2017年上信息安全工程师真题网络扫描技术案例分析

试题：

扫描技术是网络攻防的一种重要手段，在攻和防当中都有其重要意义。nmap 是一个 开放源码的网络扫描工具，可以查看网络系统中有哪些主机在运行以及哪些服务是开放 的。 namp 工具的命令选项: sS 用于实现 SYN 扫描，该扫描类型是通过观察开放端口和关闭端口对探测分组的响应来实现端口扫描的。请根据下图回答问题。

【问题 1】

此次扫描的目标主机的 IP 地址是多少？

因为是要扫描端口，肯定是要进行握手连接，三次握手连接的第一次握手是客户端向服务器发送一个SYN消息，服务器返回应答包，根据图示，可知目标主机的ip是192.168.220.1

【问题 2】

SYN 扫描采用的传输层协议名字是什么?

tcp协议

【问题 3】

SYN 的含义是什么?

SYN表示同步信号，是TCP/IP建立连接时使用的握手信号

【问题 4】

目标主机开放了哪几个端口?简要说明判断依据。

开放了135，139端口

nmap扫描目标主机时，如果端口关闭，应答包会返回RST，关闭当前的连接。如果端口开启，应答包会返回SYN/ACK来响应扫描主机的连接请求

【问题 5】

每次扫描有没有完成完整的三次握手?这样做的目的是什么?

没有完整的三次握手，目的是减小目标主机或防火墙记录扫描行为的风险

从图上看，扫描主机在扫描135，139端口时，发送SYN请求连接，目标主机返回SYN/ACK响应连接，而扫描主机却直接RST终止了连接，并没有一次完成完整的三次握手

【问题 6】

补全下表所示的防火墙过滤器规则的空(1) - (5），达到防火墙禁止此类扫描流量进入和处出网络 ，同时又能允许网内用户访问外部网页服务器的目的。

一条规则一条规则的去分析

第1条，阻止所有外网对内网的连接请求，所以ACK应该是0

第2条，是内网机器访问外部web服务器，端口是80端口

第3条，看端口是53，53端口是DNS服务端口，使用的协议是UDP

第4条，允许外网发起DNS解析请求，ACK是*

第5条，除了上述的规则中的流量，其余流量都拒绝，协议是*

所以

(1) UDP

(2) *

(3) 80

(4) 0

(5) *

【问题 7】

简要说明为什么防火墙需要在进出两个方向上对据数据包进行过滤。

在进入方向过滤数据包是为了防止被攻击，在出口方向过滤则是为了防止内网对外攻击

也可以叫做网络入侵拦截和对外攻击检测