風(fēng)險(xiǎn)評(píng)估與網(wǎng)絡(luò)嗅探-文庫(kù)吧資料
2024-10-22 06:04本頁面
【正文】 ()掃描 ?非 root用戶不能直接讀取 ICMP Port Unreach消息，但是 Linux提供了一種方法可以間接通知到 ?原理 ?第二次對(duì)一個(gè)關(guān)閉的 UDP端口調(diào)用 write()總是會(huì)失敗 ?經(jīng)驗(yàn)：在 ICMP錯(cuò)誤到達(dá)之前，在 UDP端口上調(diào)用recvfrom()會(huì)返回 EAGAIN(重試 )，否則會(huì)返回ECONNREFUSED(連接拒絕 …) 端口掃描的對(duì)策 ?設(shè)置防火墻過濾規(guī)則，阻止對(duì)端口的掃描 ?例如可以設(shè)置檢測(cè) SYN掃描而忽略 FIN掃描 ?使用入侵檢測(cè)系統(tǒng) ?禁止所有不必要的服務(wù)，把自己的暴露程度降到最低 ?Unix或 linux中，在 /etc/的服務(wù)，并在系統(tǒng)啟動(dòng)腳本中禁止其他不必要的服務(wù) ?Windows中通過 Services禁止敏感服務(wù)，如 IIS 操作系統(tǒng)辨識(shí) ?操作系統(tǒng)辨識(shí)的動(dòng)機(jī) ?許多漏洞是系統(tǒng)相關(guān)的，而且往往與相應(yīng)的版本對(duì)應(yīng) ?從操作系統(tǒng)或者應(yīng)用系統(tǒng)的具體實(shí)現(xiàn)中發(fā)掘出來的攻擊手段都需要辨識(shí)系統(tǒng) ?操作系統(tǒng)的信息還可以與其他信息結(jié)合起來，比如漏洞庫(kù)，或者社會(huì)詐騙 (社會(huì)工程， social engineering) ?如何辨識(shí)一個(gè)操作系統(tǒng) ?一些端口服務(wù)的提示信息，例如， tel、 、 ftp等服務(wù)的提示信息 ?TCP/IP棧指紋 ?DNS泄漏出 OS系統(tǒng) 端口服務(wù)提供的信息 ?Tel服務(wù) ?Http服務(wù) ?Ftp服務(wù) 棧指紋技術(shù) ?定義：利用 TCP/IP協(xié)議棧實(shí)現(xiàn)上的特點(diǎn)來辨識(shí)一個(gè)操作系統(tǒng) ?技術(shù)導(dǎo)向 ?可辨識(shí)的 OS的種類，包括哪些操作系統(tǒng) ?結(jié)論的精確度，細(xì)微的版本差異是否能識(shí)別 ?一些工具 ?Checkos, by Shok ?Queso, by Savage ?Nmap, by Fyodor 主動(dòng)棧指紋識(shí)別技術(shù) ?原理：尋找不同操作系統(tǒng)之間在處理網(wǎng)絡(luò)數(shù)據(jù)包上的差異，并且把足夠多的差異組合起來，以便精確地識(shí)別出一個(gè)系統(tǒng)的 OS版本 ?配置能力 ?擴(kuò)展性，新的 OS，版本不斷推出 ?定義一種配置語言或者格式 主動(dòng)棧指紋識(shí)別方法 ?常用的手段 ?給一個(gè)開放的端口發(fā)送 FIN包，有些操作系統(tǒng)有回應(yīng)，有的沒有回應(yīng) ?對(duì)于非正常數(shù)據(jù)包的反應(yīng) ? 比如，發(fā)送一個(gè)包含未定義 TCP標(biāo)記的數(shù)據(jù)包 ?根據(jù) TCP連接的序列號(hào)風(fēng)格 ? 尋找初始序列號(hào)之間的規(guī)律 ?ACK值 ? 有些系統(tǒng)會(huì)發(fā)送回所確認(rèn)的 TCP分組的序列號(hào)，有些會(huì)發(fā)回序列號(hào)加 1 ?TCP初始化窗口 ? 有些操作系統(tǒng)會(huì)使用一些固定的窗口大小 ?DF位 (Don39。于是，發(fā)送一個(gè) RST，停止建立連接 ?由于連接沒有完全建立，所以稱為“半開連接掃描” ?優(yōu)點(diǎn) ?很少有系統(tǒng)會(huì)記錄這樣的行為 ?缺點(diǎn) ?在 UNIX平臺(tái)上，需要 root權(quán)限才可以建立這樣的 SYN數(shù)據(jù)包 IP ID header aka “dump” 掃描 ?由 Antirez首先使用，并在 Bugtraq上公布 ?原理： ?掃描主機(jī)通過偽造第三方主機(jī) IP地址向目標(biāo)主機(jī)發(fā)起 SYN掃描，并通過觀察其 IP序列號(hào)的增長(zhǎng)規(guī)律獲取端口的狀態(tài) ?優(yōu)點(diǎn) ?不直接掃描目標(biāo)主機(jī)也不直接和它進(jìn)行連接，隱蔽性較好 ?缺點(diǎn) ?對(duì)第三方主機(jī)的要求較高 TCP Fin掃描 ?原理 ?掃描器發(fā)送一個(gè) FIN數(shù)據(jù)包 ? 如果端口關(guān)閉的，則遠(yuǎn)程主機(jī)丟棄該包，并送回一個(gè) RST包 ? 否則的話，遠(yuǎn)程主機(jī)丟棄該包，不回送 ?變種，組合其他的標(biāo)記 ?優(yōu)點(diǎn) ?不是 TCP建立連接的過程，所以比較隱蔽 ?缺點(diǎn) ?與 SYN掃描類似，也需要構(gòu)造專門的數(shù)據(jù)包 ?在 Windows平臺(tái)無效，總是發(fā)送 RST包 TCP XMAS掃描 ?原理 ?掃描器發(fā)送的 TCP包包頭設(shè)置所有標(biāo)志位 ? 關(guān)閉的端口會(huì)響應(yīng)一個(gè)同樣設(shè)置所有標(biāo)志位的包 ? 開放的端口則會(huì)忽略該包而不作任何響應(yīng) ?優(yōu)點(diǎn) ?比較隱蔽 ?缺點(diǎn) ?主要用于 UNIX/Linux/BSD的 TCP/IP的協(xié)議棧 ?不適用于 Windows系統(tǒng) 分片掃描 ?它本身并不是一種新的掃描方法，而是其他掃描技術(shù)的變種，特別是 SYN掃描和 FIN掃描 ?思想是，把 TCP包分成很小的分片，從而讓它們能夠通過包過濾防火墻 ?注意，有些防火墻會(huì)丟棄太小的包 ?而有些服務(wù)程序在處理這樣的包的時(shí)候會(huì)出現(xiàn)異常，或者性能下降，或者出現(xiàn)錯(cuò)誤 TCP ftp proxy掃描 ?FTP bounce attack ?原理 ?用 PORT命令讓 ftp server與目標(biāo)主機(jī)建立連接，而且目標(biāo)主機(jī)的端口可以指定 ?如果端口打開，則可以傳輸否則，返回 425 Can39。 ?構(gòu)造可能的內(nèi)部 IP地址列表，并向這些地址發(fā)送數(shù)據(jù)包。這種方法同樣可以探測(cè)目標(biāo)主機(jī)和網(wǎng)絡(luò)設(shè)備 高級(jí)主機(jī)掃描技術(shù) ?通過超長(zhǎng)包探測(cè)內(nèi)部路由器 ?若構(gòu)造的數(shù)據(jù)包長(zhǎng)度超過目標(biāo)系統(tǒng)所在路由器的 PMTU且設(shè)置禁止分片標(biāo)志 , 該路由器會(huì)反饋 Fragmentation Needed and Don’t Fragment Bit was Set差錯(cuò)報(bào)文。不同廠家的路由器和操作系統(tǒng)對(duì)這些錯(cuò)誤的處理方式不同，返回的結(jié)果也不同。通常這種探測(cè)包會(huì)并行發(fā)送，以提高探測(cè)效率 ?Broadcast
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1