第3章 网络扫描与网络监听

1、莆田大学网络技术教研室，第3章网络扫描与网络监控，3.1黑客概述3.2网络踏勘3.3网络扫描3.4网络监控，莆田大学网络技术教研室，概述，本章主要介绍黑客的相关知识、网络踏勘方法、网络扫描与网络监控技术。其中，网络扫描是黑客攻击前获取目标和漏洞信息的重要手段，而网络监控是黑客入侵内部网的常见方式。莆田大学网络技术系，3.1黑客概述，3.1.1黑客概念“黑客”一词是从英文单词“Hacker”音译而来。它起源于20世纪50年代，指的是精力充沛、热衷于解决计算机问题的程序员。那时，计算机非常昂贵，只存在于大学和科研机构。技术人员需要复杂的程序才能使用一次计算机，而且计算机的效率不高。为了绕过一些限制

2、，充分利用这些昂贵的计算机，一些程序员编写了一些简单高效的快捷程序，这些程序通常比原来的程序系统更完善。莆田大学网络技术系，3.1黑客概述，3.1.2攻击概念攻击是违反整个系统策略的行为，是指任何试图破坏计算机资源的完整性(未经授权的数据修改)、机密性(未经授权的数据泄露或未经授权的服务使用)和可用性(拒绝服务)的活动。通常，“攻击”和“入侵”指的就是这种活动。莆田大学网络技术系，3.1黑客概述，3.1.3攻击分类互联计算机的威胁有多种形式。1980年，安德森在他著名的报告中划分了不同类型的计算机系统安全威胁。他将入侵分为三种类型：外部入侵、内部授权用户的未授权使用和滥用，并在此基础上提出了不

3、同的安全渗透检测方法。目前，攻击分类的主要依据是：威胁来源、攻击方式、安全属性、攻击目的和攻击技术手段。以下是几种攻击分类方法。3.1黑客概述，根据威胁来源，潜在入侵者的攻击大致可分为两类：外部攻击和内部攻击。根据安全属性，Stalling将攻击分为四类，如图3.1所示。根据攻击方法，攻击可分为主动攻击和被动攻击。莆田大学网络技术系，3.1黑客概述，4。根据入侵者的攻击目的，攻击可分为以下四类。拒绝服务攻击：这是最容易实施的攻击，它试图通过使目标计算机崩溃或崩溃来阻止目标计算机提供服务。主要包括：登陆、同步洪泛(UDP洪泛)、死亡Ping、蓝精灵(Fraggle)、泪滴、TCP RST攻击、J

4、ot2、邮件炸弹、畸形消息攻击。利用攻击：试图直接控制机器的攻击。主要包括：密码猜测、木马、缓冲区溢出。莆田大学网络技术系，3.1黑客概述，信息收集攻击：这种攻击不会伤害目标本身，但用于为进一步的入侵提供有用的信息。它主要包括：扫描(包括端口扫描、地址扫描、反向映射、慢速扫描)、架构探测和使用信息服务(包括域名转换、指纹服务、LDAP服务)。虚假消息攻击：用于攻击目标配置不正确的消息，主要包括DNS缓存污染和伪造电子邮件。莆田大学网络技术系，3.1黑客概述，5。根据入侵者使用的技术手段，攻击技术主要分为以下四类。网络信息收集技术：包括目标网络中主机的拓扑分析技术、目标网络的服务分布分析技术和目

5、标网络的漏洞扫描技术。目标网络权限提升技术：包括本地权限提升和远程权限提升。目标网络渗透技术：包括后门技术、嗅探器技术、欺骗技术、隧道和代理技术。目标网络破坏技术：包括目标服务终止、目标系统瘫痪和目标网络瘫痪。莆田大学网络技术系，3.2网络行走，行走：信息采集。黑客在攻击前要做的第一步是“站在现场”。类似于强盗抢劫银行，攻击者在实施攻击之前会利用公开的和可用的信息来调查目标。通过收集信息，攻击者可以获得目标系统的外围信息，如组织的注册信息、网络管理员的个人爱好以及网络拓扑图。通过对收集到的信息进行整理、综合和分析，攻击者可以初步了解组织网络的安全状况和存在的问题，然后制定攻击计划。莆田大学网络

6、技术教研室，3.2网络践踏，3.2网络践踏，1使用搜索引擎是一个非常有利的践踏工具，例如，谷歌有很强的搜索能力，可以帮助攻击者准确地找到目标，包括网站的弱点和不完善的配置。例如，只要大多数网站设置了目录枚举功能，谷歌就可以搜索页面的索引，如图3.2所示。莆田大学网络技术系，3.2上网，打开网页索引，可以浏览隐藏在互联网背后的一些网站服务器的目录，下载看不到的密码账户等有用文件，如图3.3所示。除了搜索引擎，互联网上的各种whois数据库也是非常有用的信息来源。这些数据库包含有关互联网地址分配、域名和个人联系信息的各种数据元素。攻击者可以从Whois数据库中获知一些目标的注册信息。提供whois

7、服务的机构很多，其中中国最相关的机构及其相应的网站见表3.2。莆田大学网络技术系，3.2。下面给出了一个例子，它使用提供的whois服务来查询信息，如图3.4和图3.5所示。莆田大学网络技术系，3.2。下面给出了一个例子，它使用提供的whois服务来查询信息，如图3.4和图3.5所示。莆田大学网络技术系，3.2网络漫游，3使用域名服务器维护域名服务的信息包括主机类型、域内邮件服务器地址、邮件转发信息、从IP地址到域名的反向解析信息等。使用nslookup程序，您可以从DNS服务器查询一些网站的相关信息，如图3.6所示。莆田大学网络技术系3.3网络扫描是一种必要的信息收集工具，它可以完成大量的重

8、复性工作，为用户收集必要的系统相关信息。对于黑客来说，扫描是攻击系统的有力助手；对于管理员来说，扫描在检查漏洞和提高安全性方面也发挥着重要作用。3.3网络扫描，3.3.1安全漏洞概述通常，网络或主机中的安全漏洞是攻击者成功攻击的关键。那么，什么是安全漏洞？安全漏洞的根本原因是什么？这些漏洞的危害是什么？1安全漏洞的概念不是物理概念，而是可能被入侵者恶意利用的计算机系统的属性。在计算机安全领域，安全漏洞通常被称为漏洞。简而言之，计算机漏洞是系统的一组特征，恶意主体可以利用这组特征通过授权的手段和方法获得对资源的未经授权的访问或破坏系统。这里的漏洞包括单个计算机系统的漏洞和计算机网络系统的漏洞。莆

9、田大学网络技术系，3.3网络扫描，2漏洞原因在互联网上仍在使用的基本协议中，有许多早期的协议在最初的设计中没有考虑安全要求。此外，互联网是一个快速变化的动态环境，因此在这样一个基础设施不安全的动态分布式环境中，很难确保应用程序的安全性。由于互联网的开放性及其协议的原始设计，攻击者可以成功地攻击目标，而无需与被攻击的人进行身体接触，也不会被发现或跟踪。从技术角度来看，漏洞的来源主要包括以下几个方面：(1)软件或协议设计中的缺陷；(2)软件或协议实施中的弱点；(3)软件本身的缺陷；(4)系统和网络配置错误；莆田大学网络技术教研室；3.3网络扫描；(3)漏洞的危害主要存在于操作系统、应用程序和脚本中

10、，使得入侵者能够执行特殊的操作，从而得不到任何信息。几乎每天都会在一些程序或操作系统中发现新的漏洞，许多漏洞会导致攻击者获得根权限，从而控制系统并获取机密信息，给公司或个人造成巨大损失。不同的漏洞有不同的表现形式和不同的危害，但一般来说，安全漏洞危及系统的完整性、可用性、保密性、可控性和可靠性。莆田大学网络技术系，3.3网络扫描，3.3.2为什么许多入侵者经常通过扫描找到幸存的目标及其安全漏洞，然后通过这些漏洞入侵目标系统。为了解决安全问题，网络管理员经常借助扫描仪对其管辖的网络进行扫描，从而发现自身系统中的隐患和棘手问题，然后修补漏洞，消除隐患。所以扫描是一把双刃剑。为了解决安全风险和提高扫

11、描效率，许多公司和开源组织开发了各种漏洞评估工具。这些漏洞评估工具也称为扫描器，它们有不同的种类和不同的性能。莆田大学网络技术系，3.3网络扫描，3.3.3寻找目标扫描如果把扫描比作收集情报，扫描目标就是寻找突破口。本节介绍基本的扫描技术和技巧，这些技术和技巧可用于确定目标是否在网络上存活以及正在执行的工作类型。目前，这种扫描主要包括Ping扫描和ICMP查询。莆田大学网络技术教研室、3.3网络扫描、1平扫描、莆田大学网络技术教研室、3.3网络扫描，分别在“起始IP”和“终止IP”文本框中输入平扫描的起始地址和终止地址，点击右键，添加到右侧文本框中，如图3.8所示。莆田大学网络技术教研室，3.

12、3网络扫描，3.3网络扫描，扫描后，可以点击超级站提供的查看HTML结果按钮查看主机生存情况，如图3.10所示。莆田大学网络技术系，3.3网络扫描，2ICMP查询如果目标主机阻止ICMP回应请求消息，它仍然可以通过使用其他类型的ICMP消息来检测目标主机是否存活，并收集关于系统的各种有价值的信息。例如，向系统发送一个ICMP类型13消息，如果主机存活，则可以获得系统的系统时间；发送一条ICMP类型17消息，如果主机存活，您可以获得目标主机的子网掩码。莆田大学网络技术系，3.3网络扫描，3。此外，还可以使用TCP扫描和UDP扫描来确定目标是否处于活动状态。从TCP连接的三次握手过程可以知道，如果

13、向目标发送同步消息，无论是接收到同步/确认消息还是RST消息，都表明目标是活动的，或者向目标发送确认消息，如果接收到RST消息，则表明目标是活动的。这是传输控制协议拍摄的基本原则。如果在向目标的特定端口发送UDP数据报后收到ICMP端口不可达错误，则表明目标处于活动状态；否则，它表示目标不在线或目标的相应UDP端口打开。这是UDP拍摄的原则。莆田大学网络技术系，3.3网络扫描，3.3.4端口扫描用于检测开放服务在发现网络上的幸存系统后，入侵者的下一步是获取目标主机的操作系统信息和开放服务。端口扫描是指向待扫描的目标计算机的端口发送信息，然后根据返回端口的状态分析目标计算机的端口是否打开和可用。

14、1端口2端口扫描原理3常用端口扫描技术，莆田大学网络技术教研室，3.3网络扫描，端口扫描分类，莆田大学网络技术教研室，3.3网络扫描，3.3.5漏洞扫描是利用漏洞扫描器查询目标系统的信息，通过漏洞扫描，可以发现系统中不安全的地方。针对各种服务的漏洞数量巨大。2001年，仅微软就发布了数百个针对其产品的安全漏洞，其中近一半是IIS漏洞。手动检测所有这些巨大的漏洞是非常困难的。莆田大学网络技术教研室，3.3网络扫描，1漏洞扫描技术原理漏洞扫描主要通过以下两种方法检查目标主机是否存在漏洞：端口扫描后，知道目标主机打开的端口和端口上的网络服务。将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看

15、是否存在符合匹配条件的漏洞；通过模拟黑客的攻击策略，对目标主机系统进行扫描，以发现攻击性的安全漏洞，例如测试弱密码。如果模拟攻击成功，则表明目标主机系统存在安全漏洞。莆田大学网络技术教研室，3.3网络扫描，2漏洞扫描技术的分类和实现方法基于网络系统漏洞数据库。漏洞扫描通常包括CGI漏洞扫描、POP3漏洞扫描、FTP漏洞扫描、SSH漏洞扫描、HTTP漏洞扫描等。这些漏洞扫描是基于漏洞数据库的，漏洞信息是通过将扫描结果与漏洞数据库的相关数据进行匹配而获得的。漏洞扫描还包括各种没有相应漏洞库的扫描，如Unicode遍历目录漏洞检测、FTP弱密码检测、OPENRelay邮件转发漏洞检测等。这些扫描使用

16、插件(功能模块技术)来模拟攻击并测试目标主机的漏洞信息。下面讨论这两种扫描的实现方法。莆田大学网络技术系3.3网络扫描是黑客手中的利器，也是网络管理员手中的重要武器。这里有三种著名的扫描仪，它们都是开源或免费的，是迄今为止最好的扫描仪。1映射：Nmap(网络映射器)，扫描仪之王，是一个用于网络检测和安全审计的开源工具。它可以在大多数Unix系统上运行，并且已经移植到Windows系统上。它主要用于命令行模式，可以快速扫描大型网络或单台主机。Nmap以一种新颖的方式使用原始的IP消息来发现哪些主机在网络上，这些主机提供哪些服务(应用程序名称和版本)，这些服务运行哪些操作系统(包括版本信息)，它们使用什么类型的消息过滤器/防火墙，等等。虽然Nmap通常用于安全审计，但许多系统管理员和网络管理员也用它来做一些日常工作，如检查整个网络的信息、管理服务升级计划以及监控主机和服务的运行。莆田大学网络技术教研室，3.3网络扫描，2Nessus:分布式扫描仪Nessus是一个强大的扫描工具，用于自动检测和发现已知的安全问题。它运行在Solaris、FreeBSD、GNU/Linux和其他系统上。源代码是开放的，可以自由修改，然后发布。它具有很强的可扩展性。当发现新的漏洞