讀書筆記——《駭客大曝光》（2/8）

標籤：

第三章 查點

查點：針對已知的弱點，對識別出來的主機和服務進行更為充分的探查。

資訊收集技術和查點技術之間的關鍵區別是攻擊者的入侵程度。查點包括了對目標系統的主動串連和直接查詢。通過查點尋找的資訊包括使用者帳號名、錯誤配置的共用資源和具有已知安全性漏洞的舊版軟體。

查點技術在很大程度上取決於連接埠掃描和作業系統偵測收集到的資訊。連接埠掃描和查點功能經常捆綁到同一個工具中——SuperScan。

標語擷取是最通用的查點技術。

3.1 服務指紋分析技術

1、服務指紋分析技術:是一項能夠快速和有效分析出整個網路系統的自動化技術。

2、涉及到的工具有:Nmap、Amap。

3.2 漏洞掃描器

1、自動化的漏洞掃描器對一個目標或整個網路採用“連續猛攻”，以此手段來收集漏洞資訊是非常有效和節約時間的。在開源軟體方面，開放漏洞評估系統OpenVAS是不錯的免費工具。

2、設計到的工具有：Nessus、Nmap NSE指令碼。 b

3、Nessus掃描： 
Nessus的特點：便捷的使用者介面、頻繁更新的漏洞資料庫，支援所有主流平台以及最佳化的效能。使用解釋執行的NASL開發定值的外掛程式來擴充其功能，以滿足任何可以想象得到的掃描需求。

家庭使用者可以免費使用Nessus 4 HomeFeed

針對Nessus掃描的防範對策：

（1）制定和實施有效補丁更新和組態管理策略 
（2）定義使用Nessus工具掃描自己的系統，從而能偵測到存在的漏洞
（3）適用入侵檢測和預防系統，必要時向使用者發出警告資訊。

4、Nmap NSE指令碼： 
NSE指令碼庫，通過添加--script來運行指定的指令碼，或通過添加-sC來運行一組預設的指令碼。

3.3 最基本的標語抓取技術

1、最基礎的查點技術是標語抓取技術。標語抓取技術可以簡單地定義為串連到遠程應用程式並觀察它的輸出。

2、最基本的標語抓取技術：telnet和netcat

3、以手動方式抓取應用程式標語和手機應用程式資訊的可靠方法基本都是基於telent程式實現的。

4、在使用數字IP地址作為目標時，建議在netcat命令列使用"-n"選項。

5、針對標語抓取探測的防範對策:

（1）把不必要的服務全都關閉 
（2）加強網路存取控制，嚴格限制對各種服務的訪問
（3）加強對漏洞軟體的管理遠勝於防範標語抓取探測

3.4 對常用網路服務進行查點1、FTP查點：TCP 21連接埠

串連FTP網站並查看其內容仍是最簡單和可能最有收穫的查點活動之一。 
文法：ftp ftp.example.com

針對FTP查點活動的防範對策：

(1)FTP是一項“夠老但已不再好”的服務，建議大家禁用這項服務。 
(2)建議使用Secure FTP（使用了SSH加密的SFTP），或使用由較強密碼或基於認證的認證方式保護的FTP Secure（使用了SSL的FTPS）。

2、Telnet查點 TCP 23連接埠

Telnet最致命的缺陷是它使用明文進行傳輸。

通過Telnet標語進行系統查點

Cisco telnet伺服器上的Username提示資訊意味著該伺服器在多次使用者認證不通過時可能將使用者賬戶鎖定，僅僅需要提供口令，於是攻擊者很可能採用不會被鎖住帳號的暴力破解方法進行攻擊。

通過Telnet進行賬戶查點

賬戶查點就是用特定的使用者名稱嘗試登入並觀察返回的錯誤提示資訊的過程。

針對Telnet查點活動的防範對策: 
(1)停用Telnet服務，SSH作為telnet的代替服務已被廣泛使用。 
(2)必須使用Telnet服務時，telnet的標語資訊是可以修改的，建議修改系統設定，要求使用者在登入失敗時，必須重建立立串連。

3、SMTP查點 TCP 23連接埠

最經典的查點技術之一是利用網際網路的郵件發送機制，即簡易郵件傳輸通訊協定。可以用來查看其它使用者資料的內建命令：VREY，可以對有效使用者的名字進行確認；EXPN，可以顯示別名和郵件表的實際發送地址。

常用工具：vrfy.pl這個工具可以針對目標伺服器對清單中的所有使用者進行確認，最後彙報目標伺服器上所有有效使用者名稱。

針對SMTP查點活動的防範對策: 
禁用這項服務。Sendmail是一種比較流行的SMTP伺服器軟體，系統管理員在mail.cf檔案裡嵌入新的文法，以禁用VERY和EXPN命令或者要求使用前進行身份認證。

4、DNS TCP/UDP 53連接埠

DNS通常使用UDP連接埠53，為了實現地區傳送，也使用TCP連接埠53。

利用DNS地區傳送查點

地區傳送：將把某給定域的地區檔案的內容完整地發送給要求者，把主機名稱與IP地址的映射關係、HINFO、主機資訊記錄資料等敏感資訊泄露無餘。

壞處是攻擊者只需進行一次簡單的地區傳送操作。

先執行nslookup命令，然後執行“ls - d < domainname >”命令

BIND查點

BIND網域名稱伺服器是UNIX各種變體平台上廣泛採用的DNS伺服器。 
查詢BIND程式的版本，需執行的命令：

dig @10.219.100.1 version.bind txt chaos

DNS緩衝窺探

DNS伺服器是支援緩衝的，可以快速地解析經常被訪問的主機，如果DNS伺服器尚未處理對特定主機訪問的請求時，伺服器會將“Answer”標誌設定為0。

自動式DNS查點

dnsenum工具可以完成自動式查點。 
功能包括：通過Google查詢其他的名字記錄和域、暴力破解子域、執行反向尋找、列出網域網路範圍並基於這個確定的網路範圍執行WHOIS查詢等。

Fierce.pl工具 
使用了一系列技術來確定目標機器的IP地址和主機名稱，採用的技術包括地區傳送、字典列表、暴力逆向尋找查點技術。

CentralOps.net網站提供了一系列免費查點工具，包括WHOIS查點、地區傳送以及服務掃描。

針對DNS查點活動的防範對策: 
（1）關閉DNS服務 
（2）使用兩台DNS伺服器，一台是面向公網的，一台是供內部網路使用的。

阻斷DNS地區傳送

只允許地區傳送到獲得授權的機器

阻止BIND version.bind 請求操作防止DNS緩衝窺探

5、TFTP查點 TCP/UDP 69連接埠

簡單檔案傳輸通訊協定TFTP：是基於UDP的無認證的“快餐式”檔案傳輸通訊協定，通常在UDP連接埠69上運行，使用TFTP協議的前提是，要從伺服器下載檔案，必須知道想下載的檔案的名字。

通過Linux TFTP伺服器拷貝檔案

抓取passwd檔案的方法之一是通過TFTP來進行。

通過TFTP伺服器獲得路由器/交換器的配置資訊

交換器、路由器和VPN集中器等網路裝置通常會提供TFTP服務進行遠程配置的功能，從網路裝置上擷取的設定檔如下：

running-config 
startup-config .config config run

針對TFTP查點活動的防範對策: (1)不要運行TFTP (2)對其進行封裝以限制村地區，只運行訪問/tftpboot目錄，並確認邊界防火牆已經阻塞了TFTP協議。

6、Finger TCP/UDP 79連接埠

是最古老的查點技巧。finger獲得的相關資訊是從/etc/passwd中對應欄位獲得的。

使用者如果在其home目錄中放置了.plan或.project檔案，就很可能受到此類探測的攻擊，導致此類檔案的內容在finger的探測結果中顯現出來。

針對Finger查點活動的防範對策: 
（1）不要運行finger，在防火牆中阻塞連接埠79 
（2）使用TCP Wrappers來限制對它訪問並記錄到主機的日誌，用修改過的finger守護進程來提供有限的資訊。

7、HTTP查點 TCP 80連接埠

HTTP HEAD方法是一種透出標語資訊的乾淨利落的手段。可能會觸發某些入侵偵測系統。

如果遇到使用SSL的網站，不要因為netcat無法處理SSL串連而煩惱，使用SSL代理工具將其重新導向即可

openssl s_client -quiet -connect www.example.com:443

openssl預設輸出的資訊通常是很冗長的，需要加上-quiet參數來限制輸出的內容。

常用工具：Grendel-Scan

功能是：擷取整個網站的所有注釋，使得攻擊者可以搜尋這些注釋內容以擷取更加有用的資訊；分析網站的robots.txt文檔，網頁注釋內容中留有豐富的資訊，而這些資訊不會被搜尋引擎用於建立搜尋索引。

針對HTTP查點活動的防範對策:
（1）最佳方法是修改Web伺服器的標語，直接改變IIS標語射擊對包含IIS標語的DLL進行十六進位編輯，該DLL是由Windows系統的SFP(系統檔案保護）機制保護的，除非停用SFP，否則修改過的檔案會自動被原始版本替換。 （2）安裝一個ISAPI過濾器，通過SetHeader函數調用來設定標語。 涉及工具：URLScan（可以用來阻斷許多流行的IIS攻擊）

8、MSRPC查點（MSRPC：Microsoft RPC連接埠映射器） TCP 135連接埠

查詢該服務可以得到目標電腦上可用的應用程式和服務的相關資訊，以及其他可能對攻擊者有協助的資訊。 
常用工具： 
windows平台上：epdump

epdump mail.example.com

linux平台上：rpcdump.py

針對MSRPC查點活動的防範對策: 
（1）最佳辦法是限制其對TCP連接埠135的訪問

採用VPN； 
使用Outlook Web Access來支援遠程Outlook使用者； 
使用強度較高的身份認證機制

（2）若無法限制對MSRPC服務的訪問，就應該限制對各個RPC應用程式的訪問。

9、NetBIOS名字服務查點 UDP 137連接埠

NBNS服務用作基於微軟Windows的網路的分布式名字解析系統，windows的所有發行版本仍預設啟用了NBNS服務。 
常用工具：作業系統內建或內建的工具

用net view查點windows工作群組和域

net view要求能夠訪問所有要查點的網路的NBNS，這意味著它只能在本地網段工作。如果NBNS通過TCP/IP路由，則new view可以查點整個企業中的Windows工作群組。 使用net view查點網路上的域

net view /domain 
net view /domain:corleone(corleone是上一步中查詢到的結果之一)

查點Windows網域控制站

ResKit工具中的nltest識別各個網域控制站

nltest /dclist：corleone

ResKit工具中的Netdom可用來查點線上的Windows域關鍵資訊，包括域成員和備份網域控制站BDC的身份標識。

用netviewx工具查點網路服務

netviewx工具多了一項功能，可以列出伺服器上特定的各種服務，使用它可以探測遠端存取服務，以獲得某個網路上撥入伺服器的數目。

netviews -D CORLEONE -T dialin_server

用netstat和nbtscan 工具轉儲NetBIOS名字表

nbtstat可以串連到某些特定的電腦，而不是對整個網路進行查點。 
nbtstat的兩個主要缺點是：每次只能查詢一台主機；輸出令人費解
nbtscan可以對整個網路進行快速的“nbtstat”查詢並對輸出資訊進行排版

Linux NetBIOS查點工具

可以通過設定不同參數來指定顯示查點信心的詳細程度

針對NetBIOS名字服務查點活動的防範對策: 
（1）可以在各個主機上禁用Alerter和Messager服務 
（2）針對各個網卡禁用基於TCP/IP的NetBIOS服務 
（3）在跨網路由器上阻斷了UDP連接埠137，與這個路由器有關的Windows名字解析將無法進行，同時依賴於NBNS的應用程式可能都無法工作。

10、NetBIOS會話查點 TCP 139/445

Windows空回話/匿名串連攻擊

空會話查點

伺服器訊息區協議SMB，是Windows檔案和列印共用的基礎。 
查點SMB的地步是使用所謂的“null session”命令來間接串連到服務

net use \192.168.202.33\IPC$ "" \u:"" IPC$：共用卷
"":空口令
\u:""：匿名使用者

查點檔案分享權限設定卷

入侵者喜歡的目標是許可權配置錯誤的Windows檔案分享權限設定卷。Windows內建的net view命令可以查點遠程程式上的共用卷。

net view \vito

常用工具：

srvcheck

可以查出共用卷和已授權使用者

srvinfo

-s選項能夠列出共用卷和其他許多泄露出來的資訊

DumpSec

它對遠程系統上的所有事物進行核查，從檔案系統的授權到可用的各種服務。

流行的掃描器：

ShareEnuum

可選配置參數比較少，但其預設輸出的資訊相當詳細，可以對不同時間的掃描結果進行比對

Network Scanner

除了預設設定外，提供了較多的配置選項。

流行的windows共用卷掃描器是NetBIOS Auditing Tool

不僅能夠找到共用信卷，還可以使用使用者定義的使用者名稱和口令列表嘗試強行登入。

註冊表查點

方法：把目標機器的Windows註冊表內容匯出來。 
常用工具：

reg

是粗糙的工具，只是把整個註冊錶轉儲到控制台視窗中。 檢查windows啟動時會運行哪行程式 reg query \10.219.1.207\HKLM\SOFTWARE\MICROSOFT\

DumpSec

查出並列舉遠程系統上的每一個Win32服務和核心驅動程式，以及他們的運行狀態，這個操作需要建立一個空回話串連。

查點信任域

server : < server name> 
/trusted domains

查點使用者

工具：

DumpSec

可以得到一個包含使用者、組、NT系統策略和使用者權限等資訊的清單

sid2user和user2sid

都是命令列工具，對NT系統進行查點，從輸入的使用者名稱獲得對應的SID，反之亦然，SID為安全性識別碼。

在任何一個NT系統或域上建立的第一個帳號，分配的RID是1000.

多合一空會話查點工具

Winfingerprint

以單台主機為目標，能以清單上或網段範圍內的多台主機為目標，也能以某個特定段內可見的所有主機為目標，可通過空會話和活動目錄以及WMI對Window系統查點。

NBTEnum

能產生美觀的HTML報告、巧妙的實現暴力破解以及使用空會話或在某一特定使用者賬戶下查點到豐富的資訊。

enum工具Linux下的enum4linux工具

是Samba工具包中各種通用命令重新打包的工具包。

Nete

可以通過空會話串連抽取出大量有價值的資訊，使用“\0”開關執行所有檢查。

其他空會話查點工具

getmac

使用空會話可以顯示出遠端電腦網卡的MAC地址和裝置名稱。

Winfo工具

可以得到使用者帳號、共用卷、域間伺服器和工作站受信任的帳號

針對SMB空會話的防範對策: 
（1）在周邊所有網路訪問裝置上過濾TCP和UDP連接埠139和445 
（2）在各個NT主機上完全停用SMB服務

繞過RestrictAnonymous=1的限制

通過在LEVEL3調用NetUserGetInfo API,就可以繞過RestrictAnonymous = 1的限制。

確保鎖定了註冊表

註冊表中與遠端存取相關的鍵是HKLM\System\CurrentControlSet\Control\SecurePipeServer\Winreg及其子鍵。如果註冊表中有該鍵，那麼有權遠端存取註冊表的將僅限於系統管理員。 
定期使用DumpSec工具進行自我審查，以確保系統沒有任何漏洞。

11、SNMP查點 UDP 161連接埠

簡易網路管理通訊協定SNMP是一種網路管理和監控服務，可以提供有關網路裝置、軟體、系統的詳細資料。
SNMP瀏覽器的snmputil可以非常輕鬆地通過SNMP服務查點出Windows使用者：

snmputil walk 192.168.202.33 public .1.3.6.1.4.1.77.1.2.25

UNIX\Linux中的net-snmp工具包中的snmpget工具來查詢SNMP

snmpget -c public -v 2c 192.168.1.60 public system.sysName.0 
若啟用了預設的寫操作通行字“private”，容易導致拒絕服務供給或危害系統的安全。

SNMP掃描器 
是基於Windows平台的一個自動掃描工具，用來查詢SNMP的掃描工具。會將所有查詢到的主機名稱和該主機使用的作業系統輸出，二是所有的結果都可以匯出至CSV。

onesixtyone工具 
是基於Linux系統的命令列工具。

針對SNMP查點活動的防範對策: 
（1）刪除或禁用SNMP代理程式 
（2）保證採用較難猜測的管理群名字 
（3）使用SNMP管理網路，阻止了對TCP和UDP連接埠161的訪問 
（4）應僅讓適當的管理主控台IP地址才能訪問SNMP代理 
（5）可以通過編輯註冊表的辦法只允許被獲批准的請求訪問SNMP管理群名字，並阻止Microsoft MIB資訊的發送。

12、BGP查點 TCP 139連接埠

邊界網關協議BGP是網際網路上的路由協議，路由器會使用該協議傳播必要的資訊。只有中型到大型的組織才會用到這樣的網路。 
BGP路由查點的步驟：
1、確定目標組織的ASN號碼 
2、對路由器進行查詢，找出所有這樣的網路，它們的AS路徑都是以目標組織的ASN號碼作為結尾的。

在網際網路上進行BGP查點

BGP協議只使用的IP網路地址和ASN號碼。
確定目標組織的ASN的方法: 
(1)第一種方法：如果已經知道了目標公司的名稱，可以使用ASN關鍵字對ARIN進行WHOIS查詢。 
(2)第二種方法：如果已經知道目標組織的IP地址，那麼可以對路由器進行查詢，使用AS路徑中的最後一項作為ASN。

總結：
（1）許多組織部運行BGP，對於不運行BGP的組織，上述技術無效，因為搜尋ARIN資料庫無法得到ASN； 
（2）使用第二種方法，返回的ASN可能是代表客戶發布BGP訊息的服務供應商的ASN。

內部路由協議查點

自治系統掃描器ASS：不支援BGP，是網際網路路由協議攻擊套裝IRPAS的一個組件，可以竊聽本網的通訊資料並直接對本網進行掃描。

針對BGP路由查點活動的防範對策: 針對BGP查點活動沒有什麼好的對策，無法阻止使用第一種技術來識別ASN，但BGP查點的風險較低。

13、Windows活動目錄LDAP查點 TCP\UDP 389和3268連接埠

基於輕量級目錄訪問協議的服務LDAP，稱之為活動目錄AD。 
常用工具：

Windows XP Support Tools

包含一個LDAP用戶端，名為活動目錄管理工具lsp.exe，該工具可串連到AD伺服器並瀏覽目錄的內容。
進行這種查點工作的前提是：僅需攻擊者通過LDAP建立一個身份認證會話。

基於linux平台的LUMA軟體基於Windows和linux系統的軟體ldapenum工具

針對活動目錄查點活動的防範對策: 
（1）在網路邊界過濾掉對連接埠389和3268的訪問 
（2）限制對活動目錄的存取權限

14、UNIX RPC查點 TCP\UDP 111和32771連接埠

應用程式間通訊的一個最流行的方式是遠端程序呼叫協議。RPC協議使用一個稱為portmapper的服務將用戶端的請求與RPC為監聽程式動態分配的連接埠相匹配。 
常用工具：

rpcinfo

用來探查遠程主機上有哪些RPC正在監聽外來請求的基本工具

Windows中使用的SFU工具已知最好的RPC掃描工具：Nmap

使用-sR選項就不用猜測特定的程式號了

針對RPC查點活動的防範對策: 
（1）採用某種形式的身份認證，例如Secure RPC，基於公開金鑰加密機制進行身份認證
（2）確保防火牆過濾連接埠111和32771以及所有其他的RPC連接埠，或在UNIX\linux系統中禁用這些連接埠。

15、rwho（UDP 513連接埠）和rusers（RPC程式100002）

如果主機上運行著rwho守護進程（rwhod），我們就可以用rwho命令查看出那裡的當前登入使用者。

rwho 192.168.202.34

ruser命令的-l選項可以返回比rwho稍微多點兒的類似資訊，其中包括使用者最後一次敲擊鍵盤以後經過的時間。

針對rwho和rusers工具的防範對策: 
在啟動指令碼中尋找對rpc.rwhod 和 rpc.rusersd的引用，並使用#字元注釋掉相關的行。

16、NIS查點 RPC程式號100004

網路資訊系統NIS的主要問題是： 
一旦得到伺服器的NIS網域名稱，使用簡單的RPC查詢即可得到伺服器的NIS映射中的任何資訊。
NIS映射是同一個域內各主機關鍵性資訊的分布式映射，例如passwd檔案的內容。

針對RPC查點活動的防範對策: 
（1）對檔案/var/yp/securents進行編輯，將存取權限限制到指定的主機或網路
（2）還可以在選擇支援TCP Wrappers的配置下重新編譯ypserv 
（3）在NIS表中不要包括root和其他系統帳號的資訊

17、SQL解析服務查點 UDP 1434連接埠

Windows系統的SQLPing工具 
該工具查詢UDP連接埠1434並返回目標電腦上監聽到的服務執行個體

針對SQL執行個體查點活動的防範對策: 
（1）標準做法：使用防火牆限制對該服務的訪問。 （2）使用伺服器網路使用工具刪除所有的網路通訊庫 
（3）在伺服器網路工具 + 生產力裡選中TCP/IP netlib項中的“hide server”選項，並刪除其他所有的netlib。

18、Oracle TNS查點 TCP 1521/2483

透明網路底層Oracle TNS監聽器負責管理Oracle資料庫和用戶端之間的通訊，TNS監聽器由tnslsnr 和lsnrctl兩部分組成，tnslsnr主要是管理資料庫和用戶端通訊的，而lsnrctl是監聽器控製程序，用於管理監聽器tnslsnr的。 
常用工具：

AppSentry Listener Security Check

是檢視Oracle TNS監聽器的最簡單的工具

tnscmd.pl

一款非圖形介面的TNS查點工具

Oracle評估工具OAK和審核工具getsids工具

是目前最簡單的SID查點工具

針對Oracle TNS查點的防範對策: 
Oracle安全保護項目：旨在解決TNS查點問題，以及如何一步步得使採用預設模式安裝的Oracle資料庫變得更安全。

19、NFS查點 TCP/UDP 2049連接埠

常用工具： 
showmount工具可以通過連接埠2049查詢那些目錄是共用的，命令列開關“-e”用於顯示NFS伺服器的匯出表。

針對NFS查點的防範對策:
確認共用匯出檔案系統具有合理的許可權，並且在防火牆阻塞了NFS，Showmount請求還可以被日誌記錄，這是捕捉攻擊者的好方法。

20、IPSec/IKE查點 UDP 500連接埠

攻擊者的最高目標就是擷取目標內部網路的存取權限。 
網際網路金鑰交換IKE：查點IPSec中負責管理密鑰協商的組件，以便確定IPSec的準確位置以及在哪裡對其下手探測。

常用工具:

ike-scan

IPSec查點工具，能夠按照IPSec所期望的格式為一個主機建立資料包，其建立方式既能夠掩蓋其存在的證據，又能夠提供有用的配置資訊。 
發現採用預先共用的密鑰和激進模式的VPN通常意味著查詢VPN伺服器的能力，以便進一步擷取預先共用密鑰的雜湊值。

針對IPSec/IKE查點的防範對策: 
（1）源IP地址VPN限制 
（2）盡量使用主模式

小結

網路上可能有漏洞的軟體包括：

作業系統的底層體繫結構 
SNMP 
會泄露敏感資訊的作業系統級服務 
定製的應用程式 
防火牆

關於實踐Nmap工具1、下載並安裝NmapGUI工具後，開始針對部落格園（http://www.cnblogs.com/）查點。

發現該伺服器只開放了80和443連接埠 並且掃描到了ssl協議的相關細節資訊，包括公開金鑰加密演算法是rsa，以及工作階段金鑰等密碼編譯演算法的資訊。使用的http協議是1.1版本。

可以看出該伺服器使用的作業系統是Wyse ThinOS系統。

2、對某一網段的ip進行掃描（192.168.1.0/24）

可以看出該主機開放了80和1900連接埠。 
1900連接埠：

SSDP Discovery Service 服務 
攻擊者只要向某個擁有多台Win XP系統的網路發送一個虛假的UDP包，就可能會造成這些Win XP主機對指定的主機進行攻擊（DDoS）。另外如果向該系統1900連接埠發送一個UDP包，令"Location"域的地址指向另一系統的chargen連接埠，就有可能使系統陷入一個死迴圈，消耗掉系統的所有資源（需要安裝硬體時需手動開啟）。

可以利用1900連接埠，嘗試後續的攻擊。

可以看出該主機使用的作業系統是vkworks系統。

VxWorks 是一個即時作業系統。

具體介紹：http://baike.baidu.com/view/17288.htm

 

讀書筆記——《駭客大曝光》（2/8）