实验六端口扫描攻击检测.rar_snort_snort 端口扫描

<html xmlns="http://www.w3.org/1999/xhtml"> <head> <meta charset="utf-8"> <meta name="generator" content="pdf2htmlEX"> <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1"> <link rel="stylesheet" href="https://static.pudn.com/base/css/base.min.css"> <link rel="stylesheet" href="https://static.pudn.com/base/css/fancy.min.css"> <link rel="stylesheet" href="https://static.pudn.com/prod/directory_preview_static/626609214c65f41259256531/raw.css"> <script src="https://static.pudn.com/base/js/compatibility.min.js"></script> <script src="https://static.pudn.com/base/js/pdf2htmlEX.min.js"></script> <script> try{ pdf2htmlEX.defaultViewer = new pdf2htmlEX.Viewer({}); }catch(e){} </script> <title></title> </head> <body> <div id="sidebar" style="display: none"> <div id="outline"> </div> </div> <div id="pf1" class="pf w0 h0" data-page-no="1"><div class="pc pc1 w0 h0"><img class="bi x0 y0 w1 h1" alt="" src="https://static.pudn.com/prod/directory_preview_static/626609214c65f41259256531/bg1.jpg"><div class="c x0 y1 w2 h2"><div class="t m0 x1 h3 y2 ff1 fs0 fc0 sc0 ls0 ws0">实验六 端口扫描攻击检测</div><div class="t m0 x2 h4 y3 ff2 fs1 fc0 sc0 ls0 ws0">1、 需求分析</div><div class="t m0 x3 h4 y4 ff1 fs1 fc0 sc0 ls0 ws0">针对内外网用户的恶意扫描检测，通过 snort 的端口扫描攻击检测，初步识别攻击的源</div><div class="t m0 x3 h4 y5 ff1 fs1 fc0 sc0 ls0 ws0">和目的地址，进行及时防御，将威胁降到最低，更好的保护公司单位网络的安全。</div><div class="t m0 x3 h4 y6 ff1 fs1 fc0 sc0 ls0 ws0">外网用户的恶意扫描探测</div><div class="t m0 x2 h4 y7 ff2 fs1 fc0 sc0 ls0 ws0">2、 实验原理</div><div class="t m0 x2 h4 y8 ff2 fs1 fc0 sc0 ls0 ws0">2.1 端口扫描基本知识</div><div class="t m0 x4 h4 y9 ff1 fs1 fc0 sc0 ls0 ws0">端口扫描向目标主机的 TCP/IP 服务端口发送探测数据包，并记录目标主机的响应。通</div><div class="t m0 x2 h4 ya ff1 fs1 fc0 sc0 ls0 ws0">过分析响应来判断服务端口是打开还是关闭，就可以得知端口提供的服务或信息。端口扫</div><div class="t m0 x2 h4 yb ff1 fs1 fc0 sc0 ls0 ws0">描也可以通过捕获本地主机或服务器的流入流出 IP 数据包来监视本地主机的运行情况，他</div><div class="t m0 x2 h4 yc ff1 fs1 fc0 sc0 ls0 ws0">仅能对接收的数据进行分析，帮助我们发现目标主机的某些内在的弱点，而不会提供进入</div><div class="t m0 x2 h4 yd ff1 fs1 fc0 sc0 ls0 ws0">一个系统的详细步骤。</div><div class="t m0 x4 h4 ye ff1 fs1 fc0 sc0 ls0 ws0">端口扫描技术行为作为恶意攻击的前奏，严重威胁用户的网络，snort 通过扫描的行为</div><div class="t m0 x2 h4 yf ff1 fs1 fc0 sc0 ls0 ws0">特征准确地识别出恶意的扫描行为，并及时通知管理员。</div><div class="t m0 x4 h4 y10 ff1 fs1 fc0 sc0 ls0 ws0">常用的端口扫描技术：</div><div class="t m0 x4 h4 y11 ff1 fs1 fc0 sc0 ls0 ws0">（1） TCP 端口连接扫描：这是最基本的 TCP 扫描。操作系统提供的 connect()系统</div><div class="t m0 x4 h4 y12 ff1 fs1 fc0 sc0 ls0 ws0">调用，用来与每一个感兴趣的目标计算机的端口进行连接。如果端口处于侦听状态，</div><div class="t m0 x4 h4 y13 ff1 fs1 fc0 sc0 ls0 ws0">那么 connect()就能成功。否则，这个端口是不能用的，即没有提供服务。这个技术的</div><div class="t m0 x4 h4 y14 ff1 fs1 fc0 sc0 ls0 ws0">一个最大的优点是，你不需要任何权限。系统中的任何用户都有权利使用这个调用。</div><div class="t m0 x4 h4 y15 ff1 fs1 fc0 sc0 ls0 ws0">另一个好处就是速度。如果对每个目标端口以线性的方式，使用单独的 connect()调用，</div><div class="t m0 x4 h4 y16 ff1 fs1 fc0 sc0 ls0 ws0">那么将会花费相当长的时间，你可以通过同时打开多个套接字，从而加速扫描。使用</div><div class="t m0 x4 h4 y17 ff1 fs1 fc0 sc0 ls0 ws0">非阻塞 I/O 允许你设置一个低的时间用尽周期，同时观察多个套接字。但这种方法的</div><div class="t m0 x4 h4 y18 ff1 fs1 fc0 sc0 ls0 ws0">缺点是很容易被发觉，并且被过滤掉。目标计算机的 logs 文件会显示一连串的连接和</div><div class="t m0 x4 h4 y19 ff1 fs1 fc0 sc0 ls0 ws0">连接是出错的服务消息，并且能很快的使它关闭。 　　</div><div class="t m0 x4 h4 y1a ff1 fs1 fc0 sc0 ls0 ws0">（2） TCP SYN 扫描：这种技术通常认为是“半开放”扫描，这是因为扫描程序不必要</div><div class="t m0 x4 h4 y1b ff1 fs1 fc0 sc0 ls0 ws0">打开一个完全的 TCP 连接。扫描程序发送的是一个 SYN 数据包，好象准备打开一个实</div><div class="t m0 x4 h4 y1c ff3 fs1 fc0 sc0 ls0 ws0">际的连接并等待反应一样（参考 TCP 的三次握手建立一个 TCP 连接的过程）。一个</div><div class="t m0 x4 h4 y1d ff2 fs1 fc0 sc0 ls0 ws0">SYN|ACK 的返回信息表示端口处于侦听状态。一个 RST 返回，表示端口没有处于侦听</div><div class="t m0 x4 h4 y1e ff1 fs1 fc0 sc0 ls0 ws0">态。如果收到一个 SYN|ACK，则扫描程序必须再发送一个 RST 信号，来关闭这个连接</div><div class="t m0 x4 h4 y1f ff1 fs1 fc0 sc0 ls0 ws0">过程。这种扫描技术的优点在于一般不会在目标计算机上留下记录。但这种方法的一</div><div class="t m0 x4 h4 y20 ff1 fs1 fc0 sc0 ls0 ws0">个缺点是，必须要有 root 权限才能建立自己的 SYN 数据包。 　　</div><div class="t m0 x4 h4 y21 ff1 fs1 fc0 sc0 ls0 ws0">（3） TCP FIN 扫描：有的时候有可能 SYN 扫描都不够秘密。一些防火墙和包过滤器</div><div class="t m0 x4 h4 y22 ff1 fs1 fc0 sc0 ls0 ws0">会对一些指定的端口进行监视，有的程序能检测到这些扫描。相反， FIN 数据包可能</div><div class="t m0 x4 h4 y23 ff1 fs1 fc0 sc0 ls0 ws0">会没有任何麻烦的通过。这种扫描方法的思想是关闭的端口会用适当的 RST 来回复 FIN</div><div class="t m0 x4 h4 y24 ff1 fs1 fc0 sc0 ls0 ws0">数据包。另一方面，打开的端口会忽略对 FIN 数据包的回复。这种方法和系统的实现</div><div class="t m0 x4 h4 y25 ff1 fs1 fc0 sc0 ls0 ws0">有一定的关系。有的系统不管端口是否打开，都回复 RST，这样，这种扫描方法就不</div><div class="t m0 x4 h4 y26 ff3 fs1 fc0 sc0 ls0 ws0">适用了。并且这种方法在区分 Unix 和 NT 时，是十分有用的。 　　</div><div class="t m0 x4 h4 y27 ff1 fs1 fc0 sc0 ls0 ws0">（4） IP 段扫描：这种不能算是新方法，只是其它技术的变化。它并不是直接发送</div><div class="t m0 x4 h4 y28 ff2 fs1 fc0 sc0 ls0 ws0">TCP 探测数据包，是将数据包分成两个较小的 IP 段。这样就将一个 TCP 头分成好几个</div><div class="t m0 x4 h4 y29 ff1 fs1 fc0 sc0 ls0 ws0">数据包，从而过滤器就很难探测到。但必须小心。一些程序在处理这些小数据包时会</div><div class="t m0 x4 h4 y2a ff1 fs1 fc0 sc0 ls0 ws0">有些麻烦。 　　</div><div class="t m0 x4 h4 y2b ff1 fs1 fc0 sc0 ls0 ws0">（5） TCP 反向 ident 扫描：ident 协议允许(rfc1413)看到通过 TCP 连接的任何进程的</div><div class="t m0 x4 h4 y2c ff3 fs1 fc0 sc0 ls0 ws0">拥有者的用户名，即使这个连接不是由这个进程开始的。因此你能，举个例子，连接</div></div></div><div class="pi" data-data='{"ctm":[1.611850,0.000000,0.000000,1.611850,0.000000,0.000000]}'></div></div> </body> </html>

实验六 端口扫描攻击检测.rar

实验六端口扫描攻击检测.rar