网络端口扫描及对策研究

摘要: 分析了端口扫描的原理和常用方法,并提出相应检测、处理方法。

关键词: 安全防护  端口  端口扫描

 　　随着网络在学校教学、科研、管理各个方面的应用,网络用户资源的安全防护要求日益迫切。网络上充斥着各种各样的良性、恶性信息,其中端口扫描信息最应引起网络管理人员和用户的警觉和注意,因为一个端口就是一个潜在的通信通道,也就是一个入侵通道。对目标计算机进行端口扫描,能得到许多有用的信息,同时也往往是一次入侵的前奏。最近流行的“冲击波”病毒就是通过对主机135、4444端口扫描,利用RPC服务的漏洞进一步对主机进行攻击。

　　1 扫描器的基本工作原理

进行扫描的方法很多,可以手工进行扫描,但主要是使用端口扫描软件(扫描器)进行。扫描器是一种自动检测远程或本地主机安全性弱点的程序,通过使用扫描器可以不留痕迹的发现远程服务器的各种TCP端口的分配及提供的服务和它们的软件版本。这就能间接的或直观的了解到远程主机所存在的安全问题。 

扫描器通过选用远程TCP/IP不同的端口的服务,并记录目标给予的回答,通过这种方法,可以搜集到很多关于目标主机的各种有用的信息(比如:是否能用匿名登陆,是否有可写的FTP目录,是否能用TELNET,HTTPD是否用ROOT在运行。) 

扫描器并不是一个直接的攻击网络漏洞的程序,它仅仅能帮助我们发现目标机的某些内在的弱点。一个好的扫描器能对它得到的数据进行分析,帮助查找目标主机的漏洞。但它不会提供进入一个系统的详细步骤。 

扫描器应该有三项功能:(1)发现一个主机或网络;(2)一旦发现一台主机,能发现正运行的这台主机在进行何种服务;(3)通过测试这些服务,发现漏洞。

　　2 常见的扫描技术

常见的扫描方法有以下几种;

(1)TCP connect() 扫描 

这是最基本的TCP扫描。操作系统提供的connect()系统调用,用来与每一个感兴趣的目标计算机的端口进行连接。如果端口处于侦听状态,则connect()就能成功。否则,这个端口是不能用的,即没有提供服务。这个技术的最大的优点是,用户不需要任何权限。系统中的任何用户都有权利使用这个调用。另一个好处就是速度快。如果对每个目标端口以线性的方式,使用单独的connect()调用,将会花费相当长的时间,用户可以通过同时打开多个套接字,从而加速扫描。使用非阻塞I/O允许设置一个低的时间用尽周期,同时观察多个套接字。但这种方法的缺点是很容易被发觉,并且被过滤掉。目标计算机的logs文件会显示一连串的连接和连接出错的服务消息,并且能很快地使它关闭。 

(2)TCP SYN扫描 

这种技术通常认为是半开放扫描,这是因为扫描程序不必要打开一个完全的TCP连接。扫描程序发送的是一个SYN数据包,好象准备打开一个实际的连接并等待反应一样(参考TCP的三次握手建立一个TCP连接的过程)。一个SYN|ACK的返回信息表示端口处于侦听状态。一个RST返回,表示端口没有处于侦听态。如果收到一个SYN|ACK,则扫描程序必须再发送一个RST信号,来关闭这个连接过程。这种扫描技术的优点在于一般不会在目标计算机上留下记录。但这种方法的缺点是,必须要有root权限才能建立自己的SYN数据包。 

(3)TCP FIN 扫描

有的时候有可能SYN扫描都不够秘密。一些防火墙和包过滤器会对一些指定的端口进行监视,有的程序能检测到这些扫描。相反,FIN数据包可能会顺利通过。这种扫描方法的思想是关闭的端口会用适当的RST来回复FIN数据包。另一方面,打开的端口会忽略对FIN数据包的回复。这种方法和系统的实现有一定的关系。如果有的系统不管端口是否打开,都回复RST,那么这种扫描方法就不适用了。但这种方法在区分Unix和NT时是十分有用的。 

(4)IP段扫描 

并不是直接发送TCP探测数据包,是将数据包分成二个较小的IP段。这样就将一个TCP头分成好几个数据包,从而过滤器就很难探测到。但一些程序在处理这些小数据包时会有些问题。 

(5)TCP 反向 ident扫描 

ident 协议允许(rfc1413-Request For Comments1413)看到通过TCP连接的任何进程的拥有者的用户名,即使这个连接不是由这个进程开始的。例如用户连接到http端口,然后用identd来发现服务器是否正在以root权限运行。这种方法只能在和目标端口建立了一个完整的TCP连接后才能看到。 

(6)FTP 返回攻击 

FTP协议的一个的特点是它支持代理(proxy)FTP连接。即入侵者可以从自己的计算机1.com和目标主机2.com的FTP server-PI(协议解释器)连接,建立一个控制通信连接。然后,请求这个server-PI激活一个有效的server-DTP(数