常用的方法是发送首部异常

的IP数据包。TCP/IP体系结构中，IP数据包的头首部包括了版本、

首部长度、服务类型、总长度、协议、首部校验和等多个字段，大

部分字段的格式和内容都有严格要求。如果将-•些值随意填入数据

包的头首部，则接收数据包的主机在对数据包进行检查时往往会报

错，将会向IP数据包的源主机返回“参数有问题”的ICMP差错报

告报文。

（三）端口扫描

攻击者在主机发现的基础上，可以进一步获取主机信息以便进

行网络攻击°对于网络主机而言，每一个处于监听状态的端口都与

网络服务紧密联系，都是潜在的入侵通道。端口扫描技术能够使攻

击者掌握主机上所有端口的工作状态，进而推断主机上开放了哪些

了解主机

网络服务，为更为高效精准的进行网络攻击奠定基础。

开放的端

端口扫描的基本原理是向目标主机的所有或者需要扫描的特定口信息对

端口发送特殊的数据包，若该端口对应的网络服务对外提供该服务于网络攻

击有什么

就会返回信息，扫描器通过分析其返回的信息以此判断目标主机端

价值？

口的服务状态，发现特定主机提供了哪些服务，进而利用服务的漏

洞对网络系统进行攻击。

目前，根据使用的协议，主要有二类端口扫描技术：TCP扫描、

UDP扫描（早期还有FTP代理扫描，现已很少使用）。为了应对复

杂的网络情况，特别是目标网络中的安全防护系统，如防火墙、入

内容备注

侵检测系统，大多数网络扫描工具均支持多种扫描技术进行扫描。

TCP协议由于具有面向连接、通信传输可靠的优点，HTTP服

务、FTP服务、SMTP服务等很多重要的网络服务都是以其作为通

信基础。对于TCP端口的扫描，最直接有效的方法是利用TCP连接

的建立过程。

主机上的一个TCP端口，如果能够通过三次握手与其建立TCP

连接，那么可以断定该端口处于监听状态，或者说是开放的。对于

目的主机上的待扫描TCP端口，TCP全连接扫描技术尝试通过与端

口建立完整的TCP连接，根据连接建立的成败推断端口的工作状态。

各种类型的网络编程语言都能够实现TCP三次握手，实现的方

法通常是使用操作系统提供的connect函数。在扫描主机上指定目的

主机和目的端口，调用connect函数与相应端口进行TCP三次握手,

如果相应端口处于监听状态，贝I]connect函数将成功，返回数值0。

如果相应的端口处于关闭状态，connect函数将失败，函数将返回

SOCKET_ERROR信息。

使用connect函数进行扫描具有稳定可靠，对于端口状态的判定

结果准确等优点。此外，这种扫描技术还有一个突出优点，即connect

函数对于调用者没有任何权限要求。因为connect函数的功能是建立

正常的TCP连接，系统中的任何用户都可以使用这个调用。

TCP全连接扫描技术的主要缺点是扫描行为明显，容易被发现。

一方面，失败的TCP连接请求以及相应产生的错误信息常常会被记

进行端口

录在目标主机的日志中，如果在短时间内针对主机的大量端口进行

扫描时，

扫描，往往会产生大量的错误信息导致扫描行为暴露。另一方面，

是否需要

目标主机通常会记录入成功的TCP连接，如果攻击者利用扫描确定完成TCP

的开放端口进行攻击，在攻击成功后很容易被追溯。的三次握

手？

TCPSYN扫描与TCP全连接扫描相似，也是以TCP三次握手

过程为基础，两者的主要区别在于TCPSYN扫描刻意不建立完整的

内容备注

TCP连接，以避免扫描行为的暴露。

对TCP三次握手过程进行分析，可以看出在三次握手的第二阶

段，即客户端接收到服务器端响应时已经能够确定端口的工作状态，

无须完成三次握手的最后一步。TCPSYN扫描就是依据此思想进行,

这种扫描技术也常常被称为“半开放”扫描。

TCPFIN扫描技术不依赖于TCP的三次握手过程，它主要利用

TCP报文段首部结构中的FIN标志位。按照RFC793的规定，主机

端口接收到FIN标志位设置为1的报文时，如果端口处于关闭状态,

应当回复RST标志位设置为1的报文，复位连接；如果端口处于监

听状态则忽略报文，不进行任何回应。

UDP协议是无连接的协议，在数据传输前没有连接建立的过程。

使用UDP协议进行数据传输并不能保证数据安全、可靠的到达目的

主机。但由于UDP协议具有良好的灵活性，因而很多网络服务，如UDP瑞口

扫描与

DNS和SNMP,都使用UDP协议进行数据通信。

TCP端口

由于协议很简单，在通信过程中没有复杂的交互过程，这

UDP扫描有哪

使得判断主机UDP端口的工作情况较为困难。R前对于UDP端口些主要区

工作状态的判断，主要是基于这样一种通信特性：扫描主机向目标别？

主机的UDP端口发送UDP数据包，如果目标端口处于监听状态，

将不会做出任何响应；而如果目标端口处于关闭状态，将会返回

ICMP_PORT_UNREACH错误。

从表面上看，目标端口工作状态不同对扫描数据包将做出不同

响应，区分度很好。但实际应用中必须考虑到UDP数据包和ICMP

错误消息在通信中都可能丢失，不能保证到达，这将使得判断出现

偏差。

（四）操作系统识别

主机使用的操作系统不同，可能存在的漏洞也大相径庭。例如,

Window操作系统和UNIX操作系统漏洞信息完全不同，即使同属

内容备注

Windows家族的WindowsXP系统和Windows2007系统所存在的安

全漏洞也有很大差异，攻击者在攻击时必须相应采取不同的攻击措

为什么需

施。操作系统识别旨在确定目标主机所运行的操作系统，便于攻击

要掌握目

者采取最有效的攻击方法和手段。标系统的

操作系统识别的方法根据使用的信息可以划分为三类：通过旗操作系统

信息？

标信息识别，通过端口信息识别，通过TCP/IP协议栈指纹识别。为

了提高识别的准确率，实际的网络扫描工具软件，如Nmap,均是通

过综合运用多种扫描方法进行远程探测，根据返回的结果综合分析

给出最有可能的识别结果，一般用百分比表示，如识别准确率98%。

旗标（banner）指的是客户端向服务器端提HI连接请求时服务器

端所返回的欢迎信息，像FTP、SMTP、Telnet等提供网络服务的程

序通常都有旗标信息。服务程序的旗标虽然不会直接通告主机运行思考利用

的操作系统，但可以通过旗标反映出的服务程序信息进行操作系统旗标信息

进行判断

的判断。

有哪些不

端口扫描的结果在操作系统检测阶段也可以加以利用。不同操

可靠的地

作系统通常会有一些默认开放的服务，这些服务使用特定的端口进方

行网络监听。例如，WindowsXP>Windows2003等系统默认开放了

强调扫描

TCP135端口、TCP139端口以及TCP445端口，而Linux系统通常

结果只能

不会使用这些端口。端口工作状态的差异能够为操作系统检测提供

是作为参

一定的依据。考；要提

对TCP/IP协议栈指纹进行分析是最为精确的一种检测操作系统高准价性

需要综合

的方法。所有操作系统在实现TCP/IP协议栈时都是以RFC文档为

使用多种

参考依据，但由于很多边界情况在中没有明确定义，不同操作

RFC方式来判

系统在具体实现时存在细节差异。可以利用系统实现上的差异，向断

目标主机发送精心设计的探测数据包，根据得到的响应，来推断目

标主机的操作系统。

（五）漏洞扫描

内容备注

漏洞扫描是端口扫描和操作系统识别的后续工作，对于计算机

管理员和攻击者而言都有重要意义。计算机管理员希望能够通过漏

洞扫描及时发现计算机的安全漏洞从而有针对性地进行安全加固。

攻击者则希望利用扫描找到能够使自己获取系统访问权限甚至控制

权限的安全漏洞。从对黑客攻击行为的分析和收集的漏洞类型来看,网络管理

员与黑客

漏洞扫描绝大多数都是针对特定操作系统所提供的特定的网络服

进行漏洞

务，也就是针对操作系统中某一个特定端口的。

扫描，有

目前主要通过以二两种方法来检查目标主机是否存在漏洞：哪些主要

(1)特征匹配法，利用资产指纹与漏洞特化来发现漏洞。在对差异？

目标网络进行了主机扫描、端口扫描、操作系统识别等扫描工作后

得到了目标网络的资产指纹信息，将这些资产指纹信息与网络漏洞

扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞讨论两种

存在。这种方法也有不足之处：一是要求事先获得目标网络的所有漏洞方法

的优缺点

资产及其指纹信息；二是特征匹配的准确性存在问题，可能导致误

判和漏判。

(2)渗透测试法，利用掌握的漏洞信息和利用代码对目标系统

进行攻击性测试，若攻击成功，则表明目标主机系统存在安全漏洞。

这种方法的好处是判断准确，不足之处有两点：一是需要了解漏洞

的细节，掌握漏洞的利用代码，这在有些情况下比较难得到；二是

直接对目标进行攻击，环节多，耗时长，并且攻击行为还存在合法

性问题。

根据扫描目标的不同，漏洞扫描可以划分为基于主机的漏洞扫

描和基于网络的漏洞扫描两类。基于主机的漏洞扫描往往要求在被

检查系统上安装特定的扫描程序，并且赋予程序管理员权限，以确

保程序能够访问操作系统的内核、系统的配置文件以及系统中的各

类应用程序。扫描程序依据特定的规则对系统进行分析以发现各类

安全漏洞。

内容备注

基于网络的漏洞扫描要求扫描主机与被扫描的目标系统通过网

络相连，两台主机之间能够进行正常的网络通信。很多网络漏洞扫

漏洞扫描

描软件采用了网络应用常见的架构，由客户端和服务器端两部

C/S软件采用

分组成，如Nessus扫描软件采用的就是这种架构。漏洞库和扫描引C/S架构

擎位于服务器端，供用户使用的扫描控制台位于客户端。这种体系的优势？

结构的优点在于如果多个用户需要使用扫描服务，他们不必都安装

扫描软件的服务程序，