精华区文章阅读

发信人: Baggio (傻瓜牌生活), 信区: Linux
标  题: # 扫描器进化论 #
发信站: 哈工大紫丁香 (Sat May  8 14:37:19 1999), 转信

发信人: zer9 (zer9), 信区: Hacker

标  题: # 扫描器进化论 #

发信站: 网易虚拟社区 (Mon May  3 20:43:40 1999), 站内信件

  # 扫描器进化论 #



        by



       zer9

       ====



-

注意：

本文绝无任何针对任何个人或

组织，损脆进行技术上的探讨。

-

今天看了 deepin cp to me 的

iamin 一篇关于 scanner的文章

后，有一些看法，谈上一谈。

由于文章比较长，也就没有加上了；

iamin 的文章中，主要谈到了

-

1. SAINT

2. NESSUs

3. ANTI-Hacker Made by China.

-

这三种SCANNER.1&&3 我都没用过，

（如果哪位同志能send me the log

by them ,thankx.(include syslog

&scaned log)

不过从iamin的描述中也可知道应该

是与NEssus是一类的SCANNER.

我个人把SCANNER 划分为2类：

1.以 SAFEsuite 为代表.include

  most of them.such as nessus

  sscan,mscan....also SATan

  它们主要是对系统进行各种漏洞

  扫描（应该是人为造成的）

  还有就是 DoS 测试。每天都有大量

  的新刺探加入其中，随着时间的发展

  他们日益庞大，如果打开SAFEsuite

  的全部开关，对我自己(127.1)的

  slackware 进行一次需十几分钟；

  如果架到那 1~2k/sec的网上。。。

  结构庞大的另一个弊病就是不易扩展

  （by yourself),这里不易扩展是指

  不易按你自己的意愿进行修改，尽管

  你能很容易的把新刺探加入其中，

  但每个人的需要是不同的，你能保证

  你的设计能被所有人认可吗？

2.类以nMap 为代表。包括 jakal,halfscan.

  这一类的数目比较少。他们的功能基本上

  就是进行端口扫描。但从技术上来说，

  这一类要比前面的要先进。

% 吃完晚饭，继续灌水。。。

  如果你进行过 socket 编程，就会知道

  一个普通的端口扫描器与一个秘密端口

  扫描在技术上对程序员的要求差别有几大？

  ---

  common scanning:

  ---

  在 win95 下，用 b++ builder:

  用TClientSocket控件，源程序不会超过 50 lines.

  在linux(with gcc)下:

  for(ScanedPort=lowPort;ScanedPort<=HighPort;\

          ScanedPort++)

  {

    if(connect(sock,(struct sockaddr *)&target,\

                sizeof(target)))==0)

      fprintf(stdout,"%s  Opened!\n",ScanedPort);

  }

  close(sock);

  #eof#

  怎么样，so easy...

  ---

  stealth scanning:

  ---

  在win95（winsocket 2.0)由于"winsocket 是freebsd

  socket libary 的子集“ -- from 《最高安全技术指南》

  可能无法实现，但 winNT 是一个比较好的选择；

  在linux(gcc)我不会，要直接对Ip 包编程。

  ---

  总之，1&&2的差别就象用bc3.1 和tasm 的差别一样；

  可能还要大。。。

  ---

  同时，在没有安装第三方软件包的情况下，syslogd 是无法检测

  到stealth scan 的，因此，你可以在ADM毫无知觉的情况下展开

  行动；nmap 的最新版还有一个强大的功能--remote OS 鉴别；

  同期还有一个 queso 有此功能，但至少我测试时其准确度不高；

  而nmap 的准确度可以说是精确无比，连我的 slackware 2.0.33

  都测了出来；-）而这一切是一种叫fingerprint(指纹）的技术

  得到的。具体的实现你可以在 Fyodor 的站点（www.insecure.org)

  得到；我从Fyodor的文章

  〈Remote OS detection via TCP/IP Stack FingerPrinting〉中

  摘录了著名hack'site the OS version(1998.10),suck as:



  ----



  www.l0pht.com        => OpenBSD 2.2 - 2.4

  www.insecure.org     => Linux 2.0.31-34

  www.rhino9.ml.org    => Windows 95/NT     # No comment :)

  (哈！哈！哈！哈！哈！我要笑死啦！！！！）

  www.technotronic.com => Linux 2.0.31-34

  www.nmrc.org         => FreeBSD 2.2.6 - 3.0

  www.cultdeadcow.com  => OpenBSD 2.2 - 2.4

  www.kevinmitnick.com => Linux 2.0.31-34  # Free Kevin!

  www.2600.com         => FreeBSD 2.2.6 - 3.0 Beta

  www.antionline.com   => FreeBSD 2.2.6 - 3.0 Beta

  www.rootshell.com    => Linux 2.0.35  # Changed to OpenBSD after

                                      # they got owned.

  www.repsec.com       => Linux 2.0.35

  www.iss.net          => Linux 2.0.31-34

  www.checkpoint.com   => Solaris 2.5 - 2.51

  www.infowar.com      => Win95/NT

  (我又要笑死了！！！）

  (未录完，稍后我会把国内的主要站点的OS 录上来）

  ---

  而nuessus之类的则是通过抓banner ,title,得到系统的版本号，

  对于一个有经验的ADM 来说，关掉他门应该是小菜一叠；

  高手做做个假的（入侵欺骗）也不要多少时候；

  明明是用linux架的站你却用 sunos的弱点去攻击，结果。。。；）

  (正是ADM学习的好时光。。。:)

  --

  从入侵的角度来说；

  对于一个经验丰富的入侵者，在知道目标的OS 版本以及开放的端口后

  脑海中就会有一个目标漏洞的大致判断，”漏洞依赖于软件的版本“

  如果是redhat 5.2 port 21 open,maybe have wuftp remote overflow.

  and so on.

  通常如果不是大的问题，ADM是不会对整个系统进行升级的。知道了系统的

  版本后，各部分的版本号也可很快查出了。

  (是我们大显身手的好地方。。。；）

  --

  不过，随着时间的推移，2类的特性很快的就会加入到1类中去；

  --

  作个总结。

  --

  如果我是ADM :

  我会选择SAFEsuite,因为stealth scan 对我来说没有任何必要，

  但能否检测出来还是重要的。

  如果我是入侵者：

  当然是有 ”King 0f W0rld"之称的 nMap ,在确认目标的版本后，

  剩下的就可以手动完成。这样可以把log减到最小。

  --

  最后，让我们以 Phantom /[UHF] 对 nMap 的评价结束今天的比武；



    -- There are lots of tcp/ip scanners, that claim to be the best,

       but I myself have seen only one that can be called, the King

       Of Scanners ,and that's NMap, made by Fyodor <fyodor@dhp.com>.

-----------------------------------------------------------------

zer9[FTT]

zer9@21cn.com

=============

fingerpaint:7633 5DC1 C11C 9D7E 75D3 B95B 0613 8C39 288B 2835

to get my pgp public key at MIT's key server,thanks.

--

※ 来源:．网易虚拟社区 http://club.netease.com．[FROM: 202.103.10

5.10]--

※ 转寄:．网易 BBS bbs.netease.com．[FROM: 202.96.151.222]

.

--
☆ 来源:．哈工大紫丁香 bbs.hit.edu.cn．[FROM: bin@fengyun.hit.edu.]

Linux 版 (精华区)