全部博文（695）
分类： 网络与安全
2016-01-22 13:42:36
文章来源：
1998年，安全研究员Antirez在Bugtraq邮件列表上，提到了一个巧妙的端口扫描技术–空闲扫描。众所周知，它允许进行端口完全欺骗扫 描。使得攻击者能够不使用自己的IP向目标主机发送数据包。它的巧妙之处在于，利用不活跃的“僵尸主机”反弹给攻击者一个旁通信道，从而使得攻击者可以进 行端口扫描。入侵检测系统（Intrusion detection system）也就会把无辜的僵尸主机当成攻击者。除了异常隐蔽外，该种扫描还可以 用于发现基于IP的机器间的信任关系。
因为空闲扫描比目前任何一种扫描技术都要复杂，所以要理解它，你不必成为TCP/IP专家。总而言之可以概括为以下几个方面：
结合这些特征，通过伪造你的身份，就可以扫描一个目标网络，而看起来就像无辜的僵尸主机在扫描。本质上，空闲扫描在扫描每个端口时都由以下三步组成：
每次扫描后，僵尸主机数据包的IP ID应该增加1或2。增加1说明僵尸主机没有发送任何数据包，只有攻击者探测时导致的加1。而未发送任何数据包 则说明目标端口是未打开的（目标主机向僵尸主机发送了RST包，该包会被忽略，或者什么也没发送）。增加2说明僵尸主机在两次探测之间发送了一个额外的数 据包。这个额外的数据包表明目标端口是开放的（即目标主机收到伪造的SYN包后向僵尸主机发送SYN/ACK包，僵尸主机向目标主机回复一个RST包）。 增加数大于2则说明我们选择的中间层不适合做僵尸主机。它可能含有不可预测的IP ID，或者说在进行空闲扫描时该端口有其他的通讯。空闲扫描利用的是空 闲的端口，如果该端口有其他的通讯，就会导致扫描程序误判目标主机的端口状态。建议选择打印机、考勤机或者不活跃的web服务器做僵尸主机
尽管被过滤的端口与关闭的端口有少许的不同，但是攻击者会得到相同的结果，即IPID都增加1。因此利用空闲扫描技术不能区分关闭的端口或被过滤掉 的端口。所以，当nmap收到增长为1的IPID后就会把该端口标记为closed|filtered（关闭的或者被过滤的）。
为了更详细的描述，用下面三张图来解释端口开放、关闭、被过滤间的探测原理。三个角色分别用以下图标代表：
攻击者
僵尸主机
目标主机
Figure 5.1. Idle scan of an open port
Figure 5.2. Idle scan of a closed port
Figure 5.3. Idle scan of a filtered port
空闲扫描是种终级隐秘扫描。虽然Nmap提供欺骗扫描技术（-D）来帮助用户保护自己的身份，但是这种扫描（不像空闲扫描）仍需要攻击者使用自己真 实的IP发送一些数据包以便获取扫描结果。空闲扫描的结果之一是，入侵检测系统若发出警报，则会报告僵尸机已开始对他们扫描。因此可以用该种扫描技术给其 他主机栽赃。当你的IDS发出警报时，你要首先考虑这种扫描方式。
空闲扫描的好处之一是，可以用来突破防火墙及路由的的包过滤。IP源地址包过滤技术是一种常用（尽管很弱）的安全机制，用于限制机器可能连接到敏感 的主机或网络。例如，一个公司的数据库服务器可能仅允许发布网站的服务器进行访问。或者一个家庭办公人员可能仅允许来自它办公机器的SSH（交互式登陆） 连接。
有一种比较让人棘手的情况是：老板让网络管理员在防火墙上打开一个端口，以便他可以使用家里的IP地址来访问公司内部的网络资源。这经常发生在高管不想或不会用VPN（或类似产品）的情况下。
空闲扫描有时候能够映射出这种信任关系。因为空闲扫描列出的开放端口是相对于僵尸主机而言。若对上述数据库服务器进行一次常规的扫描，可能显示未开 放任何端口，但是使用web服务器的IP作为僵尸主机，进行空闲扫描却显示该数据库相关的服务端口是开放的，由此可以断定他们之间存在信任关系。
若能映射出他们之间的信任关系，将对攻击者非常有用，可以优先把它当成攻击目标。如果不能注意到连带的数据库访问，那么上述讨论的web服务器对于攻击者而言就是一个非常普通服务器。
空闲扫描的劣处是它比其他大多数类型的扫描花费的时间都要长。虽然已经对该算法进行了优化，但是一个耗时15秒的半开（SYN）扫描操作，用空闲扫 描的话可能花费15分钟还多。另外，你必须确认伪造成来自僵尸主机的数据包能够到达目标主机。因为很多的ISP（互联网服务提供商、和宽带提供商）会过滤 掉这种欺骗包。高层服务（像托管服务和T1服务）一般是不会过滤这种包的。如果你伪造的僵尸机数据包被过滤了，那么nmap会立即打印一个错误信息。如果 无法更换ISP，可以尝试使用同一个ISP网络下的其他IP做僵尸机。因为很多时候包过滤仅针对非ISP提供的IP地址范围内的数据包。使用空闲扫描另外 一个难点是，你必须找到一个工作良好的僵尸主机，将会在下一章讨论。
找到一个运行良好的僵尸主机
进行IP ID空闲扫描的第一步是找到一台合适的僵尸主机。这需要标记的IP ID在全局（不是与僵尸机通讯的每一台主机）基础上递增。所以僵尸机 必须是空闲的（也就是名称的由来），因为夹杂其他的数据包会破坏IP ID序列，使得扫描逻辑混乱不堪。僵尸机与攻击者、以及僵尸机和目标机器间的延迟越 低，扫描也就会越快。
当尝试进行空闲扫描时，nmap首先测试假定的僵尸机并报告它的状态。如果僵尸机不好使，换一个试试。网络上有很多的机器适合做僵尸机，并不难找。因为需要闲置的主机，所以用一些有名的站点如或者google.com就不要考虑了。
一种常用的方法是用nmap对一个网络进行简单的ping扫描。当然你也可以用nmap的IP随机选择模式（-iR），但是有时很可能由于路径较 远，使得僵尸主机的延迟非常大。选择一个离目标主机、或离本地主机较近的网络，结果会更好一点。你可以用ping扫描得到的可用主机进行挨个尝试，直到该 主机可以用于空闲扫描。通常，用他人的机器进行某些不太被希望的操作前，最好获取他人的许可，如：空闲扫描。
我们选择打印机的图标作为僵尸主机不仅仅为了好玩—通常简单的网络设备更有可能成为僵尸机，因为他们通常未被使用（闲置），并且内嵌了网络栈结构，使得IP ID传输更易检测。
在网络上搜索僵尸机时，执行端口扫描和OS探测（-O）要比只用ping扫描更易找到好的僵尸机。只要开启了详细模式（-v），OS检测通常检测 IP ID序列生成方法并打印类似这样的一行“IP ID Sequence Generation: Incremental”（IP ID序列生成： 递增的）。如果类型是Incremental（递增）或Broken little-endian incremental（损坏的小字节序递增），那么 就可以作为一台良好的备用僵尸机。但还是不能保证可以良好运行，比如Solaris和其他系统会为每个与其通讯的主机生成新的IP ID序列。或者主机非 常繁忙。OS检查结果和开放的端口列表在确定系统是否为空闲主机时会非常有用。
另外一种确认备用僵尸机的常用方法是使用ipidseq NSE。该脚本探测某个主机并归类其IP ID的生产方法，然后打印出IP ID的归类名称，就像检测OS一样。像大部分NSE脚本一 样，ipidseq.nse同样能够对多台主机进行平行扫描，可以把它当作在整个互联网上搜寻合适僵尸机的另外一种方法。找到一台合适的僵尸主机的确会花 费一番功夫，所以你可以重复使用已经找到的某台较好的僵尸机。
执行空闲扫描
找到合适的僵尸机后，扫描就好办了。只需要为-sI选项指定僵尸主机地址就行了，剩下的事情nmap会替你做。示例 5.1为Ereet的一个扫描示例，利用Adobe的一台名叫Kiosk的空闲主机作跳板，去扫描美国唱片协会（RIAA）的主机。
示例5.1. 对RIAA进行空闲扫描
从上面的结果可以看出，RIAA并没有考虑到太多的安全因素（注意开放的pcanywhere端口，端口映射，和Legato nsrexec端 口）。显然没有防火墙，也就不太可能有IDS。但是如果有的话，他会把kiosk.adobe.com当成扫描者。 -Pn选项是防止nmap初始化时向 RIAA主机发送ping探测包。避免暴露Ereet的真实地址。这次扫描将会花费较长的时间，因为-p-选项要求扫描所有的65K个端口。最后不要用 kiosk作为你的扫描目标，因为他早就不存在了。
Nmap默认使用僵尸机的80端口向目标主机发送探测包。若要使用另外的端口，可以在僵尸机后面添加一个冒号和端口号（比如 –sI kiosk.adobe.com:113）。但是你选择的端口必须不能被攻击者或目标主机过滤掉。可以对僵尸机进行SYN扫描，来探测端口是处于 开放还是关闭（open | closed ）状态。
空闲扫描算法实现
尽管“逐步说明空闲扫描”章节已经对空闲扫描的基本原理进行了描述，但是nmap的实现却要复杂得多。关键不同是并行快速执行及冗余检查，以达到减 少误报的目的。由于并行扫描是种间接地推测端口状态的扫描方法，所以比任何其他的扫描方法都要棘手。Nmap向目标机发送许多端口探测包，然后检测僵尸机 生成的IP ID，生成的IP ID号仅能显示有多少端口是开放的，但不能确定是哪些端口。这个问题倒是不大，因为大部分的端口是关闭的或被过滤的 （closed|filtered）。Nmap可以并行的以每组100个端口的方式进行扫描。假如nmap探测了一组端口，发现僵尸机的IP ID增长了次，那么就可以断定这组端口中有个 开放的端口。然后nmap用二分法查找这些开放的端口。首先把这组端口分成两段，然后进行独立的探测。如果一个子分组显示零个开放端口，就不该组端口标记 为关闭的或被过滤的（closed|filtered）。如果一个子分组显示有一个或多个开放端口，就把该组端口进行拆分并处理，直到可以确定这些开放的 端口。尽管增加了复杂度，花费的时间却可以比每次扫描一个端口的方式少上一个数量级。
可靠性是空闲扫描时的另外一个重要问题。如果僵尸机在扫描期间向其他不相关的主机发送了数据包，将会导致他的IPID递增。这将导致nmap认为找 到了一个开放的端口。幸运的是，并行扫描此时也能起到作用。假如nmap探测了一组100个端口，根据IP ID的增长值发现了两个开放的端口，nmap 把这组端口分成两个各含50个端口的子分组。当namp在两个子分组上进行IP ID扫描后，除非僵尸机IP ID恰好增加二，否则，namp就会对前后 不匹配的组进行重新扫描。同时根据僵尸机的可靠性调整分组的大小以及扫描的时间。如果nmap检测到太多的不可靠结果，他会立即退出并提示用户提供一个较 好的僵尸机。
有时用包追踪的方式可能会更好理解复杂的算法和技术。这时就要用到nmap的–packet-trace 选项了。以下的章节我们对7个实际的端 口，进行了相关的包追踪。真实IP地址已用Attacker、Zombie和Target代替了，其他的与包追踪不太相关的因素（如TCP窗口的大小）， 为了描述清晰均已清除。
-Pn 在隐身攻击中是必须的，否则ping包将会把攻击者真实的地址发送给目标。版本探测同样也会暴露真实地址，并且–sV 也不是必须的。-r选项（关闭随机端口扫描）只是为了使示例更简单些。
Namp首先向僵尸主机发送六个SYN/ACK包，通过分析返回的数据包来确定僵尸机IP ID序列的生成方式。这使得nmap快速排除劣质的僵尸 机。这部是必须的，因为有些系统（通常是微软系列的机器，但不是所有的微软机器）每次发送数据包IPID都会递增256，而不是递增1 。这通常发生在小 字节序机器上，因为他们通常不将IPID转换为网络字节顺序（big-endian大字节序）。Nmap用这些基本的推测来解决这个问题。
这个测试说明是个很好的僵尸机。每个IPID都比上一个增加了一。通过IPID间的通信，很容易确定该主机是台空闲主机。结果不错，但我们仍需要进 行下一步检查，即nmap向僵尸机发送四个伪造成Target的数据包。然后探测僵尸机的IPID是否增加。如果没有增加，很可能攻击者的ISP过滤了这 种伪造的数据包，或者僵尸机对每个与其通信的主机都使用不同的IPID序列。这两种情况都有可能发生，所以nmap每次都进行这步操作。上面最后的 IPID是15674 。
四个伪造的数据包加上攻击者的探测数据包，恰好使得僵尸机的IPID从15674增长到15679 。太好了！现在开始真正的扫描。记住僵尸机的最后一个IPID是15679 。
Nmap探测20-23端口。然后探测僵尸机发现新的IPID为15680，比上个值15679只增加了1 。在两次已知的包之间没有IPID的增 长，说明端口20-23很可能是closed|filtered。也有可能是来自目标端口的SYN/ACK数据包还没有到达。这种情况下，僵尸机还没有返 回RST包，因此它的IPID还没有增加。为了确认这种情况，nmap将稍后再尝试这些端口。
从上次探测后，等待四十分之一秒nmap再探测一次。僵尸机（不确定是真的空闲）在这段时间内可能已经与其他主机进行了通讯，这将可能导致后续的探测不准确。幸运的是，僵尸机没有通信：下一个IPID是15681，与期望的一致。
Nmap 探测端口24,25和110然后查询僵尸机的IPID。他从15681跳到了15684 。跳过了15682和15683，说明三个端口 中有两个端口很可能是开放的。 Nmap 不能够确认是哪两个，也有可能根本不正确。所以nmap进行更深入的检查，把这这次的扫描分成两个子分组。
第一个子分组的端口是24和25 。 IPID从15685跳到15687，说明这两个端口中有一个是打开的。 Nmap 依法尝试再次分成两份，独立的探测每个端口。
端口24的探测结果显示IPID没有跳跃。所以该端口未开放。从目前的结果来看，nmap可以初步确定：
看了这么久的这个问题，你会发现一个问题：端口25和110是打开的而其他5个端口是关闭的或被过滤的。根据这个逻辑，nmap可以停止扫描然后数 据结果了。如果这么做的话，当不能肯定僵尸机是空闲的时候，将会有很多端口误判为开放的。所以nmap继续扫描来确认他的结果：
探测端口25和110显示他们是打开的，与我们先前的推测一致。
为了确认， nmap 再次尝试20-23端口。查询僵尸机的IPID，结果显示没有任何跳跃。万一从目标发送到僵尸机的SYN/ACK延迟到达，那么nmap将再次尝试IPID查询。结果再次说明没有开放的端口。现在nmap将有很大的把握来输出他的结果。
想要了解更详细的nmap空闲扫描实现方法，请阅读nmap发布的源代码中idle_scan.cc文件。
