第10章 漏洞扫描

10.5 本章小结
计算机漏洞是系统的一组特性，恶意的主体（攻击 者或者攻击程序）能够利用这组特性，通过已授权 的手段和方式获取对资源的未授权访问，或者对系 统造成损害。 从技术角度而言，漏洞的来源主要有软件或协议设 计时的瑕疵、软件或协议实现中的弱点、软件本身 的瑕疵、系统和网络的错误配置。 一次完整的网络扫描主要分为3个阶段：目标发现、 信息攫取、漏洞检测。 目标发现阶段的技术主要有ICMP扫射、广播 ICMP、非回显ICMP、TCP扫射、UDP扫射。
12-7 查找上述漏洞的Bugtraq ID以及Bugtraq数据 库中列出的受影响系统。 12-8 简述网络安全扫描的内容和大致步骤。 12-9 有哪些方法可以用来发现目标？各自的优缺点 是什么？ 12-10 端口扫描的目的是什么？简述TCP SYN扫描 的原理。 12-11 什么是操作系统的TCP/IP协议栈指纹？探测 远程操作系统类型有哪些方法？ 12-12 漏洞检测的方法主要有哪3种？
经过发现目标和攫取信息两个步骤以后，就可以进 行漏洞检测。 漏洞检测的方法主要分为3种：直接测试(test)、推 断(inference)和带凭证的测试(Test with Credentials)。
1.直接测试 直接测试是指利用漏洞特点发现系统漏洞的方法。 最显而易见的方法就是试图渗透漏洞。渗透测试是 指使用针对漏洞特点设计的脚本或者程序检测漏洞。 2.推断 推断是指不利用系统漏洞而判断漏洞是否存在的方 法。它并不直接渗透漏洞，只是间接寻找漏洞存在 的证据。采用推断方法的检测手段主要有版本检查 （Version Check）、程序行为分析、操作系统堆 栈指纹分析、时序分析等。
端口扫描的主要技术有TCP connect() 扫描、TCP SYN扫描、TCP ACK扫描、TCP FIN扫描、TCP XMAS扫描、TCP空扫描、FTP反弹扫描（FTP Bounce Scan）、UDP扫描。 远程操作系统识别的主要方法有系统服务旗标识别、 主动协议栈指纹探测（ICMP响应分析、TCP报文 响应分析、TCP报文延时分析）、被动协议栈指纹 探测。 漏洞检测的主要方法有直接测试（test）、推断 （inference）和带凭证的测试（Test with Credential）。
10.1.3 公开的计算机漏洞信息
漏洞的存在，为入侵者侵入系统提供了可能。因此， 漏洞的公开，受益最大的还是系统管理员。 公开漏洞可以促使提供软件或硬件的厂商更快地解 决问题，也可以让系统管理员更有针对性地对自己 管理的系统进行配置和管理。 多年的实践也使人们逐渐认识到，建立在漏洞公开 基础之上的安全才是更可靠的安全。
从技术角度而言，漏洞的来源主要有以下几个方面： （1） 软件或协议设计时的瑕疵 协议定义了网络上计算机会话和通信的规则，在协议 设计时存在漏洞。 （2） 软件或协议实现中的弱点 实现协议的方式仍然可能引入漏洞。
（3） 软件本身的瑕疵 这类漏洞又可以分为很多子类。例如，没有进行数 据内容和大小检查，没有进行处理资源耗尽的情况 检查，对运行环境没有做完整检查，不正确地使用 系统调用等。攻击者通过渗透这些漏洞，即使不具 有特权账号，也可能获得额外的、未授权的访问。 （4） 系统和网络的错误配置 通常软件安装时都会有一个默认配置，如果管理员 不更改这些配置，服务器仍然能够提供正常的服务， 但是入侵者就能够利用这些配置对服务器造成威胁。
10.4 不同的扫描策略
对计算机进行安全扫描不仅可以从网络进行，也可 以从主机进行。也就是说安全扫描有基于网络和基 于主机两种策略。 （1） 基于网络的安全评估工具从入侵者的角度评 估系统，这类工具叫做远程扫描器或者网络扫描器。 基于系统扫描 器。这两类扫描器的主要目的都是发现系统或网络 潜在的安全漏洞。
3.操作系统探测 由于许多漏洞是和操作系统紧密相关的，因此，确 定操作系统类型对于脆弱性评估工具而言也十分重 要。目前用于探测操作系统的方法主要可以分为两 类：利用系统旗标信息和利用TCP/IP堆栈指纹。 而后者又有多种不同的实现方法。
表12-3：操作系统探测方法比较
方法 利用系统和服务的Banner ICMP 响应 分析 主动 特征 探测 TCP 报文 响应 分析 TCP 报文 延时 分析 被动特征探 测 优点 简单、快速、有效 缺点 不太可靠，有的情况下无法 获得Banner信息，有时可能 被Banner信息欺骗 防火墙阻塞UDP或ICMP等协议 时不太可靠
2.服务识别 前面提到，端口扫描的主要目的是为了获得目标主 机提供的服务，而通常获取服务类型的办法是根据 RFC1700直接推断。但是下面几种情况可能会使这 项工作变得稍微有些麻烦： 该主机将某服务故意开设到了非标准端口； 该主机开设了一个RFC1700中未定义的服务； 该主机被安置了后门程序。 所以有时候仅凭端口号来判断服务类型还是不够的， 可能需要更多的信息。
网络扫描的一些常用工具都是可以从Internet上免 费获得的。在使用这些工具之前请一定确认目标网 络已经授权你对其进行扫描。因为这些工具有可能 对扫描的目标造成危害。 cat 由Hobbit（hobbit@）编写的Netcat（或 称nc）是一个优秀的实用工具。它能执行的任务很 多，功能很强大 。
准确性较高
利 用 TCP/IP 栈 指 纹 信 息
需要一个打开的TCP端口、 在有防火墙阻挡的情况下， 一个关闭的TCP端口和一 可能只有一个开放的TCP端口， 个关闭的UDP端口，准确 这时准确性大大降低 性高 只需要一个打开的TCP端 口 不易被发现，主要被入侵 者使用
速度慢
分析数据更加复杂
10.2.3 漏洞检测
习题
12-1 计算机系统会被黑客攻击的最根本原因是什么？ 网络攻击的本质是什么？ 12-2 在CERT/CC的网站上查找2002年报告的漏洞 数量。 12-3 在Internet上查找现在最新的SANS/FBI最危险 的20个漏洞列表。 12-4 简述计算机脆弱性的概念和产生原因。 12-5什么是CVE和Bugtraq？ 12-6 在CVE的网站上查找名字为CVE-2000-0884的 漏洞描述。
基于网络的安全评估工具从入侵者的角度评估系统， 这类工具叫做远程扫描器或者网络扫描器。基于主 机的安全评估工具从本地系统管理员的角度评估系 统，这类工具叫做本地扫描器或者系统扫描器。这 两类扫描器的主要目的都是发现系统或网络潜在的 安全漏洞。然而由于其着眼点和实现方式不同，两 者的特点也各有千秋。
基于主机的脆弱性评估可以更准确地定位系统的问 题，发现系统的漏洞；然而缺点是平台相关、升级 复杂，而且扫描效率较低（一次只能扫描一台主 机）。基于网络的脆弱性评估从入侵者的角度进行 检测，能够发现系统中最危险、最可能被入侵者渗 透的漏洞，扫描效率更高，而且由于与目标平台无 关，通用性强，安装简单；缺点是不能检查不恰当 的本地安全策略，另外也可能影响网络性能。
10.1 计算机漏洞 10.1.1 计算机漏洞的概念
计算机系统的“漏洞” 并不是一个物理上的概念， 它是指计算机系统具有的某种可能被入侵者恶意利 用的属性。在计算机安全领域，安全漏洞 （Security Hole）通常又称作脆弱性 （vulnerability）。
计算机漏洞是系统的一组特性，恶意的主体（攻击 者或者攻击程序）能够利用这组特性，通过已授权 的手段和方式获取对资源的未授权访问，或者对系 统造成损害。这里的漏洞既包括单个计算机系统的 脆弱性，也包括计算机网络系统的漏洞。当系统的 某个漏洞被入侵者渗透（exploit）而造成泄密时， 其结果就称为一次安全事件（Security Incident）。
4.nessus nessus是一个功能强大而又易于使用的网络漏洞扫 描工具，运行于POSIX系统（Solaris、FreeBSD、 GNU/Linux等）。 5.X-scan X-scan是由“安全焦点”开发的一个免费的漏洞扫 描工具，运行于Windows操作系统。采用多线程方 式对指定IP地址段(或单机)进行安全漏洞检测，持 插件功能，提供了图形界面和命令行两种操作方式。
3.带凭证的测试 凭证是指访问服务所需要的用户名或者密码。 除了目标主机IP地址以外。然而，很多攻击者在拥 有一定的权限以后，他们的目标在于将自己的权限 提升成为超级用户，从而可以执行某个命令。因此， 如果赋予测试进程目标系统的角色，将能够检查出 更多的漏洞。这种方法就是带凭证的测试。
10.3 常用的网络扫描工具
10.2.1 发现目标
这一阶段就是通过发送不同类型的ICMP或者TCP、 UDP请求，从多个方面检测目标主机是否存活。在 这一阶段使用的技术通常称作ping扫射（Ping Sweep），包括ICMP扫射、广播ICMP、非回显 ICMP、TCP扫射、UDP扫射。
10.2.2 摄取信息
在找出网络上存活的系统之后，下一步就是要得到 目标主机的操作系统信息和开放的服务信息。用到 的技术主要有端口扫描(Port Scanning)、服务识别 和操作系统探测(Operating System Detection)。
（2） 基于主机的脆弱性评估分析文件内容，对系 统中不合适的设置、脆弱的口令以及其他存在安全 问题进行检查。它具有以下特点： 运行于单个主机，扫描目标为本地主机； 扫描器的设计和实现与目标主机的操作系统相关； 扫描项目主要包括用户账号文件、组文件、系统 权限、系统配置文件、关键文件、日志文件、用户 口令、网络接口状态、系统服务、软件脆弱性等。
10.2 实施网络扫描
黑客在真正侵入系统之前，通常都会先进行下面3 项工作：踩点、扫描和查点。一次完整的网络扫描 主要分为以下3个阶段： （1） 发现目标主机或网络。 （2） 发现目标后进一步搜集目标信息，包括操作 系统类型、运行的服务以及服务软件的版本等。如 果目标是一个网络，还可以进一步发现该网络的拓 扑结构、路由设备以及各主机的信息。 （3） 根据搜集到的信息判断或者进一步检测系统 是否存在安全漏洞。下面将分别说明这3个阶段使 用的扫描技术和方法。