为了顺应当前形势和更好的发展,黑基网已于9月19日正式更名为【安基网】,域名更换为www.safebase.cn,请卸载旧的APP并安装新的APP,给您带来不便,敬请理解!谢谢

黑基Web安全攻防班
安基网 首页 IT技术 安全攻防 查看内容

防止端口扫描

2010-7-19 15:33| 投稿: security

摘要:     防止端口扫描(1)     Internet上的主机大部分都提供WWW、Mail、FTP、BBS等网络信息服务,基本上每一台主机都...
    防止端口扫描(1)     Internet上的主机大部分都提供WWW、Mail、FTP、BBS等网络信息服务,基本上每一台主机都同时提供几种服务,一台主机为何能够提供如此多的服务呢?一般提供服务的操作系统如UNIX等是多用户多任务的系统,将网络服务划分为许多不同的端口,每一个端口提供一种不同的服务,一个服务会有一个程序时刻监视端口活动,并且给予应有的应答。并且端口的定义已经成为了标准,例如:FTP服务的端口是21,Telnet服务的端口是23,WWW服务的端口是80等。     如果攻击者使用软件扫描目标计算机,得到目标计算机打开的端口,也就了解了目标计算机提供了那些服务。我们都知道,提供服务就可能有服务软件的漏洞,根据这些漏洞,攻击者可以达到对目标计算机的初步了解。如果计算机的端口打开太多,而管理者又不知道,那么就可能发生两种情况:一种是提供了服务而管理者没有注意,比如安装 IIS 的时候,软件就会自动增加很多服务,而管理员可能没有注意到;另外一种是服务器被攻击者安装了木马,通过特殊的端口进行通信。这两种情况都是很危险的,说到底,就是管理员不了解服务器提供的服务,减小了系统安全系数。     端口扫描程序是黑客或者网络攻击常用的工具。有许多网络入侵都是从端口扫描开始的。有一些很老的端口扫描程序,如 SATAN 的程序,现在仍然可以查出网络上主机的安全缺陷。有些技术先进、防范严密的计算机竟然也不能抵挡这种很老工具的攻击。     1. 常用的扫描工具     常用的扫描工具有SATAN、ISS等,将在本书第4章详细介绍。     2.各类端口扫描方式     最简单的端口扫描程序只是检查一下目标主机有哪些端口可以建立TCP连接,如果可建立的话,说明主机在那个端口正在进行监听。但是像这样的程序不能进一步确定端口所提供的服务及一些漏洞。     那么到底怎么知道端口所提供的服务呢?这个必须用相应的协议来验证才能得到结果。其原理是:某个服务进程总是为了完成某种具体的工作。如,文件传输协议,只要按照这个协议,客户端提供正确的命令序列,才能完成文件的传输服务。因此,应用层协议是各不相同的。一个专门在网络上找代理服务器的程序,他总是试图连到一台主机的许多的端口,如果能够利用某个端口来调用一个WWW站点的网页,就可以认为这个端口正在运行一个代理程序。     端口扫描可以被目标主机检测到,并且将其记录下来。因为扫描是要和主机相连接的,一旦建立了连接,目标主机就会记录下来。况且现在很多防火墙都对通过的未知来源的IP很警惕,也可能被过滤掉。目前的许多入侵者都是利用 TCP/IP 的本身特性,实现了隐身技术。正确设置防火墙可以阻止,例如,使用天网防火墙的【自定义IP规则】功能可以拦截端口扫描以及ping扫描等,如图和图3.2.2所示。在图3.2.1中,可以通过IP规在图中,可以防止别人用ping 令探测自己的计算机。     所以了解这方面的知识对管理员也有很大的帮助。     下面我们来研究一下,入侵者是如何隐身而进行端口扫描的。     (1) TCP conntct ( )的扫描     使用系统提供的conntct ( )系统调用建立与想要的目标主机的端口连接。如果端口正在监听的话,conntct ( )就返回结果,反之,在使用它自身扫描的一个最显着的特点就是conntct ( )UNIX速度也相当快。不但可以扫描主机的端口,还可以使用多个socket来加快速度。但是conntct ( )这样的扫描方式的弊端就是很容易被系统过滤掉,并记录在日志,然后关闭连接。     (2) TCO FIN扫描     在很多的情况下,一些防火墙和包过滤程序监视数据包访问一个未被允许的端口,使得一些程序可以检测到很多的扫描方式。然而,FIN数据包却有可能通过这些过滤。 TCO FIN扫描的基本原理上这样的:关闭的端口将会用正确的RST来应答发送的FIN数据包,而相反的,这个就是TCP实现上的一个错误,但是这个错误不是所有系统都存在,因此,并不是对任何系统都有效。     (3)Frentation扫描     相当于其他扫描方式,像Frentation这样的扫描就显的比较高级一些了。它不仅仅发送数据包去探测,而且将要发送的数据组成更小的过TCP包头分成段,放到小的IP包里,使得过滤程序很难过滤这样的包,这样就可以做到对一台计算机主机的扫描。     (4)ICMP扫描     这个扫描大概是大家最熟悉不过的了。但是ICMP扫描不能算是一个真正的扫描,因为ICMP并没有端口的意思。但是,在使用ping这个命令的时候,通常可以得到网络上目标主机是否正在运行的信息。而使用这样的方式,一但主机将屏蔽的话,得到的信息将不起什么作用了。     网络理员可以用下些工具来防范入侵者的扫描:     COPS:用来检测UNIX系统中一系列存在的漏洞。先于入侵者发现这些漏洞是确保系统安全的关键。     ISS:在系统中运行 ISS 将会得到和一个攻击者得到同样多的信息。先于攻击者使用这些工具,将使系统管理员改善系统中易受攻击的地方,ISS可在下面的站点得到:http://www.iss.net;ftp.iss.net。     TCP Wrappers:对很多UNIX网络服务可以用一种称为TCP Wrappers的软件来保护。它可以监视和过滤tftp、exec、FTP、rsh、Telnet、rlogin、finger等网络服务的请求,提供访问控制的特性,可以用来检测和防止网络攻击。这个工具可以从ftp://cert.org/pub/tools/以anymouse方式得到。

小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册黑基账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!



免责声明:本文由投稿者转载自互联网,版权归原作者所有,文中所述不代表本站观点,若有侵权或转载等不当之处请联系我们处理,让我们一起为维护良好的互联网秩序而努力!联系方式见网站首页右下角。


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

最新

返回顶部