5漏洞檢測和掃描

漏洞檢測和掃描

一弱口令檢測、端口掃描

·弱口令檢測工具Joth the Ripper

1介紹Joth the Ripper

簡稱爲 JR；是一款開源的密碼破解工具；支持DES、MD5等多種加密算法，並且容許使用密碼字典來進行暴力破解；經過對shadow文件的口令分析，能夠檢測密碼強度；官方網站：http://www.openwall.com/john/；同時還提供社區加強版、專業版

2安裝Joth the Ripper

A解壓源碼包

其中包含doc（手冊文檔）、run（運行程序）、src（源碼文件）、README（說明文件）

B編譯安裝

切換到src目錄下執行make clean "系統類型"命令編譯（運行make可查系統類型列表）；編譯完成後在run目錄下會生成一個名爲join的可執行程序；Joth the Ripper不須要特別的安裝，編譯完後直接可使用

3使用Joth the Ripper

A檢測弱口令帳號

在安裝了Joth the Ripper的服務器中，能夠直接對/etc/shadow文件進行檢測，對於其餘服務器能夠將此文件複製出來進行檢測（實驗時提早建立幾個弱口令用戶）

當得出結果時可使用Ctrl+c結束命令，破解出的密碼信息自動保存在john.pot文件中

B使用密碼字典文件

默認的字典文件是password.lst，其中列出了3000多個常見的弱口令；用戶能夠手動添加可能的密碼組合，也可使用其餘更加完整的密碼字典文件；執行john程序，結合--wordlist=字典文件（只要是密碼字典裏有的密碼組合，都會一一測試破解）

·網絡掃描工具NMAP

1介紹NMAP

Nmap 是一個用於網絡探索或安全評測的工具。它支持 ping 掃描（斷定哪些主機在運行），多端口掃描技術（斷定主機在提供哪些服務），以及 TCP/IP 指紋（遠程主機操做系統識別）。Nmap 還提供了靈活的目標和端口明細表，掩護掃描，TCP 序列可預測性特色的斷定，逆向identd 逆向掃描等等（ident協議：用於TCP反向掃描，容許查看TCP鏈接所對應的進程的屬主用戶。例如，鏈接到HTTP服務之後，再執行ident掃描，能夠發現服務器是否正在以root權限運行）；可從RHEL5光盤中安裝nmap-4.11-1.1.i386.rpm包；官方網站：http://nmap.org/ ；

2安裝NMAP

源碼安裝

3使用SMAP

A命令格式

SMAP的掃描程序位於/usr/bin/smap，使用格式以下

nmap [掃描類型] [選項] <掃描目標 ...>

經常使用的掃描類型：

-sS，TCP SYN掃描（半開）（只向目標發送SYN包，接收到ACK包後不回覆ACK包）

-sT，TCP 鏈接掃描（全開）（創建一次完整的TCP連接）

-sF，TCP FIN掃描；直接發送FIN斷開請求包，開放的端口會忽略，關閉的端口會回RST包

-sU，UDP掃描；探測目標主機提供哪些UDP服務，掃描速度較慢

-sP，ICMP掃描；監測主機是否存活

-P0，跳過ping檢測；避免由於沒法ping通而放棄掃描

選項：-p，指定掃描端口；-n，禁止反向DNS解析

掃描目標：能夠是主機名、IP地址或網絡地址，多個目標以空格分隔

B掃描操做實例

掃描本機開放了哪些端口

開放的TCP端口（掃描1600多個經常使用的）

開放的UDP端口（掃描1400多個經常使用的）

檢查192.168.4.0/24網段中有哪些主機提供FTP服務

快速檢測192.168.4.0/24網段中有哪些主機存活（ping）

檢測IP地址位於192.168.4.100-200之間的主機哪些開啓文件共享服務

二OpenVAS漏洞評估系統

·常見的漏洞評估系統

Nessus：由T.N.S 公司出品，已從開源走向閉源

OpenVAS：徹底開源，集成大量插件，可免費更新；主要用來檢測目標網絡或主機的安全性

X-Scan：非C/S模式的程序，插件比較陳舊

·OpenVAS的工做結構

C/S模式，在服務器上安裝OpenVAS，而後使用各類插件來收集被檢測的客戶機數據

B/S模式，管理員經過瀏覽器或者專業的客戶端程序來下達掃描任務

1服務層組件（所有安裝）

openvas-scanner：掃描器，負責調用各類漏洞測試插件，完成實際的掃描操做

openvas-manager：管理器，負責分配掃描任務，並根據掃描結果生成評估報告

openvas-administrator：管理者，負責管理配置信息，用戶受權等相關工做

2客戶層軟件（任選其一便可）

openvas-cli：命令接口，負責提供從命令行訪問OPenVAS服務層的程序

greenbone-security-assistant：綠谷安全助手，負責提供訪問OpenVAS服務層的Web接口，使用最簡單的客戶層組件

Greenbone-Desktop-Suite，綠骨桌面套件，負責提供訪問OpenVAS服務層的圖形化程序界面；主要用在windows客戶機中

3插件的更新

插件式一個重要的核心環節，及時更新插件才能得到更有參考價值的評估結果；插件的更新來源有兩種：一種是官方提供的NVT免費插件，一種是Greenbone Sec公司提供的商業插件；免費的插件已經超過4萬多個，並且支持自動更新

·構建OpenVAS服務器

1安裝相關依賴包

相關依賴包特別多，建議使用官方網站推薦的在線安裝（http://www.openvasorg）；這裏收集安裝包進行集中安裝

A安裝基本依賴包（系統光盤中能夠找到）可能有些包已安裝過，因此採用更新安裝方式

B安裝其餘依賴包（須要從官網或www.atomicorp.com下載）

2安裝相關組件包（須要從官網或www.atomicorp.com下載）

若是安裝過程當中提示"沒法碰觸…."可忽略，由於缺乏相關目錄，安裝完後會自動建立

3確認安裝結果

4啓動服務組件

三個服務組件默認openvas-manager和openvas-scanner安裝後自動啓用的，而openvas-administrator須要手動開啓，並將三個服務組件設置爲開機自啓動

其中，manager監聽端口爲9390；scanner監聽端口爲9391，administrator監聽端口爲9393

5啓動客戶層組件

默認Greenbone安全助手對應的系統服務爲gsad，一般也會自動啓動；可是須要將監聽的默認ip地址127.0.0.1改成本機實際可用的IP地址或者改成0.0.0.0；而後再重啓服務

Gsad監聽的端口是9392，所以須要在防火牆上開啓此端口

6修改執行用戶權限

當用戶經過瀏覽器查看掃描報告時，Openvas默認以nobody用戶身份降權執行，所以須要將nobody用戶的登陸shell從默認的/sbin/nologin修改成/bin/bash

7獲取掃描插件

若是服務器能連接網絡，能夠經過執行openvas-nvt-sync腳原本在線自動更新插件；不然能夠從其餘主機手動下載插件，而後拷貝過來再解壓到指定目錄

下載到當前目錄

解壓到指定的插件目錄

8添加掃描用戶

掃描用戶包括普通用戶和管理員用戶；只能先建立普通用戶，而後再將普通用戶升級爲管理員用戶

A建立普通用戶

Ctrl+D結束規則建立，直接回車設置完成

B將普通用戶升級爲管理員用戶

C刪除用戶

·客戶機執行漏洞評估任務

1鏈接到OpenVAS服務器

客戶機使用瀏覽器鏈接到Openvas系統的gsad服務（9392端口）；若使用Greenbone桌面套件程序，則須要鏈接到openvas-manager服務（9390端口）；在瀏覽器中輸入服務器地址：https://ip:9293

輸入建立的管理員用戶名和密碼登錄；進入到操做主界面

2定義掃描目標

單擊左側導航欄下的Targets連接，在右側表單中填寫將要評估的主機名、IP地址等信息，而後單擊建立目標

3建立掃描任務

單擊左側導航欄中的New Task連接，在右側表單中設置任務名稱，掃描目標，掃描配置使用默認的"Full and fast"快速徹底掃描，而後單擊建立任務

4執行掃描，查看評估報告

單擊左側導航欄中的Task連接，看到相應的掃描任務，單擊下圖所示圖標開始執行

掃描過程當中能夠按F5刷新狀態，查看掃描進度，等待掃描結束

掃描結束後顯示爲Done，單擊查看按鈕便可查看評估報告

而後再單擊查看按鈕顯示漏洞分析結果（頁面最下方）