Содержание

 

Введение 4

Постановка задачи 5

Основы работы сканеров портов 6

    Порты TCP/UDP 6

    Типы сканирований 8

    Сканеры портов 11

Обзор сравниваемых сканеров портов 15

    ZENMAP v5.00 15

    NetScanTools v4.22. 16

    SuperScan v4.00 17

    Angry IP Scanner 3.0 Beta 3 18

    Advanced Port Scanner v1.3 19

Сравнительный анализ сканеров портов 20

    Методы сканирования и незаметность работы 20

    Графический интерфейс и простота использования 21

    Вариация временных интервалов сканирования 23

    Скорость работы сканеров 24

    Подведение итогов сравнительного анализа 26

Заключение 32 
 

Введение

     Сканер  портов - программное средство, разработанное для поиска хостов сети, в которых открыты нужные порты - системные ресурсы выделяемые приложению для связи с другими приложениями, выполняемыми на хостах доступных через сеть (в том числе другим приложением, на этом же хосте).. Эти программы обычно используются системными администраторами для проверки безопасности их сетей, а также злоумышленниками для взлома сети. Может производиться поиск как ряда открытых портов на одном хосте, так и одного определённого порта на многих хостах. Последнее характерно для деятельности ряда сетевых червей- разновидности самовоспроизводящихся компьютерных вирусных программ, распространяющихся в локальных и глобальных компьютерных сетях.

     Сам процесс называется сканированием портов или (в случае, когда осуществляется проверка многих хостов) сканированием сети. Сканирование портов может являться первым шагом в процессе взлома или предупреждения взлома, помогая определить потенциальные цели атаки. С помощью соответствующего инструментария, отправляя пакеты данных и анализируя ответы, могут быть исследованы работающие на машине службы (Web-сервер, FTP-сервер, mail-сервер, и т.д.), установлены номера их версий и используемая операционная система.

 

Постановка  задачи

     В ходе курсового проекта необходимо выполнить ряд основных вопросов:

• рассмотреть основы работы сканеров портов
• выбрать не менее десяти сканеров, провести их обзор
• провести оценку возможностей и сравнительный анализ выбранных сетевых сканеров

 

Основы  работы сканеров портов

Порты TCP/UDP

     Под портом, в протоколах TCP и UDP (семейства TCP/IP), обычно понимают системный ресурс выделяемый приложению для связи с другими приложениями, выполняемыми на хостах доступных через сеть (в том числе другим приложением, на этом же хосте). Для каждого из протоколов TCP и UDP, стандарт определяет возможность одновременного выделения на хосте до 65536 уникальных портов, идентифицирующихся номерами от 0 до 65535. При передаче по сети номер порта в заголовке пакета используется (вместе с IP-адресом хоста) для адресации конкретного приложения (и конкретного, принадлежащего ему, сетевого соединения).

     Малоизвестная, но важная организация Internet Assigned Numbers Authority (IANA) присваивает номера портов TCP/UDP. Она отслеживает множество различных  стандартов и систем, обеспечивающих функционирование Интернете. В таблице 1 перечислены некоторые из наиболее употребительных TCP-портов для серверных приложений, самую свежую версию списка номеров портов можно найти на web-сайте IANA: http://www.iana.org. Номер порта присвоен почти каждому значительному приложению. Как для TCP, так и для UDP-сервисов эти номера лежат в диапазоне от 1 до 65535. Номера портов от 0 до 1023 считаются зарезервированными для общеупотребительных приложений, обычно выполняющихся от имени пользователя root или другого привилегированного пользователя. Соответствующие им номера портов называются   общеизвестными. Номера   портов   с   1024   по  65535   можно  
 

     

     

регистрировать  в IANA для конкретных приложений. Они  обычно соответствуют определенным сервисам, но подобная регистрация  не имеет для производителей столь  же обязательной силы, как в случае зарезервированных номеров.

     Таблица 1.

     Общеупотребительные серверные порты

     Например, для загрузки web-страницы машина обратится  к порту 80 web-сервера. Сервер увидит входящее соединение с некоторым  случайным номером порта, превышающим 1024, в таком случае сервер будет знать, что это, вероятно, пользователь, а не другое приложение, устанавливающее с ним соединение. Пакету, помеченному, например, для порта 80, ничего не запрещает содержать данные, отличные от web-трафика. Система номеров портов зависит от определенной "честности" машин, с которыми приходится взаимодействовать, и именно отсюда может прийти "беда".

     Когда порт на компьютере открыт, он получает весь направляемый в него трафик, законный или незаконный. Посылая некорректно  сформированные пакеты, пакеты со слишком  большим количеством данных или  с некорректно отформатированными данными, иногда можно вызвать аварийное  завершение основного приложения, перенаправить  поток управления в этом приложении и незаконно получить доступ к  машине. Это называется переполнением  буфера и составляет большой процент  современных уязвимостей.

     

     Необходимо внимательно следить за тем, какие приложения или порты видны в администрируемой сети. Эти порты являются потенциальными "окнами" в серверах и рабочих станциях, через которые хакеры могут запускать свой вредоносный код в ваш компьютер. Поскольку именно здесь происходит большинство нарушений безопасности, очень важно понимать, что происходит на этом уровне на ваших серверах и других машинах. Этого можно легко добиться с помощью программного средства, называемого сканером портов.

Типы  сканирований

   Прежде  чем перейти к описанию конкретных средств, используемых для сканирования портов, необходимо уделить немного  времени обзору методов сканирования, известных в настоящее время. Одним из пионеров реализации различных  методов сканирования является ранее  упоминавшийся Федор (Fyodor). Многочисленные приемы сканирования были реализованы им в утилите nmар. Многие из описанных в данной книге методов сканирования были предложены самим Федором.

• TCP-сканирование подключением (TCP connect scan). При таком типе сканирования осуществляется попытка подключения по протоколу TCP к интересующему нас порту с прохождением полной процедуры согласования параметров (handshake), состоящей в обмене сообщениями SYN, SYN/ACK и АСК. Попытки такого сканирования очень легко выявляются. На рис.1. показана диаграмма обмена сообщениями в процессе согласования параметров.
• TCP-сканирование с помощью сообщений SYN (TCP SYN scan). Этот метод называется также сканированием с незавершенным открытием сеанса (half-open scanning), так как при его использовании полное TCP-соединение не устанавливается. Вместо этого на исследуемый порт отправляется   сообщение   SYN.   Если   в  ответ   поступает    сообщение

SYN/ACK, это  означает, что данный порт находится  в состоянии LISTENING. Если же ответ  приходит в виде сообщения  RST/ACK, то, как правило, это говорит  о том, что исследуемый порт  отключен. Получив ответ, компьютер,  выполняющий сканирование, отправляет  исследуемому узлу сообщение  RST/ACK, поэтому полное соединение  не устанавливается. Этот метод  обеспечивает более высокую скрытность  по сравнению с полным подключением. Многие системы не регистрируют на такие попытки, поэтому они довольно часто могут оставаться незамеченными.

Рис. 1. При установке TCP-соединения происходит обмен тремя сообщениями: (1) клиент отправляет серверу пакет SYN, (2) получает от сервера пакет SYN/ACK и (3) отправляет серверу пакет АСК 

• TCP-сканирование  с помощью сообщений FIN (TCP FIN scan). В этом случае исследуемой системе отправляется пакет FIN. Согласно документу RFC 793 (http://www.ieff.org/rfc/rfc0793.txt), в ответ узел должен отправить пакет RST для всех закрытых портов. Данный метод срабатывает только для стека протоколов TCP/IP, реализованного в системе UNIX.
• TCP-сканирование по методу "рождественской елки" (TCP Xmax Tree scan). При использовании данного метода на исследуемый порт отправляются пакеты FIN, URG и PUSH. Согласно документу RFC 793, исследуемый узел в ответ должен отправить сообщения RST для всех закрытых портов.

• TCP нуль-сканирование (TCP Null scan). Этот метод состоит в отправке пакетов с отключенными флагами. Согласно RFC 793, исследуемый узел должен ответить отправкой сообщения RST для всех закрытых портов.
• TCP-сканирование с помощью сообщений АСК (TCP ACK scan). Этот метод позволяет получить набор правил, используемых брандмауэром. Такое сканирование поможет определить, выполняет ли брандмауэр простую фильтрацию пакетов лишь определенных соединений (пакетов с установленным флагом АСК) или обеспечивает расширенную фильтрацию поступающих пакетов.
• TCP-сканирование размера окна (TCP Windows scan). Такой метод позволяет выявить открытые, а также фильтруемые/нефильтруемые порты некоторых систем (например, AIX и FreeBSD), в зависимости от полученного размера окна протокола TCP.
• TCP-сканирование портов RFC (TCP RFC scan). Этот метод применим только для систем UNIX и используется для выявления портов RFC (Remote Procedure Call — удаленный вызов процедур), связанных с ними программ и их версий.
• UDP-сканирование (UDP scan). Данный метод заключается в отправке на исследуемый узел пакетов по протоколу UDP. Если в ответ поступает сообщение о том, что порт ICMP недоступен (ICMP port unreachabie), это означает, что соответствующий порт закрыт. С другой стороны, если такого сообщения нет, можно предположить, что данный порт открыт. В связи с тем, что протокол UDP не гарантирует доставки, точность данного метода очень сильно зависит от множества факторов, влияющих на использование системных и сетевых ресурсов. Кроме того, UDP-сканирование — очень медленный процесс, что особенно сказывается при попытках сканирования устройств, в которых реализован мощный алгоритм фильтрации пакетов. Планируя использовать UDP-сканирование, приготовьтесь к тому, что результаты могут оказаться ненадежными.