Please enable JavaScript.

Coggle requires JavaScript to display documents.

扫描与防御技术 - Coggle Diagram

- - - - 熟知端口号，被提供给特定服务使用
    - - 注册端口
    - - 动态端口或者专用端口
  - - - 1.Client 发送 SYN
      - 2.Server 返回 SYN/ACK 表明端口开放
        
        2.Server 放回 RST/ACK 表示端口关闭
      - 3.Client 返回 ACK 表示连接以及建立
        
        3.Client 发送 RST，表示知道 Server 端口关闭
      - 4.Client 主动断开连接
  - - - Client 发送 SYN
      - Server 返回 SYN/ACK
        
        2.Server 返回 RST/ACK 表示端口关闭
      - Client 发送 RST 断开连接
  - - - 当一个FIN到达一个关闭的端口，数据包被丢弃，返回一个RST数据包
      - 当一个FIN到达一个打开的端口，数据包被丢弃。（不返回RST数据包）
    - - Client 发送 FIN（无返回表示端口打开）
      - Server 返回 RST （表示端口关闭）
    - - Xmax
        
        打开所有标记（ACK、FIN、RST、SYN、URG、PSH）
        
        过程
        
        Client 发送 XMAX（all flags）（无放回表示端口打开）
        
        Server 放回 RST （表示端口关闭）
      - Null
        
        关闭了所有标记，将所有标记置空，发送给目标主机。
        
        过程
        
        Client 发送 Null （no flags）（无放回表示端口打开）
        
        Server 放回 RST （表示端口关闭）
  - - - 服务器要求验证客户端的身份，由服务器向客户端的113端口发起认证连接
    - - 服务器向客户端TCP 113 端口发起连接，询问客户端该进程的拥有者名称，服务器并写下日志，某某某连接上我的机器，再建立通信。
  - - - 允许数据连接位与控制连接位在不同的机器上，并支持代理FTP连接。
    - - 扫描程序首先在本地与一个支持代理的FTP服务器建立控制连接，然后使用PORT命令向FTP服务器声明欲扫描的目的主机的IP地址和端口号，并发送LIST命令。这是FTP服务器会尝试向目标主机指定端口发起数据连接请求。成功会放回150和225，错误会返回425。
  - - - 主动协议栈指纹识别
        
        由于TCP/IP协议栈技术标准在RFC文档中描述，但各个公司实现OS不同，通过对比为差异来判断OS类型。
        
        主要技术
        
        FIN探测
        
        向目标端口发送FIN，WinNT、CISCO IOS、HP/UX、IRIX的TCP/IP协议栈实现将返回Reset
        
        ISN采样探测
        
        寻找初始化序列长度模板与特定OS的匹配方法，如，早些的Unix的是64K长度，新的Unix系统是随机增加长度
        
        Dont’t Fragment 位探测
        
        一些操作系统会设置IP头部“Dont’s Fragment”以改善性能，这样可以判断区分远程OS。
        
        TCP初始窗口的大小检测
        
        AIX 的是 0x3F25
        
        NT 和 BSD 是 0x402E 等
        
        ACK值探测
        
        有些OS发回所确认的TCP包的序列号
        
        另外一些返回确认序列号加1
        
        ICMP出错消息抑制
        
        限制 ICMP出错消息的速率
        
        ICMP出错消息回射完整性
        
        返回ICMP出错消息的时候会修改所引用的IP头。
        
        TOS服务类型
        
        多数OS会是0
        
        片段处理
        
        对重叠的片段处理上有差异
      - 被动协议栈指纹识别
        
        原理跟主动类似，但从不主动发送数据包，只是被动捕获远程主机返回的包来分析其OS版本
        
        4个方面
        
        TTL
        
        Windows Size
        
        DF（分片位）
        
        TOS
- - - - 减少开发端口，做好系统防护
      - 实施检测扫描，及时作出告警
      - 伪装知名端口，进行信息欺骗
    - - 信息欺骗
        
        比如返回自定义的banner信息或者伪装知名端口
  - - - ProtectX
      - Winetd和DTK
      - PortSentry
- - - - Ping的实现机制，发送ICMP Echo Request （type 8）数据包，等待ICMP Echo Reply（type 0）。收到表示可达。
      - 简单、系统支持，但容易被防火墙限制
    - - 使用ICMP Echo 轮询多个主机
    - - 将ICMP请求包的目标地址设为广播地址或者网络地址，则可以探测广播域或整个网络访问内的主机。
      - 只适用于Unix/Linux系统，Windows会忽略这种包，容易引起广播风暴。
    - - 一些其他类型的ICMP类型包，也可以用于判断目的主机状态。
        
        Stamp Request（Type 13）
        
        Reply （Type 14）
        
        Information Request（Type 15）
        
        Reply （Type 16）
        
        Address Mask Request （Type 17）
        
        Reply （Type 18）
- - - - 将目标的机器标识转换为IP地址
    - - 不中断，就一直Ping
    - - 使用套接字打开调试状态
    - - 指定flag
    - - 发送的报文数量
    - - 强制使用IPv4协议
    - - 强制使用IPv6协议
    - - 只打印开始和结束的一些信息
    - - 指定长度
- - - - 指定一个初始 TTL
    - - 指定一个最大TTL
    - - 设置目的主机的端口号
    - - 每次发送探测数据包的个数
    - - 指定超时的时间