漏洞掃描原理及程序簡(jiǎn)介

　　2.3.2 HTTP響應分析

　　在和目標主機建立HTTP連接后，可以分析服務(wù)器的響應包得出OS類(lèi)型。比如響應包中可能包含如下信息：

　　圖2 響應包分析

　　從圖2中對響應包中的數據分析，可以得到server的信息。

　　2.3.3棧指紋分析

　　網(wǎng)絡(luò )上的主機都會(huì )通過(guò)TCP/IP或類(lèi)似的協(xié)議棧來(lái)互通互聯(lián)。由于0S開(kāi)發(fā)商不唯一，系統架構多樣，甚至是軟件版本的差異，都導致了協(xié)議棧具體實(shí)現上的不同。對錯誤包的響應，默認值等都可以作為區分0S的依據。

　　(1)主動(dòng)棧指紋探測

　　主動(dòng)棧指紋探測是主動(dòng)向主機發(fā)起連接，并分析收到的響應，從而確定OS類(lèi)型的技術(shù)。

　　1)FIN探測。跳過(guò)TCP三次握手的順序，給目標主機發(fā)送一個(gè)FIN包。RFC793規定，正確的處理是沒(méi)有響應，但有些OS，如MS Windows，CISC0，HP/UX等會(huì )響應一個(gè)RST包。

　　2)Bogus標志探測。某些OS會(huì )設置SYN包中TCP頭的未定義位(一般為64或128)，而某些0S在收到設置了這些Bogus位的SYN包后，會(huì )重置連接。

　　3)統計ICMP ERROR報文。RFCl812中規定了ICMP ERROR消息的發(fā)送速度。Linux設定了目標不可達消息上限為80個(gè)/4秒。0S探測時(shí)可以向隨機的高端UDP端口大量發(fā)包，然后統計收到的目標不可達消息。用此技術(shù)進(jìn)行OS探測時(shí)時(shí)間會(huì )長(cháng)一些，因為要大量發(fā)包，并且還要等待響應，同時(shí)也可能出現網(wǎng)絡(luò )中丟包的情況。

　　4)ICMPERROR報文引用。RFC文件中規定，ICMP ERROR消息要引用導致該消息的ICMP消息的部分內容。例如對于端口不可達消息，某些OS返回收到的IP頭及后續的8個(gè)字節，Solaris返回的 ERROR消息中則引用內容更多一些，而Linux比Solaris還要多。

　　(2)被動(dòng)棧指紋探測

　　被動(dòng)棧指紋探測是在網(wǎng)絡(luò )中監聽(tīng)，分析系統流量，用默認值來(lái)猜測0S類(lèi)型的技術(shù)。

　　1)TCP初始化窗口尺寸。通過(guò)分析響應中的初始窗口大小來(lái)猜測OS的技術(shù)比較可靠，因為很多0S的初始窗口尺寸不同。比如AIX設置的初始窗口尺寸是0x3F25，而Windows NT5、OpenBSD、FreeBSD設置的值是0x402E。

　　2)Don’t Fragment位。為了增進(jìn)性能，某些0S在發(fā)送的包中設置了DF位，可以從DF位的設置情況中做大概的判斷。

　　3)TCPISN采樣。建立TCP連接時(shí)，SYN/ACK中初始序列號ISN的生成存在規律，比如固定不變、隨機增加 (Solaris，FreeBSD等)，真正的隨機(Linux 2.0.*)，而Windows使用的是時(shí)間相關(guān)模型，ISN在每個(gè)不同時(shí)間段都有固定的增量。

　　2.4脆弱點(diǎn)掃描

　　從對黑客攻擊行為的分析和脆弱點(diǎn)的分類(lèi)，絕大多數掃描都是針對特定操作系統中特定的網(wǎng)絡(luò )服務(wù)來(lái)進(jìn)行，即針對主機上的特定端口。脆弱點(diǎn)掃描使用的技術(shù)主要有基于脆弱點(diǎn)數據庫和基于插件兩種。

　　2.4.1基于脆弱點(diǎn)數據庫的掃描

　　首先構造掃描的環(huán)境模型，對系統中可能存在的脆弱點(diǎn)、過(guò)往黑客攻擊案例和系統管理員的安全配置進(jìn)行建模與分析。其次基于分析的結果，生成一套標準的脆弱點(diǎn)數據庫及匹配模式。最后由程序基于脆弱點(diǎn)數據庫及匹配模式自動(dòng)進(jìn)行掃描工作。脆弱點(diǎn)掃描的準確性取決于脆弱點(diǎn)數據庫的完整性及有效性。