[精选]第10章安全扫描技术.pptx

《[精选]第10章安全扫描技术.pptx》由会员分享，可在线阅读，更多相关《[精选]第10章安全扫描技术.pptx（41页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、1 110.1安全威胁分析10.1.110.1.1入侵行为分析入侵行为分析怎样才算是受到了黑客的入侵和攻击呢？怎样才算是受到了黑客的入侵和攻击呢？狭义的定义认为：攻击仅仅发生在入侵行为完成且入侵者已经在其目标网络狭义的定义认为：攻击仅仅发生在入侵行为完成且入侵者已经在其目标网络中。中。广义的定义认为：使网络受到入侵和破坏的所有行为都应被称为广义的定义认为：使网络受到入侵和破坏的所有行为都应被称为“攻击。攻击。本书采用广义的定义，即认为当入侵者试图在目标机上本书采用广义的定义，即认为当入侵者试图在目标机上“工作的那个时刻工作的那个时刻起，攻击就已经发生了。起，攻击就已经发生了。下面我们从以下几个

2、方面对入侵行为进行分析：下面我们从以下几个方面对入侵行为进行分析：1 1入侵目的入侵目的n n执行过程执行过程n n获取文件和数据获取文件和数据n n获取超级用户权限获取超级用户权限n n进行非授权操作进行非授权操作n n使用系统拒绝效劳使用系统拒绝效劳n n篡改信息篡改信息n n披露信息披露信息2 22 2实施入侵的人员实施入侵的人员n n伪装者：未经授权使用计算机者或者绕开系统访问机制获得合法用户账户伪装者：未经授权使用计算机者或者绕开系统访问机制获得合法用户账户权限者。权限者。n n违法者：未经授权访问数据库、程序或资源的合法用户，或者是具有访问违法者：未经授权访问数据库、程序或资源的合

3、法用户，或者是具有访问权限错误使用其权利的用户。权限错误使用其权利的用户。n n秘密用户：拥有账户管理权限者，利用这种机制来逃避审计和访问数据库，秘密用户：拥有账户管理权限者，利用这种机制来逃避审计和访问数据库，或者禁止收集审计数据的用户。或者禁止收集审计数据的用户。3 3入侵过程中的各个阶段和各个阶段的不同特点入侵过程中的各个阶段和各个阶段的不同特点n n窥探设施窥探设施顾名思义也就是对环境的了解，目的是要了解目标采用的是什么操作系统，顾名思义也就是对环境的了解，目的是要了解目标采用的是什么操作系统，哪些信息是公开的，有何价值等问题，这些问题的答案对入侵者以后将要哪些信息是公开的，有何价值等

4、问题，这些问题的答案对入侵者以后将要发动的攻击起着至关重要的作用。发动的攻击起着至关重要的作用。n n攻击系统攻击系统在窥探设施的工作完成后，入侵者将根据得到的信息对系统发动攻击。攻在窥探设施的工作完成后，入侵者将根据得到的信息对系统发动攻击。攻击系统分为对操作系统的攻击、针对应用软件的攻击和针对网络的攻击三击系统分为对操作系统的攻击、针对应用软件的攻击和针对网络的攻击三个层次。个层次。n n掩盖踪迹掩盖踪迹入侵者会千方百计的防止自己被检测出来。入侵者会千方百计的防止自己被检测出来。3 310.1.210.1.2安全威胁分析安全威胁分析计算机面临的安全威胁有来自计算机系统外部的，也有来计算机面

5、临的安全威胁有来自计算机系统外部的，也有来自计算机系统内部的。自计算机系统内部的。来自计算机系统外部的威胁主要有：来自计算机系统外部的威胁主要有：n n自然灾害、意外事故；自然灾害、意外事故；n n计算机病毒计算机病毒n n人为行为，比方使用不当、安全意识差等；人为行为，比方使用不当、安全意识差等；n n“黑客行为：由于黑客的入侵或侵扰，比方非法访问、拒绝效劳、黑客行为：由于黑客的入侵或侵扰，比方非法访问、拒绝效劳、非法连接等；非法连接等；n n内部泄密内部泄密n n外部泄密外部泄密n n信息丧失信息丧失n n电子谍报，比方信息流量分析、信息窃取等；电子谍报，比方信息流量分析、信息窃取等；n

6、n信息战；信息战；4 4计算机系统内部存在的安全威胁主要有：计算机系统内部存在的安全威胁主要有：n n操作系统本身所存在的一些缺陷；操作系统本身所存在的一些缺陷；n n数据库管理系统安全的脆弱性；数据库管理系统安全的脆弱性；n n管理员缺少安全方面的知识，缺少安全管理的技术标准，缺少定期的安管理员缺少安全方面的知识，缺少安全管理的技术标准，缺少定期的安全测试与检查；全测试与检查；n n网络协议中的缺陷，例如网络协议中的缺陷，例如TCP/IPTCP/IP协议的安全问题；协议的安全问题；n n应用系统缺陷，等等；应用系统缺陷，等等；在此，我们关注的重点是来自计算机系统外部的黑客的攻击和入侵。在此，

7、我们关注的重点是来自计算机系统外部的黑客的攻击和入侵。5 5攻击的分类方法是多种多样的。这里根据入侵者使用的攻击的分类方法是多种多样的。这里根据入侵者使用的方式和手段，将攻击进行分类。方式和手段，将攻击进行分类。n n口令攻击口令攻击抵抗入侵者的第一道防线是口令系统。几乎所有的多用抵抗入侵者的第一道防线是口令系统。几乎所有的多用户系统都要求用户不但提供一个名字或标识符户系统都要求用户不但提供一个名字或标识符IDID，而且，而且要提供一个口令。口令用来鉴别一个注册系统的个人要提供一个口令。口令用来鉴别一个注册系统的个人IDID。在。在实际系统中，入侵者总是试图通过猜测或获取口令文件等方实际系统中

8、，入侵者总是试图通过猜测或获取口令文件等方式来获得系统认证的口令，从而进入系统。入侵者登陆后，式来获得系统认证的口令，从而进入系统。入侵者登陆后，便可以查找系统的其他安全漏洞，来得到进一步的特权。为便可以查找系统的其他安全漏洞，来得到进一步的特权。为了防止入侵者轻易的猜测出口令，用户应防止使用不安全的了防止入侵者轻易的猜测出口令，用户应防止使用不安全的口令。口令。有时候即使好的口令也是不够的，尤其当口令需要穿过有时候即使好的口令也是不够的，尤其当口令需要穿过不安全的网络时将面临极大的危险。很多的网络协议中是以不安全的网络时将面临极大的危险。很多的网络协议中是以明文的形式传输数据，如果攻击者监听

9、网络中传送的数据包，明文的形式传输数据，如果攻击者监听网络中传送的数据包，就可以得到口令。在这种情况下，一次性口令是有效的解决就可以得到口令。在这种情况下，一次性口令是有效的解决方法。方法。6 6l l 拒绝效劳攻击拒绝效劳攻击拒绝效劳站拒绝效劳站DOSDOSDenialofServicesDenialofServices使得目标系统无法提供使得目标系统无法提供正常的效劳，从而可能给目标系统带来重大的损失。值得关注的是，现正常的效劳，从而可能给目标系统带来重大的损失。值得关注的是，现实情况中破坏一个网络或系统的运行往往比取得访问权容易得多。像实情况中破坏一个网络或系统的运行往往比取得访问权容易

10、得多。像TCP/IPTCP/IP之类的网络互联协议是按照在彼此开放和信任的群体中使用来之类的网络互联协议是按照在彼此开放和信任的群体中使用来设计的，在现实环境中表现出这种理念的内在缺陷。此外，许多操作系设计的，在现实环境中表现出这种理念的内在缺陷。此外，许多操作系统和网络设备的网络协议栈也存在缺陷，从而削弱了抵抗统和网络设备的网络协议栈也存在缺陷，从而削弱了抵抗DOSDOS攻击的攻击的能力。能力。下面介绍下面介绍4 4种常见的种常见的DOSDOS攻击类型及原理。攻击类型及原理。1 1带宽耗用带宽耗用bandwidth-consumptionbandwidth-consumption：其本质是攻

11、击者消：其本质是攻击者消耗掉通达某个网络的所有可用带宽。耗掉通达某个网络的所有可用带宽。2 2资源耗竭资源耗竭resource-starvationresource-starvation：一般地说，它涉及诸如：一般地说，它涉及诸如CPUCPU利用率、内存、文件系统限额和系统进程总数之类系统资源的消耗。利用率、内存、文件系统限额和系统进程总数之类系统资源的消耗。3 3编程缺陷编程缺陷programmingflawprogrammingflaw：是应用程序、操作系统或：是应用程序、操作系统或嵌入式嵌入式CPUCPU在处理异常文件上的失败。在处理异常文件上的失败。4 4路由和路由和DNSDNS攻击：

12、基于路由的攻击：基于路由的DOSDOS攻击涉及攻击者操纵路由表攻击涉及攻击者操纵路由表项以拒绝对合法系统或网络提供效劳。项以拒绝对合法系统或网络提供效劳。7 7l l利用型攻击利用型攻击利用型攻击是一种试图直接对主机进行控制的攻击。它有两种主要利用型攻击是一种试图直接对主机进行控制的攻击。它有两种主要的表现形式：特洛伊木马和缓冲区溢出。的表现形式：特洛伊木马和缓冲区溢出。1 1特洛伊木马：外表看是有用的软件工具，而实际上却在启动特洛伊木马：外表看是有用的软件工具，而实际上却在启动后暗中安装破坏性的软件。后暗中安装破坏性的软件。2 2缓冲区溢出攻击缓冲区溢出攻击BufferOverflowBuf

13、ferOverflow：通过往程序的缓冲区：通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行一段恶意代码，以到达攻击的目的。序转而执行一段恶意代码，以到达攻击的目的。l l信息收集型攻击信息收集型攻击信息收集型攻击并不直接对目标系统本身造成危害，它是为进一步信息收集型攻击并不直接对目标系统本身造成危害，它是为进一步的入侵提供必须的信息，这种攻击手段大局部在黑客入侵三部曲中的第的入侵提供必须的信息，这种攻击手段大局部在黑客入侵三部曲中的第一步一步窥探设施时使用。窥探设施时使用。8 8l l假消

14、息攻击假消息攻击攻击者用配备不正确的消息来欺骗目标系统，以到达攻击的目的。攻击者用配备不正确的消息来欺骗目标系统，以到达攻击的目的。常见的假消息攻击形式有以下几种。常见的假消息攻击形式有以下几种。1 1电子邮件欺骗：对于大局部普通因特网用户来说，电子邮件电子邮件欺骗：对于大局部普通因特网用户来说，电子邮件效劳是他们使用的最多的网络效劳之一。常见的通过电子邮件的攻击效劳是他们使用的最多的网络效劳之一。常见的通过电子邮件的攻击方法有：隐藏发信人的身份，发送匿名或垃圾信件；使用用户熟悉的方法有：隐藏发信人的身份，发送匿名或垃圾信件；使用用户熟悉的人的电子邮件地址骗取用户的信任；通过电子邮件执行恶意的

15、代码。人的电子邮件地址骗取用户的信任；通过电子邮件执行恶意的代码。2 2IPIP欺骗：欺骗：IPIP欺骗的主要动机是隐藏自己的欺骗的主要动机是隐藏自己的IPIP地址，防止被跟地址，防止被跟踪。踪。3 3WebWeb欺骗：由于欺骗：由于InternetInternet的开放性，任何用户都可以建立的开放性，任何用户都可以建立自己的自己的WebWeb站点，同时并不是每个用户都了解站点，同时并不是每个用户都了解WebWeb的运行规则。常见的运行规则。常见的的WebWeb欺骗的形式有：使用相似的域名；改写欺骗的形式有：使用相似的域名；改写 URLURL、WebWeb会话挟持会话挟持等。等。4 4DNSD

16、NS欺骗：修改上一级欺骗：修改上一级DNSDNS效劳记录，重定向效劳记录，重定向DSNDSN请求，请求，使受害者获得不正确的使受害者获得不正确的IPIP地址地址9 9安全扫描技术概论n n安全扫描技术是指手工的或使用指定的软件工具-安全扫描器，对系统脆弱点进行评估，寻找对系统扫成损害的安全漏洞。n n扫描可以分为系统扫描和网络扫描两个方面，系统扫描侧重主机系统的平台安全性以及基于此平台的系统安全性，而网络扫描则侧重于系统提供的网络应用和效劳以及相关的协议分析。1010扫描的目的n n扫描的主要目的是通过一定的手段和方法发现系统或网络存在的隐患，以利于己方及时修补或发动对敌方系统的攻击。n n同

17、时，自动化的安全扫描器要对目标系统进行漏洞检测和分析，提供详细的漏洞描述，并针对安全漏洞提出修复建议和安全策略，生成完整的安全性分析报告，为网路管理完善系统提供重要依据。1111安全扫描器的类型安全扫描其主要有两种类型：1本地扫描器或系统扫描器：扫描器和待检系统运行于统一结点，进行自身检测。2远程扫描器或网络扫描器：扫描器和待检查系统运行于不同结点，通过网络远程探测目标结点，寻找安全漏洞。12123网络扫描器通过网络来测试主机安全性，它检测主机当前可用的效劳及其开放端口，查找可能被远程试图恶意访问者攻击的大量众所周知的漏洞，隐患及安全脆弱点。甚至许多扫描器封装了简单的密码探测，可自设定规则的密

18、码生成器、后门自动安装装置以及其他一些常用的小东西，这样的工具就可以称为网络扫描工具包,也就是完整的网络主机安全评价工具比方鼻祖SATAN和国内最负盛名的流光13134.系统扫描器用于扫描本地主机，查找安全系统扫描器用于扫描本地主机，查找安全漏洞，查杀病毒，木马，蠕虫等危害系统安全的恶漏洞，查杀病毒，木马，蠕虫等危害系统安全的恶意程序，此类非本文重点，因此不再祥细分析意程序，此类非本文重点，因此不再祥细分析5.另外还有一种相对少见的数据库扫描器，比方ISS公司的DatabaseScanner，工作机制类似于网络扫描器，主要用于检测数据库系统的安全漏洞及各种隐患。1414扫描技术工具n n信息收

19、集是入侵及安全状况分析的基础，传统地手工收集信息收集是入侵及安全状况分析的基础，传统地手工收集信息耗时费力，于是扫描工具出现了，它能依照程序设定信息耗时费力，于是扫描工具出现了，它能依照程序设定自动探测及开掘规则内的漏洞，是探测系统缺陷的安全工自动探测及开掘规则内的漏洞，是探测系统缺陷的安全工具。具。1515扫描器主要功能n n1端口及效劳检测检测目标主机上开放端口及运行的效劳，并提示安全隐患的可能存在与否n n2后门程序检测检测PCANYWAYVNCBO2K冰河等等远程控制程序是否有存在于目标主机n n3密码探测检测操作系统用户密码，FTP、POP3、Telnet等等登陆或管理密码的脆弱性1

20、616n n4D.o.S探测检测各种拒绝效劳漏洞是否存在n n5系统探测检测系统信息比方NT注册表，用户和组，网络情况等n n6输出报告将检测结果整理出清单报告给用户，许多扫描器也会同时提出安全漏洞解决方案n n7用户自定义接口一些扫描器允许用户自己添加扫描规则，并为用户提供一个便利的接口，比方俄罗斯SSS的BaseSDK1717系统扫描如何提高系统安全性n n安全扫描器可以通过两种途径提高系统安全性。n n一是提前警告存在的漏洞，从而预防入侵和误用n n二是检查系统中由于受到入侵或操作失误而造成的新漏洞。1818本地扫描器本地扫描器分析文件的内容，查找可能存在的配本地扫描器分析文件的内容，查

21、找可能存在的配置问题。由于本地扫描器实际上是运行于目标结置问题。由于本地扫描器实际上是运行于目标结点上的进程，具有以下几个特点：点上的进程，具有以下几个特点：l可以在系统上任意创立进程。为了运行某些程序，检测缓冲区溢出攻击，要求扫描器必须做到这一点。l可以检查到安全补丁一级，以确保系统安装了最新的安全解决补丁。l可以通过在本地查看系统配置文件，检查系统的配置错误。1919本地扫描器对Unix系统，需要进行以下工程的检查：系统完整性检查关键系统文件变化检测用户账户变化检测黑客入侵标记检测未知程序版本不常见文件名可疑设备文件未经授权效劳弱口令选择检测有安全漏洞程序版本检测标记可被攻击程序报告需要安

22、装的安全补丁检查系统配置安全性全局信任文件2020crontabcrontab文件文件rcrc系统启动文件系统启动文件文件系统文件系统mountmount权限权限打印效劳打印效劳账户配置账户配置组配置组配置检查网络效劳安全性检查网络效劳安全性是否允许是否允许IPIP转发转发标记有风险效劳标记有风险效劳FTPFTP配置配置newsnews效劳器配置效劳器配置NFSNFS配置配置本地扫描器对Unix系统，需要进行以下工程的检查：2121本地扫描器对Unix系统，需要进行以下工程的检查：邮件效劳器配置检查用户环境变量安全性系统文件属主系统文件权限许可文件属主及权限许可sell启动文件用户信任文件应用

23、程序配置文档其他2222本地扫描器对WindowsNT/2000系统，还有一些特定的安全检查工程是否允许建立guest账户guest账户有无口令口令构造和过时原则弱口令选择登陆失败临界值注册表权限许可允许远程注册访问独立的注册设置对系统文件和目录不正确的分配许可权非NT缺省配置的未知效劳运行易遭到攻击的效劳，如运行在Web效劳器上的SMB效劳等带有许可访问控制设置的共享，可能给远程用户全部访问权其他2323远程扫描器远程扫描器检查网络和分布式系统的安全漏洞。远程扫描器通过执行一整套综合的穿透测试程序集，发送精心构造的数据包来检测目标系统。被测系统和扫描器的操作系统可以是同一类型，也可以是不同类

24、型的。2424远程扫描需要检查的工程很多，这些工程又可以分为以下几大类：远程扫描需要检查的工程很多，这些工程又可以分为以下几大类：远程扫描器2525安全扫描系统的选择与本卷须知 升级问题升级问题 可扩充性可扩充性 全面的解决方案全面的解决方案 人员培训人员培训人员培训人员培训 2626安全扫描技术也许有些计算也许有些计算机安全管理人机安全管理人员开始考虑购员开始考虑购置一套安全扫置一套安全扫描系统，那么，描系统，那么，购置此类产品购置此类产品需要考虑哪些需要考虑哪些方面呢方面呢?2727升级问题升级问题n n由于当今应用软件功能日趋复杂化、软件由于当今应用软件功能日趋复杂化、软件公司在编写软件

25、时很少考虑安全性等等多公司在编写软件时很少考虑安全性等等多种原因，网络软件漏洞层出不穷，这使优种原因，网络软件漏洞层出不穷，这使优秀的安全扫描系统必须有良好的可扩充性秀的安全扫描系统必须有良好的可扩充性和迅速升级的能力。因此，在选择产品时，和迅速升级的能力。因此，在选择产品时，首先要注意产品是否能直接从因特网升级、首先要注意产品是否能直接从因特网升级、升级方法是否能够被非专业人员掌握，同升级方法是否能够被非专业人员掌握，同时要注意产品制造者有没有足够的技术力时要注意产品制造者有没有足够的技术力量来保证对新出现漏洞作出迅速的反响量来保证对新出现漏洞作出迅速的反响2828可扩充性可扩充性n n对具

26、有比较深厚的网络知识，并且希望自己扩充对具有比较深厚的网络知识，并且希望自己扩充对具有比较深厚的网络知识，并且希望自己扩充对具有比较深厚的网络知识，并且希望自己扩充产品功能的用户来说，应用了功能模块或插件技产品功能的用户来说，应用了功能模块或插件技产品功能的用户来说，应用了功能模块或插件技产品功能的用户来说，应用了功能模块或插件技术的产品应该是首选。术的产品应该是首选。术的产品应该是首选。术的产品应该是首选。2929全面的解决方案全面的解决方案n n前面已经指出，网络安全管理需要多种安前面已经指出，网络安全管理需要多种安全产品来实现，仅仅使用安全扫描系统是全产品来实现，仅仅使用安全扫描系统是难

27、以保证网络的安全的。选择安全扫描系难以保证网络的安全的。选择安全扫描系统，要考虑产品制造商能否提供包括防火统，要考虑产品制造商能否提供包括防火墙、网络监控系统等完整产品线的全面的墙、网络监控系统等完整产品线的全面的解决方案。解决方案。3030人员培训人员培训n n前面已经分析过，网络安全中人是薄弱的前面已经分析过，网络安全中人是薄弱的一环，许多安全因素是与网络用户密切相一环，许多安全因素是与网络用户密切相关的，提高本网络现有用户、特别是网络关的，提高本网络现有用户、特别是网络管理员的安全意识对提高网络安全性能具管理员的安全意识对提高网络安全性能具有非同寻常的意义。因此，在选择安全扫有非同寻常的

28、意义。因此，在选择安全扫描产品时，要考虑制造商有无能力提供安描产品时，要考虑制造商有无能力提供安全技术培训。全技术培训。313110.2.4安全扫描技术分析3232扫描器工作过程n n阶段阶段1 1：发现目标主机或网络：发现目标主机或网络n n阶段阶段2 2：进一步发现目标系统类型及配置等信息：进一步发现目标系统类型及配置等信息n n阶段阶段3 3：测试哪些效劳具有安全漏洞：测试哪些效劳具有安全漏洞3333扫描技术n n端口扫描技术全开扫描全开扫描openscanningopenscanning半全开扫描半全开扫描half-openscanninghalf-openscanning秘密扫描秘密

29、扫描stealthscanningstealthscanning区段扫描区段扫描sweepsscanningsweepsscanningn n系统类型检测技术3434端口扫描技术扫描类型全开扫描TCPconnect反向ident其他UDP/ICMPerrorFTPbounce半开扫描SYNflagIPIDheader“dumbscan”秘密扫描SYN/ACKflagACKflagsNULLflagsALLflags(XMAS)TCP分片FINflag区段扫描TCPechoUDPechoTCPACKTCPSYNICMPecho3535全开扫描openscan,TCPconnect3次TCP/IP

30、握手过程建立标准TCP连接来检查主机的相应端口是否翻开优点：快速，精确，不需要特殊用户权限缺点：不能进行地址欺骗并且非常容易被检测到ClientSYNServerSYN/ACKClientACKServer端口翻开ClientSYNServerRST/ACKClientRSTServer端口没有翻开3636SYN扫描n nClientSYNn nServerSYN/ACKn nClientRST端口开ClientSYNServerRST/ACK关闭端口优点：快速，可绕开基本的IDS，防止了TCP3次握手缺点：需要超级拥护权限，IDS系统可能阻止大量的SYN扫描，造成误报3737SYN/ACK扫

31、描n n设置单独的标志位如ACK，FIN，RST等n nNULL标志位不设立任何标志位n nALL标志位设立所有标志位n n绕开过滤规则，防火墙，路由器n n表现为偶然的网络数据流n n变化的数据包发散率3838SYN/ACK扫描优点：快速，可绕开基本的IDS，防止了3TCP3次握手缺点：需要超级用户权限，不可靠Client可以猜测server端口是否翻开ClientSYN/ACKServerRST此通常说明server关闭，但是猜测翻开不可靠3939系统类型检测技术n n利用系统旗标利用系统旗标n n利用利用DNSDNS信息信息n n利用利用TCP/IPTCP/IP堆栈指纹堆栈指纹4040利用TCP/IP堆栈指纹我们发现利用尝试登陆的信息有时候尽管可以获取很多有用的资料，但是很难保证它的真实性与正确性。因此，有人开发了利用网络操作系统里的TCP/IP堆栈作为特殊的“指纹来确定系统的真正身份。这种的准确性相当高，因为再精明的管理员都不太可能去修改系统底层的网络的堆栈参数。目前，利用这种技术实现的工具很多，比较著名有NMAP，CHECKOS，QUESO等。4141