【正文】 描的示意圖： 3. 端口掃描 目的 ?判斷目標主機開啟了哪些端口及其對應(yīng)的服務(wù) ?確定目標系統(tǒng)正在運行的 TCP/UDP服務(wù) ?在掃描時希望隱藏自己 掃描基礎(chǔ) ? TCP數(shù)據(jù)報首部標志域 ? TCP連接的建立過程 ? TCP連接的釋放過程 ? TCP/IP實現(xiàn)遵循的原則 TCP數(shù)據(jù)報首部標志域 (1) 6個比特標志位 ? SYN ?用來建立連接，同步雙方的序列號。 2. ARP掃描 ? ARP（ Address Resolution Protocol）即地址解析協(xié)議，它是用于局域網(wǎng)內(nèi)的物理地址。 ? 非交互式模式： ?Nslookup – DNS服務(wù)器或 IP地址 ?Nslookup ? ? //查看 help Nslookup 通過 nslookup獲得子域名 ? set querytype=any ? 輸入域名后根據(jù)輸出內(nèi)容找到dns服務(wù)器 primary name server = ? server 連接 DNS服務(wù)器 ? ls d 第三章 網(wǎng)絡(luò)掃描 主機發(fā)現(xiàn)技術(shù) 主機發(fā)現(xiàn)技術(shù)主要分三種： ? ping掃描 ? ARP掃描 ? 端口掃描 掃描 ? 確定哪些機器是 up的 ? 2種方式 ?ICMP ? 類似于 ping，發(fā)送 icmp消息給目標，看是否有返回 ?TCP ping ? 給目標特定的 tcp端口 (如常用的 80)發(fā)送 ack消息，如果返回 rst，說明機器 up。 舉例 2： Pingwar ——群 ping. ARP探測 AR P請求廣播ARP回應(yīng)A R P 請 求 廣 播ARP請求廣播能探測同一局域網(wǎng)內(nèi)的主機，因為防火墻不能阻斷 ARP請求。 ? TTL=32， TTL是生存時間，報文經(jīng)過一個路由器就減 1，如果減到 0就會被拋棄。 ? bytes=32 表示回應(yīng)報文的大小，這里是 32字節(jié)。 ?原理 主機A 主機BType = 8 Type = 0 ping 類型為 8，表示“回響請求” 類型為 0，表示“回響應(yīng)答” 回顯請求類型8回顯應(yīng)答代碼0類型0 代碼0校驗和校驗和主機在線情況 回顯請求類型8 代碼0 校驗和不在線主機不應(yīng)答情況 1）主機不在線 2）防火墻阻斷 ICMP探測 ping 表示 ； 或者防火墻阻斷。 ? tracert ：用 IP生存時間 TTL字段和 ICMP錯誤消息來確定從一個主機到網(wǎng)絡(luò)上其他主機的路由。 ? 對于“黑客”來說，這是個很有用的功能，他可以大概分析出你所在網(wǎng)絡(luò)的狀況。 動態(tài)域名解析 ? ? . 代表商業(yè)性公司 ? Yahoo代表公司名字 ? 代表 yahoo公司的一臺服務(wù)器 路由跟蹤 ? 概念 路由跟蹤就是從本地開始到達某一目標地址所經(jīng)過的路由設(shè)備，并顯示出這些路由設(shè)備的 IP、連接時間等信息。 ? 域名解析： 域名到 IP地址的轉(zhuǎn)換過程。 如： 域名解析 ? 域名： 為了方便記憶而專門建立的一套地址轉(zhuǎn)換系統(tǒng)。 ? 舉例 1： 首先打開 ，然后輸入“ allinurl:login‖； 我們選中其中的一個“ 打開； 搜索此站“ site:‖的二級域名網(wǎng)站； 看一下有沒有 pdf電子文檔，“ site: filetype:pdf‖ ； 輸入“ info:‖，查到該網(wǎng)站的基本信息。 還有一些符號在搜索中也是很有用的： ? + 必須包含有的搜索詞； ? 不能包含的搜索詞； ? ~ 搜索同意詞； ? . 單一通配符； ? * 通配符，可匹配多個字符； ? “” 精確的查詢。 ? define: 查找詞語的定義，例如：輸入“ define hacker‖，即可找到“ hacker‖的相關(guān)定義。 ? allintitle: 與 intitle類似。 ? allintext: 與 intext類似。它包括 信息搜集 、 信息整理 和 用戶查詢 三部分。信息只有及時、迅速地提供給它的使用者才能有效地發(fā)揮作用。 （ 2）全面性原則 該原則要求所搜集到的信息要廣泛，全面完整。 ? 為了保證信息收集的質(zhì)量，應(yīng)堅持以下原則： （ 1）準確性原則 該原則要求所收集到的信息要真實，可靠。信息收集是信息得以利用的第一步，也是關(guān)鍵的一步。 POP3命令摘要如表所示。作為傳輸協(xié)議的 POP3 使用 TCP 的 110端口。一旦郵件發(fā)送到 PC 機或 Mac 上，郵件服務(wù)器上的郵件將會被刪除。其具體過程是：郵件發(fā)送到服務(wù)器上，電子郵件客戶端調(diào)用郵件客戶機程序以連接服務(wù)器，并下載電子郵件的電子協(xié)議。 POP3 傳輸過程發(fā)生在站與站之間，其中傳輸?shù)南⒖梢允侵噶?，也可以是?yīng)答。 ? POP3協(xié)議 ? POP 協(xié)議允許工作站動態(tài)訪問郵件服務(wù)器上的郵件，目前已發(fā)展到第三版，稱為 POP3。 UNIX、 MVS、 VMS、基于Windows 的操作系統(tǒng)以及基于 Novell NetWare的操作系統(tǒng)都可以通過 SMTP來在 TCP/IP上交換電子郵件。 ? DNS使用查找表格來將二者的值關(guān)聯(lián)起來。 3. 網(wǎng)絡(luò)協(xié)議 TCP/IP體系結(jié)構(gòu) 應(yīng) 用 層表 示 層會 話 層傳 輸 層網(wǎng) 絡(luò) 層數(shù) 據(jù) 鏈 路 層物 理 層應(yīng) 用 層傳 輸 層網(wǎng) 際 層數(shù) 據(jù) 鏈 路 層I S O / O S I 七 層 模 型T C P / I P 四 層 模 型 IP協(xié)議 版 本I P 包 頭 長度 ( I H L )服 務(wù) 類 型（ T O S ）長 度標 識 符 標 志 段 偏 移 量生 命 周 期（ T T L ）協(xié) 議 校 驗 和源 地 址目 的 地 址選 項 和 填 充頭 和 數(shù) 據(jù) 負 載 TCP協(xié)議 源 端 口 目 的 端 口序 列 號確 認 號偏 移 量 未 使 用標 志 /控 制窗 口校 驗 和 緊 急 指 示 符選 項 和 填 充數(shù) 據(jù) 負 載 UDP協(xié)議 源 端 口 目 的 端 口長 度 校 驗 和數(shù) 據(jù) 負 載 ARP協(xié)議和 RARP協(xié)議 IP?MAC MAC?IP ICMP協(xié)議 Inter控制報文協(xié)議（ ICMP）允許主機或路由器報告差錯情況和提供有關(guān)異常情況的報告。 ? 網(wǎng)絡(luò)安全通信協(xié)議 要構(gòu)建一個縱深的網(wǎng)絡(luò)防御體系，各種技術(shù)所構(gòu)成的子系統(tǒng)建的信息交互是不可避免的。 ? 反擊 反擊是對網(wǎng)絡(luò)攻擊者進行反向的攻擊。主要包括對數(shù)據(jù)的備份，以及對系統(tǒng)的備份。 ? 恢復 及時地恢復系統(tǒng)，使系統(tǒng)能盡快正常地對外提供服務(wù)，是降低網(wǎng)絡(luò)攻擊造成損失的有效途徑。要求在檢測到網(wǎng)絡(luò)攻擊后及時地阻斷網(wǎng)絡(luò)攻擊，或者將網(wǎng)絡(luò)攻擊引誘到其它的主機上，使網(wǎng)絡(luò)攻擊不能對信息系統(tǒng)造成進一步的破壞。主要用到的技術(shù)有入侵檢測技術(shù)、網(wǎng)絡(luò)實時監(jiān)控技術(shù)和網(wǎng)絡(luò)安全掃描技術(shù)等。這里的手段一般指靜態(tài)的防護手段，包括：防火墻、防病毒、虛擬專用網(wǎng)、操作系統(tǒng)安全增強等。 ?情報收集分析預警：綜合分析通過各種途徑收集來的情報判斷是否有發(fā)生網(wǎng)絡(luò)攻擊的可能性。 ?行為預警：分析網(wǎng)絡(luò)黑客的各種行為來發(fā)現(xiàn)其可能要進行的網(wǎng)絡(luò)攻擊。 網(wǎng)絡(luò)主動防御系統(tǒng)體系結(jié)構(gòu) 網(wǎng)絡(luò)主動防御安全模型＋ 縱深防御策略 人 員 安 全 管 理政 策 安 全 管 理其 他 安 全 管 理安 全 管 理策 略管 理縱深防御策略安全技術(shù)管理網(wǎng)絡(luò)安全通信協(xié)議漏 洞預 警行 為預 警攻 擊 趨勢 預 警情 況 收 集 分 析 預 警預 警可 用 性保 護機 密 性保 護完 整 性保 護可 控 性保 護保 護不 可 抵 賴性 保 護入 侵 檢 測 信 息 流 監(jiān) 控 漏 洞 檢 測檢 測阻 斷 攻 擊 誘 騙 攻 擊 攻 擊 源 定 位 攻 擊 取 證響 應(yīng)數(shù) 據(jù) 備 份 恢 復 系 統(tǒng) 備 份 恢 復恢 復探 測 類 攻 擊阻 塞 類 攻 擊 漏 洞 類 攻 擊控 制 類 攻 擊反 擊欺 騙 類 攻 擊病 毒 類 攻 擊技術(shù)層面 ? 預警 預警是對可能發(fā)生的網(wǎng)絡(luò)攻擊給出預先的警告。 Step6： 網(wǎng)絡(luò) 反擊 是防護流程的最后一步，也是重要的一步。 電子取證： 綜合利用以上信息，根據(jù)獲得的網(wǎng)絡(luò)攻擊者的詳細信息進行電子取證，為法律起訴和網(wǎng)絡(luò)反向攻擊提供法律憑證。 網(wǎng)絡(luò)攻擊誘騙： 顯著提高網(wǎng)絡(luò)攻擊的代價，并可以將網(wǎng)絡(luò)攻擊流量引導到其他主機上。 網(wǎng)路僚機： 如蜜罐系統(tǒng)。 Step4:只有及時的 響應(yīng) 才能使網(wǎng)絡(luò)攻擊造成的損失降到最低。入侵檢測檢測到網(wǎng)絡(luò)入侵行為后要及時通知其他的防護手段，比如防火墻、網(wǎng)絡(luò)監(jiān)控、網(wǎng)絡(luò)攻擊響應(yīng)等。 Step3： 檢測 手段包括入侵檢測、網(wǎng)絡(luò)監(jiān)控和網(wǎng)絡(luò)系統(tǒng)信息和漏洞信息檢測等。 技術(shù) 操作 人 縱深防御策略的防護流程 Step1： 根據(jù)對已經(jīng)發(fā)生的網(wǎng)絡(luò)攻擊或正在發(fā)生的網(wǎng)絡(luò)攻擊及其趨勢的分析，以及對本地網(wǎng)絡(luò)的安全性分析， 預警 對可能發(fā)生的網(wǎng)絡(luò)攻擊提出警告。 ? 網(wǎng)絡(luò)內(nèi)部的攻擊比外部攻擊要容易，其危害更大。 ? 層與層之間必須進行信息交互，也可跨層進行信息交互，信息的交互需要利用安全的網(wǎng)絡(luò)通信協(xié)議進行。 縱深防御策略 網(wǎng) 絡(luò) 安 全 通 信預警保護檢測響應(yīng)恢復反擊縱深防御策略描述如下： ? 網(wǎng)絡(luò)安全首先是網(wǎng)絡(luò)管理的安全，這包括對技術(shù)管理的安全、對人員管理的安全和對政策管理的安全。 ? 對政策的管理 ——包括政策的制定、執(zhí)行和改進等。 網(wǎng)絡(luò)主動防御安全模型 反 擊預 警保 護檢 測響 應(yīng)恢 復管 理策 略? 管理 ——對技術(shù)的管理、對人的管理、對政策的管理 ? 對技術(shù)的管理 ——通過策略進行，以使各種安全技術(shù)能成為一個有機的整體，從而提高系統(tǒng)的整體防護能力。 ? “網(wǎng)絡(luò)防御作戰(zhàn)”的成熟研究，是網(wǎng)絡(luò)戰(zhàn)盡早達到“攻防平衡”的前提和基礎(chǔ)。 ? 抗議或宣示，如 2022年 5月 1日中美黑客大戰(zhàn)，中美兩國的黑客相互攻擊對方網(wǎng)站，雙方均有數(shù)以千計的網(wǎng)站遭到攻擊，輕者被篡改主頁面，嚴重的則整個系統(tǒng)遭受毀滅性打擊。 ? 竊取數(shù)據(jù)，可能是偷取硬盤中的文件或各種上網(wǎng)密碼，然后從事各種商業(yè)應(yīng)用。 遠程攻擊的動機分析和一般流程 ？ ? 想要在別人面前炫耀自己的技術(shù)，如進入別人的電腦去修改一個文件或目錄名。 ? 同步漏洞攻擊： 利用程序在處理同步操作時的缺陷，如競爭狀態(tài)、信號處理等問題，以獲得更高權(quán)限的訪問。 ? 輸入驗證攻擊： 針對程序未能對輸入進行有效的驗證的安全漏洞，使得攻擊者能夠讓程序執(zhí)行指令的命令。如Windows平臺下的 CodeRed、 Blaster、 Sasser等都是通過緩沖區(qū)溢出攻擊獲得系統(tǒng)管理員權(quán)限后進行傳播。如 Syn Flood攻擊等。 ? 帶寬耗盡攻擊的本質(zhì)是攻擊者通過放大等技巧消耗掉目標網(wǎng)絡(luò)的所有帶寬，如 Smurf攻擊等。 ?資源耗盡型： 通過大量消耗資源使得攻擊目標由于資源耗盡不能提供正常的服務(wù)。拒絕服務(wù)攻擊的類型按其攻擊形式分為： ?導致異常型： 利用軟硬件實現(xiàn)上的編程缺陷，導致其出現(xiàn)異常，從而使其拒絕服務(wù)。 ? 拒絕服務(wù)： 指終端或者完全拒絕對合法用戶、網(wǎng)絡(luò)、系統(tǒng)和其他資源的服務(wù)的攻擊方法，其意圖就是徹底破壞，這也是比較容易實現(xiàn)的攻擊方法。 ?網(wǎng)絡(luò)欺騙： 攻擊者通過向攻擊目標發(fā)送冒充其信任主機的網(wǎng)絡(luò)數(shù)據(jù)包，達到獲取訪問權(quán)或執(zhí)行命令的攻擊方法。如 Win32平臺的 LOphtcrack等。針對一些弱口令進行猜測。 ? 獲取密碼文件： 攻擊者進行口令破解獲取特權(quán)用戶或其他用戶口令的必要前提。如 Win32平臺下的 sniffer等免費工具， Unix平臺下的 libpcap網(wǎng)絡(luò)監(jiān)聽工具庫。如 PCAgent等。 探 測攻 擊隱 藏踩 點掃 描查 點竊 聽欺 騙拒 絕 服 務(wù)數(shù) 據(jù) 驅(qū) 動 攻 擊鍵 擊 記 錄網(wǎng) 路 監(jiān) 聽非 法 訪 問 數(shù) 據(jù)攫 取 密 碼 文 件獲 取 口 令惡 意 代 碼網(wǎng) 絡(luò) 欺 騙導 致 異 常 型資 源 耗 盡 型欺 騙 型緩 沖 區(qū) 溢 出格 式 化 字 符 串 攻 擊輸 入 驗 證 攻 擊同 步 漏 洞 攻 擊信 任 漏 洞 攻 擊日 志 清 理安 裝 后 門內(nèi) 核 套 件圖 攻擊分類 就目前常見的攻擊，大致可以分為幾大類（參見圖 1）： ? 竊聽： 指攻擊者通過非法手段對系統(tǒng)活動的監(jiān)視從而獲得一些安全關(guān)鍵信息。