CN109413104A - 一种无状态tcp网络扫描方法 - Google Patents

一种无状态tcp网络扫描方法 Download PDF

Info

Publication number
CN109413104A
CN109413104A CN201811509902.2A CN201811509902A CN109413104A CN 109413104 A CN109413104 A CN 109413104A CN 201811509902 A CN201811509902 A CN 201811509902A CN 109413104 A CN109413104 A CN 109413104A
Authority
CN
China
Prior art keywords
target network
network
module
data
scanning
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201811509902.2A
Other languages
English (en)
Inventor
邹大均
许阳
黄沾
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Electronic Technology Cyber Security Co Ltd
Original Assignee
China Electronic Technology Cyber Security Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Electronic Technology Cyber Security Co Ltd filed Critical China Electronic Technology Cyber Security Co Ltd
Priority to CN201811509902.2A priority Critical patent/CN109413104A/zh
Publication of CN109413104A publication Critical patent/CN109413104A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种无状态TCP网络扫描方法，首先将IP数据包的扫描模块与接收模块独立开来，扫描模块根据目标网络资产信息构造并发送载荷TCP数据的IP数据包给目标网络，并将发送出去的包信息记录下来供接收模块比对使用，接收模块等待响应数据的返回。在限定时间内，若目标网络未做任何响应或接收模块未收到响应数据，则此情况被认定为无响应状态；若接收模块收到目标网络的响应数据，则根据响应数据并结合本地信息库进行分析以获取目标网络系统信息。本发明提出的无状态TCP网络扫描方法，不仅可以大幅提升网络扫描速度，同时也不失扫描精度，因此能够很好的解决扫描速度和扫描精度此消彼长的问题。

Description

一种无状态TCP网络扫描方法
技术领域
本发明涉及一种网络扫描方法，具体涉及一种无状态TCP网络扫描方法。
背景技术
随着各类信息网络的不断延伸和普及，来自网络的安全威胁也在呈指数级增长，在各种政治、军事、经济利益的驱使下，各类网络攻击层出不穷，网络攻击手段也不断复杂化、多样化，也更具有针对性，网络安全形势越加严峻。为了能做到先敌发现，防患于未然，对所关注网络目标和主机进行网络搜索，收集相关网络信息，就成为维护网络安全的重要的第一步。
网络扫描作为信息系统安全防护的手段使用，是采用模拟黑客攻击方式对计算机主机或者其他网络设备的安全脆弱程度进行检测和评估的一种安全技术，以找出安全隐患和系统漏洞。其基本原理是使用一系列的程序、工具或脚本，模拟对系统进行攻击的行为，并对结果进行分析，以此了解网络的安全配置和运行的应用服务，及时发现安全漏洞，客观评估网络风险等级，指导网络管理员根据扫描的结果及时更正网络安全漏洞和系统中的错误配置，抢在黑客攻击发起前进行防范。扫描技术在发挥着极为有效的主动防御功能的同时，也被黑客用来作为网络攻击的常用手段。因而，熟练掌握网络扫描的技术原理和实现方式，就可以知己知彼，在网络攻防中拥有更大主动权。
网络扫描技术从扫描过程来分类，主要分为三类：一是存活扫描，二是系统信息(操作系统信息、应用服务信息等)收集，三是漏洞检测。存活扫描采用的主要方法就是通过发送各类型的ICMP或者TCP、UDP请求报文，通过报文发送响应结果判断目标是否存活。在确定哪些目标存活的基础上，通过端口扫描、操作系统判别和系统服务识别等技术对目标系统进行信息收集工作。最后，将收集到的各类系统信息与漏洞库信息进行比对，评估系统可能存在的安全风险。
诸如masscan、nmap、unicornscan等各类丰富和强大的开源工具能够很好地完成对目标网络系统存活扫描任务，而漏洞检测的关键是漏洞库的丰富和实时漏洞的更新。在系统信息收集方面的网络扫描方法中，扫描速率与信息收集量总存在着此消彼长的情况，即在相同硬件资源和网络环境下，扫描速率越快，收集到的系统信息就越少，要想收集到的系统信息越丰富，扫描的速率则会大幅度降低。
发明内容
为了克服现有技术的上述缺点，本发明提供了一种无状态TCP网络扫描方法。
本发明解决其技术问题所采用的技术方案是：一种无状态TCP网络扫描方法，首先将IP数据包的扫描模块与接收模块独立开来，扫描模块根据目标网络资产信息构造并发送载荷TCP数据的IP数据包给目标网络，并将发送出去的包信息记录下来供接收模块比对使用，接收模块等待响应数据的返回。在限定时间内，若目标网络未做任何响应或接收模块未收到响应数据，则此情况被认定为无响应状态；若接收模块收到目标网络的响应数据，则根据响应数据并结合本地信息库进行分析以获取目标网络系统信息。
进一步的，扫描模块包括端口存活扫描模块和漏洞扫描模块，所述接收模块包括端口扫描接收模块和漏洞扫描接收模块，端口存活扫描模块对应端口扫描接收模块，漏洞扫描模块对应漏洞扫描接收模块。
进一步的，本方案的具体步骤为：
扫描任务分发系统将扫描任务分发到各个扫描引擎，扫描引擎调用端口存活扫描模块读取并载入目标网络资产库中的目标网络资产信息。端口存活扫描模块批量构造并发送载荷SYN数据的IP数据包给目标网络，覆盖所有待扫描目标资产，端口扫描接收模块等待目标网络的响应。按设定等待一定时间后，关闭端口扫描接收模块的接收通道，分析接收到的结果，判断端口是否存活。
(1)若端口存活，则漏洞扫描模块根据漏洞信息库和指纹数据库批量发送载荷业务请求TCP数据的IP数据包给目标网络，覆盖所有端口存活的资产，漏洞扫描接收模块等待目标网络的响应；再按设定等待一定时间后，关闭漏洞扫描接收模块的接收通道，分析接收到的结果，判断业务是否存在相关漏洞信息；若业务存在漏洞，则将漏洞信息更新到存活资产库；若业务不存在漏洞，则将存货资产库中相关信息置空。无论业务是否存在漏洞，连接关闭模块都必须批量构造发送载荷FIN数据的IP数据包给目标网络，覆盖所有已发送业务请求的目标网络资产，以使得目标网络资产库和网关设备清除相关TCP连接信息，以防止网关设备并发连接过载。
(2)若端口不存活，则连接关闭模块批量构造发送载荷FIN数据的IP数据包给目标网络，覆盖所有已发送SYN数据的目标网络资产，以使得目标网络资产库和网关设备清除相关TCP连接信息，以防止网关设备并发连接过载。
此外，包括端口存活和漏洞情况在内的信息都需要载入到存活资产库中保存，而扫描任务分发系统通过读取存活资产库中的数据，分析目标网络中资产网络安全风险。
与现有技术相比，本发明的积极效果是：本发明提出的无状态TCP网络扫描方法，可以大幅提升网络扫描速度，同时也不失扫描精度，因此能够很好的解决扫描速度和扫描精度此消彼长的问题。本发明可应用于对单台主机或设备进行全方位网络扫描，也可以对整个企业内网进行网络安全检查、发现安全漏洞、暴露安全风险。更为关键的是，本发明大幅提升了网络扫描效率，可以轻松胜任扫描感知整个互联网，根据扫描结果感知整个互联网的威胁态势。
另外，本发明具有如下特点：
1)无状态，即无需关注TCP状态；
2)完整的TCP会话；
3)扫描速率快；
4)系统信息丰富；
5)系统资源占用少，不占用系统TCP/IP协议栈资源。
附图说明
本发明将通过例子并参照附图的方式说明，其中：
图1为本发明的原理图；
图2为本发明的典型应用。
具体实施方式
为了对本发明的技术特征、目的和效果有更加清楚的理解，现对照附图说明本发明的具体实施方式。
本发明提出一种无状态TCP网络扫描方法，通过IP数据包载荷TCP数据，构造完整的TCP会话，建立正常TCP连接，发送正常的TCP协议请求数据，忽略TCP连接状态。在限定时间内，查看接收缓冲区响应数据，通过缓冲区中响应数据获取目标网络系统信息。
本发明通过构造载荷为TCP协议格式数据的IP数据包，在整个扫描过程中不会占用本地TCP/IP协议栈资源，而远端目标网络收到的数据则会被认为是正常的TCP协议数据，从而做出正常的业务响应。此方法能够在一次无状态扫描流程中判定资产是否存活、端口是否存活，并根据漏洞库中指纹信息与漏洞信息对目标设备进行漏洞扫描与检测，给出分析结果和安全风险。
需要说明的是，(1)资产存活：即机器存活或设备存活，表明某IP地址所在的目标资产是在线的，正在通过计算机网络与网络中其他资产(机器或设备)进行网络信息交互；(2)端口存活，表明某个TCP端口正通过计算机网络对外提供某种网络服务，可以接受来自网络中的TCP业务请求。端口存活则资产必定存活，而资产存活则不能保证此资产必然存在一个或多个端口是存活的。
在本发明的具体实施例中，如图1和图2所示，扫描任务分发系统将扫描任务分发到各个扫描引擎，扫描引擎调用端口存活扫描模块读取并载入目标网络资产库中的目标网络资产信息。端口存活扫描模块批量构造并发送载荷SYN数据的IP数据包给目标网络，覆盖所有待扫描目标资产，端口扫描接收模块等待目标网络的响应。按设定等待一定时间后，关闭端口扫描接收模块的接收通道，分析接收到的结果，判断端口是否存活。
若端口存活，则漏洞扫描模块根据漏洞信息库和指纹数据库批量发送载荷业务请求TCP数据的IP数据包给目标网络，覆盖所有端口存活的资产，漏洞扫描接收模块等待目标网络的响应；再按设定等待一定时间后，关闭漏洞扫描接收模块的接收通道，分析接收到的结果，判断业务是否存在相关漏洞信息；若业务存在漏洞，则将漏洞信息更新到存活资产库；若业务不存在漏洞，则将存货资产库中相关信息置空。无论业务是否存在漏洞，连接关闭模块都必须批量构造发送载荷FIN数据的IP数据包给目标网络，覆盖所有已发送业务请求的目标网络资产，以使得目标网络资产库和网关设备清除相关TCP连接信息，以防止网关设备并发连接过载。
若端口不存活，则连接关闭模块批量构造发送载荷FIN数据的IP数据包给目标网络，覆盖所有已发送SYN数据的目标网络资产，以使得目标网络资产库和网关设备清除相关TCP连接信息，以防止网关设备并发连接过载。
若端口不存活，则连接关闭模块必须批量构造发送载荷FIN数据的IP数据包给目标网络，覆盖所有已发送SYN数据的目标网络资产，以使得目标网络资产库和网关设备(如防火墙、路由器等)清除相关TCP连接信息，以防止网关设备并发连接过载。
此外，包括资产存活、端口存活和漏洞情况在内的信息都需要载入到存活资产库中保存，而扫描任务分发系统通过读取存活资产库中的数据，分析目标网络中资产网络安全风险。
以上所述仅是本发明的优选实施方式，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims (6)

1.一种无状态TCP网络扫描方法，其特征在于，包括以下步骤：
S1：将IP数据包的扫描模块与接收模块独立开来，扫描模块根据目标网络资产信息构造并发送载荷TCP数据的IP数据包给目标网络，并将发送出去的包信息记录下来供接收模块比对使用，接收模块等待响应数据的返回；
S2：在限定时间内，若目标网络未做任何响应或接收模块未收到响应数据，则此情况被认定为无响应状态；若接收模块收到目标网络的响应数据，则根据响应数据并结合本地信息库进行分析以获取目标网络系统信息。
2.根据权利要求1所述的一种无状态TCP网络扫描方法，其特征在于，所述扫描模块包括端口存活扫描模块和漏洞扫描模块，所述接收模块包括端口扫描接收模块和漏洞扫描接收模块，端口存活扫描模块对应端口扫描接收模块，漏洞扫描模块对应漏洞扫描接收模块。
3.根据权利要求2所述的一种无状态TCP网络扫描方法，其特征在于，所述步骤S1包括以下子步骤：
S11：扫描任务分发系统将扫描任务分发到各个扫描引擎，扫描引擎调用端口存活扫描模块读取并载入目标网络资产库中的目标网络资产信息；
S12：端口存活扫描模块批量构造并发送载荷SYN数据的IP数据包给目标网络，覆盖所有待扫描目标资产，端口扫描接收模块等待目标网络的响应。
4.根据权利要求3所述的一种无状态TCP网络扫描方法，其特征在于，所述步骤S2包括以下子步骤：
S21：按设定等待一定时间后，关闭端口扫描接收模块的接收通道，分析接收到的结果，判断端口是否存活，若端口存活，则执行步骤S22；若端口不存活，则执行步骤S23；
S22：漏洞扫描模块根据漏洞信息库和指纹数据库批量发送载荷业务请求TCP数据的IP数据包给目标网络，覆盖所有端口存活的资产，漏洞扫描接收模块等待目标网络的响应；再按设定等待一定时间后，关闭漏洞扫描接收模块的接收通道，分析接收到的结果，判断业务是否存在相关漏洞信息；若业务存在漏洞，则将漏洞信息更新到存活资产库；若业务不存在漏洞，则将存货资产库中相关信息置空；
S23：连接关闭模块批量构造发送载荷FIN数据的IP数据包给目标网络，覆盖所有已发送SYN数据的目标网络资产，以使得目标网络资产库和网关设备清除相关TCP连接信息。
5.根据权利要求4所述的一种无状态TCP网络扫描方法，其特征在于，所述步骤S22中，无论业务是否存在漏洞，连接关闭模块都必须批量构造发送载荷FIN数据的IP数据包给目标网络，覆盖所有已发送业务请求的目标网络资产，以使得目标网络资产库和网关设备清除相关TCP连接信息。
6.根据权利要求4所述的一种无状态TCP网络扫描方法，其特征在于，包括端口存活和漏洞情况在内的信息都需要载入到存活资产库中保存，而扫描任务分发系统通过读取存活资产库中的数据，分析目标网络中资产网络安全风险。
CN201811509902.2A 2018-12-11 2018-12-11 一种无状态tcp网络扫描方法 Pending CN109413104A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811509902.2A CN109413104A (zh) 2018-12-11 2018-12-11 一种无状态tcp网络扫描方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811509902.2A CN109413104A (zh) 2018-12-11 2018-12-11 一种无状态tcp网络扫描方法

Publications (1)

Publication Number Publication Date
CN109413104A true CN109413104A (zh) 2019-03-01

Family

ID=65458416

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811509902.2A Pending CN109413104A (zh) 2018-12-11 2018-12-11 一种无状态tcp网络扫描方法

Country Status (1)

Country Link
CN (1) CN109413104A (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111030975A (zh) * 2019-04-26 2020-04-17 北京安天网络安全技术有限公司 一种基于载荷分析的威胁预测方法、装置及存储设备
CN111526125A (zh) * 2020-03-27 2020-08-11 杭州迪普科技股份有限公司 通信装置和方法
CN112257070A (zh) * 2020-10-22 2021-01-22 全球能源互联网研究院有限公司 一种基于资产场景属性的漏洞排查方法及系统
CN113542270A (zh) * 2021-07-14 2021-10-22 山东林天信息科技有限责任公司 一种互联网资产指纹快速探测方法与系统
CN115412471A (zh) * 2022-07-12 2022-11-29 广州大学 一种基于分布式的无状态端口扫描方法
CN115412470A (zh) * 2022-07-12 2022-11-29 广州大学 一种规避特征检测的无状态扫描方法

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101715009A (zh) * 2009-12-28 2010-05-26 北京星网锐捷网络技术有限公司 一种安全的地址分配方法、检测装置、设备和系统
CN105871620A (zh) * 2016-05-05 2016-08-17 中国科学院信息工程研究所 一种网络空间工业控制设备快速检测识别方法
CN106230800A (zh) * 2016-07-25 2016-12-14 恒安嘉新(北京)科技有限公司 一种对资产主动探测和漏洞预警的方法
CN106453254A (zh) * 2016-09-08 2017-02-22 北京知道未来信息技术有限公司 一种规避防火墙检测的无状态扫描方法
CN106603507A (zh) * 2016-11-29 2017-04-26 哈尔滨安天科技股份有限公司 一种自动化完成网络安全自检的方法及系统
CN106713449A (zh) * 2016-12-21 2017-05-24 中国电子科技网络信息安全有限公司 一种快速识别联网工控设备的方法
CN108011893A (zh) * 2017-12-26 2018-05-08 广东电网有限责任公司信息中心 一种基于网络资产信息采集的资产管理系统
CN108183895A (zh) * 2017-12-26 2018-06-19 广东电网有限责任公司信息中心 一种网络资产信息采集系统
CN108712396A (zh) * 2018-04-27 2018-10-26 广东省信息安全测评中心 网络资产管理与漏洞治理系统
CN108833293A (zh) * 2018-06-20 2018-11-16 北京邮电大学 一种基于软件定义网络sdn的数据中心拥塞控制方法及装置

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101715009A (zh) * 2009-12-28 2010-05-26 北京星网锐捷网络技术有限公司 一种安全的地址分配方法、检测装置、设备和系统
CN105871620A (zh) * 2016-05-05 2016-08-17 中国科学院信息工程研究所 一种网络空间工业控制设备快速检测识别方法
CN106230800A (zh) * 2016-07-25 2016-12-14 恒安嘉新(北京)科技有限公司 一种对资产主动探测和漏洞预警的方法
CN106453254A (zh) * 2016-09-08 2017-02-22 北京知道未来信息技术有限公司 一种规避防火墙检测的无状态扫描方法
CN106603507A (zh) * 2016-11-29 2017-04-26 哈尔滨安天科技股份有限公司 一种自动化完成网络安全自检的方法及系统
CN106713449A (zh) * 2016-12-21 2017-05-24 中国电子科技网络信息安全有限公司 一种快速识别联网工控设备的方法
CN108011893A (zh) * 2017-12-26 2018-05-08 广东电网有限责任公司信息中心 一种基于网络资产信息采集的资产管理系统
CN108183895A (zh) * 2017-12-26 2018-06-19 广东电网有限责任公司信息中心 一种网络资产信息采集系统
CN108712396A (zh) * 2018-04-27 2018-10-26 广东省信息安全测评中心 网络资产管理与漏洞治理系统
CN108833293A (zh) * 2018-06-20 2018-11-16 北京邮电大学 一种基于软件定义网络sdn的数据中心拥塞控制方法及装置

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111030975A (zh) * 2019-04-26 2020-04-17 北京安天网络安全技术有限公司 一种基于载荷分析的威胁预测方法、装置及存储设备
CN111030975B (zh) * 2019-04-26 2023-02-28 北京安天网络安全技术有限公司 一种基于载荷分析的威胁预测方法、装置及存储设备
CN111526125A (zh) * 2020-03-27 2020-08-11 杭州迪普科技股份有限公司 通信装置和方法
CN111526125B (zh) * 2020-03-27 2022-01-18 杭州迪普科技股份有限公司 通信装置和方法
CN112257070A (zh) * 2020-10-22 2021-01-22 全球能源互联网研究院有限公司 一种基于资产场景属性的漏洞排查方法及系统
CN113542270A (zh) * 2021-07-14 2021-10-22 山东林天信息科技有限责任公司 一种互联网资产指纹快速探测方法与系统
CN115412471A (zh) * 2022-07-12 2022-11-29 广州大学 一种基于分布式的无状态端口扫描方法
CN115412470A (zh) * 2022-07-12 2022-11-29 广州大学 一种规避特征检测的无状态扫描方法

Similar Documents

Publication Publication Date Title
CN109413104A (zh) 一种无状态tcp网络扫描方法
Vishwakarma et al. A survey of DDoS attacking techniques and defence mechanisms in the IoT network
EP1665011B1 (en) Method and system for displaying network security incidents
Dickerson et al. Fuzzy network profiling for intrusion detection
Hoque et al. Network attacks: Taxonomy, tools and systems
Pilli et al. Network forensic frameworks: Survey and research challenges
Strayer et al. Botnet detection based on network behavior
Ganesh Kumar et al. Improved network traffic by attacking denial of service to protect resource using Z-test based 4-tier geomark traceback (Z4TGT)
CN108933731B (zh) 基于大数据分析的智能网关
Naik et al. Honeypots that bite back: A fuzzy technique for identifying and inhibiting fingerprinting attacks on low interaction honeypots
CN111083117A (zh) 一种基于蜜罐的僵尸网络的追踪溯源系统
Tritilanunt et al. Entropy-based input-output traffic mode detection scheme for dos/ddos attacks
CN118337540B (zh) 一种基于物联网的网络入侵攻击识别系统及方法
Griffioen et al. Discovering collaboration: Unveiling slow, distributed scanners based on common header field patterns
CN112217777A (zh) 攻击回溯方法及设备
CN114221804B (zh) 一种基于特征识别和交互验证的蜜罐识别方法
Kaushik et al. Network forensic system for ICMP attacks
Pang et al. Malicious events grouping via behavior based darknet traffic flow analysis
Iavich et al. 5G security function and its testing environment
Sqalli et al. An entropy and volume-based approach for identifying malicious activities in honeynet traffic
CN113194087A (zh) 一种用于不同信息域的安全风险高强度监测系统
Movva et al. Intelligent IDS: Venus Fly-Trap Optimization with Honeypot Approach for Intrusion Detection and Prevention
Fanfara et al. Autonomous hybrid honeypot as the future of distributed computer systems security
Kondakci Intelligent network security assessment with modeling and analysis of attack patterns
Gallopeni et al. Botnet command-and-control traffic analysis

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20190301