（高职）7.扫描探测技术ppt课件.pptx
7.扫描探测技术2 扫描器探测技术高等教育出版社-电子商务安全实务第二版3 网络扫描是利用TCP/IP协议标准和TCP/IP协议在各种操作系统中不同的实现，通过向北扫描的对象发送含有不同信息的数据报，根据被扫描对象的不同响应来获取被扫描对象系统信息的一种信息采集技术 扫描技术4扫描类型 Ping扫描 端口扫描 漏洞扫描5 这是最基本的一种扫描方式，扫描最基本的步骤是在一定的IP范围内执行PING扫描，以此来检测目标主机在IP级上是否可连通,可以用来判断某个IP地址是否有活动的主机,或者是某个主机是否在线。PING命令用于向目标系统发送ICMP回应请求报文（ICMP echo request）,并等待返回ICMP回应应答（ICMP echo reply）,然后打印出回显报文。扫描类型 ping扫描6 使用漏洞扫描器对目标系统进行信息查询，检查目标系统中可能包含的已知漏洞，从而发现系统中存在的不安全地方。其原理是采用基于规则的匹配技术，通过漏洞库匹配的方法来检查目标设备是否存在漏洞漏洞扫描主要包括：CGI、POP3、FTP、HTTP和SSH漏洞扫描等。扫描类型 漏洞扫描7 “端口扫描”通常是指发送特定类型的TCP/UDP报文给所要扫描的服务器的特定端口,诱发服务器发送响应报文,从服务器返回的响应报文来推断出服务器特定端口的当前状态,用于帮助黑客侦测出网络中某台主机上开发的端口和提供的服务,确定运行在目标系统上的TCP服务和UDP服务。扫描类型 端口扫描8端口扫描技术 TCP Connect扫描 TCP SYN扫描 TCP FIN扫描 UDP扫描 TCP ACK扫描 FTP代理扫描 9 TCP connect 扫描也称全连接扫描，是最基本的TCP扫描方式。使用系统提供的connect ()函数去连接目标主机的指定端口，完成一次完整的TCP三次握手连接建立过程，如图所示。如果目标端口正处于监听状态,Connect( )就成功返回;否则,返回-1,表示端口关闭不可访问。端口扫描技术（1）TCP Connect扫描10TCP SYN扫描实现的过程：扫描器向远程主机的端口发送一个请求连接的SYN数据报文，如果没有得到目标主机的SYN/ACK确认报文，而是RST数据报文，则说明远程主机的这个端口没有打开。而如果收到远程主机的SYN/ACK应答，则表明远程主机的端口是开放的。优点优点：其扫描过程更加隐蔽，在被扫描方不会留下日志记录其扫描过程更加隐蔽，在被扫描方不会留下日志记录端口扫描技术（2）TCP SYN扫描11TCP FIN扫描也称为“隐蔽扫描”技术，实现过程：TCP FIN扫描向目标主机特定端口发送一个包含FIN标志的TCP包来探测端口。如果探测的端口处于关闭状态，则目标主机返回一个RST信号；如果探测的端口处于侦听状态，则目标主机会忽略对FIN数据包的回复，即目标主机不会返回RST信号。优点是比较隐蔽，不易被记录追踪，但通常用于优点是比较隐蔽，不易被记录追踪，但通常用于UNIXUNIX系统及系统及其他少数系统，对其他少数系统，对WindowsWindows系统不适用系统不适用端口扫描技术（3）TCP FIN扫描12多数UDP端口扫描的方法就是向各个被扫描的UDP端口发送零字节的UDP数据包，如果收到一个ICMP unreachable的回应，那么则认为这个端口是关闭的，对于没有回应的端口则认为是开放的。但是如果目标主机安装有防火墙或其它可以过滤数据包的软硬件，那么发出UDP数据包后，将可能得不到任何回应，我们将会见到所有的被扫描端口都是开放的。端口扫描技术（4）UDP扫描13TCP ACK扫描主要是用来侦测被扫描对象是否有防火墙或者包过滤装置的保护。它向目标主机的特定端口发送ACK标记位设置的数据包。如果没有RST报文段返回,则被扫描对象的该特定端口被防火墙过滤；如果RST报文段返回或返回一个ICMP unreachable,则表示防火墙没有过滤该端口端口扫描技术（5）TCP ACK扫描14FTP的工作原理端口扫描技术（6）FTP代理扫描15人们利用FTP服务器发送文件到互联网的任何地方，FTP代理扫描正是利用这个缺陷,使用支持代理的FTP服务器来扫描TCP端口。借助FTP服务器作为中介来扫描目标主机,被称为FTP返回攻击。FTP返回攻击中首先让FTP Server与目标主机建立连接,而且目标主机的端口可以指定,如果端口打开,则可以传输;否则,返回“425 Cant build data connection:Connection refused”。FTP的这个缺陷还可以被用来向目标邮件或新闻传送匿名信息。端口扫描技术（6）FTP代理扫描16代理FTP连接端口扫描技术（6）FTP代理扫描17常用扫描器（1）扫描器原理18按扫描过程、扫描目标分析，一次完整的网络安全扫描过程主要分为三个阶段:第一阶段:发现目标主机或网络。第二阶段:发现目标后进一步搜集目标信息,包括操作系统类型、运行的服务以及服务软件的版本等。第三阶段:根据收集到的信息判断或者进一步测试系统是否存在安全漏洞常用扫描器（1）扫描器原理19常用扫描器NmapNmap -常被用于允许管理员查看网络系统中有哪些主机及其上运行何种服务。支持多种协议的扫描,如UDP、TCPconnect、TCP SYN、FTP代理等。 语法格式： Nmap扫描类型 扫描选项 扫描目标X-ScanX-Scan -是一个集“端口扫描”、“PING”、“主机名解析”于一体的扫描器。其主要功能:通过PING来检验IP是否在线；IP和域名相互转换；检验目标计算机提供的服务类别；检验一定范围目标计算机是否在线和端口情况；工具自定义列表检验目标计算机是否在线和端口情况；自定义要检验的端口,并可以保存为端口列表文件； 软件自带一个木马端口列表trojans.lst,通过这个列表可以检测目标计算机是否有木马;同时,也可以自己定义修改这个木马端口列表。PortscanPortscan -可以用于扫描目的主机的开放端口,并猜测目的主机的操作系统。支持Edge、Wi-Fi和3G网络
