風(fēng)險評估與網(wǎng)絡(luò)嗅探(編輯修改稿)
2024-11-12 06:04 本頁面
【文章內(nèi)容簡介】 蔽 ?缺點 ?與 SYN掃描類似，也需要構(gòu)造專門的數(shù)據(jù)包 ?在 Windows平臺無效，總是發(fā)送 RST包 TCP XMAS掃描 ?原理 ?掃描器發(fā)送的 TCP包包頭設(shè)置所有標(biāo)志位 ? 關(guān)閉的端口會響應(yīng)一個同樣設(shè)置所有標(biāo)志位的包 ? 開放的端口則會忽略該包而不作任何響應(yīng) ?優(yōu)點 ?比較隱蔽 ?缺點 ?主要用于 UNIX/Linux/BSD的 TCP/IP的協(xié)議棧 ?不適用于 Windows系統(tǒng) 分片掃描 ?它本身并不是一種新的掃描方法，而是其他掃描技術(shù)的變種，特別是 SYN掃描和 FIN掃描 ?思想是，把 TCP包分成很小的分片，從而讓它們能夠通過包過濾防火墻 ?注意，有些防火墻會丟棄太小的包 ?而有些服務(wù)程序在處理這樣的包的時候會出現(xiàn)異常，或者性能下降，或者出現(xiàn)錯誤 TCP ftp proxy掃描 ?FTP bounce attack ?原理 ?用 PORT命令讓 ftp server與目標(biāo)主機建立連接，而且目標(biāo)主機的端口可以指定 ?如果端口打開，則可以傳輸否則，返回 425 Can39。t build data connection: Connection refused. ?Ftp這個缺陷還可以被用來向目標(biāo) (郵件 ,新聞 )傳送匿名信息 ?優(yōu)點：這種技術(shù)可以用來穿透防火墻 ?缺點：慢，有些 ftp server禁止這種特性 UDP ICMP端口不可達掃描 ?利用 UDP協(xié)議 ?原理 ?開放的 UDP端口并不需要送回 ACK包，而關(guān)閉的端口也不要求送回錯誤包，所以利用 UDP包進行掃描非常困難 ?有些協(xié)議棧實現(xiàn)的時候，對于關(guān)閉的 UDP端口，會送回一個 ICMP Port Unreach錯誤 ?缺點 ?速度慢，而且 UDP包和 ICMP包都不是可靠的 ?需要 root權(quán)限，才能讀取 ICMP Port Unreach消息 ?一個應(yīng)用例子 ?Solaris的 rpcbind端口 (UDP)位于 32770之上，這時可以通過這種技術(shù)來探測 UDP recvfrom() amp。 write()掃描 ?非 root用戶不能直接讀取 ICMP Port Unreach消息，但是 Linux提供了一種方法可以間接通知到 ?原理 ?第二次對一個關(guān)閉的 UDP端口調(diào)用 write()總是會失敗 ?經(jīng)驗：在 ICMP錯誤到達之前，在 UDP端口上調(diào)用recvfrom()會返回 EAGAIN(重試 )，否則會返回ECONNREFUSED(連接拒絕 …) 端口掃描的對策 ?設(shè)置防火墻過濾規(guī)則，阻止對端口的掃描 ?例如可以設(shè)置檢測 SYN掃描而忽略 FIN掃描 ?使用入侵檢測系統(tǒng) ?禁止所有不必要的服務(wù)，把自己的暴露程度降到最低 ?Unix或 linux中，在 /etc/的服務(wù)，并在系統(tǒng)啟動腳本中禁止其他不必要的服務(wù) ?Windows中通過 Services禁止敏感服務(wù)，如 IIS 操作系統(tǒng)辨識 ?操作系統(tǒng)辨識的動機 ?許多漏洞是系統(tǒng)相關(guān)的，而且往往與相應(yīng)的版本對應(yīng) ?從操作系統(tǒng)或者應(yīng)用系統(tǒng)的具體實現(xiàn)中發(fā)掘出來的攻擊手段都需要辨識系統(tǒng) ?操作系統(tǒng)的信息還可以與其他信息結(jié)合起來，比如漏洞庫，或者社會詐騙 (社會工程， social engineering) ?如何辨識一個操作系統(tǒng) ?一些端口服務(wù)的提示信息，例如， tel、 、 ftp等服務(wù)的提示信息 ?TCP/IP棧指紋 ?DNS泄漏出 OS系統(tǒng) 端口服務(wù)提供的信息 ?Tel服務(wù) ?Http服務(wù) ?Ftp服務(wù) 棧指紋技術(shù) ?定義：利用 TCP/IP協(xié)議棧實現(xiàn)上的特點來辨識一個操作系統(tǒng) ?技術(shù)導(dǎo)向 ?可辨識的 OS的種類，包括哪些操作系統(tǒng) ?結(jié)論的精確度，細微的版本差異是否能識別 ?一些工具 ?Checkos, by Shok ?Queso, by Savage ?Nmap, by Fyodor 主動棧指紋識別技術(shù) ?原理：尋找不同操作系統(tǒng)之間在處理網(wǎng)絡(luò)數(shù)據(jù)包上的差異，并且把足夠多的差異組合起來，以便精確地識別出一個系統(tǒng)的 OS版本 ?配置能力 ?擴展性，新的 OS，版本不斷推出 ?定義一種配置語言或者格式 主動棧指紋識別方法 ?常用的手段 ?給一個開放的端口發(fā)送 FIN包，有些操作系統(tǒng)有回應(yīng)，有的沒有回應(yīng) ?對于非正常數(shù)據(jù)包的反應(yīng) ? 比如，發(fā)送一個包含未定義 TCP標(biāo)記的數(shù)據(jù)包 ?根據(jù) TCP連接的序列號風(fēng)格 ? 尋找初始序列號之間的規(guī)律 ?ACK值 ? 有些系統(tǒng)會發(fā)送回所確認(rèn)的 TCP分組的序列號，有些會發(fā)回序列號加 1 ?TCP初始化窗口 ? 有些操作系統(tǒng)會使用一些固定的窗口大小 ?DF位 (Don39。t Fragment bit ) ? 某些操作系統(tǒng)會設(shè)置 IP頭的 DF位來改善性能 主動棧指紋識別方法 ? 分片處理方式 ? 分片重疊的情況下，處理會不同：用后到的新數(shù)據(jù)覆蓋先到的舊數(shù)據(jù)或者反之 ? ICMP協(xié)議 ? ICMP錯誤消息的限制 ? 發(fā)送一批 UDP包給高端關(guān)閉的端口，然后計算返回來的不可達錯誤消息 ? ICMP端口不可達消息的大小 ? 通常情況下送回 IP頭 +8個字節(jié)，但是個別系統(tǒng)送回的數(shù)據(jù)更多一些 ? ICMP回應(yīng)消息中對于校驗和的處理方法不同 ? ICM
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1