设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [7918] 2014-03-31_操作系统指纹识别概述
返回列表 发新帖
查看: 2|回复: 0

[7918] 2014-03-31_操作系统指纹识别概述

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-56

积分

管理员

积分
-56
发表于 6 天前 | 显示全部楼层 |阅读模式
2014-03-31_操作系统指纹识别概述 操 作 系 统 指 纹 识 别 概 述 F r e e B u f   2 0 1 4 - 0 3 - 3 1 作 者   T a s k i l l e r 操 作 系 统 指 纹 识 别 一 般 用 来 帮 助 用 户 识 别 某 台 设 备 上 运 行 的 操 作 系 统 类 型 。 通 过 分 析 设 备 往 网 络 发 送 的 数 据 包 中 某 些 协 议 标 记 、 选 项 和 数 据 ， 我 们 可 以 推 断 发 送 这 些 数 据 包 的 操 作 系 统 。 只 有 确 定 了 某 台 主 机 上 运 行 的 操 作 系 统 ， 攻 击 者 才 可 以 对 目 标 机 器 发 动 相 应 的 攻 击 。 例 如 ， 如 果 要 使 用 缓 冲 区 溢 出 攻 击 ， 攻 击 者 需 要 知 道 目 标 的 确 切 操 作 系 统 与 架 构 。 为 什 么 要 进 行 操 作 系 统 指 纹 识 别 ？ 为 什 么 要 进 行 操 作 系 统 指 纹 识 别 ？ 能 够 探 测 到 远 程 操 作 系 统 版 本 的 网 络 侦 察 工 具 是 非 常 有 价 值 的 ， 因 为 许 多 安 全 漏 洞 都 依 赖 于 操 作 系 统 的 版 本 ， 如 果 没 有 这 些 信 息 ， 攻 击 者 的 攻 击 和 利 用 都 会 受 到 限 制 。 所 以 攻 击 发 动 之 前 要 做 的 就 是 收 集 目 标 操 作 系 统 信 息 。 例 如 ， 没 有 操 作 系 统 指 纹 识 别 技 术 ， 攻 击 者 就 无 法 知 道 目 标 服 务 器 运 行 的 是 I I S 服 务 还 是 A p a c h e 服 务 ， 有 可 能 用 I I S 的 漏 洞 去 攻 击 A p a c h e 服 务 ， 最 后 无 功 而 返 。 T C P 与 与 I C M P 指 纹 识 别 指 纹 识 别 T C P 指 纹 识 别 指 纹 识 别 对 操 作 系 统 的 扫 描 是 通 过 T C P / I P 协 议 簇 进 行 的 。 T C P / I P 是 互 联 网 的 基 础 协 议 ， 网 络 上 所 有 的 通 信 交 互 都 通 过 该 协 议 簇 进 行 ， 因 此 操 作 系 统 必 须 实 现 该 协 议 ， 使 其 与 网 络 上 其 它 计 算 机 进 行 通 信 。 I P 用 来 将 一 个 逻 辑 地 址 分 配 给 网 络 上 的 机 器 ， T C P 用 一 种 网 络 公 认 的 方 式 传 输 I P 数 据 包 。 这 些 标 记 对 操 作 系 统 特 别 重 要 ， 每 个 操 作 系 统 根 据 数 据 包 的 不 同 类 型 做 出 不 同 的 反 应 ， 如 果 是 T C P 包 就 发 送 到 系 统 自 己 的 网 络 栈 。
T T L （ T i m e   t o   l i v e ） 是 由 发 送 数 据 包 的 计 算 机 或 设 备 设 置 的 。 数 据 包 每 次 经 过 路 由 转 发 后 ， 该 值 都 会 被 减 1 ， 所 以 如 果 一 个 数 据 包 在 网 络 上 传 输 太 久 ， 途 经 太 多 跳 数 （ 机 器 间 的 路 由 ） ， T T L 值 就 会 变 为 0 （ 因 为 每 经 过 一 次 路 由 转 发 都 会 将 该 值 减 1 ） ， 该 数 据 包 就 会 被 丢 弃 。 I C M P 指 纹 识 别 指 纹 识 别 I C M P 协 议 也 经 常 被 用 来 进 行 指 纹 识 别 。 许 多 t r a c e r o u t e 功 能 使 用 I C M P 协 议 发 现 起 点 到 目 标 的 网 络 路 径 。 如 果 数 据 报 没 有 被 正 确 处 理 ， 不 管 是 设 备 没 有 激 活 还 是 数 据 报 自 己 的 问 题 ， I C M P 都 会 返 回 错 误 消 息 ， 这 些 错 误 消 息 有 时 也 很 有 用 。 每 个 请 求 和 应 答 的 数 据 包 头 部 看 起 来 都 不 一 样 。 操 作 系 统 指 纹 识 别 的 类 别 操 作 系 统 指 纹 识 别 的 类 别 1 、 主 动 指 纹 识 别 、 主 动 指 纹 识 别 主 动 指 纹 识 别 是 指 主 动 往 远 程 主 机 发 送 数 据 包 并 对 相 应 的 响 应 进 行 分 析 的 过 程 ， 使 扫 描 器 在 更 短 的 时 间 内 获 得 比 被 动 扫 描 更 准 确 的 结 果 。 传 统 的 方 法 是 在 探 测 到 几 个 合 法 数 据 包 时 检 查 目 标 网 络 元 素 的 T C P / I P 栈 行 为 。 N m a p 网 络 侦 察 的 第 一 步 是 确 定 网 络 中 哪 些 机 器 是 处 于 激 活 状 态 的 。 N m a p 就 是 这 样 一 款 检 测 操 作 系 统 是 流 行 工 具 ， 不 仅 可 以 检 测 远 程 操 作 系 统 是 否 运 行 ， 同 时 也 可 以 执 行 各 种 端 口 扫 描 。 n m a p 通 过 向 目 标 主 机 发 送 多 个 U D P 与 T C P 数 据 包 并 分 析 其 响 应 来 进 行 操 作 系 统 指 纹 识 别 工 作 。 在 使 用 N m a p 扫 描 系 统 的 同 时 ， 该 工 具 会 根 据 响 应 包 分 析 端 口 的 打 开 和 关 闭 状 态 。 下 图 选 项 告 诉 N m a p 在 发 现 主 机 后 不 执 行 端 口 扫 描 ， 只 打 印 出 响 应 扫 描 器 的 主 机 ， 一 般 被 称 为 “ p i n g 扫 描 ” 。 这 种 扫 描 不 会 引 起 目 标 网 络 太 多 注 意 。 对 攻 击 者 来 说 ， 了 解 有 多 少 主 机 处 于 激 活 状 态 比 列 出 每 个 I P 的 端 口 和 主 机 名 要 有 价 值 得 多 。
用 N m a p 探 测 操 作 系 统 非 常 简 单 ， 只 需 要 在 运 行 时 使 用 - O 参 数 。 下 图 是 扫 描 一 台 W i n d o w s 机 器 的 结 果 ： 下 图 是 扫 描 一 台 L i n u x 机 器 的 结 果 ： X p r o b e 2
也 可 以 使 用 x p r o b e 2 探 测 远 程 操 作 系 统 。 X p r o b e 2 根 据 O f i r   A r k i n 的 I C M P 指 纹 识 别 研 究 执 行 远 端 T C P / I P 协 议 栈 的 指 纹 识 别 工 作 ， 该 工 具 依 靠 不 同 的 方 法 识 别 操 作 系 统 是 否 处 于 激 活 状 态 ， 包 括 模 糊 签 名 匹 配 、 概 率 猜 测 与 联 合 匹 配 ， 以 及 一 个 签 名 数 据 库 。 I D S 系 统 很 容 易 检 测 T C P 扫 描 ， 因 此 要 想 隐 藏 扫 描 的 话 ， 使 用 X p r o b e 2 自 带 的 I C M P 模 块 是 个 不 错 的 选 择 。 当 前 ， x p r o b e 2 包 含 以 下 模 块 ： ·                 i c m p _ p i n g :   I C M P 回 显 探 索 模 块 ·                 t c p _ p i n g :   基 于 T C P 的 p i n g 探 索 模 块 ·                 u d p _ p i n g :   基 于 U D P 的 p i n g 探 索 模 块 ·                 t t l _ c a l c :   基 于 T C P 和 U D P 的   T T L 距 离 计 算 ·                 p o r t s c a n :   T C P   与   U D P   端 口 扫 描 ·                 i c m p _ e c h o :   I C M P 回 显 请 求 指 纹 识 别 模 块 ·                 i c m p _ t s t a m p :   I C M P 时 间 戳 请 求 指 纹 识 别 模 块 ·                 i c m p _ a m a s k :   I C M P 地 址 掩 码 请 求 指 纹 识 别 模 块 ·                 i c m p _ p o r t _ u n r e a c h :   I C M P 端 口 不 可 达 指 纹 识 别 模 块 ·                 t c p _ h s h a k e :   T C P 握 手 指 纹 识 别 模 块 ·                 t c p _ r s t :   T C P   R S T 指 纹 识 别 模 块 ·                 s m b :   S M B 指 纹 识 别 模 块 ·                 s n m p :   S N M P v 2 c 指 纹 识 别 模 块 要 识 别 一 台 远 程 主 机 ， 我 们 只 需 调 用 x p r o b e 2 并 给 出 远 程 主 机 的 I P 地 址 或 主 机 名 作 为 参 数 ： 2 、 被 动 指 纹 识 别
被 动 指 纹 识 别 是 分 析 一 台 网 络 主 机 中 发 过 来 的 数 据 包 的 过 程 。 这 种 情 况 下 ， 指 纹 识 别 工 具 被 当 作 嗅 探 工 具 ， 不 会 向 网 络 发 送 任 何 数 据 包 。 称 其 “ 被 动 ” 是 因 为 这 种 方 法 不 会 与 目 标 主 机 进 行 任 何 交 互 。 基 于 这 对 这 些 数 据 包 的 嗅 探 跟 踪 ， 用 户 可 以 确 定 远 程 主 机 的 操 作 系 统 。 被 动 扫 描 通 常 比 主 动 扫 描 更 通 用 但 准 确 性 也 更 低 ， 因 为 这 种 扫 描 对 被 分 析 数 据 的 控 制 更 少 。 N e t w o r k M i n e r N e t w o r k M i n e r 是 一 款 网 络 取 证 分 析 工 具 。 N e t w o r k M i n e r 也 可 被 用 作 检 测 操 作 系 统 、 会 话 、 主 机 名 、 开 放 端 口 等 的 被 动 网 络 嗅 探 器 和 数 据 包 捕 获 工 具 ， 而 不 需 要 向 网 络 发 送 任 何 流 量 。 要 执 行 操 作 系 统 指 纹 识 别 ， 需 要 运 行 N e t w o r k M i n e r 并 选 择 抓 包 的 网 络 接 口 ， 我 们 可 以 根 据 I P 地 址 、 M A C 地 址 、 主 机 名 、 操 作 系 统 等 为 主 机 分 类 。 设 置 好 之 后 单 击 S t a r t 。 N e t w o r k M i n e r 会 在 “ H o s t ” 选 项 卡 中 显 示 每 台 主 机 的 操 作 系 统 ， 并 在 主 机 的 树 形 列 表 的 操 作 系 统 名 旁 边 显 示 相 应 的 i c o n 图 标 。 也 可 以 展 开 每 个 主 机 ， 使 用 户 可 以 查 看 指 定 主 机 对 操 作 系 统 指 纹 匹 配 的 更 详 细 分 析 。 用 用 P i n g 命 令 检 测 操 作 系 统 命 令 检 测 操 作 系 统 也 可 以 通 过 执 行 p i n g 命 令 ， 根 据 目 标 响 应 信 息 的 T T L 值 来 确 定 目 标 主 机 的 操 作 系 统 类 型 。 上 表 列 出 了 常 见 操 作 系 统 的 相 应 T T L 值 。 L i n u x 机 器 的 扫 描 结 果 如 下 ：
通 过 下 图 显 示 的 p i n g 结 果 可 以 看 到 ， T T L 的 值 为 1 2 8 ， 是 W i n d o w s 系 统 的 默 认 T T L 值 。 预 防 预 防 完 全 屏 蔽 所 有 指 纹 识 别 攻 击 是 个 几 乎 不 可 能 完 成 的 任 务 ， 但 我 们 可 以 通 过 一 些 措 施 加 大 攻 击 者 的 识 别 难 度 。 例 如 我 们 必 须 确 保 外 部 主 机 无 法 直 接 扫 描 内 部 主 机 。 主 动 操 作 系 统 指 纹 识 别 一 般 也 可 以 通 过 防 火 墙 和 主 侵 防 御 系 统 ( I P S ) 解 决 。 b a n n e r 抓 取 比 较 容 易 防 御 ， 可 以 通 过 对 A p a c h e 的 配 置 文 件 进 行 配 置 ， 限 制 其 在 头 部 列 出 的 信 息 。 如 果 我 们 运 行 着 某 些 服 务 并 开 放 某 些 端 口 ， 可 以 屏 蔽 或 删 除 触 发 某 些 错 误 时 的 显 示 的 信 息 。 总 结 总 结 操 作 系 统 指 纹 识 别 是 一 个 非 常 有 价 值 的 操 作 系 统 发 现 技 术 。 从 攻 击 者 的 角 度 来 看 ， 操 作 系 统 指 纹 有 助 于 帮 助 其 找 出 系 统 中 可 利 用 的 漏 洞 。 当 前 有 很 多 种 系 统 指 纹 识 别 技 术 ， 同 时 也 有 很 多 方 法 避 免 对 操 作 系 统 的 识 别 。 参 考 参 考 h t t p : / / e n . w i k i p e d i a . o r g / w i k i / O S _ f i n g e r p r i n t i n g h t t p : / / o r e i l l y . c o m / p u b / h / 1 3 4 7 h t t p s : / / w w w . s a n s . o r g / r e a d i n g - r o o m / w h i t e p a p e r s / t e s t i n g / o v e r v i e w - r e m o t e - o p e r a t i n g - s y s t e m - f i n g e r p r i n t i n g - 1 2 3 1 原 文 地 址 ： h t t p : / / r e s o u r c e s . i n f o s e c i n s t i t u t e . c o m / o v e r v i e w - o s - f i n g e r p r i n t i n g / 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 23:27 , Processed in 0.659734 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表