利用网络回溯分析技术进行端口扫描行为分析

2013-09-19科来软件CSNA网络分析专家朱欣嘉

网络安全技术与应用 2013年4期

科来软件CSNA网络分析专家朱欣嘉

端口扫描是网络中常见的行为之一。网络管理员利用端口扫描可以检测自己网络的健康状况，用以修补漏洞、制定完善的安全策略；黑客利用端口扫描可以发现目标网络/主机中存在的漏洞，为后续的进一步入侵做准备。本案例是一次典型的针对网络中Windows系统和MS SQL Server数据库服务器漏洞的端口扫描行为。

一、环境说明

本案例为某实验性网络，内部主机使用公有IP地址。核心交换机上部署了科来网络回溯分析系统服务器，通过端口镜像将内部网络的流量导入回溯式分析服务器。

二、案例分析

某日上午在分析系统控制台上将趋势图表设置为“TCP分析”状态时，偶然发现有两个时刻网络中TCP同步包数量明显增多。TCP同步包最多时达到了TCP同步确认包的两倍还多，而通常情况下TCP同步包数量只会略多于TCP同步确认包。于是我选取了其中一个峰值约 15秒的时间段，在“IP地址”浏览页面按照“发TCP同步包”进行排名，发现某IP地址15秒内发送了773个TCP同步包排名第一，而该IP总发包量才868个。这显然不是一个正常现象。

图1 案例分析1

于是下载该IP的数据包进行深入分析。在IP会话列表中看到该IP地址与内网的每一个IP都有IP会话，这是对网段内所有主机进行扫描的典型特征。

图2 案例分析2

从上图中可以看出攻击者对每台主机发送了至少 3个TCP同步报文，目标端口是每台主机的RPC（135）、MSSQL（1433）和CIFS（445）。图中数据包总量为3的是主机不存在或未作响应；数据包为6的是主机对扫描着回应了TCP重置或ICMP目标不可达消息，表示攻击者访问的端口没有开放；而有几台主机与攻击者交换了几十个数据包，说明在这几台主机上的上述3个端口有一个或多个可以访问，攻击者对这几台主机进行了深入的漏洞扫描。

TCP 135和445是用于Windows远程过程调用和文件共享的端口。在Windows 2003 SP1之前的系统中这两个服务存在比较大的漏洞，常被一些蠕虫病毒利用，如早年的冲击波和震荡波，攻击者也会利用这两个端口对系统进行入侵。

TCP1433是SQL Server的服务端口。黑客可以利用它进行弱口令尝试，如果成功就可能获得目标主机的系统权限。

为了看到攻击者对那几台开放端口的主机做了什么，我把界面切换到“TCP会话”，深入分析攻击者进行漏洞扫描的行为。