CN111526125A - 通信装置和方法 - Google Patents

Abstract

本发明提供一种通信装置和方法。所述通信装置包括第一通信单元，被构造为向所述多个目标对象发送第一次握手信息，并接收来自所述多个目标对象的响应于第一次握手信息的第二次握手信息；第一确定单元，被构造为确定与所述多个目标对象中的每个目标对象对应的、从发送第一次握手信息到接收到第二次握手信息之间的响应时间是否大于预定的超时时间，并在确定响应时间大于超时时间时，确定所述多个目标对象中存在非真实目标对象。因此，可以以简单的架构有效地检测网络防火墙的存在。

Description

通信装置和方法

技术领域

本发明涉及一种通信装置和方法。

背景技术

网络的安全问题是网络普及全球后的被关注问题，其中，漏洞的存在是重要安全隐患。与此相对的，漏洞的发现，也是网络安全技术的重中之重。这样，漏洞扫描工具也成了主要的漏洞发现手段的实现工具。在广泛存在的内外网隔离的网络环境中，迫切的需要漏洞扫描工具。

但与之相对的是，作为漏洞扫描的矛，与作为防火墙的盾，总是存在某种冲突。防火墙使得漏洞被紧紧地包裹在内网主机自身，无法被漏洞扫描工具发现。这就迫切需要的侦测是否存在防火墙。

发明内容

本发明的示例性实施例的目的在于克服现有技术中的上述的和/或其他的问题。因此，本发明的示例性实施例提供了一种通信装置和方法。

根据示例性实施例，一种通信装置可以根据传输控制协议TCP与多个目标对象进行通信。所述通信装置包括：第一通信单元，被构造为向所述多个目标对象发送第一次握手信息，并接收来自所述多个目标对象的响应于第一次握手信息的第二次握手信息；第一确定单元，被构造为确定与所述多个目标对象中的每个目标对象对应的、从发送第一次握手信息到接收到第二次握手信息之间的响应时间是否大于预定的超时时间，并在确定响应时间大于超时时间时，确定所述多个目标对象中存在非真实目标对象。

所述多个目标对象为连接到网络防火墙的多个终端的多个互联网协议IP地址，所述通信装置还包括：第三通信单元，被构造为对所述多个IP地址进行互联网控制报文协议ICMP扫描；第三确定单元，被构造为确定是否得到了与所述多个IP地址对应的响应结果或者是否没有得到响应结果，并在确定得到了与所述多个IP地址中的每个IP地址对应的响应结果、或者没有得到响应结果时，确定所述多个IP地址中存在非真实IP地址。

例如，第一通信单元被构造为针对选定的多个端口向所述多个IP地址中的每个IP地址发送第一次握手信息。

此外，所述通信装置还可以包括第二通信单元，被构造为对所述多个对象中的一个目标对象进行端口扫描，并得到端口扫描结果；第二确定单元，被构造为确定端口扫描结果包括的内容是否彼此相同，并在确定存在包括彼此相同的内容的多个端口扫描结果时，确定该目标对象为非真实目标对象。例如，第二通信单元被构造为针对选定的多个端口对一个IP地址进行端口扫描，并得到多个端口扫描结果。第二通信单元被构造为利用网络映射器nmap命令对一个IP地址进行端口扫描。

同时，第二确定单元被构造为在确定存在包括彼此不同的内容的多个端口扫描结果时，确定该目标对象为真实目标对象。

根据另一示例性实施例，一种通信方法包括如下步骤：根据传输控制协议TCP与多个目标对象通信，以向所述多个目标对象发送第一次握手信息，并接收来自所述多个目标对象的响应于第一次握手信息的第二次握手信息；确定与所述多个目标对象中的每个目标对象对应的、从发送第一次握手信息到接收到第二次握手信息之间的响应时间是否大于预定的超时时间，并在确定响应时间大于超时时间时，确定所述多个目标对象中存在非真实目标对象。

所述多个目标对象为连接到网络防火墙的多个终端的多个互联网协议IP地址，所述方法还包括：对所述多个IP地址进行互联网控制报文协议ICMP扫描；确定是否得到了与所述多个IP地址对应的响应结果或者是否没有得到响应结果，并在确定得到了与所述多个IP地址中的每个IP地址对应的响应结果、或者没有得到响应结果时，确定所述多个IP地址中存在非真实IP地址。发送第一次握手信息的步骤包括：针对选定的多个端口向所述多个IP地址中的每个IP地址发送第一次握手信息。

所述方法还包括：对所述多个对象中的一个目标对象进行端口扫描，并得到端口扫描结果；确定端口扫描结果包括的内容是否彼此相同，并在确定存在包括彼此相同的内容的多个端口扫描结果时，确定该目标对象为非真实目标对象。

进行端口扫描的步骤包括：针对选定的多个端口对一个IP地址进行端口扫描，并得到多个端口扫描结果。例如，利用网络映射器nmap命令对一个IP地址进行端口扫描。

此外，当确定存在包括彼此不同的内容的多个端口扫描结果时，确定该目标对象为真实目标对象。

根据再一示例性实施例，一种电子设备包括：至少一个处理器；与所述至少一个处理器连接的存储器，所述存储器存储有指令，所述指令在被所述至少一个处理器执行时使所述电子设备执行如上所述的方法。

根据再一示例性实施例，一种非易失性机器可读介质存储有计算机可执行指令，所述指令在被执行时使至少一个处理器执行如上所述的方法。

根据再一示例性实施例，一种计算机程序产品包括计算机可执行指令，所述指令在被执行时使至少一个处理器执行如上所述的方法。

根据示例性实施例的通信装置和方法可以具有简单的架构，例如，其功能可以集中在一个软/硬件中。此外，用于通信和检测防火墙存在的TCP报文只需各自发送一个端口，无连接，防护设备难以发现这是扫描器发出的检测报文，使得扫描器相当有效，同时TCPSYN只是一个报文使得超时器的设计相当简单。此外，nmap命令或软件长期持续维护开发，使得它稳定可靠且高效率。本方案又创新地使用多端口的扫描结果进行比对，不仅简单，而且相当有效。

通过下面的详细描述、附图以及权利要求，其他特征和方面会变得清楚。

附图说明

通过结合附图对于本发明的示例性实施例进行描述，可以更好地理解本发明，在附图中：

图1是示出根据示例性实施例的通信装置的示意性框图；

图2是示出根据示例性实施例的通信方法的示意性流程图；

图3是示出根据示例性实施例的电子设备的示意性框图。

具体实施方式

以下将描述本发明的具体实施方式，需要指出的是，在这些实施方式的具体描述过程中，为了进行简明扼要的描述，本说明书不可能对实际的实施方式的所有特征均作详尽的描述。应当可以理解的是，在任意一种实施方式的实际实施过程中，正如在任意一个工程项目或者设计项目的过程中，为了实现开发者的具体目标，为了满足系统相关的或者商业相关的限制，常常会做出各种各样的具体决策，而这也会从一种实施方式到另一种实施方式之间发生改变。此外，还可以理解的是，虽然这种开发过程中所作出的努力可能是复杂并且冗长的，然而对于与本发明公开的内容相关的本领域的普通技术人员而言，在本公开揭露的技术内容的基础上进行的一些设计，制造或者生产等变更只是常规的技术手段，不应当理解为本公开的内容不充分。

除非另作定义，权利要求书和说明书中使用的技术术语或者科学术语应当为本发明所属技术领域内具有一般技能的人士所理解的通常意义。本发明专利申请说明书以及权利要求书中使用的“第一”、“第二”以及类似的词语并不表示任何顺序、数量或者重要性，而只是用来区分不同的组成部分。“一个”或者“一”等类似词语并不表示数量限制，而是表示存在至少一个。“包括”或者“包含”等类似的词语意指出现在“包括”或者“包含”前面的元件或者物件涵盖出现在“包括”或者“包含”后面列举的元件或者物件及其等同元件，并不排除其他元件或者物件。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，也不限于是直接的还是间接的连接。

图1是示出根据示例性实施例的通信装置的示意性框图。如图1中所示，根据示例性实施例的通信装置10可以包括第一通信单元110和第一确定单元130。

根据示例性实施例的通信单元10可以例如根据传输控制协议TCP与多个目标对象进行通信。这里，目标对象可以是彼此连接以形成局域或广域网络的终端在该网络中的地址，例如互联网协议IP地址。通常，在这样的网络中，可能安装有网络防火墙30。防火墙不仅会隐藏自己的IP地址，还会保护自己管辖下的若干终端或设备的IP地址，使运行的设备的IP并未开放的端口显示出开放的假象。此外，防火墙也会采用体现不存在的设备的IP地址的方案。通信单元10可以为专用的能够通过有线或无线的方式与目标对象进行通信的通信设备、或者可以为包括了这样的通信设备的计算装置(例如，个人计算机)、或者可以通过执行相应的功能的软件来实现。下面，将以多个目标对象为连接到网络防火墙的多个终端的多个互联网协议IP地址作为示例来描述根据示例性实施例的通信单元。

第一通信单元110可以向多个IP地址(例如，向多个IP地址的选择的或常用的端口)发送第一次握手信息，并接收来自这些IP地址的响应于第一次握手信息的第二次握手信息。这里，第一通信单元110可以根据TCP来与IP地址通信，从而使用根据TCP的三次握手方案。即，第一通信单元110可以向IP地址发送第一次握手信息SYN，并可以接收来自IP地址的响应于SYN的第二次握手信息SYN+ACK。

这时，第一确定单元130可以确定与每个IP地址对应的、从发送第一次握手信息到接收到第二次握手信息之间的等待时间，即，响应时间。第一确定单元130可以进一步确定响应时间是否大于预定的超时时间。根据示例性实施例，当响应时间大于预定的超时时间时，可以确定第二次握手信息SYN+ACK的接收超时，因此，第一单元130可以确定该IP地址的端口是否为防火墙伪造的假开放端口。这样的假开放端口往往回馈时间接近。超时时间可以被限定在数分钟之内。因此，第一确定单元130可以确定该IP地址的端口为非真实开放的端口，或者可以确定该IP地址为非真实的IP地址，即非真实目标对象。

然而，存在这样一种情况，即，根据防火墙的设置，响应实现可能均小于或等于预定的超时时间。为此，根据示例性实施例的通信装置还可以包括第二通信单元210和第二确定单元230。

第二通信单元210可以对IP地址进行端口扫描或嗅探，例如针对选定的或常用的多个端口进行端口扫描或嗅探，并可以得到多个端口扫描结果。在一个示例中，第二通信单元210可以利用网络映射器nmap命令对一个IP地址进行端口扫描。在一个示例中，端口扫描结果可以被存储，例如，存储在存储器中。

然后，第二确定单元230可以确定端口扫描结果包括的内容是否彼此相同。这里，如果该IP地址为真实存在的IP地址、和/或被端口扫描/嗅探的端口为该真实存在的IP地址打开的端口，则因为不同的常用端口由于其应用不同而必然拥有不同的回应方式与回应特征，所以与各个端口对应的端口扫描结果中可以包括彼此不同的内容，例如，彼此不同的与回应方式和回应特征相关的内容。因此，第二确定单元230可以在确定存在包括彼此不同的内容的多个端口扫描结果时，可以确定该IP地址为真实存在的IP地址或真实目标对象。另一方面，当被端口扫描/嗅探的IP地址为防火墙创建的假IP地址或非真实存在的IP地址时，得到的端口扫描结果可能包括彼此相同的内容，例如，彼此相同的与回应方式和回应特征相关的内容。因此，当第二确定单元230确定存在包括彼此相同的内容的多个端口扫描结果时，可以确定该IP地址为非真实存在的IP地址或非真实目标对象。

然而，示例性实施例不限于此，根据可选的示例性实施例，通信装置10还可以包括第三通信单元310和第三确定单元350。

在第一通信单元110进行通信并发送第一次握手信息之前，第三通信单元310可以对多个IP地址进行互联网控制报文协议ICMP扫描。然后，第三确定单元310可以确定是否得到了与IP地址对应的响应结果或者是否没有得到响应结果。通常情况下，当安装有网络防火墙30时，可能所有被ICMP扫描的IP地址都有响应结果，或者都没有响应结果。因此，当第三确定单元310确定得到了与所述多个IP地址中的每个IP地址对应的响应结果、或者没有得到响应结果时，第三确定单元310可以确定安装有防火墙30，并因此可以确定这些被ICMP扫描的IP地址中可能存在由防火墙30创建的非真实IP地址或非真实目标对象。然后，第一通信单元110可以向这些IP地址发送第一次握手信息，以进一步确定这些IP地址中是否存在真实IP地址和非真实IP地址。

根据示例性实施例的通信装置可以具有简单的架构，例如，其功能可以集中在一个软/硬件中。此外，用于通信和检测防火墙存在的TCP报文只需各自发送一个端口，无连接，防护设备难以发现这是扫描器发出的检测报文，使得扫描器相当有效，同时TCP SYN只是一个报文使得超时器的设计相当简单。此外，nmap命令或软件长期持续维护开发，使得它稳定可靠且高效率。本方案又创新地使用多端口的扫描结果进行比对，不仅简单，而且相当有效。

图2是示出根据示例性实施例的通信方法的示意性流程图。根据示例性实施例的方法可以由上面参照图1描述的装置执行，或者由通用的计算装置(例如，服务器、个人计算机等)或专用的计算装置(例如，可编程逻辑控制器等)执行。因此，与上面相似地，将以多个目标对象为连接到网络防火墙的多个终端的多个互联网协议IP地址作为示例来描述根据示例性实施例的通信方法。

如图2中所示，首先，在S201可以根据传输控制协议TCP与多个IP地址通信，以向这些IP地址分别发送第一次握手信息，例如，SYN，并接收来自这些IP地址的响应于第一次握手信息的第二次握手信息，例如，SYN+ACK。在一个示例中，可以针对选定的多个端口向每个IP地址发送第一次握手信息。

在S203，可以确定与所述多个目标对象中的每个目标对象对应的、从发送第一次握手信息到接收到第二次握手信息之间的响应时间是否大于预定的超时时间，并在确定响应时间大于超时时间时，确定所述多个目标对象中存在非真实目标对象。

可选择地，可以在操作S201之前，对多个IP地址进行互联网控制报文协议ICMP扫描(S205)。然后，在操作S207，可以确定是否得到了与每个IP地址对应的响应结果或者是否没有得到响应结果，并在确定得到了与每个IP地址中的每个IP地址对应的响应结果、或者没有得到响应结果时，确定所述多个IP地址中存在非真实IP地址。

参照图2，在操作S209，可以对一个IP地址进行端口扫描/嗅探，并得到端口扫描结果。例如，可以针对选定的多个端口对一个IP地址进行端口扫描(嗅探，nmap)并得到多个端口扫描结果。这里，可以利用网络映射器nmap命令对一个IP地址进行端口扫描。

然后，在操作S211，可以确定端口扫描结果包括的内容是否彼此相同。当确定存在包括彼此相同的内容的多个端口扫描结果时，确定该IP地址为非真实IP地址或非真实目标对象。另一方面，当确定存在包括彼此不同的内容的多个端口扫描结果时，可以确定该IP地址为真实IP地址或真实目标对象。

上面参照图1-图2描述了根据示例性实施例的装置和方法。然而，示例性实施例不限于此，例如，这样的方法可以由硬件、软件或者硬件和软件的组合来实现。图3是示出根据示例性实施例的电子设备的示意性框图。在该示例性实施例中，电子设备可以包括至少一个处理器1000和存储器3000。处理器1000可以执行在存储器3000，例如非易失性计算机可读存储介质中存储或编码的至少一个计算机可读指令，即上述以软件形式实现的元素。

在另一个示例性实施例中，在存储器3000中存储计算机可执行指令，其当执行时使得至少一个处理器1000来实现或执行上面参照图2描述的方法。

应该理解，在存储器3000中存储的非易失性计算机或机器可执行指令当被执行时可以使得至少一个处理器1000进行各个示例性实施例中结合图2描述的各种操作和功能。

概括而言，本发明通过尽力快速地同时地扫描一个IP(对应真实主机下)的多个真实端口以及通过判断被扫描的设备的类型，有效地高速地过滤掉不可靠的扫描结果。而且本公开基于TCP协议来进行端口的扫描，并通过ICMP协议的PING、PONG机制辅助快速初步扫描真实存在的主机的IP。本公开可以采用ICMP协议和TCP协议的头部的主要内容。

根据本公开的扫描只充分利用SYN请求发出之后的ACK回应，以确定被扫描主机的存在。常见的防火墙不具备维护大量SYN请求的发出和ACK回馈包的持续能力。举例来说，作为根据本公开的通信装置的扫描器IP为服务器IP(50.155.13.78)，扫描的目的IP段为(192.168.1.1/16)。首先向192.168.1.1/24段的所有主机，发出ICMP扫描请求用于缩小扫描范围。接着，根据ICMP响应的结果，以确定TCP SYN扫描的进一步的IP范围。此处可能存在全部IP都有ICMP响应。在这种情况下可以判定此网段有防火墙保护，需要使用TCP SYN扫描的方式进行进一步的主机侦测。随后，如果ICMP扫描没有响应结果，扫描器则可以认定该网段通常有防火墙保护，需要使用TCP SYN扫描的方式进行主机侦测。因此，采用TCP SYN扫描该防火墙保护的网段下的所有IP地址，确定该网段下选定的若干常用应用的TCP端口，并且把TCP ACK+SYN回应给扫描机的超时时间限定在数分钟之内。再随后，在正常情况下，扫描器会收到SYN报文的被扫描主机的某个端口应当会向扫描机(50.155.13.78)发出ACK+SYN响应。接着，由于防火墙的存在可能导致该识别是由防火墙发回的虚假响应，此处扫描器进一步使用开源的nmap工具命令，扫描目标IP的若干端口，并保存结果。同时，在此IP的所有常用端口上进行该nmap扫描操作。不同的常用端口由于其应用不同，因此会拥有不同的回应方式与回应特征。为此在进行nmap扫描操作后，比对所有端口上保存的nmap扫描结果，如果内容高度相似，则认为该IP的存在只是由防火墙冒充的，并非实际存在的主机。相反，如果结果大多数不同，可以认定为该IP对应真实存在的主机。

根据一个示例性实施例，提供了一种诸如非易失性机器或计算机可读介质的程序产品。非易失性机器或计算机可读介质可以存储有指令，例如，上述以软件形式实现的元素，当该指令被机器例如计算机执行时，使得机器或计算机执行上面各个实施例中结合图2描述的各种操作和功能。

上面已经描述了一些示例性实施例。然而，应该理解的是，可以做出各种修改。例如，如果所描述的技术以不同的顺序执行和/或如果所描述的系统、架构、设备或电路中的组件以不同方式被组合和/或被另外的组件或其等同物替代或补充，则可以实现合适的结果。相应地，其他实施方式也落入权利要求的保护范围内。

Claims (17)

1.一种通信装置，其特征在于，所述通信装置被构造为根据传输控制协议TCP与多个目标对象进行通信，所述通信装置包括：

第一通信单元，被构造为向所述多个目标对象发送第一次握手信息，并接收来自所述多个目标对象的响应于第一次握手信息的第二次握手信息；

第一确定单元，被构造为确定与所述多个目标对象中的每个目标对象对应的、从发送第一次握手信息到接收到第二次握手信息之间的响应时间是否大于预定的超时时间，并在确定响应时间大于超时时间时，确定所述多个目标对象中存在非真实目标对象。

2.如权利要求1所述的通信装置，其特征在于，所述多个目标对象为连接到网络防火墙的多个终端的多个互联网协议IP地址，

所述通信装置还包括：

第三通信单元，被构造为对所述多个IP地址进行互联网控制报文协议ICMP扫描；

第三确定单元，被构造为确定是否得到了与所述多个IP地址对应的响应结果或者是否没有得到响应结果，并在确定得到了与所述多个IP地址中的每个IP地址对应的响应结果、或者没有得到响应结果时，确定所述多个IP地址中存在非真实IP地址。

3.如权利要求2所述的通信装置，其特征在于，

第一通信单元被构造为针对选定的多个端口向所述多个IP地址中的每个IP地址发送第一次握手信息。

4.如权利要求1所述的通信装置，其特征在于，

所述通信装置还包括：

第二通信单元，被构造为对所述多个对象中的一个目标对象进行端口扫描，并得到端口扫描结果；

第二确定单元，被构造为确定端口扫描结果包括的内容是否彼此相同，并在确定存在包括彼此相同的内容的多个端口扫描结果时，确定该目标对象为非真实目标对象。

5.如权利要求4所述的通信装置，其特征在于，所述多个目标对象为连接到网络防火墙的多个终端的多个互联网协议IP地址，其中，

第二通信单元被构造为针对选定的多个端口对一个IP地址进行端口扫描，并得到多个端口扫描结果。

6.如权利要求5所述的通信装置，其特征在于，第二通信单元被构造为利用网络映射器nmap命令对一个IP地址进行端口扫描。

7.如权利要求4所述的通信装置，其特征在于，

第二确定单元被构造为在确定存在包括彼此不同的内容的多个端口扫描结果时，确定该目标对象为真实目标对象。

8.一种通信方法，其特征在于，所述方法包括如下步骤：

根据传输控制协议TCP与多个目标对象通信，以向所述多个目标对象发送第一次握手信息，并接收来自所述多个目标对象的响应于第一次握手信息的第二次握手信息；

确定与所述多个目标对象中的每个目标对象对应的、从发送第一次握手信息到接收到第二次握手信息之间的响应时间是否大于预定的超时时间，并在确定响应时间大于超时时间时，确定所述多个目标对象中存在非真实目标对象。。

9.如权利要求8所述的方法，其特征在于，所述多个目标对象为连接到网络防火墙的多个终端的多个互联网协议IP地址，

所述方法还包括：

对所述多个IP地址进行互联网控制报文协议ICMP扫描；

确定是否得到了与所述多个IP地址对应的响应结果或者是否没有得到响应结果，并在确定得到了与所述多个IP地址中的每个IP地址对应的响应结果、或者没有得到响应结果时，确定所述多个IP地址中存在非真实IP地址。

10.如权利要求9所述的方法，其特征在于，

发送第一次握手信息的步骤包括：针对选定的多个端口向所述多个IP地址中的每个IP地址发送第一次握手信息。

11.如权利要求8所述的方法，其特征在于，所述方法还包括：

对所述多个对象中的一个目标对象进行端口扫描，并得到端口扫描结果；

确定端口扫描结果包括的内容是否彼此相同，并在确定存在包括彼此相同的内容的多个端口扫描结果时，确定该目标对象为非真实目标对象。

12.如权利要求11所述的方法，其特征在于，所述多个目标对象为连接到网络防火墙的多个终端的多个互联网协议IP地址，其中，

进行端口扫描的步骤包括：针对选定的多个端口对一个IP地址进行端口扫描，并得到多个端口扫描结果。

13.如权利要求12所述的方法，其特征在于，

进行端口扫描的步骤包括：利用网络映射器nmap命令对一个IP地址进行端口扫描。

14.如权利要求11所述的方法，其特征在于，

所述方法还包括：当确定存在包括彼此不同的内容的多个端口扫描结果时，确定该目标对象为真实目标对象。

15.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；

与所述至少一个处理器连接的存储器，所述存储器存储有指令，所述指令在被所述至少一个处理器执行时使所述电子设备执行如权利要求8至权利要求14中任意一项权利要求所述的方法。

16.一种非易失性机器可读介质，其特征在于，所述介质存储有计算机可执行指令，所述指令在被执行时使至少一个处理器执行如权利要求8至权利要求14中任意一项权利要求所述的方法。

17.一种计算机程序产品，其特征在于，所述计算机程序产品包括计算机可执行指令，所述指令在被执行时使至少一个处理器执行如权利要求8至权利要求14从中任意一项权利要求所述的方法。

Images