漏洞检测和扫描分析解析

第十章漏洞检测和扫描——理论部分漏洞检测和扫描•传统代理与透明代理各自的特点是什么？•配置squid服务时，如何限制下载文件的大小？•如何编写防火墙规则以支持透明代理？课程回顾•学会检测弱口令账号•学会使用NMAP端口扫描工具•学会构建及使用OpenVAS漏洞评估系统技能展示本章结构漏洞检测和扫描弱口令检测——JR网络扫描——NMAP构建OpenVAS服务器执行漏洞评估任务口令检测、端口扫描OpenVAS的工作组件OpenVAS漏洞评估•JoththeRipper，简称为JR•一款密码分析工具，支持字典式的暴力破解•通过对shadow文件的口令分析，可以检测密码强度•官方网站：系统弱口令检测4-1•安装JR工具•makeclean系统类型•主程序文件为john系统弱口令检测4-2[root@localhost~]#tarzxfjohn-1.7.8.tar.gz[root@localhost~]#cdjohn-1.7.8[root@localhostjohn-1.7.8]#ls-ld*drwx------2rootroot409604-2802:14doclrwxrwxrwx1rootroot1006-3000:56README-doc/READMEdrwx------2rootroot409604-2802:32rundrwx------2rootroot409604-2802:03src[root@localhostjohn-1.7.8]#cdsrc/[root@localhostsrc]#makecleangeneric……[root@localhostsrc]#ls../run/john../run/john若单独执行make可以查看系统类型列表•检测弱口令账号•1.获得Linux/Unix服务器的shadow文件•2.执行john程序，将shadow文件作为参数系统弱口令检测4-3[root@localhostsrc]#cd../run[root@localhostrun]#./john/etc/shadowLoaded8passwordhasheswith8differentsalts(FreeBSDMD5[32/32X2])zhangsan(zhangsan)nwod-b(b-down)123456(kadmin)iloveyou(lisi)……执行分析过程，若持续时间较长可按Ctrl+C键中止[root@localhostrun]#./john--show/etc/shadowkadmin:123456:15114:0:99999:7:::zhangsan:zhangsan:15154:0:99999:7:::tsengyia:a1b2c3:15154:0:99999:7:::b-down:nwod-b:15146:0:99999:7:::lisi:iloveyou:15154:0:99999:7:::5passwordhashescracked,3left查看分析结果，实际保存在john.pot文件中•密码文件的暴力破解•1.准备好密码字典文件，默认为password.lst•2.执行john程序，结合--wordlist=字典文件系统弱口令检测4-4[root@localhostrun]#:john.pot[root@localhostrun]#./john--wordlist=./password.lst/etc/shadowLoaded8passwordhasheswith8differentsalts(FreeBSDMD5[32/32X2])123456(jerry)123456(kadmin)a1b2c3(tsengyia)iloveyou(lisi)guesses:4time:0:00:00:01100%c/s:7769trying:112233-halloUsethe--showoptiontodisplayallofthecrackedpasswordsreliably•NMAP•一款强大的网络扫描、安全检测工具•官方网站：•可从RHEL5光盘中安装nmap-4.11-1.1.i386.rpm包网络端口扫描5-1[root@localhost~]#rpm-qinmapName:nmapRelocations:(notrelocatable)Version:4.11Vendor:RedHat,Inc.……Summary:网络探索工具和安全扫描器Description:Nmap是一个用于网络探索或安全评测的工具。它支持ping扫描（判定哪些主机在运行），多端口扫描技术（判定主机在提供哪些服务），以及TCP/IP指纹（远程主机操作系统识别）。Nmap还提供了灵活的目标和端口明细表，掩护扫描，TCP序列可预测性特点的判定，逆向identd扫描等等。•NMAP的扫描语法•nmap[扫描类型][选项]扫描目标...•常用的扫描类型•-sS，TCPSYN扫描（半开）•-sT，TCP连接扫描（全开）•-sF，TCPFIN扫描•-sU，UDP扫描•-sP，ICMP扫描•-P0，跳过ping检测网络端口扫描5-2•NMAP扫描应用示例1•分别查看本机开放的TCP端口、UDP端口网络端口扫描5-3[root@localhost~]#nmap127.0.0.1……Notshown:1676closedportsPORTSTATESERVICE21/tcpopenftp22/tcpopenssh53/tcpopendomain953/tcpopenrndcNmapfinished:1IPaddress(1hostup)scannedin0.086seconds检测TCP端口[root@localhost~]#nmap-sU127.0.0.1……Notshown:1486closedportsPORTSTATESERVICE53/udpopen|filtereddomainNmapfinished:1IPaddress(1hostup)scannedin1.372seconds检测UDP端口•NMAP扫描应用示例2•检测192.168.4.0/24网段有哪些主机提供FTP服务网络端口扫描5-4[root@localhost~]#nmap-p21192.168.4.0/24……Interestingportson192.168.4.11:PORTSTATESERVICE21/tcpopenftpMACAddress:00:0C:29:57:8B:DD(VMware)Interestingportson192.168.4.110:PORTSTATESERVICE21/tcpfilteredftpMACAddress:00:50:56:C0:00:01(VMWare)……状态未知，可能被过滤-p选项，指定目标端口•NMAP扫描应用示例3•检测192.168.4.0/24网段有哪些存活主机网络端口扫描5-5[root@localhost~]#nmap-n-sP192.168.4.0/24……Host192.168.4.11appearstobeup.MACAddress:00:0C:29:57:8B:DD(VMware)Host192.168.4.110appearstobeup.MACAddress:00:50:56:C0:00:01(VMWare)……-n选项，禁用反向解析•请思考：•如何在JR字典文件中加入自定义的密码组合？•使用nmap工具时，如何扫描多个IP地址、多个端口？•在执行网络扫描时，如何找出禁ping的目标主机？小结•常见的漏洞评估系统•Nessus：由T.N.S公司出品，已从开源走向闭源•OpenVAS：完全开源，集成了大量插件，可免费更新•X-Scan：非C/S模式的程序，插件比较陈旧OpenVAS系统概述3-1闭源、商业化•OpenVAS的工作组件OpenVAS系统概述3-2网页浏览器OpenVAS命令行接口Greenbone安全助手Greenbone桌面套件客户层服务层数据层Scanner扫描器Manager管理器Administrator管理者扫描插件扫描结果、配置信息扫描目标•扫描插件的更新OpenVAS系统概述3-3扫描插件InternetOpenVASNVTFEEDGreenboneSec.FEED免费插件商业插件•安装依赖包软件•——来自RHEL5光盘的ndialog、openldap-clients、gnupg2nlm_sensors、net-snmp、nmap、tetexn……•——来自OpenVAS官网的ngpgme、graphviz、python-sqlite2、python-SocksiPynlibmicrohttpd、sqlite、mingw32-nsis、nikto、wminovaldi、wordnet、pnscan、xalan、pyPdfn……安装OpenVAS组件2-1•安装服务器端各组件包•——服务层软件nopenvas、openvas-scannernopenvas-manager、openvas-administrator•——客户层软件nopenvas-clingreenbone-security-assistant•——开发库、共享库nopenvas-glib2、openvas-glib2nopenvas-libraries、openvas-libraries-devel安装OpenVAS组件2-2•OpenVAS服务层组件•openvas-manager•openvas-scanner•openvas-administrator启动OpenVAS组件2-1[root@localhost~]#ls/etc/init.d/openvas*/etc/init.d/openvas-administrator/etc/init.d/openvas-manager/etc/init.d/openvas-scanner[root@localhost~]#netstat-anpt|grepopenvastcp000.0.0.0:93900.0.0.0:*LISTEN22618/openvasmdtcp000.0.0.0:93910.0.0.0:*LISTEN22655/openvassd:watcp00127.0.0.1:93930.0.0.0:*LISTEN22583/openvasad•OpenVAS客户层组件•gsad启动OpenVAS组件2-2[root@localhost~]#vi/etc/sysconfig/gsadGSA_ADDRESS=192.168.4.254GSA_PORT=9392……[root@localhost~]#servicegsadrestartStoppinggreenbone-security-assistant:[确定]Startinggreenbone-security-assistant:[确定][root@localhost~]#netstat-anpt|grep“gsad”tcp00192.168.4.254:93920.0.0.0:*LISTEN22771/gsad默认仅监听127.0.0.1•在线更新•执行脚本openvas-nvt-sync•离线更新•1.下载插件包openvas-nvt-feed-current.tar.bz2•2.复制给OpenVAS服务器进行离线安装更新漏洞检测插件[root@localhost~]#cd/var/lib/openvas/plugins/[root@localhostplugins]#wget\[root@localhostplugins]#tarjxfopenvas