nmap工具
Nmap是一个强大的端口扫描类安全评测工具、被设计为检测主机数量众多的巨大网络支持ping扫描、多端口检测、os识别等多种技术。
安装
|
1 |
[root@localhost ~]# yum install nmap |
语法
nmap [options arguments] 目标主机
发现主机的用法
|
1 2 3 4 5 6 7 |
-sn：只进行主机发现扫描，不进行端口扫描 -Pn：跳过主机发现扫描，将所有指定的主机都视为在线状态，进行端口扫描 -sL：仅仅列出指定的目标主机IP，不进行主机发现扫描 -PS/PA/PU/PY[portlist]：指定nmap使用tcp syn、tcp ack、udp、sctp方式进行主机发现，例如：nmap -PS80,21 -PO：使用IP协议包探测目标主机是否在线 -PE/PP/PM：指定nmap使用icmp echo、timestamp、netmask请求报文方式发现主机 -n/-R：指定是否使用DNS解析。-n表示不进行DNS解析，-R表示总是进行DNS解析。 |
端口扫描的用法
|
1 2 3 4 |
-Ss/St/sA/Sw/sM：指定使用tcp syn/ -Su：指定使用UDP扫描方式扫描目标主机的UDP端口状况 -p：仅仅扫描指定一个或一批端口，如“-p 80”或“-p 1-100” -F：快速模式扫描，仅仅扫描开放率最高的前100个端口 |
版本侦测的用法
|
1 2 |
-sV：设置nmap进行版本侦测 --version-trace：显示版本侦测的详细过程 |
系统侦测的方法
|
1 2 |
-O：设置nmap进行操作系统侦测 --osscan-guess：猜测目标主机的操作类型，nmap会结合可能性的比率，用户可以根据提供的比率综合判断操作系统类型 |
案例
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 |
[root@localhost ~]# nmap -sn -PE -PS 22,80 192.168.4.0/24 #只探测4.0网段内的主机，并且以ICMP echo的报文形式，TCP syn/ack的包形式。 [root@localhost ~]# nmap -P0 192.168.4.0/24 #跳过ping检测、认为所有主机都是存活避免因为无法ping通而放弃扫描 [root@localhost ~]# nmap 127.0.0.1 #扫描常用的1600多个tcp端口 [root@localhost ~]# nmap -sU 127.0.0.1 #扫描常用的1400多个udp端口 [root@localhost ~]# nmap -p 21 192.168.4.0/24 #扫描192.168.4.0网段有哪些主机开了ftp端口 [root@localhost ~]# nmap -sS -F 127.0.0.1 #以TCP SYN方式扫描TCP端口，并且以最快的速度扫描前100个端口 [root@localhost ~]# nmap -sT 192.168.4.0/24 #扫描TCP连接 [root@localhost ~]# nmap -sV 127.0.0.1 #探测本机上运行程序的版本信息 [root@localhost ~]# nmap -O --osscan-guess 127.0.0.1 #探测本机上运行的操作系统 |
zmap工具
美国密歇根大学研究者开发出一款工具。在第22届USENIX安全研讨会，以超过nmap 1300倍的扫描速度声名鹊起。相比大名鼎鼎的nmap全网扫描速度是他最大的亮点。在千兆网卡状态下，45分钟内扫描全网络IPv4地址
安装
|
1 2 3 4 5 |
[root@localhost ~]# yum install gmp gmp-devel libpcap-devel gengetopt [root@localhost ~]# wget https://github.com/zmap/zmap/archive/v1.0.3.tar.gz [root@localhost ~]# tar -zxvf v1.0.3.tar.gz [root@localhost ~]# cd zmap-1.0.3/src [root@localhost ~]# make && make install |
用法
|
1 2 3 4 5 6 7 8 9 |
[root@localhost ~]# zmap -B 10M -p 80 -n 100000 -o results.txt -B：指定带宽 -p：指定端口 -n：扫描多少个目标 -o：输出结果 -p：设置往每个IP发送包的数量默认是1(DDOS功能) -s：设置扫描的源端口（DDOS功能） -S：设置扫描的源地址段（DDOS功能） -G：设置网关MAC地址可伪造（DDOS功能） |
tcpdump工具
TcpDump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。tcpdump就是一种免费的网络分析工具，尤其其提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的FreeBSD系统中，由于它需要将网络界面设置为混杂模式，普通用户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威胁。
我们用尽量简单的话来定义tcpdump，就是：dump the traffice on anetwork.，根据使用者的定义对网络上的数据包进行截获的包分析工具。作为互联网上经典的的系统管理员必备工具，tcpdump以其强大的功能，灵活的截取策略，成为每个高级的系统管理员分析网络，排查问题等所必备的东西之一。tcpdump提供了源代码，公开了接口，因此具备很强的可扩展性，对于网络维护和入侵者都是非常有用的工具。tcpdump存在于基本的FreeBSD系统中，由于它需要将网络界面设置为混杂模式，普通用户不能正常执行，但具备root权限的用户可以直接执行它来获取网络上的信息。因此系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其他计算机的安全存在威胁。
Tcpdump语法
|
1 |
tcpdump [options] [Protocol] [Direction] [Host] [Value] [Logical Operations] [Other expression] |
Options（选项）
|
1 2 3 4 5 6 7 8 |
-i eth0 #指定网卡，不指定默认所有； -n #不反解主机名； -nn #不反解主机名和端口； -w #输出结果保存为.cap格式的文件，以便于wireshark类工具打开查看； -X #显示报文内容以十六进制和ASCII码格式； -XX #显示以太网首部； -ttt #显示包处理时间； -v, -vv, #显示数据包详细信息； |
Protocol（协议）
|
1 2 |
ether, ip, arp, rarp, lat, sca, moprc, mopdl, tcp, udp PS:如果不指定协议，那么所有协议都被使用。 |
direction（流向）
|
1 2 |
src, dst, src and dst, src or dst PS:没有源或目的地没有指定，"SRC和DST"关键词的应用。（默认是SRC和DST）为例，"主机10.2.2.2"相当于"SRC和DST主机10.2.2.2"。 |
Host（主机）
|
1 2 |
net, host, port, portrang PS:一般Protocol（协议）配合port、portrange使用，而direction（流向）配合net和host一块使用。如果此段没有指定关键字，默认即host。 |
Logical Operations（逻辑表达式）
|
1 2 3 |
AND：逻辑和 OR：逻辑或 PS:当有一些相同条件表达式一块使用时，就需要使用逻辑表达式了，比如host和port一块使用。 |
实例
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
[root@localhost ~]# tcpdump host 192.168.60.200 #截获主机192.168.60.200收到的和发出的所有数据包 [root@localhost ~]# tcpdump host 192.168.60.200 and / (192.168.60.30 or 192.168.60.40 /) #截获主机192.168.60.200和主机192.168.60.30或192.168.60.40的通信； [root@localhost ~]# tcpdump tcp port 23 and host 192.168.60.200 #截获主机192.168.60.200接收和发送的所有包； [root@localhost ~]# tcpdump -i eth0 -X -nn -vv tcp port 110 #监控本机eth0网卡，tcp协议110端口的数据包信息； [root@localhost ~]# tcpdump -i eth0 -X -nn -vv ip src host 192.168.60.30 and tcp port 110 #监控本机eth0网卡，ip协议，与源地址192.168.60.30相关的所有发送接收的有关于110端口的数据包； [root@localhost ~]# tcpdump -i eth0 -X -nn -vv ip src and dst host 192.168.60.40 and tcp port 110 #监控本机eth0网卡，ip协议，与192.168.60.40不管是源或是目标所有的相关发送接收的有关于110端口的数据包； [root@localhost ~]# tcpdump -i eth0 host www.im9.com and port 80 -ttt -n -w /tmp/ss.cap #显示每个包处理的时间，结果保存为.cap； [root@localhost ~]# tcpdump -i eth0 -X -nn ip src host 58.83.167.208 and dst host 101.230.1.122 and udp or icmp |
John工具
John the ripper是一款开源的密码破解工具、能够在已知密文的情况下快速分析出明文的密码字串支持des、md5、等多种加密算法、而且允许使用密码字典来进行暴力破解、通过使用john the ripper可以检测linux/unix系统用户的密码强度。
OpenVAS工具
Openvas是一款开放式的漏洞评估工具、主要用来检测目标网络或主机的安全性其强大评估能力来自于集成的数万个漏洞测试程序、这些测试程序以插件的形式提供可以从官方网站免费更新一套完整的openvas系统包括服务器端、客户端的多个组件。
服务器组件
Openvas-scanner扫描器：负责调用各种漏洞测试插件完成实际的扫描操作
Openvas-manager管理器：负责分配扫描任务并根据扫描结果生成评估报告
Openvas-administrator管理者：负责管理配置信息、用户授权等相关工作
客户层组件
Openvas-cli 命令行接口：负责提供从命令行访问openvas服务层的程序
Greenbone-security-assistant：绿骨安全助手负责提供访问openvas服务层的web接口便于通过浏览器来来执行扫描任务、是使用最简便的客户层组件
Greenbone-desktop-suite：绿骨桌面套件负责提供访问openvas服务层的图形程序界面主要运行在windows客户机中
漏洞测试插件
对于任何一款安全评估工具来说只有及时更新检测插件才能获得更具有参考价值的评估结果、openvas系统的插件来源有两个途径、一种是官方提东的nvt、一种是greenbone Sec公司提供的商业插件；openvas-nvt-feed-current.tar插件包目前包括4万多个测试程序而且支持远程自动更新
BackTtrack
BackTrack，是一套专业的计算机安全检测的微型Linux操作系统，简称BT。BackTrack不仅仅是用来战争驾驶，还集成了包括Metasploit等200多种安全检查工具；此外众多的RFID工具和对ARM平台的支持也是一个亮点。
BackTrack经过了多年发展，渗透测试并接受来自安全社区前所未有的帮助，BackTrack开始于早期live linux的发行版Whoppix，IWHAX以及auditor，BackTrack被设计成一体化的旨在安全审计用的live cd，现今它是被最广泛采用的渗透测试框架并被世界各地的安全社区所使用。
现在，BackTrack已被新一代的Kali Linux所代替，BT将不再维护。
