網(wǎng)絡(luò)安全基礎(chǔ)知識之偵察與工具

　　安全掃描

　　安全掃描以各種各樣的方式進行。你將利用Ping和端口掃描程序來偵查網(wǎng)絡(luò),你當(dāng)然也可以使用客戶端/服務(wù)器程序，如Telnet和SNMP等，來偵查網(wǎng)絡(luò)泄漏的有用信息。你應(yīng)當(dāng)利用一些工具來了解網(wǎng)絡(luò)。有些工具很簡單，便于安裝和使用。有時，審計人員和黑客利用程序語言如Perl, C,C++和Java自己編制一些工具,這是因為他們找不到現(xiàn)成的針對某種漏洞的工具。

　　另外一些工具功能更全面，但是在使用前需要認真地配置。專門從事網(wǎng)絡(luò)管理和安全的公司出售這些工具。你將在本課中學(xué)習(xí)使用這些工具。好的網(wǎng)絡(luò)級和主機級掃描器會試圖監(jiān)聽和隔離進出網(wǎng)絡(luò)和主機的所有會話包。在學(xué)習(xí)這些“Hacker-in-a-box”的解決方案前，你應(yīng)當(dāng)先接觸一些當(dāng)前黑客常常使用的技巧。

　　Whois 命令

　　Whois〔類似于finger〕是一種internet的目錄服務(wù)，whois 提供了在Internet上一臺主機或某個域的所有者的信息，如管理員的姓名、通信地址、電話號碼和Email地址等信息，這些信息是在官方網(wǎng)站whois server上注冊的，如保存在InterNIC的數(shù)據(jù)庫內(nèi)。Whois命令通常是安全審計人員了解網(wǎng)絡(luò)情況的開始。一旦你得到了Whois記錄，從查詢的結(jié)果還可得知primary和secondary域名服務(wù)器的信息。

　　nslookup

　　使用DNS的排錯工具nslookup，你可以利用從whois查詢到的信息偵查更多的網(wǎng)絡(luò)情況。例如，使用nslookup命令把你的主機偽裝成secondary DNS服務(wù)器，如果成功便可以要求從主DNS服務(wù)器進行區(qū)域傳送。要是傳送成功的話，你將獲得大量有用信息，包括：

　　·使用此DNS服務(wù)器做域名解析到所有主機名和IP地址的映射情況

　　·公司使用的網(wǎng)絡(luò)和子網(wǎng)情況

　　·主機在網(wǎng)絡(luò)中的用途。許多公司使用帶有描述性的主機名。

　　使用nslookup實現(xiàn)區(qū)域傳送的過程

　　(1)使用whois命令查詢目標(biāo)網(wǎng)絡(luò)，例如在Linux提示符下輸入 whois webmaster.com.cn

　　(2)你會得到目標(biāo)網(wǎng)絡(luò)的primary和slave DNS服務(wù)器的信息。例如，假設(shè)主DNS服務(wù)器的名字是ns.webmaster.com.cn

　　(3)使用交互查詢方式，缺省情況下nslookup會使用缺省的DNS服務(wù)器作域名解析。鍵入命令server ns.webmaster.com.cn 定位目標(biāo)網(wǎng)絡(luò)的DNS服務(wù)器;

　　(4)列出目標(biāo)網(wǎng)絡(luò)DNS服務(wù)器的內(nèi)容，如ls webmaster.com.cn。此時DNS服務(wù)器會把數(shù)據(jù)傳送給你，當(dāng)然，管理員可以禁止DNS服務(wù)器進行區(qū)域傳送，目前很多公司將DNS服務(wù)器至于防火墻的保護之下并嚴(yán)格設(shè)定了只能向某些主機進行區(qū)域傳送。

　　一旦你從區(qū)域傳送中獲得了有用信息，你便可以對每臺主機實施端口掃描以確定它們提供了那些服務(wù)。如果你不能實現(xiàn)區(qū)域傳送，你還可以借助ping和端口掃描工具，當(dāng)然還有traceroute。

　　host

　　Host命令是UNIX提供的有關(guān)Internet域名查詢的命令，可實現(xiàn)主機名到IP地址的映射，反之亦然。用host命令可實現(xiàn)以下功能：

　　·實現(xiàn)區(qū)域傳送

　　·獲得名稱解析信息

　　·得知域中郵件服務(wù)器的信息

　　參數(shù)-v可顯示更多的信息，參數(shù)-l實現(xiàn)區(qū)域傳送，參數(shù)-t允許你查詢特定的DNS記錄。例如，要查詢ciwcertified.com域的郵件服務(wù)器的記錄，你需要鍵入命令：

　　host -t mx ciwcertified.com 你可以參考UNIX命令幫助獲得更多信息。

　　Traceroute(tracert)

　　Traceroute 用于路由追蹤，如判斷從你的主機到目標(biāo)主機經(jīng)過哪些路由器、跳計數(shù)、響應(yīng)時間如何、是否有路由器當(dāng)?shù)舻?。大多?shù)操作系統(tǒng)，包括UNIX，Novell和Windows NT，若配置了TCP/IP協(xié)議的話都會有自己版本的traceroute程序。當(dāng)然我們也可以使用其它一些第三方的路由追蹤軟件，在后面我們會接觸到這些工具。

　　使用traceroute，你可以推測出網(wǎng)絡(luò)的物理布局，包括該網(wǎng)絡(luò)連接Internet所使用的路由器。traceroute還可以判斷出響應(yīng)較慢的節(jié)點和數(shù)據(jù)包在路由過程中的跳計數(shù)。Ping 掃描作用及工具

　　Ping一個公司的Web服務(wù)器可幫助你獲得該公司所使用的IP地址范圍。一旦你得知了HTTP服務(wù)器的IP地址，你可以使用Ping掃描工具Ping該子網(wǎng)的所有IP地址，這可以幫助你得到該網(wǎng)絡(luò)的地址圖。

　　Ping掃描程序?qū)⒆詣訏呙枘闼付ǖ腎P地址范圍。WS_Ping ProPack工具包中集成有Ping掃描程序，單獨的Ping工具有許多，Rhino9 Pinger是比較流行的程序。

　　端口掃描

　　端口掃描與ping掃描相似,不同的是端口掃描不僅可以返回IP地址，還可以發(fā)現(xiàn)目標(biāo)系統(tǒng)上活動的UDP和TCP端口。

　　在本例中，地址192.168.1.10正在運行SMTP和Telnet服務(wù)，地址192.168.1.12正在運行FTP服務(wù)，主機192.168.1.14未運行任何可辨別的服務(wù)，而主機192.168.1.16運行著SMTP服務(wù)。較后一臺主機屬于Microsoft網(wǎng)絡(luò)，因為該網(wǎng)絡(luò)使用UDP137和TCP138、139端口。

　　端口掃描軟件

　　端口掃描器是黑客較常使用的工具。一些單獨使用的端口掃描工具象Port Scanner1.1，定義好IP地址范圍和端口后便可開始實施掃描。還有許多單獨使用的端口掃描器，如UltraScan等。像Ping掃描器，許多工具也集成了端口掃描器。NetScan、Ping Pro和其它一些程序包集成了盡可能多的相關(guān)程序。你將發(fā)現(xiàn)許多企業(yè)級的網(wǎng)絡(luò)產(chǎn)品也將ping和端口掃描集成起來。

　　網(wǎng)絡(luò)偵查和服務(wù)器偵查程序

　　使用簡單的程序如Ping Pro，你可以偵查出Microsoft的網(wǎng)絡(luò)上開啟的端口。Ping Pro的工作是通過監(jiān)測遠程過程調(diào)用服務(wù)所使用的TCP、UDP135端口，和Microsoft 網(wǎng)絡(luò)會話所使用的UDP137，138，和139端口來實現(xiàn)的。其它的網(wǎng)絡(luò)掃描工具允許你監(jiān)測UNIX，Novell，AppleTalk的網(wǎng)絡(luò)。雖然Ping Pro只能工作在其安裝的特定子網(wǎng)，但還有更多更復(fù)雜的工具，這些工具的設(shè)計者把它們設(shè)計成為可以識別更多的網(wǎng)絡(luò)和服務(wù)類型的程序。

　　例如，NMAP是UNIX下的掃描工具，它可以識別不同操作系統(tǒng)在處理TCP/IP協(xié)議上細微的差別。其它類似的程序還包括checkos,queso和SATAN。

　　堆棧指紋

　　許多本課中介紹的程序都利用堆棧指紋技術(shù)，這種技術(shù)允許你利用TCP/IP來識別不同的操作系統(tǒng)和服務(wù)。因為大多數(shù)的系統(tǒng)管理員注意到信息的泄露而且屏蔽了系統(tǒng)標(biāo)志，所以應(yīng)用堆棧指紋的技術(shù)十分必要。但是，各個廠商和系統(tǒng)處理TCP/IP協(xié)議的特征是管理員所難以更改的。許多審計人員和黑客記錄下這些TCP/IP應(yīng)用的細微差別，并針對各種系統(tǒng)構(gòu)建了堆棧指紋表。

　　要想了解操作系統(tǒng)間處理TCP/IP協(xié)議的差異需要向這些系統(tǒng)的IP和端口發(fā)送各種特殊的包。根據(jù)這些系統(tǒng)對包的回應(yīng)的差別，你可以推斷出操作系統(tǒng)的種類。例如，你可以向主機發(fā)送FIN包(或任何不含有ACK或SYN標(biāo)志的包)，你會從下列操作系統(tǒng)獲得回應(yīng)：

　　·Microsoft Windows NT,98,95,和3.11

　　·FreeBSD

　　·CISCO

　　·HP/UX

　　大多數(shù)其它系統(tǒng)不會回應(yīng)。雖然你只不過縮小了一點范圍,但這至少開始了你對目標(biāo)系統(tǒng)的了解。如果你向目標(biāo)系統(tǒng)發(fā)送的報文頭有未定義標(biāo)志的TCP包的話，2.0.35版本以前的LINUX系統(tǒng)會在回應(yīng)中加入這個未定義的標(biāo)志。這種特定的行為使你可以判斷出目標(biāo)主機上是否運行該種LINUX操作系統(tǒng)。

　　下列是堆棧指紋程序利用的部分特征，許多操作系統(tǒng)對它們的處理方式不同：

　　·ICMP錯誤信息抑制

　　·服務(wù)類型值(TOS)

　　·TCP/IP選項

　　·對SYN FLOOD的抵抗力

　　·TCP初始窗口：只要TCP開始進行三次握手，總是先發(fā)出一個SYN包。像NMAP這樣的程序會發(fā)出一個SYN包欺騙操作系統(tǒng)作回應(yīng)。堆棧指紋程序可以從回應(yīng)報文的格式中推論出目標(biāo)操作系統(tǒng)的一些情況。

　　NMAP

　　NMAP由于功能強大、不斷升級和免費的原因十分流行。它對網(wǎng)絡(luò)的偵查十分有效是基于兩個原因。首先，它具有非常靈活的TCP/IP堆棧指紋引擎，NMAP的制作人FYODOR不斷升級該引擎是它能夠盡可能多的進行猜測。NMAP可以準(zhǔn)確地掃描服務(wù)器操作系統(tǒng)(包括Novell, UNIX, Linux, NT)，路由器(包括CISCO，3COM和HP)，還有一些撥號設(shè)備。其次，它可以穿透網(wǎng)絡(luò)邊緣的安全設(shè)備，例如防火墻。

　　NMAP穿透防火墻的一種方法是利用碎片掃描技術(shù)(fragment scans)，你可以發(fā)送隱秘的FIN包(-sF)，Xmas tree包(-sX)或NULL包(-sN)。這些選項允許你將TCP查詢分割成片斷從而繞過防火墻規(guī)則。這種策略對很多流行的防火墻產(chǎn)品都很有效。

　　當(dāng)前NMAP只能運行在UNIX操作系統(tǒng)上。操作系統(tǒng)類型包括Linux的所有版本，F(xiàn)ree BSD 2.2.6-30，HP/UX，和Solaris。在Linux的X-Windows上還提供圖形界面。較好的掌握NMAP的方法是學(xué)習(xí)使用它。使用nmap -h命令可以顯示幫助信息，當(dāng)然，你也可以用man nmap命令查看它的使用手冊。

　　共享掃描

　　你可以掃描網(wǎng)絡(luò)中絕大多數(shù)的內(nèi)容，包括正在使用的共享。這種掃描過程提供了重要的偵查和利用各種資源和文件的方法。

　　共享掃描軟件

　　Ping Pro提供了允許審計人員掃描Windows網(wǎng)絡(luò)共享的功能。它只能偵查出共享名稱，但不會入侵共享。例如，Microsoft網(wǎng)絡(luò)利用TCP139端口建立共享。更具侵略性的偵查軟件有知名的RedButton，許多Internet站點都免費提供下載。

　　RedButton是一個很古老的程序，大多數(shù)的系統(tǒng)管理員和安全管理員都找到了防范它的方法。這個程序不僅可以偵查出共享名稱還可以發(fā)現(xiàn)相應(yīng)的密碼。它還可以獲得管理員的賬號名稱。缺省配置和補丁級掃描

　　黑客和審計人員對系統(tǒng)的缺省配置很了解。你可以編制工具查找這些弱點。實際上，本課中討論的許多企業(yè)級的偵查工具都是針對這些弱點進行工作的。安全專家還知道操作系統(tǒng)工作的細節(jié)，根據(jù)服務(wù)補丁和hot fix的數(shù)量進行升級。

　　使用Telnet

　　Telnet是遠程登錄系統(tǒng)進行管理的程序。缺省情況下telnet使用23端口。當(dāng)然，你還可以利用Telnet客戶端程序連接到其它端口。

　　例如，你可以Telnet至HTTP端口。在連接一段時間內(nèi)若沒有任何動作，服務(wù)器會因為無法識別這次連接而自動切斷。但是你通?？梢詮腍TTP服務(wù)器上得到一些信息。例如，可以得知服務(wù)廠商的信息，版本(如Apache Web Server 1.36或IIS 4.0)等等。

　　雖然信息不是很多，但你至少能從報錯信息中推斷出服務(wù)器類型。如左邊圖所示你與服務(wù)器連接被終止，但在Web服務(wù)器報錯信息中仍可以看出HTTP服務(wù)器版本。你還可以用Telnet連接上系統(tǒng)再使用SYST命令，許多TCP/IP堆棧會泄漏一些重要的信息。

　　使用SNMP

　　簡單網(wǎng)絡(luò)管理協(xié)議(SNMP)允許你從網(wǎng)絡(luò)主機上查詢相關(guān)的數(shù)據(jù)。例如，你可以收集TCP/IP方面的信息，還有在路由器、工作站和其它網(wǎng)絡(luò)組件上運行的服務(wù)情況。SNMP由網(wǎng)絡(luò)管理系統(tǒng)(NMS)和代理Agent組成。NMS通常安裝在一臺工作站上，再將代理安裝在任何需要接受管理和配置的主機上。

　　當(dāng)前存在三個版本的SNMP。SNMPv1較普通但也較不安全。原因有兩個，首先，它使用弱的校驗機制。只是靠community name作驗證，而community name只是很短的字符串。其次，SNMP用明文發(fā)送community name，易于被sniffer捕獲。而且，許多網(wǎng)絡(luò)管理員使用缺省的“public”作community name。任何黑客都會首先嘗試用“public”來訪問SNMP。

　　SetRequest命令

　　你還可以利用SNMP重新配置接口或服務(wù)。這包括設(shè)置路由跳計數(shù)，停止和啟動服務(wù)，停止和啟用接口等等。如果你使用SNMPv1而且黑客又得到community name的話，他就可以偵查和控制你的系統(tǒng)。SNMPv3包含了更復(fù)雜的加密和驗證的機制。然而，許多網(wǎng)絡(luò)管理員由于使用缺省的密碼和設(shè)置，給黑客以可乘之機。當(dāng)然，經(jīng)過加密的SNMP密碼仍然可以被捕獲和暴力攻擊。

　　SNMP軟件

　　許多廠商出售SNMP管理軟件，常見的SNMP軟件有：

　　·HP的OpenView

　　·Windows NT Resource Kit中的SNMPUTIL

　　·各種各樣的網(wǎng)絡(luò)附加工具包，如Ping ProPack等

　　雖然象HP的OpenView程序是工業(yè)的標(biāo)準(zhǔn)，你還可以使用功能稍差的程序象Ping Pro來獲取網(wǎng)絡(luò)的情況。

　　TCP/IP 服務(wù)

　　大多數(shù)的SMTP和POP3服務(wù)仍然以明文方式發(fā)送密碼，這增大了Man-in-the-middle攻擊成功的可能性。而且，LDAP、FTP、SMTP，尤其是HTTP服務(wù)非常容易遭受緩沖區(qū)溢出的攻擊。

　　附加的TCP/IP服務(wù)

　　LDAP服務(wù)容易引起問題，不僅因為該服務(wù)所泄漏的信息而且經(jīng)常遭受緩沖區(qū)溢出的攻擊。E-mail程序如Microsoft Outlook，Eudora和Netscape Communicator也包含LDAP客戶端的軟件。而且，象Ping Pro和NetScan等管理工具運行你進行更復(fù)雜的查詢。TFTP的問題是沒有驗證機制。黑客喜歡對其進行拒絕服務(wù)攻擊，對系統(tǒng)提出了嚴(yán)峻的考驗。

　　像Finger和TFTP等簡單TCP/IP服務(wù)所泄漏的信息容易被黑客利用進行社會工程和其它類型的攻擊。LDAP，F(xiàn)TP和SMTP服務(wù)經(jīng)常出現(xiàn)安全問題有很多原因。首先這些服務(wù)容易泄漏太多自己配置的信息。

　　Finger

　　Finger服務(wù)使你考驗獲取遠程服務(wù)器上的用戶信息。使用Finger，你可以得到：

　　·用戶名

　　·服務(wù)器名

　　·E-mail賬號

　　·用戶當(dāng)前是否在線

　　·用戶登錄時間

　　·用戶的crond任務(wù)

　　企業(yè)級的審計工具

　　進行到這里你已經(jīng)接觸了一些審計人員使用的基本的工具。這些工具便于安裝和使用。它們可以為你提供很多關(guān)于網(wǎng)絡(luò)的信息，還可以幫助你對特定系統(tǒng)進行風(fēng)險評估。前面討論程序的缺點是它們只能單獨進行簡單的查詢而不能同時對多個系統(tǒng)和服務(wù)實施偵查。一個好的審計人員需要綜合使用這些方法使審計的偵查工作能夠成功。企業(yè)級的審計程序用以其人之道還制其人之身的方式來對付黑客，通過對網(wǎng)絡(luò)進行綜合的攻擊使你可以實時地檢測到網(wǎng)絡(luò)的漏洞，并加以改進。

　　絕大多數(shù)的網(wǎng)絡(luò)探測器都支持TCP/IP，而且許多還支持其它協(xié)議包括IPX/SPX，NetBEUI和AppleTalk。你已經(jīng)對偵查數(shù)據(jù)庫有所了解，在這一部分，你將更多地接觸如何配置和更新偵查數(shù)據(jù)庫。你還將學(xué)習(xí)網(wǎng)絡(luò)掃描器的一些特性。

　　通常，網(wǎng)絡(luò)掃描器程序無法跨子網(wǎng)。當(dāng)然你可以在每個子網(wǎng)中都安裝一個。然而，有些掃描器(如WebTrends Security Analyzer Enterprise Edition和ISS Internet Scanner Enterprise Edition)是可以跨子網(wǎng)的。

　　在你用掃描器掃描網(wǎng)絡(luò)之前，你必須先配置它使其能夠識別網(wǎng)絡(luò)上的主機。有時，掃描器可以自動識別，但其它時候你必須手動配置它。每個程序都有它自身的配置方法，但配置原則是相同的。所有的商業(yè)掃描器都支持TCP/IP。許多還支持象IPX/SPX，NetBEUI，AppleTalk，DECnet和其它協(xié)議。你應(yīng)當(dāng)根據(jù)你的網(wǎng)絡(luò)中應(yīng)用的協(xié)議情況來購買不同的版本。

　　許多版本的掃描器只支持特定的操作系統(tǒng)，因此你必須在購買前考慮到其使用的平臺。以前，網(wǎng)絡(luò)掃描器、探測器和入侵監(jiān)測系統(tǒng)都是在UNIX系統(tǒng)下工作得更出色。但是隨著Windows NT更加成熟，許多功能強大的產(chǎn)品也出現(xiàn)了。

　　掃描等級

　　大多數(shù)的企業(yè)級的掃描器允許你選擇安全掃描的等級。一次輕級別的掃描通常會掃描眾所周知的端口(從0到1023)和常見的安全漏洞，包括弱口令，低的補丁等級和額外的服務(wù)。如果你掃描一個小型的子網(wǎng)大概需要花費30分鐘。中級和嚴(yán)格級別的掃描根據(jù)網(wǎng)絡(luò)的速度和運行掃描程序的主機CPU的時鐘速度快慢等因素通常會花費幾天的時間。

　　定義嚴(yán)格級別的掃描策略會讓掃描器對目標(biāo)網(wǎng)絡(luò)發(fā)起連續(xù)的攻擊。如果你設(shè)置了規(guī)則讓掃描器掃描所有的65,535個端口，還要檢測口令強度以及細致地分析從管理賬戶到UNIX子系統(tǒng)的每項服務(wù)的話，工作量是相當(dāng)大的。這種掃描不僅費時，而且會極大地加重網(wǎng)絡(luò)的負擔(dān)。個別主機將無法承受這種掃描。

　　配置文件和策略

　　在使用任何掃描器前，你必須首先定義配置文件，然后再實施策略。絕大多數(shù)的掃描程序事先都定義了一些配置和策略，但你可以根據(jù)實際需要對它們進行編輯和增加。需要注意的是要將策略和配置文件結(jié)合起來。

　　報告功能

　　企業(yè)級的掃描程序具有細致的報告功能?？梢杂煤芏喾N格式輸出信息，包括：

　　· 簡單的ASCII文本

　　· HTML字處理文本格式，如RTF，或一些格式，例如Microsoft Word(DOC)或Corel Word Perfect(WPD)。

　　· 電子表格形式，例如Microsoft Excel。

　　· 圖形格式，包括幻燈片，例如Microsoft PowerPoint 報告風(fēng)險等級

　　大多數(shù)的網(wǎng)絡(luò)掃描器將風(fēng)險分成低、中、高三個等級。你將接觸到各種掃描器是如何匯報它們的掃描結(jié)果的。即使得出你的網(wǎng)絡(luò)只有低的安全問題，你也不應(yīng)該沾沾自喜。一名優(yōu)秀的黑客可以從很小的缺陷入手給系統(tǒng)造成致命的破壞。

　　Axcet NetRecon

　　NetRecon是較先為Windows NT網(wǎng)絡(luò)設(shè)計的網(wǎng)絡(luò)掃描產(chǎn)品之一。NetRecon象其它掃描器一樣可以發(fā)現(xiàn)網(wǎng)絡(luò)中的各種元素，處理本課中討論的各種問題，包括密碼檢查。NetRecon可以比較準(zhǔn)確的模擬各種攻擊。NetRecon的界面由三個窗格組成。對象窗口允許你查看每個掃描對象，通過單擊可以展開目錄結(jié)構(gòu)。通過掃描網(wǎng)絡(luò)，圖形窗口顯示低、中、高的風(fēng)險等級。狀態(tài)欄顯示掃描的進程。你可以對網(wǎng)絡(luò)進行深度掃描，當(dāng)然這種掃描會耗費大量的時間。例如，廣泛的掃描會花費兩天的時間。

　　漏洞數(shù)據(jù)庫和對象列表

　　在NetRecon中以一些漏洞列表作為偵查數(shù)據(jù)庫，你可以將這個列表理解為攻擊指紋，但是這個名詞通常被用于入侵檢測系統(tǒng)程序中。如果你持有NetRecon的授權(quán)，便可以從Axent的Web站點升級這個漏洞列表。通過 Reprots　view Vulnerability Descriptions 菜單，可以查看相關(guān)漏洞的描述。

　　下面列出NetRecon可以掃描出的系統(tǒng)漏：

　　· Finger服務(wù)漏洞

　　· GameOver(遠程管理訪問攻擊)

　　· 未授權(quán)注銷禁止

　　· 服務(wù)漏洞，包括SMTP、DNS、FTP、HTTP、SOCKS代理和低的sendmail補丁等級。

　　大多數(shù)網(wǎng)絡(luò)掃描器，如NetRecon，包含了事先定義好的對象列表。通過選擇 Reprots　View Objective Descriptions，你可以查看在NetRecon中已經(jīng)配置好的當(dāng)前對象列表。

　　Network Associates CyberCop Scanner

　　CyberCop Scanner是Network Associates的產(chǎn)品，該公司的產(chǎn)品還包括Sniffer Basic(前身是NetXRay)和其它網(wǎng)絡(luò)管理軟件。象NetRecon一樣，CyberCop Scanner是一個主機級別的審計程序。與Axent的產(chǎn)品一樣，CyberCop也把各種漏洞分類為低、中、高三個等級。附錄B中是一份CyberCop Scanner生成的報告樣例。

　　技術(shù)提示：CyberCop Monitor不是網(wǎng)絡(luò)掃描器，它是入侵監(jiān)測系統(tǒng)程序，能夠?qū)诳突顒舆M行監(jiān)視，提供報警功能，還能懲罰黑客。你將在本教程中學(xué)習(xí)一些入侵檢測系統(tǒng)程序。

　　WebTrends Security Analyzer

　　該軟件以前叫Asmodeus Security Scanner，WebTrends的產(chǎn)品在UNIX和NT系統(tǒng)下都經(jīng)過很好的測試。Security Analyzer的優(yōu)點之一是與UNIX搭配使用多年，操作界面也簡單易用。

　　在主界面上選擇Policy，然后edit，這時Security Analyzer 的選項窗口將出現(xiàn)。你可以選擇掃描的強度，或編輯已有的策略、建立新的策略。如果你點擊Host Selection標(biāo)簽，便可以選擇子網(wǎng)內(nèi)主機的范圍。

　　Internet Security Systems的掃描產(chǎn)品

　　Internet Security Systems是較早生產(chǎn)掃描程序的公司。在本課中你將學(xué)習(xí)Internet掃描器和系統(tǒng)掃描器。它們都是ISS設(shè)計來提供跨操作平臺的安全工具包。

　　ISS Internet Scanner

　　這款掃描器工作于UNIX和NT平臺，象Axent NetRecon、WebTrends Security Analyzer和其它掃描器一樣可以掃描遠程主機。

　　Ineternet Scanner有三個模塊：intranet，firewall和Web服務(wù)器。程序的策略是希望將網(wǎng)絡(luò)活動分類，并針對每種活動提供一種掃描方案。這個特點由于你可以直接掃描更重要和經(jīng)常遭受攻擊的系統(tǒng)而變得十分有效。你也可以在三個模塊中定義你自己的掃描參數(shù)。

　　下列是Internet Scanner中部分掃描的項目：

　　·PHP3 緩沖區(qū)溢出

　　·Teardrop和Teardrop2攻擊

　　·跨網(wǎng)絡(luò)的協(xié)議分析儀(包括tcpdump和Sniffer Basic)

　　·搜索一些FTP服務(wù)類型，包括War FTP

　　·SNMP和RMON檢測

　　·Whois檢測

　　·SAMBA溢出

　　·增強的SMS支持

　　·增強的NT功能，使它與UNIX一樣有效

　　ISS Security Scanner

　　Security Scanner是基于主機的掃描程序。它可以深入挖掘系統(tǒng)的情況。由于是基于主機的掃描程序，所以能更深入地掃描系統(tǒng)內(nèi)部。這一功能在檢查象數(shù)據(jù)庫、FTP和Web服務(wù)等特定的系統(tǒng)時顯得十分有用。這種程序應(yīng)該只運行在考慮到有黑客活動的高風(fēng)險的系統(tǒng)上。

　　其它掃描程序廠商

　　其它提供掃描和檢測漏洞的產(chǎn)品包括：

　　·Security Dynamics Kane Security Analyst

　　·Netect HackerShield

　　社會工程

　　我們已經(jīng)接觸了一些偵查程序，其中有的工具非常靈活和全面。但是，通過人為你偵查網(wǎng)絡(luò)情況更方便。一名優(yōu)秀的審計人員會從人力資源角度來獲取網(wǎng)絡(luò)信息。雖然你可以用社會工程對網(wǎng)絡(luò)進行滲透和控制，但用這種方法來偵查網(wǎng)絡(luò)也同樣有效。作為安全管理人員，你不應(yīng)低估社會工程的威脅。作為安全審計人員，你也不應(yīng)在偵查工具和技巧中漏掉社會工程。電話訪問

　　審計人員試圖以人為突破口。在從Nslookup獲得有關(guān)信息后利用電話騙取更多的有用信息。通過這種方法，你可以獲得更多的信息，甚至騙取他人給你訪問網(wǎng)絡(luò)主機的權(quán)限。

　　E-mail詐騙

　　雖然欺騙性的郵件本身是無效的，但你可以偽裝成工程技術(shù)人員騙取別人回復(fù)你的信件，泄漏有價值的信息。

　　教育

　　作為安全管理人員，避免員工成為偵查工具的較好方法是對他們進行教育。通過提高員工對設(shè)備的認識和增強他們的責(zé)任感，可以使他們變得更難于被黑客控制。

　　獲得信息

　　作為安全審計人員，你可以把信息分成網(wǎng)絡(luò)級別和主機級別的信息。

　　網(wǎng)絡(luò)級別的信息

　　下表中列出了你需要獲得的有價值的網(wǎng)絡(luò)級別的信息。

　　信息 描述

　　網(wǎng)絡(luò)拓撲 安全審計人員首先應(yīng)當(dāng)搞清楚網(wǎng)絡(luò)的類型(以太網(wǎng)，令牌環(huán)等等)，IP地址范圍，子網(wǎng)和其它網(wǎng)絡(luò)信息。配線架的位置也很重要。作為安全管理人員，你的目標(biāo)是利用防火墻、代理服務(wù)器等設(shè)備保護這些信息。

　　路由器和交換機 掌握路由器和交換機的種類對分析網(wǎng)絡(luò)安全十分重要，你可以是路由器泄漏信息。

　　防火墻種類 大多數(shù)的網(wǎng)絡(luò)都有防火墻。如果你能夠訪問防火墻，便可以偵查它并尋找相應(yīng)的漏洞。

　　IP服務(wù) 較基本的服務(wù)包括DHCP，BOOTP，WINS，SAMBA，和DNS。DNS服務(wù)特別容易遭受緩沖區(qū)溢出的攻擊。

　　Modem池 也許較流行的繞過防火墻是做法是通過modem連接再附以Man-in-the-middle攻擊和包捕獲。War dialer是在Internet上尋找網(wǎng)絡(luò)連接的重要的審計工具。

　　主機級別的信息

　　下表列舉了一些更有價值的主機級別的信息

　　信息 描述

　　活動端口 你應(yīng)該了解服務(wù)器上有那些端口是活動的。HTTP和FTP服務(wù)是較容易遭受端口掃描的服務(wù)，而且黑客會進一步實施緩沖區(qū)溢出攻擊。

　　數(shù)據(jù)庫 數(shù)據(jù)庫類型(例如Oracle,Microsoft SQL Server和IBM DB2)，物理位置和應(yīng)用協(xié)議都很有價值。

　　服務(wù)器 服務(wù)器類型是非常有價值的信息。一旦你確定了服務(wù)器的種類是Microsoft或UNIX，便可以有針對性的利用系統(tǒng)的缺省設(shè)置和補丁偵查登錄賬戶名稱，弱口令和低的補丁等級。

　　近年來，許多成功的黑客都利用了大量的業(yè)余時間。他們閱讀了大量的文獻，研究系統(tǒng)的缺省設(shè)置和內(nèi)置的漏洞。無論你是安全管理人員還是安全審計人員，都應(yīng)該盡可能地多掌握產(chǎn)品的情況。

　　例如，通過研究TCP/IP的RFC文件，你可以獲知各個廠商如何應(yīng)用TCP/IP協(xié)議。在Student CD中的RFC目錄中有RFC1700文章，其中描述了TCP和UDP端口的劃分情況。這種文獻是你和黑客都可以免費得到的關(guān)于協(xié)議、操作系統(tǒng)和硬件信息的資料。

　　合法和非法的網(wǎng)絡(luò)工具

　　黑客會嘗試使用任何工具，不論它有多復(fù)雜。而且，黑客工具和審計工具并沒有本質(zhì)上的區(qū)別。在本課中討論的一些工具，如Axent NetRecon，通過廣播主機名進行查詢。這些信息可以幫助系統(tǒng)管理員和安全管理人員明確需要掃描那些資源。無論如何，這些程序并不僅限于系統(tǒng)管理員的正當(dāng)使用。

　　黑客可以使用本課中討論的任何工具。使用企業(yè)級的掃描工具通常會占用大量的帶寬，并不是隱蔽的偵查工具。因此，任何系統(tǒng)管理員，安全審計人員或黑客都樂于使用網(wǎng)絡(luò)級的掃描程序，即使冒不是引起注意就是使整個網(wǎng)絡(luò)癱瘓的風(fēng)險。

• 上一篇：H3C公司從古至今的始末由來
• 下一篇：ER系列路由器靜態(tài)IP對撥號一IPSEC VPN的典型配置