VC端口扫描与检测技术设计与实现

摘要随着Internet日益广泛的应用，黑客攻击行为也是有增无减。如何有效地抵御这种攻击行为，一直是信息安全领域的焦点。而其中，端口扫描技术吸引了越来越多人的关注。端口扫描是黑客搜集目标主机信息的一种常用方法。为了有效地对付网络入侵行为,对端口扫描进行研究是非常有益和必要的。攻击者在攻击一个目标时，首先要获取目标的一些基本信息，端口扫描就是其中最简单最重要的方法之一，它可以扫描目标机器中开放的端口，从而确定目标机器中提供的服务，为下一步攻击做准备。针对端口扫描技术，相应的端口扫描检测技术显的越发重要，作为网络安全技术中的一个重要课题，端口扫描检测技术意义重大。本文首先阐述了端口扫描技术以及端口扫描检测技术的基本原理和常用方法，然后在此基础上设计了一个对基于网络的端口进行扫描，能判断出目标主机端口开放情况的程序以及一个从网络信息的数据包的捕获和分析着手，再通过统计判断是否存在端口扫描行为的程序，最后从攻击和防御的角度对端口扫描和检测技术作了演示及分析。关键词：端口；端口扫描；数据包捕获；端口检测1 引言随着科学技术的飞速发展，21世纪的地球人已经生活在信息时代。20世纪人类的两大科学技术成果——计算机技术和网络技术，均已深入到人类社会的各个领域，Internet把“地球村”的居民们紧密联系在一起，“天涯若比邻”已然成为现实。互联网之所以能这样迅速蔓延，被世人所接受，是因为它具备特有的信息资源。无论对商人、学者，还是对社会生活中的普通老百姓，只要你进入网络的世界，就能找到其隐藏的奥妙，就能得到你所需要的信息。近年来Internet的迅速发展，给人们的日常生活带来了全新的感受，“网络生存”已经成为时尚，同时人类社会诸如政治、科研、经济、军事等各种活动对信息网络的依赖程度已经越来越强，“网络经济”时代已初露端倪。然而，网络技术的发展在给我们带来便利的同时也带来了巨大的隐患，尤其是Internet和Intranet的飞速发展对网络安全提出了前所未有的挑战。技术是一把双刃剑，不法分子试图不断利用新的技术伺机攻入他人的网络系统，而肩负保护网络安全重任的系统管理员则要利用最新的网络技术来防范各种各样的非法网络入侵行为。事实已经证明，随着互联网的日趋普及，在互联网上的犯罪活动也越来越多，特别是Internet大范围的开放以及金融领域网络的接入，使得越来越多的系统遭到入侵攻击的威胁。而作为黑客入侵的前奏，端口扫描是最常见的信息获取手段，端口扫描的检测技术在当今已经越来越成为一个重要的课题。本文首先对端口扫描技术进行研究，并开发一个能查询目标主机端口开放情况的程序；然后重点研究端口扫描的检测技术，从对数据包的捕获和分析着手，再定义一个判断是否扫描的条件，并通过统计由定义的扫描条件判断是否存在端口扫描行为，不但能对一般的扫描、快速扫描能够检测，且在一定程度上对慢速扫描也能很好的检测。1.1 本课题研究的意义在今天快速发展的Internet中，黑客攻击方法层出不穷，网络的安全性已经越来越受到威胁。要保证计算机资源的保密性、有效性、完整性也变得越来越困难。端口扫描作为黑客攻击的一个重要方面，也在不停地向前发展，扫描手段已经变得越来越丰富，越来越隐蔽，越来越具有威胁性。如何有效的对端口扫描行为进行检测，已经是越来越重要的一个课题，这对于保证我们网络的安全性有着重要的意义，也是入侵检测系统（IDS）和入侵预防系统（IPS）的一个重点。1.2 本课题的研究方法本文分别对端口扫描技术以及端口扫描的检测技术作了研究，并设计出一个根据扫描者向目标主机的TCP/IP服务端口发送探测数据包，并记录目标主机的响应，通过分析响应来判断服务端口是打开还是关闭，进而得知端口的状态的端口扫描程序，以及一个从网络信息的数据包的捕获和分析着手，通过统计判断是否存在端口扫描行为的端口扫描检测程序。端口扫描是一台主机对多个目标端口进行试探，包括打开的和没有打开的端口。这就为检测端口扫描提供了两条“线索”：一是“是否存在试图连接已经关闭端口的行为”；二是“在一段时间内，是否存在从一个源地址发出的数据包到达多个目的地址的行为”。检测端口扫描的方法主要有两种：一种是对主机没有对外提供服务的端口进行监听，如果检测到有对这样的端口的连接请求，就认为有扫描发生；另一种检测方法是对整个网络流量进行监控，检查网络中所有的数据，并对异常情况进行记录。在本文中，为了便于对端口扫描检测进行研究，从端口扫描检测的角度出发，把端口扫描技术分为普通扫描，慢速扫描及分布式扫描，并在后面的介绍中分别对不同的检测方法作了介绍。1.3 普通端口扫描检测技术概述目前比较常见的端口扫描就是一对一的扫描关系，如下图2所示，即只有一个扫描者，且扫描者从本身出发，不经过任何隐藏通过发送探测性数据包来判断目标主机的端口开放情况。2 检测端口扫描的实现2.1 检测程序的设计原理在检测端口扫描程序的设计与开发中，这里首先是采取通过套接字来进行数据包的捕获，再通过解IP包，然后对所解出的TCP包和UDP包分别再进行解包，并记录下到达的端口，以及源IP地址，目的IP地址，目的端口，再设计一种算法，通过算法对数据包进行统计分析，最后设定一个判断发生扫描行为的条件，当满足条件有三次及三次以上的相同源IP且到达端口的不同的数据包即判断发生端口扫描行为。此检测端口扫描程序的设计不但可以检测一般的扫描和快速扫描，在一定的程度上也能检测慢速扫描。以前的端口扫描检测方法都是采用在一个固定的时间窗T内查看从同一个源地址发起的连接数X, 如果X 超出了设定的阀值, 则判断为一次扫描。由于网络上的通信量非常大, 所以以前的端口扫描方法都会设定一个很小的时间窗T,防止消耗掉过多的内存和CPU时间。由于本文提出的方法与时间窗无关, 所以在不降低系统整体性能的前提下，在慢速扫描发送探测性数据包时间间隔上不超出所设计程序所能记录数据包的最大上限的情况下仍能很好的检测慢速扫描。

包含资料： 【买计算机毕业论文就到www.think58.com】 内容来自think58 [版权所有：http://think58.com]

think58.com [资料来源：http://think58.com]

[资料来源：http://think58.com]

源程序+论文（15000字以上）+可执行程序+答辩稿ppt+开题报告+外文翻译

copyright think58

[资料来源：http://THINK58.com]

[资料来源：THINK58.com]

获取资料请您联系本站客服 think58