简介这份PPT课件围绕常见网络攻击与防范展开面向网络安全入门者、运维人员及信息安全课程学习者帮助读者从攻击链视角建立威胁与防护的系统认知。内容以典型攻击步骤为主线依次梳理预攻击探测、漏洞扫描、木马攻击、拒绝服务攻击、欺骗攻击与蠕虫病毒等类型并对Ping探测、端口扫描的开放、半开放与秘密分类、操作系统识别、口令猜测等知识点配以工具截图和流程图示便于课堂讲解或自学对照。压缩包内仅含1个PPT文件约2.28MB章节编排清晰适合按模块检索与复习。目前已有2673人学习可作为安全意识的培训、课程汇报或攻防入门的知识框架帮助读者快速梳理常见攻击手法及其对应防范措施。1. 攻击链的五段式为什么攻击者在动手前要花掉大半时间多数人对网络攻击的想象是漏洞利用代码一执行、系统当场崩掉。真实的链路恰恰相反决定成败的准备工作全都发生在任何破坏性动作之前而且占掉了整条链路里最长的时间。教材把这条链拆成五段五个英文词都以 P 开头——Probe、Penetrate、Persist、Propagate、Paralyze探测、渗透、驻留、传播、瘫痪。这个拆法值得琢磨的地方在于它把“安全”从一道静态配置题变成了时间轴上的对抗题每一段都有独立的信息产出也都有独立的拦截机会。搞懂每段的机制才能理解为什么防火墙开着、杀毒装着日志里还是被扫得干干净净。2. Ping 探测为什么一个 64 字节的包就能决定扫描范围预攻击阶段要回答的问题只有一个目标在哪。教材列出的动作顺序非常固定——Ping sweep 找存活主机Port scan 找存活主机上开放的服务端口OS fingerprint 识别操作系统最后扫网络资源、共享资源、用户名和用户组。四步里前三步全是“缩小范围”第一步的成本又低到几乎为零这就是它能成为整条链路起点的原因。2.1 ICMP Echo 的往返过程与主机存活的判定逻辑Ping 的全称是 Packet InterNet Groper判断一台远程设备是否可访问它是最常用的方法。原理简单到没什么可藏的发一个 ICMP Echo 请求等一个 Echo Reply 回复。它每秒发一个包显示响应输出算出网络来回时间最后给一行统计结果——丢包率。这里的关键在协议分层。ICMP 是 IP 层的伴生协议不挂在 TCP 或 UDP 之上所以整个探测过程不需要任何端口。端口的概念要等到传输层才出现而 Ping 根本没走到那一层。对扫描方来说这意味着探测一台主机存活的成本是一个 IP 头、一个 ICMP 头、一点数据加起来几十个字节。发出去有回音就是活着没有就换下一个。没有任何握手、没有任何状态需要维护也不存在被应用层记录的可能因为压根没有应用参与。于是“ping 不通”这件事就变成了一个经典的误判来源。教材列出的可能原因很实在路由没通、网关设置不对、网卡没配置正确、请求方设的 timeout 太短、被防火墙拦掉了。每一种的表现都是“没回复”但对扫描方来说结论完全不同——前几种是目标真不存在后几种是目标存在但看不见。一个经验是做资产盘点时把“ping 不通”直接等同于“离线”迟早要翻车。2.2 Ping sweep把单点探测变成网段普查单个 Ping 只回答“这台机器在不在”。Ping sweep 是把这个动作并行铺开向整个网段的地址批量发 Echo 请求再汇总哪些地址回了话。从攻击方的视角看这一步的产出是一张存活主机表。假设一个 /24 网段有 254 个可用地址串行每秒一个四分钟就能走完一轮如果并发发出去几秒钟就能拿到结果。原来要在几万台机器里找目标现在搜索空间被压到几百台。教材提到的几种带图形界面的 Windows 侧工具本质都是把这件事做成了一张表格加进度条。# 对 /24 网段逐个发一个 Echo 请求只打印有回复的地址 for ip in 192.168.1.{1..254}; do ping -c 1 -W 1 $ip /dev/null 21 echo $ip alive done-c 1是只发一个包就停默认行为是无限发直到手动中断做扫描时必须改掉-W 1是等回复的超时秒数值设小了漏报、设大了整轮变慢1 秒是个折中。不同系统的参数名不一样某些平台上等待超时用的是-t。这段逻辑的价值不在于命令本身而在于它说明了扫描的成本结构真正决定速度的是超时值乘以地址数量而不是发包速度。2.3 Ping of Death一个超大包为什么能把机器打崩教材里专门留了一小段讲这个发送特大的 ping 数据包超过 65535 字节导致机器崩溃很多老的操作系统都受影响。这个数字不是随便来的。IP 头里表示总长度的字段是 16 位最大值 65535 字节超出的部分必须靠分片传输。分片偏移字段的单位是 8 字节也是 13 位最大能表示 65528。两个字段一组合一个数据报分片重组之后的最终长度理论上可以超过 65535——这正是当年那批协议栈的破绽重组缓冲区按 64KB 分配拼接时直接越界写。用行话说一次教科书级的缓冲区溢出只不过触发它的是 ICMP 而不是什么精妙的载荷。现代主流协议栈基本都修掉了这个具体问题但它的思路没过时协议字段的位宽边界永远是实现层最容易被踩的坑。今天判断一台设备有没有莫名丢包、重启看一眼它对异常分片的处理策略比看它开了什么端口更有信息量。2.4 检测与抑制把 ICMP 策略从“全放”改成“按类型放”教材给出的防御建议有三条用能检测并记录 ICMP 扫描的工具、上入侵检测系统、在防火墙或路由器上按类型限制进出自己网络的 ICMP 分组。第三条最容易被做错。很多环境图省事直接把 ICMP 整个封掉结果连路径 MTU 发现都跑不通大包全被黑洞吞掉表现为“网页加载到一半卡住”排查起来相当玄学。合理的做法是按类型区分业务确实需要被外部探测时入方向只放行 Echo Request 和必要的错误报文出方向只放行 Echo Reply同时对单位时间内来自同一源地址、发往不同目的地址的 Echo Request 计数一旦越过阈值就判定为扫描行为。单个来源向大量不同地址发同一个探测包这个模式本身比任何载荷特征都可靠。3. 端口扫描TCP 三次握手是怎么把服务清单交出去的确认主机活着之后下一步是问它“你开了什么”。这一步的信息来源不是某个漏洞而是 TCP 协议本身的设计——三次握手在完成连接的同时也完成了一次免费的服务能力公告。教材把扫描按隐蔽程度分成开放、半开放、秘密三档分档的依据只有一个走完了多少次握手。3.1 TCP connect() 扫描最老实的一种开放扫描原理是扫描器直接调用 socket 的 connect() 函数对一个端口发起一次完全正常的连接。端口开放则连接成功否则连接失败。教材给它的评价很公允优点是简单不需要任何特殊权限缺点是服务器会记录下客户的连接行为同一个客户轮流对每一个端口发起连接那一定是在扫描。从机制上拆这条路径至少会在三个地方留下痕迹。内核层面连接跟踪表里会新增一条会话记录应用层面accept 返回之后服务进程可以拿到对端地址中间设备层面防火墙和负载均衡的会话表里也会同步出现这条流。三层里任何一层做了审计扫描就藏不住。这也解释了为什么它虽然“笨”却至今仍是最常见的扫描方式之一——写起来太便宜了五行代码的事作为一次性的快速清点完全够用。3.2 半开放扫描SYN 发出去RST 收回来TCP SYN 扫描的原理是向目标主机的特定端口发一个 SYN 包。如果应答是 RST 包说明端口关闭如果收到的是 SYN|ACK说明端口开放于是扫描方立刻回一个 RST把这次连接掐断。因为连接始终没有完全建立所以叫半开连接扫描。# 半开扫描的判定逻辑伪代码只保留状态机语义 sock raw_socket(IPPROTO_TCP) # 需要 root / 管理员权限才能自己组包 sock.send(syn(target_ip, target_port)) # 只发 SYN不完成第三次握手 reply sock.recv(timeout1.0) if reply.has_flag(RST): state closed # 对方直接拒绝端口没开 elif reply.has_flag(SYN | ACK): state open # 有服务在监听 sock.send(rst(target_ip, target_port)) # 补一个 RST让对方别等第三次握手raw_socket意味着要绕过内核的 TCP 栈自己构造报文这就是教材说的“在 UNIX 平台上需要 root 权限才可以建立这样的 SYN 数据包”。第三次握手永远不来目标内核会在超时之后回收这条半连接——而在回收之前应用层根本没被唤醒过accept 从来没返回所以服务的访问日志里什么都不会有。教材的措辞是“很少有系统会记录这样的行为”精确的原因就在这里日志写在应用层而半开连接压根到不了应用层。代价是另一端。大量半连接堆在目标的内核 backlog 里如果并发开得太猛就成了另一种攻击SYN flood的雏形只不过这次是扫描器无意中打出来的。3.3 Reverse-ident 扫描从 113 端口反查进程属主Ident 协议RFC 1413的设计目标是让对端能够查出任何一个通过 TCP 连接的进程的所有者用户名即使这个进程并没有发起该连接。教材强调了两个前提——只有在 TCP 全连接之后才有效服务的端口是 113。给了一个很具体的用法先正常连接到目标机的 80 端口然后通过 identd 查询就能知道服务器是不是以 root 身份在跑。这个信息的价值在于它把“端口开放”升级成了“端口以什么权限开放”——同样是 80 端口跑在 root 下和跑在受限账号下后续利用的空间完全不同。教材的建议很直接关掉 ident 服务或者在防火墙上禁止除非是为了审计目的。这个取舍值得多说一句。Ident 诞生的年代网络环境相对单纯服务之间互相信任是常态现在的网络里主动对外暴露“谁在连接我”这件事等于把用户枚举的入口白送出去。审计需求可以用连接日志满足没必要专门开一个能远程查询进程属主的协议。3.4 扫描类型全景一张表看清每档手法的痕迹分布把教材列出的手法按“是否完成握手”排一下隐蔽性和痕迹的关系会很直观类别代表手法完成握手主要痕迹位置权限门槛开放扫描TCP connect()是内核连接表、应用日志、中间设备会话表无开放扫描Reverse-ident是外加 113 端口查询同上且目标侧会记录查询无半开放TCP SYN否目标内核 backlog应用不可见UNIX 下需 root半开放IP ID headerdumb scan否第三方主机的 IP ID 变化需可控的空闲主机秘密FIN / XMAS / NULL否几乎不留应用层痕迹需原始套接字秘密分片 SYN/FIN否取决于中间设备是否重组分片需构造分片代理FTP bounce部分FTP 服务器的连接日志需可写 FTP无连接UDP ICMP 不可达不适用ICMP 差错报文无表里最值得盯的是“痕迹位置”这一列。它说明检测策略不能只盯着一种信号只审计应用日志就漏掉半开放和秘密扫描只看内核连接表就漏掉不发完整连接的探测只解第一个分片就对分片扫描视而不见。4. 隐蔽扫描与欺骗不发完整连接的探测凭什么能绕过日志第 3 章里那档“秘密扫描”值得单独拎出来讲因为它不靠握手、不靠正常的状态机而是靠协议规范里一些不太被注意的行为差异拿信息。4.1 FIN、XMAS、NULL靠“不回话”判断端口状态TCP 规范里有一条容易被忽略的约定关闭的端口收到一个不带 SYN、不带 ACK、不带 RST 的报文时会回一个 RST而开放的端口收到同样的报文会直接丢弃什么都不回。这就给了一种不开连接的判断方式——发一包看回不回。FIN 扫描只挂 FIN 标志位XMAS 扫描把 FIN、URG、PSH 一起挂上报文“亮满灯”因而得名NULL 扫描则是所有标志位全部置空。三种手法的判定逻辑完全一致有 RST 回来就是关闭没动静就是开放。教材把它们归到秘密扫描理由是“不包含标准的 TCP 三次握手协议的任何部分隐蔽性好”但同时提醒“这种扫描使用的数据包在通过网络时容易被丢弃从而产生错误的探测信息”。这个提醒很关键也是我一般会补的一句不同协议栈对这类畸形标志位的处理并不统一。有的系统会老老实实按规范回 RST有的会直接丢弃并记一笔异常有的干脆回一个 RST 给所有端口——最后一种情况下扫描结果全是“关闭”看起来像是白忙一场。所以秘密扫描的结论可信度天然低于前两档需要交叉验证。4.2 IP ID 空闲扫描借第三方主机当“测谎仪”教材点名了这种手法的来源由 Antirez 首先使用并在 Bugtraq 上公布。原理是扫描主机伪造第三方主机的 IP 地址向目标发起 SYN 扫描通过观察第三方主机 IP 序列号的增长规律反推目标端口的状态。机制拆开看是这样IP 头里的标识字段IP ID本来是给分片重组用的老式协议栈的实现是全局自增——每发一个包这个计数器加一。如果一台主机足够空闲它的 IP ID 增量就等于这段时间里它发出去的包数。攻击方伪造第三方主机的地址去探目标目标如果有响应SYN|ACK 或 RST这个响应会回到第三方主机第三方主机按规则回一个 RST于是它的 IP ID 涨了一个数。攻击方只要反复读第三方的 IP ID看它涨了多少就知道目标回了几次话进而推出端口开还是关。优点写得很清楚不直接扫描目标主机也不直接和它进行连接隐蔽性较好。缺点的措辞是“对第三方主机的要求较高”展开来是三条硬约束——IP ID 必须全局单调递增主机必须足够空闲背景流量会污染增量网络路径的延迟要稳定到能区分单次增量。三条同时满足的“僵尸主机”并不好找这也是这种手法在实战里更多出现在教材和演示中、而不是日常流量的原因。4.3 分片与 FTP 反弹绕过包过滤的两条歪路教材列出的两种绕行手法各有各的巧劲。用 IP 分片做 SYN/FIN 扫描思路是躲开包过滤防火墙。很多早期的过滤设备只看每个 IP 分片的头部不做重组因为它们觉得重组太耗资源。把 TCP 头切到第二个分片里第一个分片看上去就只是一个普通的 IP 片段规则匹配不上直接放行目标主机自己做重组SYN 照样能到。这个思路的软肋也很明显现代防火墙大多支持分片重组后再检查或者干脆丢弃过小的首片所以它的有效性高度依赖对端设备的型号和配置。FTP bounce 走的是另一条路。FTP 协议里有 PORT 命令作用是告诉服务器“请主动连接到某个地址和端口”。攻击方把自己的地址或者目标的地址填进去就变成了 FTP 服务器替自己发起连接。教材把它归到扫描类型表里标注为 bounce attack。它的价值在于身份掩护——从目标主机看来扫描源是那台 FTP 服务器而不是真正的攻击者。防御方式也简单在 FTP 服务上禁用 PORT 命令只允许被动模式。4.4 UDP 与 ICMP 不可达无连接协议的探测逻辑UDP 没有握手没有 SYN 和 RST所以它的探测逻辑完全是另一套。教材列了两种UDP ICMP 端口不可达扫描和 UDP recvfrom 扫描。前者的依据是 ICMP 的一条差错报文向一个关闭的 UDP 端口发包目标会回一个“端口不可达”类型 3、代码 3。有这条回音就是关闭没有就可能是开放也可能是被防火墙静默丢弃了。后者的思路是发一个零字节的 UDP 包看能不能收到响应报文。这套逻辑的可靠性远不如 TCP 侧原因在于 UDP 本身不保证送达。包在路上丢了、被限速了、被中间设备拦了表现都是“没回复”和“端口开放但服务不响应”完全无法区分。所以 UDP 扫描的实用策略是重试加超时调优宁可慢也不能把丢包误判成开放。5. 排查与避坑扫描检测为什么总是慢半拍到这一步机制层面的事情基本清楚了。真正让人头疼的是把机制落到检测上时那些看起来都对、实际跑起来全是坑的地方。下面几条是这类环境里反复出现的。5.1 现象入侵检测没报警但主机确实被扫过原因规则库里绝大多数端口扫描特征都是围绕 SYN 写的——统计单位时间内有多少个不同的目的端口收到了 SYN。秘密扫描根本不发 SYNFIN、XMAS、NULL 三种手法全都绕过了这条规则半开扫描虽然发 SYN但如果扫描速率压得很低也过不了阈值。解决规则要按“标志位组合”补而不是只按 SYN 补。同时加一条与标志位无关的统计维度——同一源地址在时间窗口内触及的不同目的端口数量。这条规则不关心你发的是什么包只关心你“碰了多少个门”。代价是误报会上升正常的端口复用型业务可能触发需要配白名单。5.2 现象审计日志把磁盘写满了翻回去全是正常连接原因开放扫描的特点就是每个端口都留一条完整记录。一台机器 65535 个端口扫一遍应用层如果逐条记 accept日志量直接起飞。更麻烦的是扫描流量和正常用户行为混在一起真正有价值的异常被淹掉了。解决不要在应用层做扫描判定成本太高。把判定上移到网络层按“源地址 时间窗 目的端口离散度”聚合应用日志只保留采样或者只记失败连接。教材说 connect 扫描“容易被发现”前提是你有聚合能力没有聚合能力它带来的只是噪声。5.3 现象ping 不通就判定主机不存在资产表漏了一大片原因第 2 章讲过ICMP 被拦、路由不对、超时太短表现都一样是没回复。只靠 Ping 做存活判断等于把防火墙的策略当成了资产清单。解决多层探活。ICMP 没回音就对几个常见服务端口做一次 TCP 探测看有没有 RST 或者 SYN|ACK 回来——只要有任何一个端口给出了明确回应主机就是活的。这一步的成本比全网 Ping 高但比漏报便宜。5.4 现象为了审计方便保留了 ident 服务结果被拿去做用户枚举原因Ident 协议的设计前提是互信它会把发起连接的进程属主直接告诉查询方。在一个不设防的网络里这就是一个开放的、可远程查询的用户名接口。解决默认关闭。确实有审计需求时只在特定的管理网段放行 113 端口并且限制查询频率。审计要的是“谁连了谁”这个信息连接日志里本来就有不需要专门开一个协议去问。5.5 现象超大分片早就打不崩系统了还在按包长做限速原因Ping of Death 的具体实现漏洞在主流协议栈里基本修完了但“超大分片”这件事本身仍然消耗带宽和重组缓冲。只盯着单包长度做限制会漏掉分片数量多、单片都不大的那类流量。解决策略从“限包长”改成“限分片”。对单个数据报的分片总数设上限对过小的首片比如首片不足一个完整 TCP 头直接丢弃对分片重组设超时。这三条加起来既挡住了历史上的那类攻击也顺带缓解了分片扫描。6. 设计取舍为什么防御面铺得越宽检出率反而越玄学教材里有一张图很值得回味横轴是时间纵轴是入侵者的技术水平图上标着几十年来攻击手法的演进轨迹——从最早的密码猜测到可自动复制的代码、破解口令文件、利用已知漏洞、破坏审计系统、埋后门再到嗅探、IP 欺骗、会话劫持、图形化远程控制、自动化的探测扫描、拒绝服务、Web 攻击、半开隐蔽扫描、分布式拒绝服务。这条线说的是同一件事工具的门槛在下沉而检测面在变宽。当年需要相当功力才能完成的事现在一个现成的扫描器就能跑。防御侧的四个着力点教材列得很清楚防火墙、入侵检测、防病毒、漏洞扫描外加安全意识。这五样东西的检测逻辑完全不同——防火墙看五元组入侵检测看行为序列防病毒看内容特征漏洞扫描看配置版本安全意识看人。它们的覆盖范围有重叠但没有任何一个是全覆盖的。真正的取舍在这里检测越精确规则就越细性能开销和误报率同时上升检测越隐蔽比如把探针下沉到内核层抓原始报文能看到的就越多但部署成本和维护复杂度也水涨船高。一个环境里同时开满五层检测结果往往是告警疲劳——运维看不过来最后全部降级成“知道了先放着”。这是我见过最多的失败模式不是技术不行是权衡没做。如果要给一个可操作的验证思路别去追求“全流量全检测”先按第 1 章那五段链路逐段问自己“这一段我能看到什么信号”。探测段看的是地址和端口的离散度渗透段看的是异常连接和提权行为驻留段看的是自启动项和计划任务的变化传播段看的是内网横向连接的拓扑突变瘫痪段看的是流量突降或者服务不可达。五段里能覆盖三段就已经比堆五层设备管用。从那以后我每次做这类评估都强制先画一遍这条五段链路再决定哪一段上什么手段而不是先买设备再想它能干嘛。希望帮到你。本文还有配套的精品资源点击获取
简介这份PPT课件围绕常见网络攻击与防范展开面向网络安全入门者、运维人员及信息安全课程学习者帮助读者从攻击链视角建立威胁与防护的系统认知。内容以典型攻击步骤为主线依次梳理预攻击探测、漏洞扫描、木马攻击、拒绝服务攻击、欺骗攻击与蠕虫病毒等类型并对Ping探测、端口扫描的开放、半开放与秘密分类、操作系统识别、口令猜测等知识点配以工具截图和流程图示便于课堂讲解或自学对照。压缩包内仅含1个PPT文件约2.28MB章节编排清晰适合按模块检索与复习。目前已有2673人学习可作为安全意识的培训、课程汇报或攻防入门的知识框架帮助读者快速梳理常见攻击手法及其对应防范措施。1. 攻击链的五段式为什么攻击者在动手前要花掉大半时间多数人对网络攻击的想象是漏洞利用代码一执行、系统当场崩掉。真实的链路恰恰相反决定成败的准备工作全都发生在任何破坏性动作之前而且占掉了整条链路里最长的时间。教材把这条链拆成五段五个英文词都以 P 开头——Probe、Penetrate、Persist、Propagate、Paralyze探测、渗透、驻留、传播、瘫痪。这个拆法值得琢磨的地方在于它把“安全”从一道静态配置题变成了时间轴上的对抗题每一段都有独立的信息产出也都有独立的拦截机会。搞懂每段的机制才能理解为什么防火墙开着、杀毒装着日志里还是被扫得干干净净。2. Ping 探测为什么一个 64 字节的包就能决定扫描范围预攻击阶段要回答的问题只有一个目标在哪。教材列出的动作顺序非常固定——Ping sweep 找存活主机Port scan 找存活主机上开放的服务端口OS fingerprint 识别操作系统最后扫网络资源、共享资源、用户名和用户组。四步里前三步全是“缩小范围”第一步的成本又低到几乎为零这就是它能成为整条链路起点的原因。2.1 ICMP Echo 的往返过程与主机存活的判定逻辑Ping 的全称是 Packet InterNet Groper判断一台远程设备是否可访问它是最常用的方法。原理简单到没什么可藏的发一个 ICMP Echo 请求等一个 Echo Reply 回复。它每秒发一个包显示响应输出算出网络来回时间最后给一行统计结果——丢包率。这里的关键在协议分层。ICMP 是 IP 层的伴生协议不挂在 TCP 或 UDP 之上所以整个探测过程不需要任何端口。端口的概念要等到传输层才出现而 Ping 根本没走到那一层。对扫描方来说这意味着探测一台主机存活的成本是一个 IP 头、一个 ICMP 头、一点数据加起来几十个字节。发出去有回音就是活着没有就换下一个。没有任何握手、没有任何状态需要维护也不存在被应用层记录的可能因为压根没有应用参与。于是“ping 不通”这件事就变成了一个经典的误判来源。教材列出的可能原因很实在路由没通、网关设置不对、网卡没配置正确、请求方设的 timeout 太短、被防火墙拦掉了。每一种的表现都是“没回复”但对扫描方来说结论完全不同——前几种是目标真不存在后几种是目标存在但看不见。一个经验是做资产盘点时把“ping 不通”直接等同于“离线”迟早要翻车。2.2 Ping sweep把单点探测变成网段普查单个 Ping 只回答“这台机器在不在”。Ping sweep 是把这个动作并行铺开向整个网段的地址批量发 Echo 请求再汇总哪些地址回了话。从攻击方的视角看这一步的产出是一张存活主机表。假设一个 /24 网段有 254 个可用地址串行每秒一个四分钟就能走完一轮如果并发发出去几秒钟就能拿到结果。原来要在几万台机器里找目标现在搜索空间被压到几百台。教材提到的几种带图形界面的 Windows 侧工具本质都是把这件事做成了一张表格加进度条。# 对 /24 网段逐个发一个 Echo 请求只打印有回复的地址 for ip in 192.168.1.{1..254}; do ping -c 1 -W 1 $ip /dev/null 21 echo $ip alive done-c 1是只发一个包就停默认行为是无限发直到手动中断做扫描时必须改掉-W 1是等回复的超时秒数值设小了漏报、设大了整轮变慢1 秒是个折中。不同系统的参数名不一样某些平台上等待超时用的是-t。这段逻辑的价值不在于命令本身而在于它说明了扫描的成本结构真正决定速度的是超时值乘以地址数量而不是发包速度。2.3 Ping of Death一个超大包为什么能把机器打崩教材里专门留了一小段讲这个发送特大的 ping 数据包超过 65535 字节导致机器崩溃很多老的操作系统都受影响。这个数字不是随便来的。IP 头里表示总长度的字段是 16 位最大值 65535 字节超出的部分必须靠分片传输。分片偏移字段的单位是 8 字节也是 13 位最大能表示 65528。两个字段一组合一个数据报分片重组之后的最终长度理论上可以超过 65535——这正是当年那批协议栈的破绽重组缓冲区按 64KB 分配拼接时直接越界写。用行话说一次教科书级的缓冲区溢出只不过触发它的是 ICMP 而不是什么精妙的载荷。现代主流协议栈基本都修掉了这个具体问题但它的思路没过时协议字段的位宽边界永远是实现层最容易被踩的坑。今天判断一台设备有没有莫名丢包、重启看一眼它对异常分片的处理策略比看它开了什么端口更有信息量。2.4 检测与抑制把 ICMP 策略从“全放”改成“按类型放”教材给出的防御建议有三条用能检测并记录 ICMP 扫描的工具、上入侵检测系统、在防火墙或路由器上按类型限制进出自己网络的 ICMP 分组。第三条最容易被做错。很多环境图省事直接把 ICMP 整个封掉结果连路径 MTU 发现都跑不通大包全被黑洞吞掉表现为“网页加载到一半卡住”排查起来相当玄学。合理的做法是按类型区分业务确实需要被外部探测时入方向只放行 Echo Request 和必要的错误报文出方向只放行 Echo Reply同时对单位时间内来自同一源地址、发往不同目的地址的 Echo Request 计数一旦越过阈值就判定为扫描行为。单个来源向大量不同地址发同一个探测包这个模式本身比任何载荷特征都可靠。3. 端口扫描TCP 三次握手是怎么把服务清单交出去的确认主机活着之后下一步是问它“你开了什么”。这一步的信息来源不是某个漏洞而是 TCP 协议本身的设计——三次握手在完成连接的同时也完成了一次免费的服务能力公告。教材把扫描按隐蔽程度分成开放、半开放、秘密三档分档的依据只有一个走完了多少次握手。3.1 TCP connect() 扫描最老实的一种开放扫描原理是扫描器直接调用 socket 的 connect() 函数对一个端口发起一次完全正常的连接。端口开放则连接成功否则连接失败。教材给它的评价很公允优点是简单不需要任何特殊权限缺点是服务器会记录下客户的连接行为同一个客户轮流对每一个端口发起连接那一定是在扫描。从机制上拆这条路径至少会在三个地方留下痕迹。内核层面连接跟踪表里会新增一条会话记录应用层面accept 返回之后服务进程可以拿到对端地址中间设备层面防火墙和负载均衡的会话表里也会同步出现这条流。三层里任何一层做了审计扫描就藏不住。这也解释了为什么它虽然“笨”却至今仍是最常见的扫描方式之一——写起来太便宜了五行代码的事作为一次性的快速清点完全够用。3.2 半开放扫描SYN 发出去RST 收回来TCP SYN 扫描的原理是向目标主机的特定端口发一个 SYN 包。如果应答是 RST 包说明端口关闭如果收到的是 SYN|ACK说明端口开放于是扫描方立刻回一个 RST把这次连接掐断。因为连接始终没有完全建立所以叫半开连接扫描。# 半开扫描的判定逻辑伪代码只保留状态机语义 sock raw_socket(IPPROTO_TCP) # 需要 root / 管理员权限才能自己组包 sock.send(syn(target_ip, target_port)) # 只发 SYN不完成第三次握手 reply sock.recv(timeout1.0) if reply.has_flag(RST): state closed # 对方直接拒绝端口没开 elif reply.has_flag(SYN | ACK): state open # 有服务在监听 sock.send(rst(target_ip, target_port)) # 补一个 RST让对方别等第三次握手raw_socket意味着要绕过内核的 TCP 栈自己构造报文这就是教材说的“在 UNIX 平台上需要 root 权限才可以建立这样的 SYN 数据包”。第三次握手永远不来目标内核会在超时之后回收这条半连接——而在回收之前应用层根本没被唤醒过accept 从来没返回所以服务的访问日志里什么都不会有。教材的措辞是“很少有系统会记录这样的行为”精确的原因就在这里日志写在应用层而半开连接压根到不了应用层。代价是另一端。大量半连接堆在目标的内核 backlog 里如果并发开得太猛就成了另一种攻击SYN flood的雏形只不过这次是扫描器无意中打出来的。3.3 Reverse-ident 扫描从 113 端口反查进程属主Ident 协议RFC 1413的设计目标是让对端能够查出任何一个通过 TCP 连接的进程的所有者用户名即使这个进程并没有发起该连接。教材强调了两个前提——只有在 TCP 全连接之后才有效服务的端口是 113。给了一个很具体的用法先正常连接到目标机的 80 端口然后通过 identd 查询就能知道服务器是不是以 root 身份在跑。这个信息的价值在于它把“端口开放”升级成了“端口以什么权限开放”——同样是 80 端口跑在 root 下和跑在受限账号下后续利用的空间完全不同。教材的建议很直接关掉 ident 服务或者在防火墙上禁止除非是为了审计目的。这个取舍值得多说一句。Ident 诞生的年代网络环境相对单纯服务之间互相信任是常态现在的网络里主动对外暴露“谁在连接我”这件事等于把用户枚举的入口白送出去。审计需求可以用连接日志满足没必要专门开一个能远程查询进程属主的协议。3.4 扫描类型全景一张表看清每档手法的痕迹分布把教材列出的手法按“是否完成握手”排一下隐蔽性和痕迹的关系会很直观类别代表手法完成握手主要痕迹位置权限门槛开放扫描TCP connect()是内核连接表、应用日志、中间设备会话表无开放扫描Reverse-ident是外加 113 端口查询同上且目标侧会记录查询无半开放TCP SYN否目标内核 backlog应用不可见UNIX 下需 root半开放IP ID headerdumb scan否第三方主机的 IP ID 变化需可控的空闲主机秘密FIN / XMAS / NULL否几乎不留应用层痕迹需原始套接字秘密分片 SYN/FIN否取决于中间设备是否重组分片需构造分片代理FTP bounce部分FTP 服务器的连接日志需可写 FTP无连接UDP ICMP 不可达不适用ICMP 差错报文无表里最值得盯的是“痕迹位置”这一列。它说明检测策略不能只盯着一种信号只审计应用日志就漏掉半开放和秘密扫描只看内核连接表就漏掉不发完整连接的探测只解第一个分片就对分片扫描视而不见。4. 隐蔽扫描与欺骗不发完整连接的探测凭什么能绕过日志第 3 章里那档“秘密扫描”值得单独拎出来讲因为它不靠握手、不靠正常的状态机而是靠协议规范里一些不太被注意的行为差异拿信息。4.1 FIN、XMAS、NULL靠“不回话”判断端口状态TCP 规范里有一条容易被忽略的约定关闭的端口收到一个不带 SYN、不带 ACK、不带 RST 的报文时会回一个 RST而开放的端口收到同样的报文会直接丢弃什么都不回。这就给了一种不开连接的判断方式——发一包看回不回。FIN 扫描只挂 FIN 标志位XMAS 扫描把 FIN、URG、PSH 一起挂上报文“亮满灯”因而得名NULL 扫描则是所有标志位全部置空。三种手法的判定逻辑完全一致有 RST 回来就是关闭没动静就是开放。教材把它们归到秘密扫描理由是“不包含标准的 TCP 三次握手协议的任何部分隐蔽性好”但同时提醒“这种扫描使用的数据包在通过网络时容易被丢弃从而产生错误的探测信息”。这个提醒很关键也是我一般会补的一句不同协议栈对这类畸形标志位的处理并不统一。有的系统会老老实实按规范回 RST有的会直接丢弃并记一笔异常有的干脆回一个 RST 给所有端口——最后一种情况下扫描结果全是“关闭”看起来像是白忙一场。所以秘密扫描的结论可信度天然低于前两档需要交叉验证。4.2 IP ID 空闲扫描借第三方主机当“测谎仪”教材点名了这种手法的来源由 Antirez 首先使用并在 Bugtraq 上公布。原理是扫描主机伪造第三方主机的 IP 地址向目标发起 SYN 扫描通过观察第三方主机 IP 序列号的增长规律反推目标端口的状态。机制拆开看是这样IP 头里的标识字段IP ID本来是给分片重组用的老式协议栈的实现是全局自增——每发一个包这个计数器加一。如果一台主机足够空闲它的 IP ID 增量就等于这段时间里它发出去的包数。攻击方伪造第三方主机的地址去探目标目标如果有响应SYN|ACK 或 RST这个响应会回到第三方主机第三方主机按规则回一个 RST于是它的 IP ID 涨了一个数。攻击方只要反复读第三方的 IP ID看它涨了多少就知道目标回了几次话进而推出端口开还是关。优点写得很清楚不直接扫描目标主机也不直接和它进行连接隐蔽性较好。缺点的措辞是“对第三方主机的要求较高”展开来是三条硬约束——IP ID 必须全局单调递增主机必须足够空闲背景流量会污染增量网络路径的延迟要稳定到能区分单次增量。三条同时满足的“僵尸主机”并不好找这也是这种手法在实战里更多出现在教材和演示中、而不是日常流量的原因。4.3 分片与 FTP 反弹绕过包过滤的两条歪路教材列出的两种绕行手法各有各的巧劲。用 IP 分片做 SYN/FIN 扫描思路是躲开包过滤防火墙。很多早期的过滤设备只看每个 IP 分片的头部不做重组因为它们觉得重组太耗资源。把 TCP 头切到第二个分片里第一个分片看上去就只是一个普通的 IP 片段规则匹配不上直接放行目标主机自己做重组SYN 照样能到。这个思路的软肋也很明显现代防火墙大多支持分片重组后再检查或者干脆丢弃过小的首片所以它的有效性高度依赖对端设备的型号和配置。FTP bounce 走的是另一条路。FTP 协议里有 PORT 命令作用是告诉服务器“请主动连接到某个地址和端口”。攻击方把自己的地址或者目标的地址填进去就变成了 FTP 服务器替自己发起连接。教材把它归到扫描类型表里标注为 bounce attack。它的价值在于身份掩护——从目标主机看来扫描源是那台 FTP 服务器而不是真正的攻击者。防御方式也简单在 FTP 服务上禁用 PORT 命令只允许被动模式。4.4 UDP 与 ICMP 不可达无连接协议的探测逻辑UDP 没有握手没有 SYN 和 RST所以它的探测逻辑完全是另一套。教材列了两种UDP ICMP 端口不可达扫描和 UDP recvfrom 扫描。前者的依据是 ICMP 的一条差错报文向一个关闭的 UDP 端口发包目标会回一个“端口不可达”类型 3、代码 3。有这条回音就是关闭没有就可能是开放也可能是被防火墙静默丢弃了。后者的思路是发一个零字节的 UDP 包看能不能收到响应报文。这套逻辑的可靠性远不如 TCP 侧原因在于 UDP 本身不保证送达。包在路上丢了、被限速了、被中间设备拦了表现都是“没回复”和“端口开放但服务不响应”完全无法区分。所以 UDP 扫描的实用策略是重试加超时调优宁可慢也不能把丢包误判成开放。5. 排查与避坑扫描检测为什么总是慢半拍到这一步机制层面的事情基本清楚了。真正让人头疼的是把机制落到检测上时那些看起来都对、实际跑起来全是坑的地方。下面几条是这类环境里反复出现的。5.1 现象入侵检测没报警但主机确实被扫过原因规则库里绝大多数端口扫描特征都是围绕 SYN 写的——统计单位时间内有多少个不同的目的端口收到了 SYN。秘密扫描根本不发 SYNFIN、XMAS、NULL 三种手法全都绕过了这条规则半开扫描虽然发 SYN但如果扫描速率压得很低也过不了阈值。解决规则要按“标志位组合”补而不是只按 SYN 补。同时加一条与标志位无关的统计维度——同一源地址在时间窗口内触及的不同目的端口数量。这条规则不关心你发的是什么包只关心你“碰了多少个门”。代价是误报会上升正常的端口复用型业务可能触发需要配白名单。5.2 现象审计日志把磁盘写满了翻回去全是正常连接原因开放扫描的特点就是每个端口都留一条完整记录。一台机器 65535 个端口扫一遍应用层如果逐条记 accept日志量直接起飞。更麻烦的是扫描流量和正常用户行为混在一起真正有价值的异常被淹掉了。解决不要在应用层做扫描判定成本太高。把判定上移到网络层按“源地址 时间窗 目的端口离散度”聚合应用日志只保留采样或者只记失败连接。教材说 connect 扫描“容易被发现”前提是你有聚合能力没有聚合能力它带来的只是噪声。5.3 现象ping 不通就判定主机不存在资产表漏了一大片原因第 2 章讲过ICMP 被拦、路由不对、超时太短表现都一样是没回复。只靠 Ping 做存活判断等于把防火墙的策略当成了资产清单。解决多层探活。ICMP 没回音就对几个常见服务端口做一次 TCP 探测看有没有 RST 或者 SYN|ACK 回来——只要有任何一个端口给出了明确回应主机就是活的。这一步的成本比全网 Ping 高但比漏报便宜。5.4 现象为了审计方便保留了 ident 服务结果被拿去做用户枚举原因Ident 协议的设计前提是互信它会把发起连接的进程属主直接告诉查询方。在一个不设防的网络里这就是一个开放的、可远程查询的用户名接口。解决默认关闭。确实有审计需求时只在特定的管理网段放行 113 端口并且限制查询频率。审计要的是“谁连了谁”这个信息连接日志里本来就有不需要专门开一个协议去问。5.5 现象超大分片早就打不崩系统了还在按包长做限速原因Ping of Death 的具体实现漏洞在主流协议栈里基本修完了但“超大分片”这件事本身仍然消耗带宽和重组缓冲。只盯着单包长度做限制会漏掉分片数量多、单片都不大的那类流量。解决策略从“限包长”改成“限分片”。对单个数据报的分片总数设上限对过小的首片比如首片不足一个完整 TCP 头直接丢弃对分片重组设超时。这三条加起来既挡住了历史上的那类攻击也顺带缓解了分片扫描。6. 设计取舍为什么防御面铺得越宽检出率反而越玄学教材里有一张图很值得回味横轴是时间纵轴是入侵者的技术水平图上标着几十年来攻击手法的演进轨迹——从最早的密码猜测到可自动复制的代码、破解口令文件、利用已知漏洞、破坏审计系统、埋后门再到嗅探、IP 欺骗、会话劫持、图形化远程控制、自动化的探测扫描、拒绝服务、Web 攻击、半开隐蔽扫描、分布式拒绝服务。这条线说的是同一件事工具的门槛在下沉而检测面在变宽。当年需要相当功力才能完成的事现在一个现成的扫描器就能跑。防御侧的四个着力点教材列得很清楚防火墙、入侵检测、防病毒、漏洞扫描外加安全意识。这五样东西的检测逻辑完全不同——防火墙看五元组入侵检测看行为序列防病毒看内容特征漏洞扫描看配置版本安全意识看人。它们的覆盖范围有重叠但没有任何一个是全覆盖的。真正的取舍在这里检测越精确规则就越细性能开销和误报率同时上升检测越隐蔽比如把探针下沉到内核层抓原始报文能看到的就越多但部署成本和维护复杂度也水涨船高。一个环境里同时开满五层检测结果往往是告警疲劳——运维看不过来最后全部降级成“知道了先放着”。这是我见过最多的失败模式不是技术不行是权衡没做。如果要给一个可操作的验证思路别去追求“全流量全检测”先按第 1 章那五段链路逐段问自己“这一段我能看到什么信号”。探测段看的是地址和端口的离散度渗透段看的是异常连接和提权行为驻留段看的是自启动项和计划任务的变化传播段看的是内网横向连接的拓扑突变瘫痪段看的是流量突降或者服务不可达。五段里能覆盖三段就已经比堆五层设备管用。从那以后我每次做这类评估都强制先画一遍这条五段链路再决定哪一段上什么手段而不是先买设备再想它能干嘛。希望帮到你。本文还有配套的精品资源点击获取
