網(wǎng)絡(luò)安全測(cè)評(píng)
一、安全測(cè)評(píng)工具
介紹在測(cè)評(píng)工作中常用的幾類安全測(cè)評(píng)工具，包括網(wǎng)絡(luò)數(shù)據(jù)分析工具、端口探測(cè)和指紋識(shí)別工具、漏洞掃描工具、滲透測(cè)試工具和Web應(yīng)用安全測(cè)評(píng)工具。有些工具既可以進(jìn)行端口探測(cè)和指紋識(shí)別，也具備漏洞掃描和滲透測(cè)試的功能；某些工具既能對(duì)主機(jī)漏洞進(jìn)行探測(cè)，也可以針對(duì)Web應(yīng)用系統(tǒng)的安全進(jìn)行滲透測(cè)試。
（一）網(wǎng)絡(luò)數(shù)據(jù)分析工具
網(wǎng)絡(luò)數(shù)據(jù)分析工具的主要功能是截取網(wǎng)絡(luò)數(shù)據(jù)分組，通過協(xié)議解析顯示出詳細(xì)的網(wǎng)絡(luò)數(shù)據(jù)分組信息。它可以實(shí)時(shí)檢測(cè)網(wǎng)絡(luò)通信數(shù)據(jù)，自動(dòng)完成數(shù)據(jù)分組重組和會(huì)話恢復(fù)，并且提供圖形化瀏覽界面，以便使用者詳細(xì)查看數(shù)據(jù)分組中每一層的詳細(xì)內(nèi)容。
該類工具通常都支持對(duì)鏈路層（CSMA/CD、ATM）、網(wǎng)絡(luò)層（IP、ICMP、ARP）和傳輸層（TCP、UDP）的協(xié)議解析，部分工具還支持對(duì)大量應(yīng)用層協(xié)議的解析和重構(gòu)，如HTTP、FTP、SMTP、NFS和流媒體協(xié)議。
主流的網(wǎng)絡(luò)數(shù)據(jù)分析工具主要有：Wirkshark、Sniffer Pro、Cain、Ettercap和Fiddler等。利用這些工具，測(cè)評(píng)人員可以直接截獲網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)分組，查看網(wǎng)絡(luò)協(xié)議是否符合安全要求，重要數(shù)據(jù)是否進(jìn)行了加密傳輸，身份鑒別信息是否在網(wǎng)絡(luò)中明文傳輸，系統(tǒng)是否遭到了外部的探測(cè)和攻擊嘗試，也可以用于分析網(wǎng)絡(luò)攻擊的詳細(xì)過程和數(shù)據(jù)特征。
（二）端口探測(cè)和指紋識(shí)別工具
端口探測(cè)和指紋識(shí)別工具的主要功能是進(jìn)行網(wǎng)絡(luò)掃描和主機(jī)探測(cè)，從而收集網(wǎng)絡(luò)和主機(jī)系統(tǒng)的特征信息。
此類工具的基本功能分為3個(gè)部分：一是探測(cè)主機(jī)是否在線，以明確下一步的探測(cè)目標(biāo)；二是掃描主機(jī)端口，通過網(wǎng)絡(luò)服務(wù)的常用端口是否處于監(jiān)聽狀態(tài)來判斷主機(jī)所提供的應(yīng)用服務(wù)；三是根據(jù)探測(cè)主機(jī)的應(yīng)答信息來推斷主機(jī)安裝的操作系統(tǒng)及其版本。
主流的端口掃描和指紋識(shí)別工具主要有Nmap、Superscan、流光和N-scan等。利用這些工具，測(cè)評(píng)人員可以檢測(cè)主機(jī)是否開放了不必要的服務(wù)，是否對(duì)外部的網(wǎng)絡(luò)探測(cè)行為進(jìn)行了有效的屏蔽，是否設(shè)置了安全策略避免自身的敏感信息外泄，是否安裝了存在嚴(yán)重安全隱患的操作系統(tǒng)版本等。
（三）漏洞掃描工具
漏洞掃描工具是基于漏洞數(shù)據(jù)庫，通過掃描等手段對(duì)指定的遠(yuǎn)程或者本地計(jì)算機(jī)系統(tǒng)的安全脆弱性進(jìn)行檢測(cè)的工具包。
漏洞掃描技術(shù)是一類重要的網(wǎng)絡(luò)安全技術(shù)。它和防火墻、入侵檢測(cè)系統(tǒng)互相配合，能夠有效提高網(wǎng)絡(luò)信息系統(tǒng)的安全性。通過對(duì)網(wǎng)絡(luò)及應(yīng)用系統(tǒng)的掃描，能夠幫助了解網(wǎng)絡(luò)的安全設(shè)置和運(yùn)行的應(yīng)用服務(wù)，及時(shí)發(fā)現(xiàn)安全漏洞，客觀評(píng)估風(fēng)險(xiǎn)等級(jí)，同時(shí)還能根據(jù)掃描的結(jié)果修正安全漏洞和系統(tǒng)中的不合理設(shè)置。
主流的漏洞掃描工具和商業(yè)化產(chǎn)品主要有：Nessus、Acunetix WVS、APPscan、極光、榕基等，下面簡(jiǎn)要介紹Nessus和榕基兩款工具。
1、Nessus
Nessus是一款國外遠(yuǎn)程安全掃描器，采用客戶端/服務(wù)器體系結(jié)構(gòu)?？蛻舳颂峁┝诉\(yùn)行在Xwindow下的圖形界面，接受用戶的命令與服務(wù)器通信，傳送用戶的掃描請(qǐng)求給服務(wù)器端，由服務(wù)器啟動(dòng)掃描并將掃描結(jié)果呈現(xiàn)給用戶。掃描代碼與漏洞數(shù)據(jù)相互獨(dú)立，Nessus針對(duì)每一個(gè)漏洞有一個(gè)對(duì)應(yīng)的插件，漏洞插件是用 Nessus 攻擊描述語言（NASL，nessus attack scripting language）編寫的一小段模擬攻擊漏洞的代碼，這種利用漏洞插件的掃描技術(shù)極大地方便了漏洞數(shù)據(jù)的維護(hù)、更新。Nessus具有掃描任意端口任意服務(wù)的能力，可以按照指定的格式（ASCII Html）產(chǎn)生詳細(xì)的輸出報(bào)告，包括目標(biāo)系統(tǒng)的漏洞、怎樣修補(bǔ)漏洞以防止黑客入侵及危險(xiǎn)級(jí)別等。
Nessus除了漏洞掃描之外，也具備針對(duì)目標(biāo)系統(tǒng)的端口探測(cè)和指紋識(shí)別功能，還可以對(duì)操作系統(tǒng)及數(shù)據(jù)庫賬戶的口令進(jìn)行破解。圖1和圖2分別是Nessus掃描完成后針對(duì)目標(biāo)系統(tǒng)給出的漏洞列表和漏洞的詳細(xì)信息示例。
圖1 Nessus掃描漏洞報(bào)告列表
圖2 Nessus掃描漏洞詳細(xì)信息
2、安拓·榕基（RJ-i Top）
RJ-i Top網(wǎng)絡(luò)隱患掃描系統(tǒng)采用機(jī)架式結(jié)構(gòu)的產(chǎn)品，可以對(duì)不同操作系統(tǒng)下的計(jì)算機(jī)進(jìn)行漏洞檢測(cè)。主要用于分析和指出有關(guān)網(wǎng)絡(luò)的安全漏洞及被測(cè)系統(tǒng)的薄弱環(huán)節(jié)，給出詳細(xì)的檢測(cè)報(bào)告，并針對(duì)檢測(cè)到的網(wǎng)絡(luò)安全隱患給出相應(yīng)的修補(bǔ)措施和安全建議，在網(wǎng)絡(luò)系統(tǒng)受到危害之前消除隱患。
RJ-i Top網(wǎng)絡(luò)隱患掃描系統(tǒng)是國內(nèi)生產(chǎn)的專業(yè)測(cè)評(píng)工具，適用于安全測(cè)評(píng)機(jī)構(gòu)和網(wǎng)絡(luò)信息系統(tǒng)的運(yùn)營使用單位，可用于發(fā)現(xiàn)網(wǎng)絡(luò)安全隱患，提高網(wǎng)絡(luò)安全防護(hù)性能和抗破壞能力，檢測(cè)評(píng)估已運(yùn)行網(wǎng)絡(luò)的安全性能，為管理員提供實(shí)時(shí)安全建議等。
（四）滲透測(cè)試工具
滲透測(cè)試工具提供了一系列用于對(duì)目標(biāo)系統(tǒng)進(jìn)行探測(cè)、滲透、攻擊和入侵嘗試的工具包。使用者可以利用此類工具，從攻擊者角度判斷系統(tǒng)特征和弱點(diǎn)，發(fā)起針對(duì)性的模擬攻擊行為，測(cè)試目標(biāo)系統(tǒng)的安全漏洞是否可被攻擊者利用，為目標(biāo)系統(tǒng)提供直觀的安全測(cè)評(píng)結(jié)果。
目前，主流的滲透測(cè)試工具包括Metasploit、Immunity Canvas、Core Impact等。其中， Metasploit為免費(fèi)工具，其余兩款均屬于商業(yè)軟件。
Core Impact是一款國際著名的自動(dòng)化程度較高的網(wǎng)絡(luò)滲透工具，可以模擬各種復(fù)雜的、以不同環(huán)境中安全漏洞為目標(biāo)進(jìn)行遍歷的網(wǎng)絡(luò)攻擊。Core Impact的網(wǎng)絡(luò)設(shè)備滲透測(cè)試功能可幫助識(shí)別、訪問和重新配置路由器，模仿攻擊者探測(cè)其他未知網(wǎng)絡(luò)。當(dāng)發(fā)現(xiàn)新的漏洞、出現(xiàn)新的攻擊技術(shù)或是網(wǎng)絡(luò)信息系統(tǒng)自身發(fā)生變化時(shí)，都可以利用該工具進(jìn)行快速的滲透測(cè)試和漏洞驗(yàn)證。
（五）Web應(yīng)用安全測(cè)評(píng)工具
由于Web服務(wù)在當(dāng)今互聯(lián)網(wǎng)環(huán)境下的廣泛應(yīng)用，相關(guān)廠商和機(jī)構(gòu)也推出了一系列專門針對(duì)Web應(yīng)用安全的測(cè)評(píng)工具，這些工具都具備針對(duì)Web應(yīng)用服務(wù)進(jìn)行指紋識(shí)別、漏洞探測(cè)、滲透測(cè)試和攻擊驗(yàn)證的功能。下面簡(jiǎn)單介紹其中幾款具有代表性的工具產(chǎn)品。
1、WVS（Web Vulnerability Scanner）
WVS是一個(gè)自動(dòng)化的Web應(yīng)用程序安全測(cè)試工具，它可以掃描任何可通過Web瀏覽器訪問和遵循HTTP/HTTPS規(guī)則的Web站點(diǎn)和Web應(yīng)用程序。適用于企事業(yè)單位的內(nèi)聯(lián)網(wǎng)、外延網(wǎng)和其他Web網(wǎng)站。
2、Burp Suite
Burp Suite 是用于對(duì)Web 應(yīng)用程序進(jìn)行攻擊測(cè)試的集成平臺(tái)。它包含了一系列工具，并為這些工具設(shè)計(jì)了接口，以便可以相互通信從而提高攻擊效率。該平臺(tái)中所有的工具都共享同一個(gè)框架，以便統(tǒng)一處理HTTP 請(qǐng)求，允許攻擊者結(jié)合手工和自動(dòng)技術(shù)去枚舉、分析、攻擊 Web 應(yīng)用程序。不同的工具通過協(xié)同工作，有效地分享信息，支持以某種工具中的信息為基礎(chǔ)供另一種工具使用的方式發(fā)起攻擊。
3、Netsparker
Netsparker是一款綜合型的Web應(yīng)用安全漏洞掃描工具，分為專業(yè)版和免費(fèi)版。Netsparker與其他綜合性的Web應(yīng)用安全掃描工具相比，其特點(diǎn)是能夠更好地檢測(cè)Web應(yīng)用中存在的SQL注入和跨站腳本類型的安全漏洞。
介紹在測(cè)評(píng)工作中常用的幾類安全測(cè)評(píng)工具，包括網(wǎng)絡(luò)數(shù)據(jù)分析工具、端口探測(cè)和指紋識(shí)別工具、漏洞掃描工具、滲透測(cè)試工具和Web應(yīng)用安全測(cè)評(píng)工具。有些工具既可以進(jìn)行端口探測(cè)和指紋識(shí)別，也具備漏洞掃描和滲透測(cè)試的功能；某些工具既能對(duì)主機(jī)漏洞進(jìn)行探測(cè)，也可以針對(duì)Web應(yīng)用系統(tǒng)的安全進(jìn)行滲透測(cè)試。
（一）網(wǎng)絡(luò)數(shù)據(jù)分析工具
網(wǎng)絡(luò)數(shù)據(jù)分析工具的主要功能是截取網(wǎng)絡(luò)數(shù)據(jù)分組，通過協(xié)議解析顯示出詳細(xì)的網(wǎng)絡(luò)數(shù)據(jù)分組信息。它可以實(shí)時(shí)檢測(cè)網(wǎng)絡(luò)通信數(shù)據(jù)，自動(dòng)完成數(shù)據(jù)分組重組和會(huì)話恢復(fù)，并且提供圖形化瀏覽界面，以便使用者詳細(xì)查看數(shù)據(jù)分組中每一層的詳細(xì)內(nèi)容。
該類工具通常都支持對(duì)鏈路層（CSMA/CD、ATM）、網(wǎng)絡(luò)層（IP、ICMP、ARP）和傳輸層（TCP、UDP）的協(xié)議解析，部分工具還支持對(duì)大量應(yīng)用層協(xié)議的解析和重構(gòu)，如HTTP、FTP、SMTP、NFS和流媒體協(xié)議。
主流的網(wǎng)絡(luò)數(shù)據(jù)分析工具主要有：Wirkshark、Sniffer Pro、Cain、Ettercap和Fiddler等。利用這些工具，測(cè)評(píng)人員可以直接截獲網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)分組，查看網(wǎng)絡(luò)協(xié)議是否符合安全要求，重要數(shù)據(jù)是否進(jìn)行了加密傳輸，身份鑒別信息是否在網(wǎng)絡(luò)中明文傳輸，系統(tǒng)是否遭到了外部的探測(cè)和攻擊嘗試，也可以用于分析網(wǎng)絡(luò)攻擊的詳細(xì)過程和數(shù)據(jù)特征。
（二）端口探測(cè)和指紋識(shí)別工具
端口探測(cè)和指紋識(shí)別工具的主要功能是進(jìn)行網(wǎng)絡(luò)掃描和主機(jī)探測(cè)，從而收集網(wǎng)絡(luò)和主機(jī)系統(tǒng)的特征信息。
此類工具的基本功能分為3個(gè)部分：一是探測(cè)主機(jī)是否在線，以明確下一步的探測(cè)目標(biāo)；二是掃描主機(jī)端口，通過網(wǎng)絡(luò)服務(wù)的常用端口是否處于監(jiān)聽狀態(tài)來判斷主機(jī)所提供的應(yīng)用服務(wù)；三是根據(jù)探測(cè)主機(jī)的應(yīng)答信息來推斷主機(jī)安裝的操作系統(tǒng)及其版本。
主流的端口掃描和指紋識(shí)別工具主要有Nmap、Superscan、流光和N-scan等。利用這些工具，測(cè)評(píng)人員可以檢測(cè)主機(jī)是否開放了不必要的服務(wù)，是否對(duì)外部的網(wǎng)絡(luò)探測(cè)行為進(jìn)行了有效的屏蔽，是否設(shè)置了安全策略避免自身的敏感信息外泄，是否安裝了存在嚴(yán)重安全隱患的操作系統(tǒng)版本等。
（三）漏洞掃描工具
漏洞掃描工具是基于漏洞數(shù)據(jù)庫，通過掃描等手段對(duì)指定的遠(yuǎn)程或者本地計(jì)算機(jī)系統(tǒng)的安全脆弱性進(jìn)行檢測(cè)的工具包。
漏洞掃描技術(shù)是一類重要的網(wǎng)絡(luò)安全技術(shù)。它和防火墻、入侵檢測(cè)系統(tǒng)互相配合，能夠有效提高網(wǎng)絡(luò)信息系統(tǒng)的安全性。通過對(duì)網(wǎng)絡(luò)及應(yīng)用系統(tǒng)的掃描，能夠幫助了解網(wǎng)絡(luò)的安全設(shè)置和運(yùn)行的應(yīng)用服務(wù)，及時(shí)發(fā)現(xiàn)安全漏洞，客觀評(píng)估風(fēng)險(xiǎn)等級(jí)，同時(shí)還能根據(jù)掃描的結(jié)果修正安全漏洞和系統(tǒng)中的不合理設(shè)置。
主流的漏洞掃描工具和商業(yè)化產(chǎn)品主要有：Nessus、Acunetix WVS、APPscan、極光、榕基等，下面簡(jiǎn)要介紹Nessus和榕基兩款工具。
1、Nessus
Nessus是一款國外遠(yuǎn)程安全掃描器，采用客戶端/服務(wù)器體系結(jié)構(gòu)?？蛻舳颂峁┝诉\(yùn)行在Xwindow下的圖形界面，接受用戶的命令與服務(wù)器通信，傳送用戶的掃描請(qǐng)求給服務(wù)器端，由服務(wù)器啟動(dòng)掃描并將掃描結(jié)果呈現(xiàn)給用戶。掃描代碼與漏洞數(shù)據(jù)相互獨(dú)立，Nessus針對(duì)每一個(gè)漏洞有一個(gè)對(duì)應(yīng)的插件，漏洞插件是用 Nessus 攻擊描述語言（NASL，nessus attack scripting language）編寫的一小段模擬攻擊漏洞的代碼，這種利用漏洞插件的掃描技術(shù)極大地方便了漏洞數(shù)據(jù)的維護(hù)、更新。Nessus具有掃描任意端口任意服務(wù)的能力，可以按照指定的格式（ASCII Html）產(chǎn)生詳細(xì)的輸出報(bào)告，包括目標(biāo)系統(tǒng)的漏洞、怎樣修補(bǔ)漏洞以防止黑客入侵及危險(xiǎn)級(jí)別等。
Nessus除了漏洞掃描之外，也具備針對(duì)目標(biāo)系統(tǒng)的端口探測(cè)和指紋識(shí)別功能，還可以對(duì)操作系統(tǒng)及數(shù)據(jù)庫賬戶的口令進(jìn)行破解。圖1和圖2分別是Nessus掃描完成后針對(duì)目標(biāo)系統(tǒng)給出的漏洞列表和漏洞的詳細(xì)信息示例。
圖1 Nessus掃描漏洞報(bào)告列表
圖2 Nessus掃描漏洞詳細(xì)信息
2、安拓·榕基（RJ-i Top）
RJ-i Top網(wǎng)絡(luò)隱患掃描系統(tǒng)采用機(jī)架式結(jié)構(gòu)的產(chǎn)品，可以對(duì)不同操作系統(tǒng)下的計(jì)算機(jī)進(jìn)行漏洞檢測(cè)。主要用于分析和指出有關(guān)網(wǎng)絡(luò)的安全漏洞及被測(cè)系統(tǒng)的薄弱環(huán)節(jié)，給出詳細(xì)的檢測(cè)報(bào)告，并針對(duì)檢測(cè)到的網(wǎng)絡(luò)安全隱患給出相應(yīng)的修補(bǔ)措施和安全建議，在網(wǎng)絡(luò)系統(tǒng)受到危害之前消除隱患。
RJ-i Top網(wǎng)絡(luò)隱患掃描系統(tǒng)是國內(nèi)生產(chǎn)的專業(yè)測(cè)評(píng)工具，適用于安全測(cè)評(píng)機(jī)構(gòu)和網(wǎng)絡(luò)信息系統(tǒng)的運(yùn)營使用單位，可用于發(fā)現(xiàn)網(wǎng)絡(luò)安全隱患，提高網(wǎng)絡(luò)安全防護(hù)性能和抗破壞能力，檢測(cè)評(píng)估已運(yùn)行網(wǎng)絡(luò)的安全性能，為管理員提供實(shí)時(shí)安全建議等。
（四）滲透測(cè)試工具
滲透測(cè)試工具提供了一系列用于對(duì)目標(biāo)系統(tǒng)進(jìn)行探測(cè)、滲透、攻擊和入侵嘗試的工具包。使用者可以利用此類工具，從攻擊者角度判斷系統(tǒng)特征和弱點(diǎn)，發(fā)起針對(duì)性的模擬攻擊行為，測(cè)試目標(biāo)系統(tǒng)的安全漏洞是否可被攻擊者利用，為目標(biāo)系統(tǒng)提供直觀的安全測(cè)評(píng)結(jié)果。
目前，主流的滲透測(cè)試工具包括Metasploit、Immunity Canvas、Core Impact等。其中， Metasploit為免費(fèi)工具，其余兩款均屬于商業(yè)軟件。
Core Impact是一款國際著名的自動(dòng)化程度較高的網(wǎng)絡(luò)滲透工具，可以模擬各種復(fù)雜的、以不同環(huán)境中安全漏洞為目標(biāo)進(jìn)行遍歷的網(wǎng)絡(luò)攻擊。Core Impact的網(wǎng)絡(luò)設(shè)備滲透測(cè)試功能可幫助識(shí)別、訪問和重新配置路由器，模仿攻擊者探測(cè)其他未知網(wǎng)絡(luò)。當(dāng)發(fā)現(xiàn)新的漏洞、出現(xiàn)新的攻擊技術(shù)或是網(wǎng)絡(luò)信息系統(tǒng)自身發(fā)生變化時(shí)，都可以利用該工具進(jìn)行快速的滲透測(cè)試和漏洞驗(yàn)證。
（五）Web應(yīng)用安全測(cè)評(píng)工具
由于Web服務(wù)在當(dāng)今互聯(lián)網(wǎng)環(huán)境下的廣泛應(yīng)用，相關(guān)廠商和機(jī)構(gòu)也推出了一系列專門針對(duì)Web應(yīng)用安全的測(cè)評(píng)工具，這些工具都具備針對(duì)Web應(yīng)用服務(wù)進(jìn)行指紋識(shí)別、漏洞探測(cè)、滲透測(cè)試和攻擊驗(yàn)證的功能。下面簡(jiǎn)單介紹其中幾款具有代表性的工具產(chǎn)品。
1、WVS（Web Vulnerability Scanner）
WVS是一個(gè)自動(dòng)化的Web應(yīng)用程序安全測(cè)試工具，它可以掃描任何可通過Web瀏覽器訪問和遵循HTTP/HTTPS規(guī)則的Web站點(diǎn)和Web應(yīng)用程序。適用于企事業(yè)單位的內(nèi)聯(lián)網(wǎng)、外延網(wǎng)和其他Web網(wǎng)站。
2、Burp Suite
Burp Suite 是用于對(duì)Web 應(yīng)用程序進(jìn)行攻擊測(cè)試的集成平臺(tái)。它包含了一系列工具，并為這些工具設(shè)計(jì)了接口，以便可以相互通信從而提高攻擊效率。該平臺(tái)中所有的工具都共享同一個(gè)框架，以便統(tǒng)一處理HTTP 請(qǐng)求，允許攻擊者結(jié)合手工和自動(dòng)技術(shù)去枚舉、分析、攻擊 Web 應(yīng)用程序。不同的工具通過協(xié)同工作，有效地分享信息，支持以某種工具中的信息為基礎(chǔ)供另一種工具使用的方式發(fā)起攻擊。
3、Netsparker
Netsparker是一款綜合型的Web應(yīng)用安全漏洞掃描工具，分為專業(yè)版和免費(fèi)版。Netsparker與其他綜合性的Web應(yīng)用安全掃描工具相比，其特點(diǎn)是能夠更好地檢測(cè)Web應(yīng)用中存在的SQL注入和跨站腳本類型的安全漏洞。
