随着信息技术在社会生活中的应用日益广泛，人们对信息安全的重要性有了更加深刻的认识。作为信息流通与传输的主要媒介，网络的安全问题无疑是信息安全中不可或缺的一环。而作为信息最初的发送方、中间的传递方、最终的接收方，主机的安全问题也占有非常重要的地位。在系统维护人员看来，只有足够安全的网络和主机，才能最大可能地保证信息安全。相应的，黑客(攻击者)也会尽可能地寻找网络和主机的漏洞，从而实施攻击来破坏信息安全。双方攻防的第一步，主要集中在对网络和主机的漏洞扫描上。
网络扫描，是基于Internet的、探测远端网络或主机信息的一种技术，也是保证系统和网络安全必不可少的一种手段。主机扫描，是指对计算机主机或者其它网络设备进行安全性检测，以找出安全隐患和系统漏洞。总体而言，网络扫描和主机扫描都可归入漏洞扫描一类。漏洞扫描本质上是一把双刃剑：黑客利用它来寻找对网络或系统发起攻击的途径，而系统管理员则利用它来有效防范黑客入侵。通过漏洞扫描，扫描者能够发现远端网络或主机的配置信息、TCP／UDP端口的分配、提供的网络服务、服务器的具体信息等。
主机漏洞扫描，主要通过以下两种方法来检查目标主机是否存在漏洞：1）在端口扫描后得知目标主机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞存在；2）通过模拟黑客的攻击手法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等。若模拟攻击成功，则表明目标主机系统存在安全漏洞。
一、漏洞扫描技术
安全扫描技术是一类重要的网络安全技术。安全扫描技术与防火墙、入侵检测系统互相配合，能够有效提高网络的安全性。通过对网络的扫描，网络管理员可以了解网络的安全配置和运行的应用服务，及时发现安全漏洞，客观评估网络风险等级。网络管理员可以根据扫描的结果更正网络安全漏洞和系统中的错误配置，在黑客攻击前进行防范。如果说防火墙和网络监控系统是被动的防御手段，那么安全扫描就是一种主动的防范措施，可以有效避免黑客攻击行为，做到防患于未然。
漏洞扫描可以划分为ping扫描、端口扫描、OS探测、脆弱点探测、防火墙扫描五种主要技术，每种技术实现的目标和运用的原理各不相同。按照TCP／IP协议簇的结构，ping扫描工作在互联网络层：端口扫描、防火墙探测工作在传输层；0S探测、脆弱点探测工作在互联网络层、传输层、应用层。ping扫描确定目标主机的IP地址，端口扫描探测目标主机所开放的端口，然后基于端口扫描的结果，进行OS探测和脆弱点扫描。
1．1 Ping扫描
ping扫描是指侦测主机IP地址的扫描。ping扫描的目的，就是确认目标主机的TCP／IP网络是否联通，即扫描的IP地址是否分配了主机。对没有任何预知信息的黑客而言，ping扫描是进行漏洞扫描及入侵的第一步；对已经了解网络整体IP划分的网络安全人员来讲，也可以借助ping扫描，对主机的IP分配有一个精确的定位。大体上，ping扫描是基于ICMP协议的。其主要思想，就是构造一个ICMP包，发送给目标主机，从得到的响应来进行判断。根据构造ICMP包的不同，分为ECH0扫描和non—ECHO扫描两种。
1．1．1 ECH0扫描
向目标IP地址发送一个ICMP ECHOREQUEST(ICMP type 8)的包，等待是否收至UICMP ECHO REPLY(ICMP type 0)。如果收到了ICMP ECHO REPLY，就表示目标IP上存在主机，否则就说明没有主机。值得注意的是，如果目标网络上的防火墙配置为阻止ICMP ECH0流量，ECH0扫描不能真实反映目标IP上是否存在主机。
此外，如果向广播地址发送ICMPECHO REQUEST，网络中的unix主机会响应该请求，而windows主机不会生成响应，这也可以用来进行OS探测。
1．1．2 non-ECH0扫描
第1页 共7页
向目的IP地址发送一个ICMP TIMESTAMP REQUEST(ICMP type l3)，或ICMP ADDRESS MASK REQUEST (ICMP type l7)的包，根据是否收到响应，可以确定目的主机是否存在。当目标网络上的防火墙配置为阻止ICMP ECH0流量时，则可以用non．ECH0扫描来进行主机探测。
1．2端口扫描
端口扫描用来探测主机所开放的端口，比如23端口对应telnet，21对应ftp，80对应http。端口扫描通常只做最简单的端口联通性测试，不做进一步的数据分析，因此比较适合进行大范围的扫描：对指定IP地址进行某个端口值段的扫描，或者指定端口值对某个IP地址段进行扫描。这种方式判定服务是较早的一种方式，对于大范围评估是有一定价值的，但其精度较低。例如使用nc这样的工具在80端口上监听，这样扫描时会以为80在开放，但实际上80并没有提供http服务，由于这种关系只是简单对应，并没有去判断端口运行的协议，这就产生了误判，认为只要开放了80端口就是开放了http协议。但实际并非如此，这就是端口扫描技术在服务判定上的根本缺陷。
根据端口扫描使用的协议，分为TCP扫描和UDP扫描。
1．2．1 TCP扫描
主机间建立TCP连接分三步(也称三次握手)：
利用三次握手过程与目标主机建立完整或不完整的TCP连接。
TCP connect()扫描： tcp的报头里，有6个连接标记，分别是urg、ack、psh、rst、syn、fin。通过这些连接标记不同的组合方式，可以获得不同的返回报文。例如，发送一个syn置位的报文，如果syn置位瞄准的端口是开放的，syn置位的报文到达的端口开放的时候，他就会返回syn+ack，代表其能够提供相应的服务。我收到syn+ack后，返回给对方一个ack。这个过程就是著名的三次握手。这种扫描的速度和精度都是令人满意的。
Reverse-ident扫描：这种技术利用了Ident协议(RFC1413)，tcp端口113.很多主机都会运行的协议，用于鉴别TCP连接的用户。
identd 的操作原理是查找特定 TCP/IP 连接并返回拥有此连接的进程的用户名。它也可以返回主机的其他信息。但这种扫描方式只能在tcp全连接之后才有效，并且实际上很多主机都会关闭ident服务。
Tcp syn扫描：向目标主机的特定端口发送一个SYN包，如果端口没开放就不会返回syn+ack，这时会给你一个rst，停止建立连接。由于连接没有完全建立，所以称为半开放扫描。但由于syn flood作为一种ddos攻击手段被大量采用，因此很多防火墙都会对syn报文进行过滤，所以这种方法并不能总是有用。
其他还有fin、NULL、Xmas等扫描方式。
根据TCP连接的建立步骤，TCP扫描主要包含两种方式：
(1)TCP全连接和半连接扫描
全连接扫描通过三次握手，与目的主机建立TCP连接，目的主机的log文件中将记录这次连接。而半连接扫描(也称TCP SYN扫描)并不完成TCP三次握手的全过程。扫描者发送SYN包开始三次握手，等待目的主机的响应。如果收到SYN／ACK包，则说明目标端口处于侦听状态，扫描者马上发送RST包，中止三次握手。因为半连接扫描并没有建立TCP连接，目的主机的log文件中可能不会记录此扫描。
(2)TCP隐蔽扫描
根据TCP协议，处于关闭状态的端口，在收到探测包时会响应RST包，而处于侦听状态的端口则忽略此探测包。根据探测包中各标志位设置的不同，TCP隐蔽扫描又分为SYN／ACK扫描、FIN扫
第2页 共7页
描、XMAS(圣诞树)扫描和NULL扫描四种。
SYN/ACK扫描和FIN扫描均绕过TCP三次握手过程的第一步，直接给目的端口发送SYN／ACK包或者FIN包。因为TCP是基于连接的协议，目标主机认为发送方在第一步中应该发送的SYN包没有送出，从而定义这次连接过程错误，会发送一个RST包以重置连接。而这正是扫描者需要的结果—只要有响应，就说明目标系统存在，且目标端口处于关闭状态。
XMAS扫描和NULL扫描：这两类扫描正好相反，XMAS扫描设置TCP包中所有标志位(URG、ACK、RST、PSH、SYN、FIN)，而NULL扫描则关闭TCP包中的所有标志位。
1．2．2 UDP端口扫描
由于现在防火墙设备的流行，tcp端口的管理状态越来越严格，不会轻易开放，并且通信监视严格。为了避免这种监视，达到评估的目的，就出现了秘密扫描。这种扫描方式的特点是利用UDP端口关闭时返回的ICMP信息，不包含标准的TCP三次握手协议的任何部分，隐蔽性好，但这种扫描使用的数据包在通过网络时容易被丢弃从而产生错误的探测信息。
但是，UDP扫描方式的缺陷很明显，速度慢、精度低。UDP的扫描方法比较单一，基础原理是：当你发送一个报文给udp端口，该端口是关闭状态时，端口会返回给一个icmp信息，所有的判定都是基于这个原理。如果关闭的话，什么信息都不发。
Traceroute扫描：tracert 向30000以上的高端口（一般认为，主机的30000以上高端口利用率非常低，任何主机都不会轻易开放这种高端口，默认都是关闭的）。如果对方端口关闭，会返回给icmp信息，根据这个往返时间，计算跳数、路径信息，了解延时情况。这是tracerote原理，也是从这个原理上演变出来udp扫描技术。
使用udp扫描要注意的是1、udp状态、精度比较差，因为udp是不面向连接的，所以整个精度会比较低。2、udp扫描速度比较慢，tcp扫描开放1秒的延时，在udp里可能就需要2秒，这是由于不同操作系统在实现icmp协议的时候为了避免广播风暴都会有峰值速率的限制（因为icmp信息本身并不是传输载荷信息，不会有人拿他去传输一些有价值信息。操作系统在实现的时候是不希望icmp报文过多的。为了避免产生广播风暴，操作系统对icmp报文规定了峰值速率，不同操作系统的速率不同） 利用udp作为扫描的基础协议，就会对精度、延时产生较大影响。
当前在渗透测试过程中对于端口的扫描是非常灵活的，06年的黑帽大会上，就有人利用了开发了工具探测网内哪台主机打开了80端口，这样的技术在当前的互联网上利用的非常普遍。
1．3 0S探测
OS探测有双重目的：一是探测目标主机的0S信息，二是探测提供服务的计算机程序的信息。比如OS探测的结果是：OS是Windows XP sp3，服务器平台是IIS 4.0。
1．3．1二进制信息探测
通过登录目标主机，从主机返回的banner中得知OS类型、版本等，这是最简单的0S探测技术 从图l可以看出，在telnet连上FTP服务器后，服务器返回的banner已经提供了server的信息，在执行ftp的syst命令后可得到更具体的信息。
1．3．2 HTTP响应分析
在和目标主机建立HTTP连接后，可以分析服务器的响应包得出OS类型。比如响应包中可能包含如下信息：
1．3．3栈指纹分析
网络上的主机都会通过TCP／IP或类似的协议栈来互通互联。由于0S开发商不唯一，系统架构
第3页 共7页
多样，甚至是软件版本的差异，都导致了协议栈具体实现上的不同。对错误包的响应，默认值等都可以作为区分0S的依据。可辨识的OS的种类，包括哪些操作系统，甚至小版本号。指纹技术有主动和被动两种。
(1)主动栈指纹探测
主动识别技术：采用主动发包，利用多次的试探，去一次一次筛选不同信息，比如根据ACK值判断，有些系统会发送回所确认的TCP分组的序列号，有些会发回序列号加1。还有一些操作系统会使用一些固定的tcp窗口。某些操作系统还会设置IP头的DF位来改善性能。这些都成为判断的依据。这种技术判定windows的精度比较差，只能够判定一个大致区间，很难判定出其精确版本，但是在unix，网络设备时甚至可以判定出小版本号，比较精确。如果目标主机与源主机跳数越多，精度越差。因为数据包里的很多特征值在传输过程中都已经被修改或模糊化，会影响到探测的精度。nmap –O参数就是其代表。
1)FIN探测。跳过TCP三次握手的顺序，给目标主机发送一个FIN包。RFC793规定，正确的处理是没有响应，但有些OS，如MS Windows，CISC0，HP/UX等会响应一个RST包。
2)Bogus标志探测。某些OS会设置SYN包中TCP头的未定义位(一般为64或128)，而某些0S在收到设置了这些Bogus位的SYN包后，会重置连接。
3)统计ICMP ERROR报文。RFCl812中规定了ICMP ERROR消息的发送速度。Linux设定了目标不可达消息上限为80个／4秒。0S探测时可以向随机的高端UDP端口大量发包，然后统计收到的目标不可达消息。用此技术进行OS探测时时间会长一些，因为要大量发包，并且还要等待响应，同时也可能出现网络中丢包的情况。
4)ICMPERROR报文引用。RFC文件中规定，ICMP ERROR消息要引用导致该消息的ICMP消息的部分内容。例如对于端口不可达消息，某些OS返回收到的IP头及后续的8个字节，Solaris返回的ERROR消息中则引用内容更多一些，而Linux比Solaris还要多。
(2)被动栈指纹探测
被动识别技术：不是向目标系统发送分组，而是被动监测网络通信，以确定所用的操作系统。利用对报头内DF位，TOS位，窗口大小，TTL的嗅探判断。因为并不需要发送数据包，只需要抓取其中的报文，所以叫做被动识别技术。例如telnet对方，并用snort监听数据包
1)TCP初始化窗口尺寸。通过分析响应中的初始窗口大小来猜测OS的技术比较可靠，因为很多0S的初始窗口尺寸不同。比如AIX设置的初始窗口尺寸是0x3F25，而Windows NT5、OpenBSD、FreeBSD设置的值是0x402E。
2)Don"t Fragment位。为了增进性能，某些0S在发送的包中设置了DF位，可以从DF位的设置情况中做大概的判断。
3)TCPISN采样。建立TCP连接时，SYN／ACK中初始序列号ISN的生成存在规律，比如固定不变、随机增加(Solaris，FreeBSD等)，真正的随机(Linux 2.0.*)，而Windows使用的是时间相关模型，ISN在每个不同时间段都有固定的增量。
1．4脆弱点扫描
从对黑客攻击行为的分析和脆弱点的分类，绝大多数扫描都是针对特定操作系统中特定的网络服务来进行，即针对主机上的特定端口。脆弱点扫描使用的技术主要有基于脆弱点数据库和基于插件两种。
1．4．1基于脆弱点数据库的扫描
首先构造扫描的环境模型，对系统中可能存在的脆弱点、过往黑客攻击案例和系统管理员的安
第4页 共7页
全配置进行建模与分析。其次基于分析的结果，生成一套标准的脆弱点数据库及匹配模式。最后由程序基于脆弱点数据库及匹配模式自动进行扫描工作。脆弱点扫描的准确性取决于脆弱点数据库的完整性及有效性。
1．4．2基于插件的扫描
插件是由脚本语言编写的子程序模块，扫描程序可以通过调用插件来执行扫描。添加新的功能插件可以使扫描程序增加新的功能，或者增加可扫描脆弱点的类型与数量。也可以升级插件来更新脆弱点的特征信息，从而得到更为准确的结果。还可以针对某一具体漏洞，编写对应的外部测试脚本。通过调用服务检测插件，检测目标主机TCP/IP不同端口 的服务，并将结果保存在信息库中，然后调用相应的插件程序，向远程主机发送构造好的数据，检测结果同样保存于信息库，以给其他的脚本运行提供所需的信息， 这样可提高检测效率。插件技术使脆弱点扫描软件的升级维护变得相对简单，而专用脚本语言的使用也简化了编写新插件的编程工作，使弱点扫描软件具有很强的扩展性。
1．5防火墙规则探测
采用类似于traceroute的IP数据包分析法，检测能否给位于过滤设备后的主机发送一个特定的包，目的是便于漏洞扫描后的入侵或下次扫描的顺利进行。通过这种扫描，可以探测防火墙上打开或允许通过的端口，并且探测防火墙规则中是否允许带控制信息的包通过，更进一步，可以探测到位于数据包过滤设备后的路由器。
1.6 BANNER
Banner的方式相对精确，获取服务的banner，是一种比较成熟的技术，可以用来判定当前运行的服务，对服务的判定较为准确。而且不仅能判定服务，还能够判定具体的服务版本信息。
二、 一些常见漏洞扫描程序
通常在制定漏洞扫描策略时，扫描者会考虑程序的操作系统、所应用的技术、易用性、准确性等因素。其中，程序的可用性是最重要的，也是最基本的，但是可控性和准确性同样不容忽视。
2．1 Unix／Linux平台
2．1．1 hping
hping是一个基于命令行的TCP/IP工具,它在UNIX上得到很好的应用,可以运行于LINUX,FREEBSD,NETBSD,OPENBSD,SOLARIS。不过它并非仅仅一个ICMP请求/响应工具,它还支持TCP.UDP.ICMP,RAW-IP协议,以及一个路由模型HPING一直被用作安全工具,可以用来测试网络及主机的安全,它有以下功能1）防火墙探测；2）高级端口扫描；3）网络测试;(可以用不同的协议,TOS,数据包碎片来实现此功能)；4）手工MTU发掘；5）高级路由(在任何协议下都可一实现)；6）指纹判断；7）细微UPTIME猜测HPING，也可以被研究人员用来学习TCP/IP,特点在于能进行ping扫描、端口扫描、0S探测、防火墙探测等多种扫描，并能自定义发送的ICMP／UDP／TCP包到目标地址并且显示响应信息。
2．1．2 icmpush & icmpquery
icmpush&icmpquery的特点在于完全应用了ICMP协议，可以定制ICMP包的结构以及种类。扫描者可以用这套工具把目标网络的各个子网全部查找出来，从而可以撇开广播地址而集中扫描某几个特定的子网。
2．1．3 Xprobe 2
是专业的端口扫描、OS探测程序。特点在于自身的0S特征数据库详细，进行OS探测的可靠性较好。
第5页 共7页
2．1．4 THC-Anap
OS探测程序。特点在于扫描速度快，扫描结果可靠。
2．1．5 Whisker
针对CGI的脆弱点探测程序。应用了多线程、多文件扫描技术，脆弱点数据库更新频繁，对扫描结果自行复核，从而扫描结果可靠性好。这个工具通常也是对Web服务器执行每一种可能的攻击，从而触发大量的警报和事件。
2．1．6 Nessus
脆弱点探测程序。应用了主动扫描、高速扫描技术，可设置扫描过程。特点在于支持DMZ区以及多物理分区网络的大范围扫描。采用客户/服务器体系结构，客户端提供了运行在X window 下的图形界面，接受用户的命令与服务器通信，传送用户的扫描请求给服务器端，由服务器启动扫描并将扫描结果呈现给用户；扫描代码与漏洞数据相互独立，Nessus 针对每一个漏洞有一个对应的插件，漏洞插件是用NASL(NESSUS Attack Scripting Language)编写的一小段模拟攻击漏洞的代码，这种利用漏洞插件的扫描技术极大的方便了漏洞数据的维护、更新；Nessus 具有扫描任意端口任意服务的能力；以用户指定的格式（ASCII 文本、html 等）产生详细的输出报告，包括目标的脆弱点、怎样修补漏洞以防止黑客入侵及危险级别。
2．1．7 Firewalk
防火墙探测程序。Firewalk使用类似traceroute的技术来分析IP包的响应，从而测定网关的访问控制列表和绘制网络图的工具。Firewalk使用类似于路由跟踪(traceroute-like)的IP数据包分析方法，来测定一个特殊的数据包是否能够从攻击者的主机传送到位于数据包过滤设备后的目标主机。这种技术能够用于探测网关上打开(‘open’)或允许通过(‘pass through’)的端口。更进一步地，它能够测定带有各种控制信息的数据包是否能通过给定网关。
2．2 Windows平台
2．2．1 Pinger
是一个图形化的ping扫描工具。特点在于可以指定要ping的IP地址，以图形的形式显示扫描结果，并保存至文本文件。
2．2．2 Fport
是端口扫描程序。特点在于可以把扫描出的端口与使用该端口的程序相匹配，扫描速度快，匹配程度较好，可以看到本机所有已经打开的端口及对应的应用程序及运行程序所在的目录位置. (未打开的端口不会显示)。它是命令行界面的。
2．2．3 SuperScan
一个功能强大的端口扫描工具，主要功能有：1）通过ping来检验IP是否在线； 2）IP和域名相互转换； 3）检验目标计算机提供的服务类别； 4）检验一定范围目标计算机的是否在线和端口情况； 5）工具自定义列表检验目标计算机是否在线和端口情况； 6）自定义要检验的端口，并可以保存为端口列表文件； 7）软件自带一个木马端口列表trojans.lst，通过这个列表我们可以检测目标计算机是否有木马；同时，我们也可以自己定义修改这个木马端口列表。
2．2．4 GFILANguard
脆弱点探测程序。特点在于集成了网络审计、补丁管理功能，可以自动生成网络拓扑图、自动补丁管理。它主要解决漏洞管理的三大问题： 通过一个集成控制台，进行安全扫描，补丁管理和网络审核。 通过扫描整个网络，它能识别所有潜在的安全问题；另外，其广泛的报告功能为您提供侦
第6页 共7页
测、访问、报告与修整漏洞的工具。
三、规避技术
为到达规避防火墙和入侵检测设备的目的，ICMP协议提供网络间传送错误信息的功能也成为了主要的扫非常规描手段。其主要原理就是利用被探测主机产生的ICMP错误报文来进行复杂的主机探测。
常用的规避技术大致分为4类：
1）异常的IP包头 ：向目标主机发送包头错误的IP包，目标主机或过滤设备会反馈ICMP Parameter Problem Error信息。常见的伪造错误字段为Header Length 和IP Options。不同厂家的路由器和操作系统对这些错误的处理方式不同，返回的结果也不同。
2）在IP头中设置无效的字段值：向目标主机发送的IP包中填充错误的字段值，目标主机或过滤设备会反馈ICMP Destination Unreachable信息。这种方法同样可以探测目标主机和网络设备。
3）通过超长包探测内部路由器：若构造的数据包长度超过目标系统所在路由器的PMTU且设置禁止分片标志, 该路由器会反馈 Fragmentation Needed and Don’t Fragment Bit was Set差错报文。
4）反向映射探测：用于探测被过滤设备或防火墙保护的网络和主机。构造可能的内部IP地址列表，并向这些地址发送数据包。当对方路由器接收到这些数据包时，会进行IP识别并路由，对不在其服务的范围的IP包发送ICMP Host Unreachable或ICMP Time Exceeded 错误报文，没有接收到相应错误报文的
四、结论
一般而言，综合地应用多种扫描方法或扫描程序可以得到比较满意的结果。但是漏洞扫描从其技术原理上分析，有不可忽视的副作用。比如对大范围的IP地址或者端口进行某种扫描，反复高速的发出特定的连接请求，所造成的结果就是目标网络及主机上存在大量的连接请求数据包，可以造成网络拥塞，主机无法正常使用，这正是DOS攻击的方法及表现。因此若要防范漏洞扫描以及可能的DOS攻击，要做到以下三点：
1．在防火墙及过滤设备上采用严格的过滤规则，禁止扫描的数据包进入系统。
2．主机系统除了必要的网络服务外，禁止其它的网络应用程序。
3．对于只对内开放的网络服务，更改其提供服务的端口。
此外，网络扫描时发送的数据或多或少都会含有扫描者自身相关信息，从而也可以抓取扫描时的数据包，对扫描者进行反向追踪，这也是一个值得研究的方向。
Web的开放性广受大家的欢迎，但是同时Web系统将面临着入侵攻击的威胁。我们一直希望建立一个安全的Web系统，但是完全安全几乎是不可能实现的，但是相对的安全是可以达到的。其中进行Web漏洞扫描就是建立Web安全的一个重要保障。
第7页 共7页