基于Windows下溢出漏洞扫描技术的网络渗透分析与实现_王庆

4.1 通过检测服务端口开放与否进行判断
直接向目标机器的指定端口发送带有 SYN 标志的 T CP 数据包 , 以检测端口是否开放 。 如果端口开放 , 则表 示漏洞存在 , 否则漏洞不存在 。 通常在无法通过其它方式进行扫描时可采用这种方法 , 编写 CCP roxy 溢出的漏 洞扫描代码通常这样做 。
V ol .22 N o .1 Feb .2007
基于 Windows 下溢出漏洞扫描技术的网络 渗透分析与实现
王 庆 , 刘嘉勇 , 胡 勇
(四川大学信息安全研究所 , 四川 成都 610064)
摘要 :网络渗透技术在信息安全领域里扮演着重 要的角 色 。 漏洞扫 描技术 是网络 渗透最基 本的技 术之一 , 对 目前流行的几种网络渗透技术进行了介绍 , 对漏洞扫描技 术的分类和 实现进 行了分 析 , 对 Window s 下的溢 出漏洞 扫描方法进行了研究 , 并就 Win2000 的 P NP 溢出漏洞(M S05-039)的扫描进行分析和代码实现 。
第 22 卷第 1 期 2007 年 2 月
成 都 信 息 工 程 学 院 学 报 JO U RN A L O F CHENG D U UN IV ERS ITY O F IN FO RM A TIO N TECHNO LOG Y
文章编号 :1671-1742(2007)01-0026-05
printf(″Cann' t create NU LL session ! n″); return -1 ; }
// 发送 72 字节的 reqNBSS if(send(ClientSock , (const char ＊)reqNBSS , sizeof(reqNBSS) - 1 , 0)< 0) { printf(″[ -] Send reqNBSS f ailed n″); closesock et(C lientS ock); return -1 ; }
5 Win2000 的 PNP 溢出漏洞(MS05-039)扫描的代码实现
Window s2000 及以上版本的 PNP(Plug and Play)服务是通过 IPC ＄命名管道 +RPC 接口的形式向外提供服 务的 。也就是说 , 要访问远程机器上的 P NP 服务 , 首先要通过 T CP 139 或 445 端口与目标机器建立 IPC 空连 接 , 进而获取 PNP 服务进程中创建的命名管道“Brow ser”的客户端句柄 。获取了管道句柄后 , 在通过该命名管道 与 PNP 服务进程中的 RPC 接口进行通信 , 完成对服务的访问 。在对 PNP 漏洞进行攻击的时候通常采用这一通 信流程 , 在漏洞扫描的时候也可以按照这一步骤进行 。 由于 SMB 和 RPC 协议暂时还没有完全分析清楚 , 所以填 充的应用层数据包也是直接从网络数据包中截获而来 , 而这些数据包正是在分析 MACF EE 公布的扫描工具里 得到的 。 通过分析 , 发现打补丁前后返回数据包内容刚好存在一个字节的差别 , 还原漏洞扫描代码就比较简单 了 。 其主要代码如下 : (1)建立空连接
4.4 直接爆破
将直接攻击作为扫描 , 如果攻击成功 , 则漏洞存在 。这种方法通常用在无路可走的情况下采用 , 如果仅作为 系统安全检测而不想破坏服务的话 , 要谨慎使用 。 很多情况下 , 直接攻击都可能导致目标服务系统崩溃 , 蠕虫病 毒就是采用的这种方式 。
以上介绍的在 Window s 下溢出漏洞扫描技术的实现方法并不是孤立的 , 而是互为补益的 。大多数情况下 , 几种方法综合使用才能达到理想的效果 。下面就 Win2000 的 PNP 溢出漏洞(MS05-039)扫描的代码实现进行分 析。
4.2 通过获取服务软件的 Banner 信息进行判断
通常情况下 , 通过客户端与服务软件进行连接的过程中 , 服务进程会返回相关的 Banner 信息 , 这些信息包含 了诸如服务软件的版本等方面的内容 。 通过这些信息和漏洞库进行比较分析 , 可以大致判断出是否存在漏洞 。 通过 Banner 信息来判断服务软件是否存在溢出漏洞是一种常用的方式 , 也有一定的准确率 。 Serv -U M DT M 溢 出漏洞的扫描技术就是采用的这种方法 , 因为 Serv -U5.0.0.9 及以下版本都具有溢出漏洞 , 而更高的版本则不 存在漏洞 。
printf(″3 n″); return -1 ; }
// 发送 SM B-SessionSetupAndX if(send(ClientSock , (const char ＊)SMB -SessionSetupAndX , sizeof(SMB-SessionSetupAndX)-1 , 0)< 0) { printf(″ n[ -] send SMB -SessionSetupAndX f ailed n″); return -1 ; }
SOCKET Client Sock ; sockaddr -in ClientA ddr ; int len ; unsigned char szRecv[ 0x1000] = {0};
28
成 都 信 息 工 程 学 院 学 报 第 22 卷
ClientSock = socket(AF -IN ET , SO CK -S T REAM , IPPRO T O -T CP); ClientAddr .sin-f amily = AF -IN ET ; ClientAddr .sin-po rt = htons(445); ClientAddr .sin-addr .S -un .S -addr =inet -addr(argv[ 1] ); printf(″[ ＊] Connecting to 445 … ″); // 先连接 445 端口 , 如果不成功 , 则连接 139 if(connect(ClientSock , (const sockaddr ＊)&ClientAddr , sizeof(ClientAddr))< 0) {
4.3 通过服务软件安装补丁前后的响应报文的差别进行判断
很多存在漏洞的服务软件 , 在打补丁前后 , 如果发送应用层请求 , 返回的报文内容是不一样的 , 总是存在细微 的差别 , 通过分析这些细微差别就能判断溢出漏洞存在与否 。 DCOM RPC 、SQ L Resolution 、LSA 、PNP 等多数漏 洞的扫描都可以采用这种方法实现 。这是最安全 、准确的一种方法 , 但要求攻击者对漏洞自身的机制要很熟悉 。 这种方法在实现时的一个难点就是对特定服务的实现细节的理解和应用层通信协议(特别是 SMB 、RPC 等协议) 的分析 , 这部分做不好的话 , 就很难对漏洞进行判断 。 大多数情况下 , 攻击者很难清楚了解服务软件内部运行机 制 , 特别是对于微软的一些服务软件 。 可以通过别人的未公布源代码的扫描工具 , 采用反汇编 、跟踪分析网络数 据包等方式逆向还原出工具的代码 。
len = recv(ClientSock , (char ＊)szRecv , sizeof(szRecv) -1 , 0); if(len < 0) {
printf(″2 n″); closesock et(C lientS ock); return -1 ; } }
// 发送 SM B-N eg otiate if (send(ClientSock , (const char ＊)SM B-Negotiate , sizeof(SM B_Negotiate)- 1 , 0)< 0) { printf(″ n[ -] send SMB -Negot iate f ailed n″); return -1 ; } len = recv(ClientSock , (char ＊)szRecv , sizeof(szRecv) -1 , 0); if ((len <= 10) (szRecv[ 9] ! = 0)) {
3 传统漏洞扫描技术的分类
漏洞扫描技术可分为漏洞库匹配技术和插件技术两大类 。 漏洞库匹配技术是基于网络系统漏洞库的扫描技 术 , 即根据安全专家对网络系统安全漏洞 、黑客攻击案例的分析和系统管理员对网络系统安全配置的实际经验 , 可以形成一套标准的网络系统漏洞库 , 然后再在此基础上构成相应的匹配规则 , 由扫描程序自动进行漏洞扫描工 作 。漏洞库匹配技术基于的漏洞库不同 , 匹配规也不尽相同 , 主要有 CGI 漏洞扫描 、POP 3 漏洞扫描 、FT P 漏洞扫 描 、SSH 漏洞扫描等 。 插件技术即功能模块技术 。 是一个由脚本语言编写的子程序 , 扫描程序可以通过调用它 来执行漏洞扫描 , 检测出系统中存在的 一个或多个漏 洞 , 如 Unicode 遍 历目录漏洞探 测 、F T P 弱势密 码探测 、 OPENRelay 邮件转发漏洞探测等 。
27
的各种漏洞 , 并及时采取相应的预防措施 。更多的时候 , 作为网络攻击者 , 进行网络渗透时 , 需要有针对性对系统 进行扫描 , 找出特定的漏洞 , 并对漏洞特性或运行机制进行分析 , 采取更进一步的渗透手段 。 为了实现这个目的 , 就必须采取一些特殊的实现方式 。 经过实践 , 认为基于 Window s 下溢出漏洞的扫描技术主要有以下几种实现方 法:
第 1 期 王庆等 :基于 Window s 下溢出漏洞扫描技术的网络渗透分析与实现
printf(″Cann' t connecting to 445 …″); printf(″[ ＊] Connecting to 445 … ″); ClientAddr .sin-po rt = htons(139); if(connect(ClientSock , (const sockaddr ＊)&ClientAddr , sizeof(ClientAddr))< 0) {
2 漏洞扫描原理
漏洞扫描技术的原理是 :向远程计算机的特定端口发送特定的请求数据 , 根据从该端口返回数据的特征 , 来 判断该主机是否存在某种漏洞 。主要通过以下两种方法来检查目标主机是否存在漏洞 :一是在端口扫描后得知 目标主机开启的端口以及端口上的网络服务 , 将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配 , 查看 是否存在满足条件的漏洞 ;二是通过模拟黑客的攻击手法 , 对目标主机系统进行攻击性的安全漏洞扫描 , 如测试 弱势口令等 , 若模拟攻击成功 , 则表明目标主机系统存在安全漏洞 。