搜索

[11673] 2017-08-17_浅谈简易端口扫描威胁感知系统的设计与实现

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2017-08-17_浅谈简易端口扫描威胁感知系统的设计与实现 浅 谈 简 易 端 口 扫 描 威 胁 感 知 系 统 的 设 计 与 实 现 陆 仁 甲   F r e e B u f   2 0 1 7 - 0 8 - 1 7 * 本 文 原 创 作 者 ： 陆 仁 甲 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 一 一   前 言 前 言 ： ： 正 所 谓 善 守 者 不 知 其 所 攻 ， 善 攻 者 不 知 其 所 守 。 网 络 攻 防 本 来 就 是 一 场 看 不 见 硝 烟 的 对 抗 。 本 人 设 计 的 这 套 端 口 蜜 罐 检 测 程 序 ， 是 在 总 结 了 大 量 的 本 人 设 计 的 这 套 端 口 蜜 罐 检 测 程 序 ， 是 在 总 结 了 大 量 的 A P T 攻 击 方 法 和 思 路 之 后 ， 结 合 自 己 分 析 和 思 考 ， 针 对 当 前 攻 击 方 法 和 思 路 之 后 ， 结 合 自 己 分 析 和 思 考 ， 针 对 当 前 企 业 面 临 的 大 量 黑 客 攻 击 ， 而 无 法 得 到 有 效 的 预 警 信 息 ， 设 计 了 这 个 简 易 版 本 的 蜜 罐 程 序 。 企 业 面 临 的 大 量 黑 客 攻 击 ， 而 无 法 得 到 有 效 的 预 警 信 息 ， 设 计 了 这 个 简 易 版 本 的 蜜 罐 程 序 。 二 二   设 计 方 法 和 思 路 设 计 方 法 和 思 路 下 面 结 合 A P T 攻 击 的 常 见 流 程 来 分 析 端 口 蜜 罐 程 序 设 计 的 方 法 和 思 路 。 上 面 这 张 图 片 只 是 列 出 了 常 见 的 三 种 攻 击 流 程 ， A P T 攻 击 的 方 法 和 思 路 还 有 很 多 , 如 2 0 1 0 年 的 震 网 病 毒 ,   近 两 年 被 发 现 的 往 流 行 的 网 络 管 理 客 户 端 x s h e l l , p u t t y , s e c u r e C R T 等 植 入 后 门 再 从 中 筛 选 攻 击 目 标   等 等 。 在 上 面 的 三 种 A P T 攻 击 方 法 中 ， 第 一 种 方 法 是 最 普 遍 ， 被 黑 客 使 用 最 多 的 一 种 。 那 我 们 就 针 对 第 一 种 方 法 设 计 相 关 的 防 御 措 施 。 在 网 络 入 侵 者 使 用 第 一 种 方 法 实 施 入 侵 时 ， 会 用 n m a p 等 端 口 扫 描 工 具 扫 描 子 域 名 开 放 的 端 口 信 息 。 比 如 常 见 的 2 1 ( f t p ) ,   2 2 ( s s h ) , 1 4 3 3 ( m s s q l ) , 3 3 0 6 ( m y s q l ) , 3 3 8 9 ( r d p )   等 端 口 。 在 端 口 扫 描 之 后 黑 客 会 用 暴 力 破 解 工 具 进 行 在 线 破 解 , 破 解 失 败 后 会 检 测 常 见 的 w e b 漏 洞 ， 比 如 s q l 注 入 , x s s , 文 件 上 传 漏 洞 等 等 。 既 然 端 口 扫 描 和 在 线 破 解 会 被 黑 客 广 泛 使 用 ， 那 我 们 就 可 以 开 放 常 见 的 端 口 让 黑 客 主 动 发 起 网 络 连 接 。 当 黑 客 用 端 口   扫 描 工 具 和 暴 力 破 解 工 具 扫 描   J I D S 监 听 的 端 口 时 ， 程 序 会 记 录 黑 客   的 公 网 I P 地 址   ， 扫 描 的 日 期 时 间 ， 扫 描 的 次 数 等 信 息 ，   同 时 当 扫 描 的 次 数 超 过 指 定 的 次 数 时 ， 会 发 出 告 警 邮 件 。 三 三   代 码 实 现 部 分 代 码 实 现 部 分
上 面 只 是 整 个 程 序 代 码 中 的 核 心 代 码 部 分 。 说 说 代 码 的 实 现 逻 辑 ； 当 黑 客 用 n m a p 扫 描 端 口 和 使 用 h y d r a , n c r a c k   等 若 口 令 在 线 破 解 工 具 时 ， 会 发 起 T C P 网 络 连 接 请 求 ， 只 要 T C P 连 接 发 送 过 来 ， 这 边 监 听 的 常 见 端 口 如 2 1 , 2 2 , 3 3 0 6   等 就 会 做 相 应 的 响 应 ， 把 黑 客 的 公 网 I P   地 址 ， 扫 描 的 日 期 时 间   记 录 下 来 , 记 录 完 成 之 后 就 会 立 即 断 开 , 并 且 每 个 监 听 的 端 口 放 在 单 独 的 一 个 线 程 中 ， 互 不 干 扰 。 四 四   程 序 的 特 点 程 序 的 特 点 1   本 程 序 由 J A V A   开 发 实 现 ， 可 以 跨 平 台 部 署 ， 既 可 以 在 w i n d o w s 系 统 部 署 ， 也 可 以 在 l i n u x 系 统 上 面 部 署 。 2   监 听 的 端 口 可 以 自 定 义 ， 比 如 常 见 的 应 用 层 协 议 端 口 2 1 ( F T P ) 2 2 ( S S H ) , 8 0 ( H T T P ) , 4 4 3 ( H T T P S ) , 1 4 3 3 ( M S S Q L ) , 3 3 0 6 ( M Y S Q L ) , 1 5 2 1 ( O R A C L E ) , 5 4 3 2 ( P o s t g r e S Q L ) , 5 9 0 1 ( V N C ) 等 。 3   能 同 时 记 录 多 个 I P 地 址 的 连 接 请 求 ， 比 如 有 1 0 0 个 不 同 的 I P 同 时 扫 描 开 放 的 端 口 ， 这 1 0 0 个 I P 都 会 被 记 录 下 来 。 4   监 听 的 端 口 有 对 应 的 指 纹 信 息 ， 能 欺 骗 黑 客 用 n m a p 等 端 口 扫 描 工 具 的 检 测 。 5   对 每 个 I P 扫 描 的 次 数 自 动 统 计 并 排 序 ， 自 动 生 成 威 胁 感 知 列 表 并 发 送 e m a i l 告 警 邮 件 信 息 。
欺 骗 n m a p   端 口 指 纹 扫 描 工 具 的 效 果 图 如 下 ： 五 五   程 序 部 署 环 境 网 络 拓 扑 图 程 序 部 署 环 境 网 络 拓 扑 图 本 程 序 部 署 在 内 网 的 l i n u x   系 统 中 ， 只 能 检 测 到 内 网 的 扫 描 攻 击 ， 如 果 需 要 检 测 外 网 的 黑 客 扫 描 攻 击 ， 需 要 把 监 听 的 端 口 映 射 到   有 域 名 的 公 网   I P 。 这 样 既 能 检 测 到 内 网 扫 描 ，   同 时 也 能 检 测 到 外 网 的 扫 描   。 六 六   对 业 务 系 统 的 影 响 对 业 务 系 统 的 影 响 J I D S 只 是 监 听 网 络 端 口 ， 当 黑 客 扫 描 时 ， 会 记 录 黑 客 的 I P 地 址   和 扫 描 的 次 数 ，   记 录 完 成 之 后 ， 网 络 连 接 就 会 自 动 断 开 ； 在 部 署 的 系 统 中 并 没 有 部 署   安 装 具 体 的   应 用 程 序 ， 如 M   y S q l ，   F T P   服 务 器 ， R e d i s 等 应 用 。   综 上 所 述 ， J I D S 可 以 理 解 为 一 套 模 拟 端 口 蜜 罐 ， 对 现 有 业 务   系 统   无 任 何 影 响 。 七 七   检 测 结 果 分 析 检 测 结 果 分 析
J I D S 的 检 测 输 出 结 果 包 括 日 志 和 邮 件 告 警   两 种 形 式 。   下 面 是 J I D S   这 个 工 具 运 行 一 段 时 间 后 获 取 的 检 测 结 果 ： J I D S 的 日 志 功 能 能 够   完 整 记 录 所 有 入 侵 者 的 I P 地 址   、 日 期 时 间 、   扫 描 的 端 口 ， 如 下 图 ： ( 日 志   是   j s o n 格 式 ) 邮 件 告 警 通 过 自 动 发 送 告 警 邮 件 至 相 关 管 理 人 员 ， 告 知 入 侵 者 统 计 信 息 ， 如 扫 描 时 间 、 I P 地 址   、   扫 描 次 数 、 扫 描 端 口   、 I P 地 址 地 域 信 息 。   邮 件 告 警 样 例 如 下 ： 总 结 ： 总 结 ： 本 程 序 能 检 测 到 黑 客 的 端 口 扫 描 和 若 口 令 破 解 过 程 , 包 括 I P 地 址 ， 日 期 时 间 ， 扫 描 次 数 等 等 ， 并 能 持 续 运 行 , 直 到 程 序 进 程 结 束 为 止 , 作 为 端 口 扫 描 威 胁 感 知 ， 这 个 程 序 基 本 上 是 能 胜 任 的 。 但 是 黑 客 攻 击 的 方 法 和 思 路 非 常 的 多 ， 能 不 能 1 0 0 % 的 检 测 到 ， 以 及 怎 样 从 检 测 到 的 结 果 中 筛 选 出 有 目 的   的 A P T 攻 击 者 ， 还 是 单 纯 的 抓 肉 鸡 者 ， 这 是 个 需 要 解 决 的 问 题 。 * 本 文 原 创 作 者 ： 陆 仁 甲 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理