基于分组重传时延的操作系统探测新技术

《基于分组重传时延的操作系统探测新技术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据第29卷第19期计算机工程2003年11月VoL29^＆f9ComputerEngineering’November2003·安全技术·婶Jmq"：loon—0428(2003)19圳9＆—_03文献标识码：A中固分类号，’FP316基于分组重传时延的操作系统探测新技术张利，刘克衅，陆翕掰(1l乜予c程学院研究生队，台肥230037；2电子工程学院210教研室，台肥230037)攮要：指出现有撵作系统远程探渊技术中的1：足之处，结合TcP协议原理，介绍了1种新型的基平撤史重传时赶的探测技术．蚓坩在分析具体实例的基础E

2、，给H{r系统探测的特定算法。关健河：分纰重传时延；操作系统；远程探测；TCP重发机制NewTechniqueforRemoteProbingOSBasedonTime．delayofPacketsRetransmissionZHANGYong]，LIUKeshen92，LUYulian92(IGraduateStudentTeamofElectronicEngineeringInstitute，Hethi230037；2210StaffRoomofElectronicEngineelingInstitute，Netk．,i

3、230037)IAbstractlThepaperpointsouttheshortcomingofcun'enttechniquesofremoteprobingOS．introducesaIleVvtechniquebasedoilthllc-dehbolpacketsretransmissionwiththemethodofTCPprotocolAtthesametime，itanalysesacaseindetail，midtellsaspecialarithnleticI'olOSprobing[Keywtfrds

4、ITime-delayofpacketsrenansmission；’Operatingsystem；Remote’probing；MethodofTCPretransmission网络安全受到人们越来越多的关注。作为一个行之有效的解决方案，网络安全评估软件正得到广‘泛的研究与开发。其中，作为评估软件的一个重要组成部分，操作系统远程探测对于发现网络安全隐患，评估系统安全级男0有着极其重要的意义。现有的探测技术多种多样，很多是比较成熟的。如：基f内核的TCP／IP协议栈的指纹探测技术和基于应用的后台服务捌芋的指纹探测技术。与它

5、们橹比，现在出现的一种新探测技术，其采用基于ACK—sY州蟹传时延计算的方法，具有更好的性能，并可以获得相当精确的结果。F面就介绍一下这项技术的实现方法和思路。，现有探澍技术及蛱陷操作系统远程探测从方式E可以分为两种：主动探测和被动探测。主动探测是指主动、有目的性地向目标发送特意构造的探测数据包，通过提取和分析响应数据包的特征信息，对II标的操作系统类型进行识别；被动探测是指通过网络监听等手段，从网络中截获数据并从中提取目标操作系统类型的相关信息。主动探测又可以分为以下几种：(J)获取标识信息很多系统在提供服务的同时，为标识

6、与其他系统的区别，经常在用户登录时I珂显系统服务的banner。比如：E：OftpRpnetscapecorn('omit,tiedtoIeogffPnetscapcCOlO220ftpnscpnewaolc0111FTllSt2rvcr(SunOS58)leady从中，我们可知主机为SunOS5．8。因此，我们呵以通过对一：进制文件的收集和分析来实现主机操作系统的探测。(2)指纹探测技术利用不同类型、不同版本的操作系统在协议栈实现上的细微区别而获得的信息称为该系统的“指纹”。这项技术基本上可以分为两大类：一类是在传输层实现

7、的基于TCP协议的指纹探测技术；另一类是在lP层实现的基于ICMP协议的指纹探测技术。一98～基-于TCP协议的指纹探测技术主要通过探测TCP包的窗口大小、ACK(ff、初始序列号(ISN)情、BOGUS标汜等字段的取值特征，或者通过向目标机分别发送氍FIN、ACK等标志位的TCll包，根据反馈的不脚指纹特{：Jl!采豁别4：脚的媒作系统。比较流行的_：l二具如：Savage的QueSO．翻IFyodor的NMAP，它们都直接或间接地使用r这种技术。基于ICMP协议的指纹探测技术主要是构造井向H标系统发送各种可能的ICMP报

8、文，然后对接收到的ICMPI啊心报文豌错误报文的指纹特征进行提取分析，从村i；；；c别目标系统的操作系统。与基于TcP协议的指纹探测技术相比，该技术只需要发送1个刭4个测试包就可以鉴别‘个操作乐统类别。OfirArkinl均X-Probe就是使用的这种技术。(3)初始化序列号分析在TCP3