計算機安全技術 網絡端口掃瞄技術詳細介紹

一：TCP/IP相關問題

連接端及標記

IP地址和端口被稱作套接字，它代表一個TCP連接的一個連接端。為了獲得TCP服務，必須在發送機的一個端口上和接收機的一個端口上建立連接。TCP連接用兩個連接端來區別，也就是（連接端1，連接端2）。連接端互相發送資料包。

一個TCP資料包包括一個TCP頭，後面是選項和資料。一個TCP頭包含6個標誌位。它們的意義分別為：

SYN: 標誌位用來建立連接，讓連接雙方同步序列號。如果SYN＝1而ACK=0，則表示該資料包為連接請求，如果SYN=1而ACK=1則表示接受連接。

FIN: 表示發送端已經沒有資料要求傳輸了，希望釋放連接。

RST: 用來復位一個連接。RST標誌置位的資料包稱為復位包。一般情況下，如果TCP收到的一個分段明顯不是屬於該主機上的任何一個連接，則向遠端發送一個復位包。

URG: 為緊急資料標誌。如果它為1，表示本資料包中包含緊急資料。此時緊急資料指針有效。

ACK: 為確認標誌位。如果為1，表示包中的確認號時有效的。否則，包中的確認號無效。

PSH: 如果置位，接收端應盡快把資料傳送給應用層。

TCP連接的建立

TCP是一個面向連接的可靠傳輸協議。面向連接表示兩個應用端在利用TCP傳送資料前必須先建立TCP連接。 TCP的可靠性通過校驗和，定時器，資料序號和應答來提供。通過給每個發送的字節分配一個序號，接收端接收到資料後發送應答，TCP協議保證了資料的可靠傳輸。資料序號用來保證資料的順序，剔除重複的資料。在一個TCP會話中，有兩個資料流（每個連接端從另外一端接收資料，同時向對方發送資料），因此在建立連接時，必須要為每一個資料流分配ISN（初始序號）。為了瞭解實現過程，我們假設客戶端C希望跟伺服器端S建立連接，然後分析連接建立的過程（通常稱作三階段握手）：

1： C --SYN XXa S

2： C ?-SYN YY/ACK XX+1------- S

3： C ----ACK YY+1--a S

1：C發送一個TCP包（SYN 請求）給S，其中標記SYN（同步序號）要打開。SYN請求指明了客戶端希望連接的伺服器端端口號和客戶端的ISN（XX是一個例子）。

2：伺服器端發回應答，包含自己的SYN信息ISN（YY）和對C的SYN應答，應答時返回下一個希望得到的字節序號（YY+1）。

3：C 對從S 來的SYN進行應答，資料發送開始。

一些實現細節

大部分TCP/IP實現遵循以下原則：

1：當一個SYN或者FIN資料包到達一個關閉的端口，TCP丟棄資料包同時發送一個RST資料包。

2：當一個RST資料包到達一個監聽端口，RST被丟棄。

3：當一個RST資料包到達一個關閉的端口，RST被丟棄。

4：當一個包含ACK的資料包到達一個監聽端口時，資料包被丟棄，同時發送一個RST資料包。

5：當一個SYN位關閉的資料包到達一個監聽端口時，資料包被丟棄。

6：當一個SYN資料包到達一個監聽端口時，正常的三階段握手繼續，回答一個SYN　ACK資料包。

7：當一個FIN資料包到達一個監聽端口時，資料包被丟棄。"FIN行為"（關閉得端口返回RST，監聽端口丟棄包），在URG和PSH標誌位置位時同樣要發生。所有的URG，PSH和FIN，或者沒有任何標記的TCP資料包都會引起"FIN行為"。

二：全TCP連接和SYN掃瞄器

全TCP連接

全TCP連接是長期以來TCP端口掃瞄的基礎。掃瞄主機嘗試（使用三次握手）與目的機指定端口建立建立正規的連接。連接由系統調用connect()開始。對於每一個監聽端口，connect()會獲得成功，否則返回－1，表示端口不可訪問。由於通常情況下，這不需要什麼特權，所以幾乎所有的用戶（包括多用戶環境下）都可以通過connect來實現這個技術。

這種掃瞄方法很容易檢測出來（在日誌文件中會有大量密集的連接和錯誤記錄）。Courtney,Gabriel和TCP Wrapper監測程序通常用來進行監測。另外，TCP Wrapper可以對連接請求進行控制，所以它可以用來阻止來自不明主機的全連接掃瞄。

TCP SYN掃瞄

在這種技術中，掃瞄主機向目標主機的選擇端口發送SYN資料段。如果應答是RST，那麼說明端口是關閉的，按照設定就探聽其它端口；如果應答中包含SYN和ACK，說明目標端口處於監聽狀態。由於所有的掃瞄主機都需要知道這個信息，傳送一個RST給目標機從而停止建立連接。由於在SYN掃瞄時，全連接尚未建立，所以這種技術通常被稱為半打開掃瞄。SYN掃瞄的優點在於即使日誌中對掃瞄有所記錄，但是嘗試進行連接的記錄也要比全掃瞄少得多。缺點是在大部分操作系統下，發送主機需要構造適用於這種掃瞄的IP包，通常情況下，構造SYN資料包需要超級用戶或者授權用戶訪問專門的系統調用。

三：秘密掃瞄與間接掃瞄

秘密掃瞄技術

由於這種技術不包含標準的TCP三次握手協議的任何部分，所以無法被記錄下來，從而必SYN掃瞄隱蔽得多。另外，FIN資料包能夠通過只監測SYN包的包過濾器。

秘密掃瞄技術使用FIN資料包來探聽端口。當一個FIN資料包到達一個關閉的端口，資料包會被丟掉，並且回返回一個RST資料包。否則，當一個FIN資料包到達一個打開的端口，資料包只是簡單的丟掉（不返回RST）。

Xmas和Null掃瞄是秘密掃瞄的兩個變種。Xmas掃瞄打開FIN，URG和PUSH標記，而Null掃瞄關閉所有標記。這些組合的目的是為了通過所謂的FIN標記監測器的過濾。

秘密掃瞄通常適用於UNIX目標主機，除過少量的應當丟棄資料包卻發送reset信號的操作系統（包括CISCO，BSDI，HP/UX，MVS和IRIX）。在Windows95/NT環境下，該方法無效，因為不論目標端口是否打開，操作系統都發送RST。

跟SYN掃瞄類似，秘密掃瞄也需要自己構造IP 包。

間接掃瞄

間接掃瞄的思想是利用第三方的IP（欺騙主機）來隱藏真正掃瞄者的IP。由於掃瞄主機會對欺騙主機發送回應信息，所以必須監控欺騙主機的IP行為，從而獲得原始掃瞄的結果。間接掃瞄的工作過程如下：

假定參與掃瞄過程的主機為掃瞄機，隱藏機，目標機。掃瞄機和目標記的角色非常明顯。隱藏機是一個非常特殊的角色，在掃瞄機掃瞄目的機的時候，它不能發送任何資料包（除了與掃瞄有關的包）。

四：認證掃瞄和代理掃瞄

認證掃瞄

到目前為止，我們分析的掃瞄器在設計時都只有一個目的：判斷一個主機中哪個端口上有進程在監聽。然而，最近的幾個新掃瞄器增加了其它的功能，能夠獲取監聽端口的進程的特徵和行為。

認證掃瞄是一個非常有趣的例子。利用認證協議，這種掃瞄器能夠獲取運行在某個端口上進程的用戶名（userid）。認證掃瞄嘗試與一個TCP端口建立連接，如果連接成功，掃瞄器發送認證請求到目的主機的113TCP端口。認證掃瞄同時也被成為反向認證掃瞄，因為即使最初的RFC建議了一種幫助伺服器認證客戶端的協議，然而在實際的實現中也考慮了反向應用（即客戶端認證伺服器）。

代理掃瞄

文件傳輸協議（FTP）支持一個非常有意思的選項：代理ftp連接。這個選項最初的目的（RFC959）是允許一個客戶端同時跟兩個FTP伺服器建立連接，然後在伺服器之間直接傳輸資料。然而，在大部分實現中，實際上能夠使得FTP伺服器發送文件到Internet的任何地方。許多攻擊正是利用了這個缺陷。最近的許多掃瞄器利用這個弱點實現ftp代理掃瞄。

ftp端口掃瞄主要使用ftp代理伺服器來掃瞄tcp端口。掃瞄步驟如下：

1：假定S是掃瞄機，T是掃瞄目標，F是一個ftp伺服器，這個伺服器支持代理選項，能夠跟S和T建立連接。

2：S與F建立一個ftp會話，使用PORT命令聲明一個選擇的端口（稱之為p－T）作為代理傳輸所需要的被動端口。

3：然後S使用一個LIST命令嘗試啟動一個到p－T的資料傳輸。

4：如果端口p－T確實在監聽，傳輸就會成功（返回碼150和226被發送回給S）。否則S回收到"425無法打開資料連接"的應答。

5：S持續使用PORT和LIST命令，直到T上所有的選擇端口掃瞄完畢。

FTP代理掃瞄不但難以跟蹤，而且當ftp伺服器在防火牆後面的時候

五：其它掃瞄方法

Ping掃瞄

如果需要掃瞄一個主機上甚至整個子網上的成千上萬個端口，首先判斷一個主機是否開機就非常重要了。這就是Ping掃瞄器的目的。主要由兩種方法用來實現Ping掃瞄。

1：真實掃瞄：例如發送ICMP請求包給目標IP地址，有相應的表示主機開機。

2：TCP Ping：例如發送特殊的TCP包給通常都打開且沒有過濾的端口（例如80端口）。對於沒有root權限的掃瞄者，使用標準的connect來實現。否則，ACK資料包發送給每一個需要探測的主機IP。每一個返回的RST表明相應主機開機了。另外，一種類似於SYN掃瞄端口80（或者類似的）也被經常使用。

安全掃瞄器

安全掃瞄器是用來自動檢查一個本地或者遠程主機的安全漏洞的程序。像其它端口掃瞄器一樣，它們查詢端口並記錄返回結果。但是它們。它們主要要解決以下問題：

1：是否允許匿名登錄。

2：是否某種網絡服務需要認證。

3：是否存在已知安全漏洞。

可能SATAN是最著名的安全掃瞄器。1995年四月SATAN最初發佈的時候，人們都認為這就是它的最終版本，認為它不但能夠發現相當多的已知漏洞，而且能夠針對任何很難發現的漏洞提供信息。但是，從它發佈以來，安全掃瞄器一直在不斷地發展，其實現機制也越來越複雜。

棧指紋

絕大部分安全漏洞與缺陷都與操作系統相關，因此遠程操作系統探測是系統管理員關心的一個問題。

遠程操作系統探測不是一個新問題。近年來，TCP/IP實現提供了主機操作系統信息服務。FTP，TELNET，HTTP和DNS伺服器就是很好的例子。然而，實際上提供的信息都是不完整的，甚至有可能是錯誤的。最初的掃瞄器，依靠檢測不同操作系統對TCP/IP的不同實現來識別操作系統。由於差別的有限性，現在只能最多只能識別出10餘種操作系統。

最近出現的兩個掃瞄器，QueSO和NMAP，在指紋掃瞄中引入了新的技術。 QueSO第一個實現了使用分離的資料庫於指紋。NMAP包含了很多的操作系統探測技術，定義了一個模板資料結構來描述指紋。由於新的指紋可以很容易地以模板的形式加入，NMAP指紋資料庫是不斷增長的，它能識別的操作系統也越來越多。

這種使用掃瞄器判斷遠程操作系統的技術稱為（TCP/IP）棧指紋技術。

另外有一種技術稱為活動探測。活動探測把TCP的實現看作一個黑盒子。通過研究TCP對探測的回應，就可以發現 TCP實現的特點。TCP/IP 棧指紋技術是活動探測的一個變種，它適用於整個TCP/IP協議的實現和操作系統。棧指紋使用好幾種技術來探測TCP/IP協議棧和操作系統的細微區別。這些信息用來創建一個指紋，然後跟已知的指紋進行比較，就可以判斷出當前被掃瞄的操作系統。

棧指紋掃瞄包含了相當多的技術。下面是一個不太完整的清單：

1：FIN探測

2：BOGUS標記探測

3：TCP ISN 取樣

4：TCP 初始窗口

5：ACK值

6：ICMP錯誤信息

7：ICMP信息

8：服務類型

9：TCP選項

（