Module 4 ：網路掃描技術

網路安全

Module 4 ：網路掃描技術

網路安全 4-2

Module4 ：網路掃描技術• Module 4-1 ：網路掃描技術簡介• Module 4-2 ：網路掃描技術及流程• Module 4-3 ：網路掃描的防禦對策• Module 4-4 ：網路掃描工具介紹• Module 4-5 ：以 Zenmap 進行網路掃描實驗的範例• Module 4-6 ：本次課程作業

網路安全 4-3

Module 4-1 ：網路掃描技術簡介

網路安全 4-4

簡介• 隨著網路的發展與普及，許多攻擊與威脅行為便伴隨著出現，故網路掃描成為網路安全項目中的重要技術之一• 網路掃描技術是由大量的網路資料中找尋所需要的資訊，例：在網路環境中根據登入者、網域或聯絡人對目標主機展開查詢與掃描的工作• 網路掃描技術除了被用於網路管理，亦被惡意的攻擊者當成入侵行為的探測工具

網路安全 4-5

簡介 ( 續 )

• 網路掃描技術是一種檢測遠端目標網路與本端主機安全性的技術。系統管理員透過掃描技術，可以輕易的發現網段中各種 TCP/IP port 的分配與上線狀態、使用者所開放的服務、服務軟體的版本及作業系統版本，上述資訊便可能透露出目標主機所存在的安全問題

網路安全 4-6

網路掃描技術簡介• 網路掃描技術主要可分為下列步驟

– 使用 ping 掃描，了解主機上線情形– 針對搜尋到的主機或網段做資料蒐集，包括 port掃描、作業系統掃描、被防火牆保護的遠端資料及監看該系統處於監聽或運行的服務– 根據得到資訊進行目標系統的分析與檢測

網路安全 4-7

Module 4-2 ：網路掃描技術及流程

網路安全

網路掃描技術及流程簡介• 網路掃描技術的操作流程

– ping 掃描• 探測主機的上線狀態

– port 掃描• 探測主機 port 開啟狀態

– 作業系統辨識• 探測主機作業系統類型

4-8

網路安全 4-9

PING Scan

• 常見的 ping 掃描手法– ICMP Echo 掃描

• 透過向目標主機發送 ICMP Echo Request 封包，等待 ICMP Echo Reply 的封包

– ICMP Sweep 掃描• 使用 ICMP Echo Request 封包一次探測多個目標主機，適用於大範圍的評估

– Broadcast ICMP 掃描• 利用 ICMP 廣播探測網路範圍內的主機，網路中的上線主機將會予以回應。但此種掃描通常僅適用於 UNIX/Linux系统

–

網路安全 4-10

PORT Scan

• 分析 port 所提供的服務與其他資訊• 並不提供進入系統的相關功能• port 掃描技術主要可分為：

– TCP 掃描• 全連接掃描技術• 半連接掃描技術

– UDP 掃描

網路安全 4-11

TCP Scan - 全連接掃描技術• 透過掃描工具中 TCP Connect() Scan 的功能，掃描主機嘗試透過 TCP/IP 的三方交握 (Three Way

Handshaking) 與目標主機的指定 port 建立連結• TCP 封包有控制旗標位元 (Code bits) ，可以決定封包的類型，可產生包括

URG 、 ACK 、 PSH 、 RST 、 SYN 及 FIN 類型的封包

針對目標主機送出 SYN 類型封包的全連接掃描掃描主機

SYN

SYN,ACK(SYN)

目標主機

ACK(SYN)

網路安全 4-12

TCP Scan - 半連接掃描技術• 半連接掃描的操作中，和目標主機的 port 建立連接後，僅完成了前兩次握手，在第三步時，掃描主機中斷了本次連接，使連接沒有完全建立起來

– 相較於全連接掃描技術，半連接掃描嘗試進行連線的記錄較少，操作速度也較快– 安全機制較不嚴謹的目標主機，亦不容易留下掃描記錄

送出 TCP-SYN 封包的半連接掃描掃描主機

SYN

SYN,ACK(SYN)

目標主機

網路安全 4-13

UDP Scan

• 隨著防火牆設定日益嚴格， TCP port 並不輕易開放，取而代之的就是 UDP 掃描• 相較於 TCP 掃描， UDP 掃描執行時間較長，掃描的精準度也較低• UDP 掃描操作步驟為

– 向 UDP port 發送封包• 若 port 為開啟，則不會有任何回應• 若 port 為關閉，則會回應 ICMP port unreachable 封包

網路安全

作業系統辨識• 透過每個作業系統間處理 TCP/IP堆疊 (TCP

Protocol Stack) 不同的特性，可以當作辨識一個作業系統的「指紋 (Fingerprint)」，藉以分析作業系統的類型和版本• 指紋辨識技術依其探測行為的不同，可分為下列兩種

– 主動式指紋辨識 (Active fingerprinting)– 被動式指紋辨識 (Passive fingerprinting)

4-14

網路安全

主動式指紋辨識技術• 主動式指紋辨識技術會主動對目標主機發送封包進行探測，利用多次試探，由目標主機回傳的訊息判斷出其作業系統• 目前常用的主動式 TCP/IP堆疊指紋辨識技術有以下五種

– TCP FIN 封包探測• 掃描主機送出一個 FIN 封包給目標主機開啟的 port，等待回應以進行判斷

4-15

網路安全

主動式指紋辨識技術 ( 續 )

– BOGUS 旗標探測• 在 SYN 封包的 TCP 標頭中設定一個未定義的 TCP旗標， Linux 在 2.0.35 版之前的 Kernel 會在回應封包中保持這個旗標，其他類型作業系統則不會有任何回應

– TCP ISN取樣 (sampling)• 透過目標系統回應連線需求時，找出 TCP 連接啟始化序號碼的特徵，以此判斷其作業系統類型

4-16

網路安全 4-17

主動式指紋辨識技術 ( 續 )

– ICMP錯誤訊息抑制 (Error Message Quenching)• 對目標主機發送一連串封包，並統計出一段時間內收到的 ICMP unreachable 封包，與作業系統的預設值做比較，即可辨認出作業系統類型與版本

– TCP選項 (options) 探測• 許多作業系統對於 TCP選項為選擇性採用，透過對這些差別的比對即可辨認出其類型

網路安全

主動式作業系統辨識工具原理• 用來辨識遠端作業系統的工具種類繁多，故以下僅針對較常被使用的 Xprobe 軟體做介紹• Xprobe 軟體主要藉由 Internet Control Message

Protocol(ICMP) 通訊協定來辨識遠端作業系統

4-18

網路安全 4-19

Xprobe 探測• Xprobe屬於較新的探測方式，其過程相當隱蔽，而且難以被偵測出掃描意圖• 掃描過程中只需要送出 ICMP 訊息，透過分析回傳的 ICMP unreachable 封包，可判斷目標主機之作業系統

網路安全

Xprobe 探測 ( 續 )

• Xprobe 透過分析 ICMP unreachable 的封包來分析遠端作業系統• 下圖為使用不同種類的 ICMP 封包判斷 Windows系列、 ULTRIX 及 OpenVMS 作業系統的簡易流程圖

4-20

ICMP Echo RequestPrecedence Bits不為0

回應的Precedence Bits不為0

回應的Precedence Bits

為0

其他類型OS ULTRIX、Windows 2000系列

TTL=128 TTL=255

ULTRIXWindows 2000系列

網路安全 4-21

Xprobe 探測 ( 續 )

ICMP Address Mask Request

沒有回應有回應

Windows ME Windows 98/98SE

ICMP Timestamp RequestPrecedence Bits不為0

回應的Precedence Bits不為0

回應的Precedence Bits

為0

其他類型OSWindows 98/98SE/ME、

OpenVMS、ULTRIX(已辨認)、Windows 2000系列(已辨認)

TTL=128 TTL=255

OpenVMSWindows 98/98SE/ME

網路安全 4-22

被動式指紋辨識技術• 不主動發送封包，而是透過被動的監測網路，抓取流過目標主機封包中的某些資訊，進而分析其作業系統類型• 掃描軟體分析目標主機送出的封包，針對 Data

Fragment(DF) 位元、 Type of Service(ToS) 位元、封包大小及 Time To Live(TTL)長度分析出作業系統類型

網路安全 4-23

被動式指紋辨識技術 (續 )

TCP TTL:255 ToS:0x0 ID:58955 DF **S***A* Seq:0xD3B709A4 Ack:0xBE09B2B7 Win:0x2798 TCP Options => NOP NOP TS:9688775 9682347 NOP WS:0 MSS:1460

經過指紋資料庫的比對，可以得知作業為 Solaris

2.6-2.7

Fingerprint Sun Solaris 2.6 - 7 with tcp_strong_iss=0Class Sun | Solaris | 2.X | general purposeClass Sun | Solaris | 7 | general purposeTSeq(Class=64K)T1(DF=Y%W=2297|2491|2788|4431|8371|8765|FFF7|FFFF%ACK=S++%Flags=AS%Ops=NNTNWME)T2(Resp=N)T3(Resp=N)T4(DF=Y%W=0%ACK=O%Flags=R%Ops=)T5(DF=Y%W=0%ACK=S++%Flags=AR%Ops=)T6(DF=Y%W=0%ACK=O|S%Flags=AR|R%Ops=)T7(DF=Y%W=0%ACK=S%Flags=AR%Ops=)PU(DF=Y%TOS=0%IPLEN=70%RIPTL=148%RID=E%RIPCK=E%UCK=E%ULEN=134%DAT=E)

Nmap OS Detect Fingerprints

網路安全

被動式作業系統辨識工具原理• 被動式作業系統辨識工具原理與主動式差別在以「監聽的方式」取代「主動查詢遠端主機」資訊

4-24

網路安全 4-25

Module 4-3 ：網路掃描的防禦對策

網路安全 4-26

掃描偵測與抵抗惡意的網路掃描• 關閉沒有使用的服務埠 (service port) ，以減少威脅與被探測的風險• 對必須開啟的服務埠進行監控，配合安全掃描技術、防火牆及入侵檢測系統等預防措施• 網管可以根據安全掃描的結果更正網路安全漏洞和系統中的錯誤配置，在駭客攻擊前進行防範

網路安全 4-27

Module 4-4 ：網路掃描工具介紹

網路安全 4-28

網路掃描工具介紹• 目前較常被使用的網路掃描軟體有 Nmap 、 Saint

、 ISS 及 CyberCop Scanner 等• 現今廣泛使用於網路世界中的網路掃描工具為

Nmap ，本節將針對此套軟體介紹

網路安全

網路掃描工具比較• 架設平台

– Windows ： Nmap 、 Saint 、 CyberCop 及 ISS– Unix ： Nmap 與 CyberCop– 線上： Saint

• 軟體授權– 免費： Nmap– 授權軟體： Saint 、 CyberCop 及 ISS

• 原始碼– 開放： Nmap– 不開放： Saint 、 CyberCop 及 ISS

4-29

網路安全

Nmap 介紹• Network Mapper(Nmap) 由 Fyodor Vaskovich 所開發，為一套網路探勘的開放原始碼軟體，常用於檢測本機或是目標主機的安全性• 針對目標主機 TCP/IP 的 TCP埠作掃瞄，可以查出目標主機所開放的埠、作業系統版本、取得對應的網路服務類型、防火牆種類以及應用軟體名稱與版本

4-30

網路安全 4-31

Nmap 介紹 ( 續 )

• 主要功能：– ping 掃描– port 掃描– 遠端作業系統掃描– 掃描網路上主機漏洞

• Nmap支援多種協定的掃描，主要包括– TCP/UDP– Ftp proxy– Reverse-ident– ICMP

網路安全 4-32

Nmap - ping 掃描• 透過 ping 掃描可以勾畫出網路的整體狀況• ping 掃描發送出 ICMP 封包，由遠端主機回應情形，可以獲悉主機的上線狀態，藉此也能探測出網段中正在運行的主機數量

掃描主機

ICMP echo request

ICMP echo reply

目標主機

網路安全

Nmap - port 掃描• Nmap 針對要掃描的 port 發送一個 TCP-SYN 封包• 若 port 為開啟狀態，該 port 會回應一個 TCP-

SYN-ACK 封包，並於最後根據標準 TCP handshaking 方式回應一個 ACK 封包以及 RST-ACK 封包

4-33

掃描主機

TCP-SYN

TCP-SYN-ACK

目標主機

TCP-ACK

TCP-RST-ACK

網路安全 4-34

Nmap - port 掃描 ( 續 )

• 若要掃描的 port 為關閉狀態，則對要掃描的 port發送一個 TCP-SYN 封包，掃描主機會回應 TCP-RST-ACK 封包， Nmap藉此可以知道那些 port 是開啟的

掃描主機

TCP-SYN

TCP-RST-ACK

目標主機

網路安全 4-35


• 針對 UDP 類型的 port 進行掃描，首先掃描主機會對要掃描的 port 發送一個 0 byte 的 UDP 封包，若是 port 在開啟的狀態下，則會忽略此封包

掃描主機

UDP 0 byte packet

目標主機

網路安全 4-36


• 若是 port 在關閉的狀態下，掃描主機在送出 UDP封包後會收到一個 ICMP port unreachable 的封包

掃描主機

UDP 0 byte packet

目標主機

ICMP port unreachable

網路安全

• Nmap 在掃描時，會根據目標主機的回應做分析，根據這些資訊建立作業系統獨特的“指紋”• 將得到的指紋與內建於 Nmap 資料庫的作業系統指紋檔進行比對，若相符則可判斷出目標主機作業系統資訊

4-37

Nmap - 作業系統探測

掃描主機

使用nmap進行探測

回傳指紋相關資訊

目標主機

Nmap database

網路安全 4-38

Nmap - 使用建議• 使用 Nmap 掃描的過程中，若遇到目標主機處於防火牆後，許多類型的封包將會被防火牆阻擋而無法到達主機，影響 Nmap 對作業系統類型的判斷。• 不少入侵檢測系統 (Intrusion Detection System,

IDS) 將網路掃描視為一種惡意行為，所以 Nmap最好置於內部網路，以免封包受到入侵檢測系統的阻擋而影響判斷結果

網路安全

結論• 網路掃描技術相較於防火牆與入侵檢測等技術，它是從另一個角度來解決網路安全的問題。• 本章節針對網路探測技術使用到的 port 掃描技術與作業系統辨識技術做了進一步的介紹。• 隨著網路和系統的發展，新的 port 掃描技術及作業系統辨識技術亦陸續誕生，因此網路掃描技術也有待更進一步的研究和完善

4-39

網路安全 4-40

Module 4-5 ：以 Zenmap 進行網路掃描實驗的範例

網路安全

實驗環境介紹• 以 Testbed 建立一實驗，相關拓樸及設定如下圖

4-41

ZenmapOS ： WINXP-SP2IP ： 10.1.1.2安裝軟體： Zenmap

host01OS ： WINXP-SP2IP ： 10.1.1.3

網路安全

實驗拓樸 on Testbed@TWISC- 建立完成的實驗拓樸

4-42

網路安全 4-43

說明• 建置好實驗後，即可安裝前面投影片中所介紹的

Zenmap 軟體，針對 host01 主機進行掃描。• 下面將介紹安裝步驟及 Zenmap 中的數種掃描工具

網路安全

Zenmap

• 版本– Zenmap-4.85-BETA-7

• 支援作業平台– Windows

• 下載位址– http://nmap.org/dist/nmap-4.85BETA7-setup.exe

12-44

網路安全

其他需求工具 - Winpcap

• 版本– 4.0.2

• 支援作業平台– Windows

• 下載位址– 已內建於 Zenmap 中，會在使用者安裝 Zenmap 軟體時檢查及自動安裝

網路安全

安裝步驟 ( 續 )

4-46

網路安全


網路安全


網路安全


• 安裝完畢後點擊桌面上的捷徑，便會看到如下圖的圖形介面

4-49

網路安全

掃描工具 ( 一 )

Traceroute

4-50

網路安全 4-51

Traceroute

• 此軟體可以顯示出從本機到目標主機所經過哪些網路設備，並顯示出其 IP 位址，以 host01 主機為Target 來做 Traceroute

網路安全

Traceroute ( 續 )

• 以 host01 做為掃描的目標• 黑框 1︰在這裡輸入所要

TraceRoute 之網址或 IP ，圖中以 trace 至 Google 的網址為範例• 黑框 2︰選定欲使用的功能，此範例選取 Quick

traceroute• 黑框 3︰當在黑框 2選完功能之後，這裡便會產生相對應的 command• 黑框 4︰按下 scan 開始執行

網路安全

Traceroute ( 續 )

• 黑色的點為本機，而另一點為所 trace 的目標，而軟體會將所 trace 過的位址都整合顯示在此圖中，而在介面中按下ctrl+滑鼠滾輪，便可放大縮小

網路安全

Traceroute 於 Zenmap 中的參數解說• -PE -PA -PS -PU -PO

– 發送各種類型的探測封包 (ICMP ︰ -PE ， ACK ︰ -PA SYN ︰ -PS ， UDP ︰ -PU ， IPProto ︰ -PO) 來確認目標主機是否為上線狀態

• -sP– Ping Scan 的指令，列出有回應此封包的主機，確認目標主機是否上線，為單純的 ping 掃描

• --traceroute– 用來 trace 與目標主機的路徑指令

4-54

網路安全

掃描工具 ( 二 )

Ping Scan

4-55

網路安全 4-56

Ping Scan

• 掃描目標主機或整個網段內主機是否為上線狀態• 例如 : Target欄位內輸入 10.1.1.1-20( 亦可輸入

10.1.1.0/24) ，即可掃描出網卡位址的資訊

網路安全

Ping Scan ( 續 )

• 黑框 1︰在此輸入所要 scan 的網段

• 黑框 2︰選定欲使用的功能，此範例選取 Ping Scan

• 黑框 3 ：按下 Scan開始掃描• 黑框 4 ：顯示所

scan 後的資訊，包含主機是否為開機狀態及網卡位址

網路安全

掃描工具 (三 )

Port Scan

4-58

網路安全

Port Scan - TCP port scan

• 可針對主機做 port 掃描，得到目標主機所開啟port 之資訊，並可列出其開啟 port 所對應的網路服務類型以及其軟體版本之資訊

4-59

網路安全

Port Scan - TCP port scan ( 續 )

• 黑框 1︰在此輸入所要 scan 的 IP• 黑框 2︰選定欲使用的功能，此範例選取 Intense scan all TCP ports• 黑框 3︰按下 Scan 開始掃描• 黑框 4 ：掃描完畢後選擇 Ports/Hosts ，觀察其結果• 黑框 5︰可看見目標主機所開啟的 port 有哪些，以及其提供的服務為何• 黑框 6︰軟體會將能掃出的服務軟體版本列出

網路安全

TCP port scan 於 Zenmap 中的參數解說• -p

可指定要掃描 port 的範圍，例︰ -p 1-5000 ，即為掃描 1 ～ 5000 的 port 是否為開啟

• -T4設定對目標主機的掃描時間，及等待回應的時間

• -A目標主機作業系統，軟體版本偵測的指令

• -v列出詳細的掃描資訊

4-61

網路安全

Port Scan - UDP port scan

• 與 TCP port scan 相同可掃描 port 資訊，不同之處為其掃描所花時間較長

網路安全

Port Scan - UDP port scan ( 續 )

• 黑框 1︰在此輸入所要 scan 的 IP• 黑框 2︰選定欲使用的功能，此範例選取 Intense scan plus UDP• 黑框 3︰按下 Scan 開始掃描• 黑框 4︰可看見目標主機所開啟的 port 有哪些，以及其提供的服務為何• 黑框 5︰軟體會將能掃出的服務軟體版本列出

網路安全

UDP port scan 於 Zenmap 中的參數解說• -sS

– TCP SYN Scan• -sU

– 增加 UDP port 的掃描指令， UDP port 的開啟與否與 TCP port 相較之下，較難以偵測且耗費掃描時間

4-64

網路安全

Service type

網路安全

Host Detail

• 此軟體也可查看所掃描目標主機之細節資料，將掃描的結果做統整

4-66

網路安全

Host Detail ( 續 )

• 黑框 1︰按下切換至 Host Details

• 黑框 2︰主機資訊，是否為開機狀態、打開了幾個 port等統計資料• 黑框 3︰主機之

IP 位址及其對應的 MAC address

• 黑框 4︰主機之作業系統及版本

網路安全

使用 Zenmap 中的自訂掃描 policy 功能

4-68

網路安全 4-69

自訂掃描 policy

• Zenmap 可以自訂掃描的 policy ，或是針對原本提供的預設 policy設定作修改，排除一些自己不需要的掃描工具，如此可節省掃描時間，提供使用者自行選擇想獲得之主機資訊

網路安全

自訂掃描 policy ( 續 )

• 黑框 1︰為自訂掃描 policy 的選項• 黑框 2︰可修改原本提供預設的 policy

網路安全

自訂掃描 policy ( 續 )

• 黑框 1︰提供許多選項供使用者選擇欲使用的掃描 policy ，選擇之後便會在上方的 Command欄位自動增加相對應之指令• 黑框 2︰自訂名稱，之後按下右下方的“ OK” ，此自訂的掃描 policy便會一併列入預設的 policy 中，可供之後繼續使用• 黑框 3 ︰ Help欄位提供選項的詳細解說，可讓使用者瞭解選項的功能

網路安全 4-72

Save Scan

• 如下圖紅框所示，可將掃描的結果儲存，之後將儲存檔案以 xml格式開啟如下頁圖

網路安全

掃描報告

4-73

網路安全

Compare Result

•

4-74

網路安全 4-75

掃描結果之正確性• 我們可以使用其他的軟體來針對所架設的伺服器

做 port 掃描，可以確認其掃描結果之正確性，或是補足結果有遺漏之處• 可藉由比較掃描結果與掃描時間以判別該使用哪套軟體較能配合所需，日後的 Module 將會介紹相關軟體的操作，可與 Zenmap 的掃描結果做個比較

網路安全 4-76

注意事項• 雖然 Zenmap 軟體功能強大，但在掃描的同時必須在國家法律所允許之範圍內進行，避免影響到所掃描的主機而誤觸法律• 如果在區網內使用，可能會被防火牆判定為攻擊行為，進而被封鎖

網路安全

結論• 使用 Zenmap 可進行快速的網路探勘，亦能提供詳細的結案報告，可根據使用者的需求來使用• 透過 Zenmap 的掃描，可以獲得遠端主機的基本資訊，包括主機是否在線上、開啟的 port 、作業系統及軟體服務版本等

4-77

網路安全 4-78

Module 4-6 ：本次課程實作作業

網路安全

作業目的• 利用實際操作的方式讓同學了解網路掃描工具的使用方式• 順便了解如何架設簡單的 FTP 和改 port number

4-79

網路安全 4-80

專案描述• 電機系為了讓教職員有一個可以共用的資料存取處，便架設一台 FTP Server 提供上傳及下載檔案的服務• 某職員想上傳資料至 FTP Server ，卻忘了所開啟的 port

number 為何…• 請參考環境配置圖，完成下列要求：① 架設一台 FTP Server ，更改服務的 port 並設定一組帳密② 使用另一台電腦，安裝 Zenmap 工具去掃描 FTP Server 主

機後取得 port number③ 得知 FTP Server 主機的 port 後，上傳檔案到 FTP Server

網路安全 4-81

環境配置圖

NAME: ZenmapOS ： WINXP IP ： 10.1.1.2額外安裝軟體： Zenmap

NAME ：依服務名稱命名OS ： WINXP or LinuxIP ： 10.1.1.3~252 ( 自訂 )額外安裝軟體：各種套件

被掃描的 Node 可自行選擇不同服務 :

Ex. 安裝 FTP, BBS, Apache 等套件配置越多獲得的基本分數越高

網路安全 4-82

本次課程作業繳交內容

網路安全

作業題目• [1] 請在報告中回答下面兩個問題的答案

1. 請簡述 port 掃描中全連接掃描技術原理與操作流程2. 請簡述 Nmap 是如何判別出遠端主機之作業系統？

• [2] 請在 Testbed 上進行本次課程實作作業的練習，並將相關的截圖及環境設定等資料附在報告中• 請在下次上課將報告寄到 (助教收到後會回覆給寄送者確認 )

4-83

網路安全

參考資料• 賴溪松 ( 民 94) 。資通安全專輯 ( 十四 ) 網路攻防實驗教材。台北市：財團法人國家實驗研究院科技政策研究與資訊中心• Nmap, http://nmap.org/• 網路掃描的原理、比較、建議 ( 民 93 年 11 月 28

日 ) 。民 7 月 23日，取自： http://www.hkitn.com/article.php/2019

• 夏克強 (無日期 ) 。網路掃描技術與策略。民 98 年7 月 23日，取自 http://www.ringline.com.tw/epaper/Forum970502.htm

4-84

Documents

Module 4 ：網路掃描技術