CN103051620A - 端口扫描方法 - Google Patents

Abstract

本发明提出一种端口扫描方法，其包括以下步骤：客户端将待扫描目标提交给云平台中的控制主节点；所述控制主节点按照模拟退火算法将端口扫描任务分配给所述云平台中的多个工作节点；所述多个工作节点分别对所述待扫描目标进行端口扫描，并采用模拟退火算法计算符合入侵检测系统对端口扫描的约束参数的较优解；所述多个工作节点将扫描结果反馈至所述控制主节点，所述控制主节点对所述扫描结果进行处理并反馈至所述客户端。所述端口扫描方法可有效地结合利用云平台的资源，提高扫描效率，且采用模拟退火算法结合已有的端口扫描技术，提高了端口扫描行为的隐蔽性，可以有效地避免被入侵检测系统侦测到。

Description

端口扫描方法

技术领域

本发明涉及端口扫描方法，尤其涉及一种避免被入侵检测系统侦测到的端口扫描方法。

背景技术

在渗透测试中，黑盒测试是设计成为模拟攻击者的入侵行为，并在不了解客户组织大部分信息和知识的情况下实施的。它可以用来测试内部安全团队检测和应对一次攻击的能力。一次黑盒测试主要包括以下几个阶段：1、情报收集阶段，2、威胁建模阶段，3、漏洞分析阶段，4、渗透攻击阶段，5、后渗透攻击阶段，6、报告阶段。在上述几个阶段中，情报收集是后面几个阶段的前提，而端口扫描又是情报收集的一种重要手段。

如果被测试目标中安装有入侵检测系统或者入侵防御系统，端口扫描的行为则有可能会被发现，从而影响后续阶段的执行，甚至将造成后续阶段不能执行。入侵检测（或防御）系统对端口扫描检测的工作原理大致如下：在一定时间T内，如果某些异常行为超过一个临界值R，则被认定为收到了一次端口扫描攻击。目前逃避被检测的方法主要是通过拉长扫描时间，或者增加虚假IP来扰乱入侵检测（或防御）系统对端口扫描的判断。但是，这样的做法有一定的时间局限性，且需要花费很长的时间才能完成一次任务。

发明内容

针对上述问题，本发明的目的是提供一种避免被入侵检测系统侦测到的端口扫描方法。

一种端口扫描方法，其包括以下步骤：

客户端将待扫描目标提交给云平台中的控制主节点；

所述控制主节点按照模拟退火算法将端口扫描任务分配给所述云平台中的多个工作节点；

所述多个工作节点分别对所述待扫描目标进行端口扫描，并采用模拟退火算法计算符合入侵检测系统对端口扫描的约束参数的较优解；

所述多个工作节点将扫描结果反馈至所述控制主节点，所述控制主节点对所述扫描结果进行处理并反馈至所述客户端。

本发明一较佳实施方式中，所述多个工作节点的对所述待扫描目标的扫描方法包括TCP连接扫描、TCP Syn扫描、TCP FIN扫描、TCP Ack扫描、TCP Null扫描、Xmas扫描、UDP扫描、TCP Window扫描及TCPMaimon扫描。

本发明一较佳实施方式中，所述客户端提交所述待扫描目标给所述控制主节点时的端口扫描任务包括所述待扫描目标的IP范围、端口范围、入侵检测/防御系统对端口扫描的约束参数及被检测概率。

本发明一较佳实施方式中，所述工作节点对所述待扫描目标进行端口扫描时，在入侵检测系统的对临界值的刷新时间内，同一IP进行X扫描的次数小于入侵检测系统判断为扫描行为的临界值。

本发明另外提供一种端口扫描系统，其包括客户端、设置于云平台的控制主节点及设置于云平台的多个工作节点；所述客户端和所述控制主节点通信连接，所述客户端将待扫描目标提交给所述控制主节点，由所述控制主节点按照模拟退火算法将端口扫描任务分配给所述多个工作节点，所述多个工作节点分别对所述待扫描目标进行端口扫描，并将扫描结果反馈至所述控制主节点，所述控制主节点对所述扫描结果进行处理并反馈至所述客户端。

相较于现有技术，本发明提供的端口扫描方法中客户端通过云平台中的控制主节点和多个动作节点简介对待扫描目标进行端口扫描，由此可以有效地结合利用云平台的资源，提高扫描效率。此外，所述端口扫描方法采用模拟退火算法结合已有的端口扫描技术，提高了端口扫描行为的隐蔽性，可以有效地实现避免被入侵检测系统侦测到的目的。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举实施例，并配合附图，详细说明如下。

附图说明

图1为本发明第一实施例提供的端口扫描方法的流程图。

图2为工作节点的工作方式示意图。

图3为图1所示端口扫描方法采用模拟推法算法的流程图。

图4为本发明第二实施例提供的端口扫描系统的架构图。

具体实施方式

下面结合附图及具体实施例对本发明作进一步详细的说明。

请参阅图1，本发明第一实施例提供一种端口扫描方法，其可避免被入侵检测系统侦测到，所述端口扫描方法包括以下步骤：

步骤S101、客户端将待扫描目标提交给云平台中的控制主节点。

步骤S103、所述控制主节点按照模拟退火算法将端口扫描任务分配给所述云平台中的多个工作节点。

本实施例中，所述模拟退火算法包括以下内容：

1、分别确定所述多个工作节点的对所述待扫描目标的扫描方法，如TCP连接扫描、TCP Syn扫描、TCP FIN扫描、TCP Ack扫描、TCP Null扫描、Xmas扫描、UDP扫描、TCP Window扫描、TCP Maimon扫描等。

可以理解的是，每一所述工作节点均可采用一种或多种扫描方法。

可以理解的是，对于不同的扫描方法，具有不同的入侵检测系统（防御）对端口扫描的约束参数（Constraints）C1、C2、C3、C4……Cn+1，如：

C1:在t1时间内n1<k1，此处n1为同一IP进行TCP连接扫描的次数，k1为入侵检测（防御）系统判断为连接扫描行为的临界值，t1为入侵检测（防御）系统的对临界值的刷新时间。

C2:在t2时间内n2<k2，此处n2为同一IP进行TCP Syn扫描的次数，k2为入侵检测（防御）系统判断为TCP Syn扫描行为的临界值，t2为入侵检测（防御）系统的对临界值的刷新时间。

C3:在t3时间内n3<k3，此处n3为同一IP进行TCP FIN扫描的次数，k3为入侵检测（防御）系统判断为TCP FIN扫描行为的临界值，t3为入侵检测（防御）系统的对临界值的刷新时间。

C4:在t4时间内n4<k4，此处n4为同一IP进行TCP Ack扫描的次数，k4为入侵检测（防御）系统判断为TCP Ack扫描行为的临界值，t4为入侵检测（防御）系统的对临界值的刷新时间。

Ci：在ti时间内ni<ki，此处ni为同一IP进行X扫描的次数，ki为入侵检测（防御）系统判断为X扫描行为的临界值，ti为入侵检测（防御）系统的对临界值的刷新时间。

Cn+1：Ns/(n1+n2+…+nn)<ε其中，Ns为虚假的IP发送的扫描次数，ε为可以接受的被检测到的概率。

2、输入值。

即所述客户端提交所述待扫描目标给云平台中的控制主节点时的端口扫描任务。本实施例中，所述输入值包括所述待扫描目标的IP地址或IP范围；端口范围；入侵检测系统对端口扫描的约束参数（Constraints）：k1、k2、k3、……、kn，t1、t2、t3、……、tn，ε；以及虚假的IP地址数据库。

3、输出所述多个工作节点对所述带扫描目标进行端口扫描的执行方式。

本实施例中，输出所述多个工作节点对所述带扫描目标进行端口扫描的执行方式为一套执行列表，如图2所示，每一所述工作节点均按照所述执行列表执行工作，即对所述待扫描目标进行端口扫描。

步骤S105、所述多个工作节点分别对所述待扫描目标进行端口扫描，并采用模拟退火算法计算符合入侵检测系统对端口扫描的约束参数的较优解。

可以理解的是，所述多个工作节点即按照所述执行列表对所述待扫描目标进行端口扫描。

具体地，请参阅图2，对于工作节点1，在t1时间内，其以虚假IP1对所述待扫描目标进行TCP连续扫描n1次，且n1<k1；完成后，在t2时间内，以虚假IP2对所述待扫描目标进行其他端口扫描方法；直至所述工作节点1完成全部扫描任务，获得最终的扫描结果。同样地，工作节点2、工作节点n均相应地执行扫描任务。

4、算法流程。本实施例中，采用模拟退火算法（Simulated AnnealingAlgorithm）计算符合入侵检测系统对端口扫描的约束参数的较优解Sbest，具体流程请参阅图3。

第一、初始化一个抖动参数。

第二、假设一个符合约束的解（solution）的集合S，如假设n1、n2、……、nn和使用所述工作节点个数N是一个解S0。

第三、假设一个优化方程F。

F=αT_total+βN_slave

其中， $T_{\mathrm{total}}=\frac{N_{\mathrm{perslave}}}{(n_1+n_2+n_3+\&CenterDot;\&CenterDot;\&CenterDot;+n_n)}*T_{\mathrm{period}}$

$N_{\mathrm{perslave}}=\frac{N_{\mathrm{IP}-\mathrm{range}}*N_{\mathrm{port}-\mathrm{range}}}{N_{\mathrm{slave}}}$

T_period=max(t₁,t₂,t₃,…,t_n)

α和β是常数，T_total是所需要总时间，N_slave是所述工作节点的个数。

第四、执行模拟退火算法流程。

如果F(S1)-F(S0)<0，则执行以下函数：

此处i、j是算法精确度，i、j越大表示算法精确度越高。

步骤S107、所述多个工作节点将扫描结果反馈至所述控制主节点，所述控制主节点对所述扫描结果进行处理并反馈至所述客户端。

请参阅图4，本发明第二实施例提供一种端口扫描系统100，所述端口扫描系统100包括客户端10、设置于云平台20的控制主节点30及设置于云平台20的多个工作节点40。所述客户端10和所述控制主节点30通信连接，所述客户端10将待扫描目标50提交给所述控制主节点30，由所述控制主节点30按照模拟退火算法将端口扫描任务分配给所述多个工作节点30，所述多个工作节点30分别对所述待扫描目标50进行端口扫描，并将扫描结果反馈至所述控制主节点30，所述控制主节点30对所述扫描结果进行处理并反馈至所述客户端10。

相较于现有技术，本发明提供的端口扫描方法中客户端通过云平台中的控制主节点和多个动作节点简介对待扫描目标进行端口扫描，由此可以有效地结合利用云平台的资源，提高扫描效率。此外，所述端口扫描方法采用模拟退火算法结合已有的端口扫描技术，提高了端口扫描行为的隐蔽性，可以有效地实现避免被入侵检测系统侦测到的目的。

以上所述，仅是本发明的实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以实施例揭露如上，然而并非用以限定本发明，任何熟悉本专业的技术人员，在不脱离本发明技术方案范围内，当可利用上述揭示的技术内容作出些许更动或修饰为等同变化的等效实施例，但凡是未脱离本发明技术方案内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。

Claims (5)

1.一种端口扫描方法，其特征在于，所述端口扫描方法包括以下步骤：

客户端将待扫描目标提交给云平台中的控制主节点；

所述控制主节点按照模拟退火算法将端口扫描任务分配给所述云平台中的多个工作节点；

所述多个工作节点分别对所述待扫描目标进行端口扫描，并采用模拟退火算法计算符合入侵检测系统对端口扫描的约束参数的较优解；

所述多个工作节点将扫描结果反馈至所述控制主节点，所述控制主节点对所述扫描结果进行处理并反馈至所述客户端。

2.如权利要求1所述的端口扫描方法，其特征在于，所述多个工作节点的对所述待扫描目标的扫描方法包括TCP连接扫描、TCP Syn扫描、TCP FIN扫描、TCP Ack扫描、TCP Null扫描、Xmas扫描、UDP扫描、TCP Window扫描及TCP Maimon扫描。

3.如权利要求1所述的端口扫描方法，其特征在于，所述客户端提交所述待扫描目标给所述控制主节点时的端口扫描任务包括所述待扫描目标的IP范围、端口范围、入侵检测/防御系统对端口扫描的约束参数及被检测概率。

4.如权利要求1所述的端口扫描方法，其特征在于，所述工作节点对所述待扫描目标进行端口扫描时，在入侵检测系统的对临界值的刷新时间内，同一IP进行X扫描的次数小于入侵检测系统判断为扫描行为的临界值。

5.一种端口扫描系统，其特征在于，所述端口扫描系统包括客户端、设置于云平台的控制主节点及设置于云平台的多个工作节点；所述客户端和所述控制主节点通信连接，所述客户端将待扫描目标提交给所述控制主节点，由所述控制主节点按照模拟退火算法将端口扫描任务分配给所述多个工作节点，所述多个工作节点分别对所述待扫描目标进行端口扫描，并将扫描结果反馈至所述控制主节点，所述控制主节点对所述扫描结果进行处理并反馈至所述客户端。

Images