扫描工具和嗅探工具是黑客使用最多、使用最频繁的工具，只有充分掌握了被攻击主机的相关信息，下一步操作才能得心应手。当然，合理使用扫描和嗅探工具，也可以把系统配置得“滴水不漏”。
第9招 确定扫描目标
通过踩点与侦察，可以锁定一些大致的目标范围，要想具体到某台远程主机，还需要经过一番操作才能确定扫描目标。
1.确定目标主机IP地址
只有设置好网关的IP地址，TCP/IP协议才能实现不同网络之间的相互通信。网关IP地址是具有路由功能的设备的IP地址，具有路由功能的设备有路由器、启用了路由协议的服务器（实质上相当于一台路由器）、代理服务器（也相当于一台路由器）。
只要计算机连接到互联网上，就会有一个IP地址，查询本机IP地址的方法如下。
步骤1：在“命令提示符”窗口中运行“ipconfig”命令，在运行结果中可以看到本机IP地址、网关地址等信息，如图2-1所示。在“命令提示符”窗口中运行“netstat-n”命令，即可查看本机的IP地址，如图2-2所示。
图2-1 使用“ipconfig”命令查看本机IP地址
图2-2 使用“netstat-n”命令查看本机IP地址
步骤2：如果想攻击某个网站，也需要先获得该网站的IP地址，获取网站IP地址可使用ping命令。在“命令提示符”窗口中运行“ping www.baidu.com”命令，即可查看百度网站对应的IP地址，如图2-3所示。
步骤3：要想得到网站的详细信息，在【命令提示符】窗口中运行“nslookup www.qq.com”命令，即可查看新浪网详细信息，其中第1个Address中IP地址就是本机所在域的DNS服务器，第2个Addresses是www.qq.com所使用的Web服务器群的IP地址，如图2-4所示。
图2-3 使用ping命令查看网站的IP地址信息
图2-4 使用nslookup命令查看网站的详细信息
2.确定可能开放的端口和服务
在默认情况下，有很多不安全或没有作用的端口是开启的，如Telnet服务的23端口、FTP服务的21端口、SMTP服务的25端口等。攻击者可以使用扫描工具对目标主机进行扫描，可以获得目标计算机打开的端口情况，还可了解目标计算机提供了哪些服务。
在“命令提示符”窗口中输入“netstat-a-n”命令，即可查看本机开启的端口，在运行结果中可以看到以数字形式显示的TCP和UDP连接的端口号及其状态，如图2-5所示。
图2-5 查看本机查看的端口
Nmap是一款非常流行的端口扫描软件，下面以For Windows版本为例讲述Nmap是如何扫描端口的。利用Nmap扫描器对端口进行扫描的具体步骤如下。
步骤1：将网上下载的“nmap-4.52-win32.rar”解压缩后，可得到“nmap-4.53”文件夹，为了便于操作先将其放到C盘的根目录下，如图2-6所示。
步骤2：在“MS-DOS命令符”窗口中输入“cd C：\setup\nmap-4.53”命令，即可打开Nmap的安装目录，如图2-7所示。
图2-6 【nmap-4.53】文件夹
图2-7 打开Nmap安装目录
Nmap是基于命令格式的扫描软件，可使用Nmap命令进行端口扫描。Nmap对端口的扫描有三种方式。
1）TCP connect（）端口扫描。即全连接扫描，使用了“-sT”参数，只需在命令提示符下键入“Nmap-sT 192.168.0.88”命令，即可看到TCP全连接扫描的端口，如图2-8所示。
2）TCP同步端口扫描。该方式为半连接扫描，也叫隐蔽扫描。采用了“-sS”参数，在命令提示符下键入“Nmap-sS 192.168.0.88”命令，即可看到TCP半连接扫描的端口，如图2-9所示。
3）UDP端口扫描。该方式主要采用“-sU”参数，在命令提示符下键入“Nmap-sU 192.168.0.88”命令，即可看到扫描的UDP端口，如图2-10所示。
图2-8 TCPconnect（）端口扫描结果
图2-9 TCP同步端口扫描结果
Nmap还支持丰富、灵活的命令参数，比如要扫描一个IP地址段的UDP端口，还可以在命令提示符下键入“Nmap-sU 192.168.0.1-255”命令，如图2-11所示。
图2-10 UDP端口扫描结果
图2-11 IP地址段扫描结果
3.常见端口扫描工具
入侵者常常利用一些专门的扫描工具对目标主机的端口进行扫描，目前可以用来扫描端口的扫描工具很多，下面就介绍3种常见的扫描工具。
（1）FreePortScanner
FreePortScanner是一款端口扫描工具，用户可以快速扫描全部端口，也可以制定扫描范围。使用FreePortScanner进行端口扫描的具体操作步骤如下。
步骤1：下载FreePortScanner并打开其窗口，在“IP”文本框中输入目标主机的IP地址，再勾选“Show Closed Ports”复选框，如图2-12所示。
步骤2：单击【Scan】按钮，即可扫描到目标主机的全部端口，其中绿色标记是开放的端口，如图2-13所示。
步骤3：使用FreePortScanner可以只对目标主机开启的端口进行扫描，在“IP”文本框中输入要扫描的“IP”地址之后，再取消勾选“Show Closed Ports”复选框。
图2-12 【FreePortScanner】主窗口
图2-13 扫描目标主机所有的端口
步骤4：单击【Scan】按钮，在扫描完毕之后，即可显示出扫描结果，从扫描结果中可以看到目标主机开启的端口，如图2-14所示。
图2-14 只扫描开启的端口
（2）ScanPort
ScanPort软件不但可以用于网络扫描，同时还可以探测指定IP及端口，速度比传统软件快，且支持用户自设IP端口又增加了其灵活性。具体的使用方法如下。
步骤1：运行ScanPort主程序，即可打开“ScanPort”主窗口，在其中设置起始IP地址、结束IP地址以及要扫描的端口号，如图2-15所示。
步骤2：单击【扫描】按钮，即可进行扫描，从扫描结果中可以看出IP地址段中计算机开启的端口，如图2-16所示。
图2-15 【ScanPort】端口
图2-16 扫描后的结果
（3）S扫描器
S扫描器是一款命令行下高速扫描利器，用这工具的好处就在于其扫描速度非常快。究竟如何使用S扫描器？下面将一一讲述。
1）命令格式。
- s.exe syn ip1 ip2 端口号/save。
- s.exe tcp ip1 ip2 端口号 线程数/save。
2）用法。
- Scanner TCP/SYN StartIP [EndIP] Ports [Threads] [/Banner] [/Save]。
3）参数说明。TCP/SYN-＞TCP方式扫描或SYN方式扫描（SYN扫描需要在win 2k或以上系统才行），SYN扫描对本机无效。
- StartIP：起始扫描的IP。
- EndIP：结束扫描的IP，可选项，如果这一项没有，就只是对单个IP扫描。
- Ports：可以是单个端口，连续的一段端口或非连续的端口。
- Threads：使用最大线程数去扫描（SYN扫描不需要加这一项），不能超过1024线程。
- /Banner：扫描端口时一并将Banner显示出来，这一选项只对TCP扫描有效。
- /Save：将结果写入当前目录的Result.txt文件中去。
下面举例演示S扫描器的几个主要作用。
示例1：下载并运行S扫描器，在命令提示符下键入“S TCP 192.168.0.1 192.168.0.45 80 512”命令，即可实现TCP扫描从192.168.0.1到192.168.0.45这段IP中的80端口，最大并发线程是512，如图2-17所示。
示例2：下载并运行S扫描器，在命令提示符下键入“S TCP 192.168.0.1 192.168.0.45 21，5631 512/banner”命令，即可实现TCP扫描从192.168.0.1到192.168.0.45这段IP中的21和5631端口，最大并发线程是512并显示Banner，如图2-18所示。
图2-17 TCP扫描网段IP端口
图2-18 用TCP扫描端口并显示Banner
示例3：下载并运行S扫描器，在命令提示符下键入“S TCP 192.168.0.1 192.168.0.45 1-200 512”命令，即可实现TCP扫描从192.168.0.1到192.168.0.45这段IP中1到200端口，最大并发线程是512，如图2-19所示。
示例4：下载并运行S扫描器，在命令提示符下键入“S TCP 192.168.0.13 1-200 512”命令，即可实现TCP扫描192.168.0.13这段IP中1到200端口，最大并发线程是512，如图2-20所示。
图2-19 用TCP扫描1-200之间的端口
图2-20 用TCP扫描本机IP端口
示例5：下载并运行S扫描器，在命令提示符下键入“S SYN 192.168.0.13 1-65535/save”命令，即SYN扫描192.168.0.13段IP中的1～65535端口，将结果写入Result.txt文本文档。扫描结束后Result.txt文本文档及所有扫描内容都存放在S扫描器所在目录，如图2-21所示。
图2-21 用SYN扫描1-65535之间的端口
示例6：下载并运行S扫描器，在命令提示符下键入“S SYN 192.168.0.1 192.168.0.20 21/save”命令，即SYN扫描192.168.0.1到192.168.0.20这IP段中的21端口，将结果写入Result.txt文本文档中。由于这条命令是用来专门找肉鸡的，因此，将会扫描一个IP段有没有开3389端口或1433端口的，如图2-22所示。
图2-22 用SYN扫描网段端口
第10招 扫描服务与端口
黑客通过端口扫描器可在系统中寻找开放的端口和正在运行的服务，从而知道目标主机操作系统的详细信息。目前网络中大量主机/服务器的口令为空或口令过于简单，黑客只需要利用专用扫描器，即可轻松控制这种弱口令的主机。
1.黑客字典与弱口令扫描工具
所谓黑客字典就是装有各种密码的破解工具，通常情况下，只要知道本地文件的内容，就可以运用黑客字典将其破解。当然，黑客字典文件的好坏，直接关系到黑客是否能够破解到对方的密码，以及破解出密码花费多少时间。
（1）小榕黑客字典
小榕黑客字典是一款功能强大，可根据用户需要任意设定包含字符、字符串的长度等内容的黑客字典生成器。其具体操作方法如下。
步骤1：将“小榕黑客字典”软件解压缩后，双击“UltraDict.exe”图标，即可弹出【字典设置】对话框，如图2-23所示。
步骤2：在“设置”标签中可选择生成字符串包含的字母或数字及其范围，在“选项”标签中可根据特殊需要选取相应的选项，如图2-24所示。
步骤3：在“高级选项”标签中可将字母、数字或字符位置进行固定，如图2-25所示。
图2-23 设置字典选项
图2-24 选项设置
图2-25 设置高级选项
步骤4：在“文件存放位置”标签中指定字典文件保存位置之后，单击【确定】按钮，则显示所设置的字典文件属性，如图2-26所示。单击【开始】按钮，系统开始生成字典，并显示生成字典的进度，如图2-27所示。
图2-26 高级字典属性
图2-27 生成字典进度
（2）弱口令扫描器Tomcat
当字典文件创建好后，就可以使用弱口令扫描器，加载自己编辑的字典文件进行弱口令扫描了。Tomcat可以根据需要加载用户名称字典、密码字典，对一定IP范围内的主机进行弱口令扫描。具体的操作方法如下。
步骤1：将下载的压缩包解压后双击“Apache Tomcat.exe”图标，即可进入其操作界面，如图2-28所示。
步骤2：单击【设置】按钮，再分别单击“用户名”和“密码”列表框下方的【导入】按钮，即可导入编辑好的黑客字典，如图2-29所示。
步骤3：单击【信息】按钮，在其中输入需要扫描的IP地址范围。单击【添加】按钮，即可将其添加地址列表中。单击【开始】按钮，即可开始扫描。若发现活动主机，即可对主机的用户名和密码进行破解。
图2-28 Tomcat操作界面
图2-29 导入黑客字典
2.注入点扫描实例
啊D注射工具是一款功能非常强大的注射工具，集旁注检测、SQL猜解决、密码破解、数据库管理等功能于一身。实现啊D注入攻击的一般操作步骤如下。
步骤1：下载并解压啊D注入工具包，即可打开解压后的“啊D注入工具文件夹”窗口，如图2-30所示。双击“啊D注入工具”应用程序图标，即可进入“啊D注入工具”主窗口，如图2-31所示。
图2-30 “啊D注入工具文件夹”窗口
图2-31 “啊D注入工具”主窗口
步骤2：在“注入检测”选项栏目中单击【扫描注入点】按钮，即可打开“扫描注入点”页面，在“注入连接”地址栏中输入注入的网站地址。单击
按钮，即可打开该网站并扫描注入点个数，如图2-32所示。
步骤3：若单击“注入连接”右侧的
按钮，在其中对Cookies进行修改，如图2-33所示。根据需要选中其中的一个注入点，单击“注入检测”选项栏下方的【SQL注入检测】按钮，即可进入“SQL注入检测”页面。
步骤4：单击【检测】按钮等待检测完成后，单击【检测表段】按钮，即可检测出相应表段。再任意选择其中一个表段并单击右边【检测字段】按钮，即可检测出该表对应的字段。选择该表中的所有字段，单击【检测内容】按钮，即可开始检测内容，如图2-34所示。
图2-32 “扫描注入点”页面
图2-33 对Cookies进行修改
步骤5：稍等一段时间，待内容检测完毕后，在“检测内容”下方的列表框中，即可查看详细的检测内容（包括：用户名、密码、编号等）。显示结果如图2-35所示。
图2-34 “SQL注入检测”页面
图2-35 查看详细的检测内容
步骤6：单击“注入检测”选项栏目下方的【管理入口检测】按钮，即可打开“管理入口检测”页面，在“网站地址”栏目中输入需要管理入口检测的地址，单击【检测管理入口】按钮，等待几秒钟后，即可在下方列表中显示该网站的所有登录入口点，如图2-36所示。
图2-36 “管理入口检测”页面
第11招 扫描器X-scan查本机隐患
X-Scan是由安全焦点开发的一个功能强大的扫描工具。它采用多线程方式对指定IP地址段（或单机）进行安全漏洞检测，支持插件功能。
1.用X-scan查看本机IP地址
利用X-Scan扫描器来查看本机的IP地址的方法很简单，需要先指定扫描的IP范围。由于是本机探测，只需要在“命令提示符”窗口中命令提示符下输入“IPConfig”命令，即可查知本机当前IP地址，如图2-37所示。
2.添加IP地址
X-Scan的使用极其简单，解压缩后双击X-Scan_gui应用程序，即可打开并运行X-Scan主窗口，在其中可浏览此软件的功能简介、常见问题解答等信息，如图2-38所示。
图2-37 查看本机IP地址
图2-38 X-Scan主窗口
在得到本机的IP地址后，则需要将IP地址添加到X-Scan扫描器中，具体操作步骤如下。
步骤1：在X-Scan主窗口中，选择【设置】→【扫描参数】菜单项或单击工具栏上的“扫描参数”按钮
，即可打开【扫描参数】对话框，如图2-39所示。
图2-39 设置扫描IP范围
步骤2：选择“检测范围”选项，即可设置扫描IP地址的范围。在“指定IP范围”文本框中，可输入需要扫描的IP地址（如192.168.0.1）、IP地址段（如192168.0.1～192.168.0.88），还能增加子网掩码（如192.168.0.1/24）等。若不知道输入的格式，则可以单击该文本框右侧的【示例】按钮，在弹出的【示例】对话框中查看输入的有效格式。
步骤3：除手动输入扫描范围外，还可通过选择“从文件中获取主机列表”选项，从存储有IP地址的文本文件中读取待检测的主机地址。在文本文件中，每一行可包含独立IP或域名，也可以包含以“-”和“，”分隔的IP范围。
步骤4：在IP地址输入完毕后，可以发现扫描结束后自动生成的“报告文件”项中的文件名也在发生相应的变化。通常这个文件名不必手工修改，只需记住这个文件将会保存在X-Scan目录的LOG目录下。设置完毕后，单击【确定】按钮，即可关闭对话框。
3.开始扫描
在设置好扫描参数之后，就可以开始扫描了。单击X-Scan工具栏上的【开始扫描】按钮
，即可按设置条件进行扫描，同时显示扫描进程和扫描所得到的信息（可通过单击右下方窗格中的“普通信息”、“漏洞信息”及“错误信息”选项卡，查看所得到的相关信息），如图2-40所示。在扫描完成后将自动生成扫描报告并显示出来，其中显示了活动主机IP地址、存在的系统漏洞和其他安全隐患，同时还提出了安全隐患的解决方案，如图2-41所示。
图2-40 扫描进度
图2-41 扫描报告
X-Scan扫描工具不仅可扫描目标计算机的开放端口及存在的安全隐患，而且还具有目标计算机物理地址查询、检测本地计算机网络信息和Ping目标计算机等功能，如图2-42所示。
图2-42 X-Scan的其他功能
当所有选项都设置完毕之后，如果还想将来使用相同的设置进行扫描，则可以对这次的设置进行保存。在【扫描参数】对话框中单击【另存】按钮，即可将自己的设置保存到系统中。当再次使用时只需单击【载入】按钮，选择已保存的文件即可。
4.高级设置
X-Scan在缺省状态下效果往往不会发挥到最佳状态，这个时候就需要进行一些高级设置来让X-Scan变得强大起来。高级设置需要根据实际情况来做出相应的设定，否则X-Scan也许会因为一些“高级设置”而变得脆弱不堪。
（1）设置扫描模块
展开“全局设置”选项之后，选取其中的“扫描模块”选项，则可选择扫描过程中需要扫描的模块，在选择扫描模块时还可在其右侧窗格中查看该模块的相关说明，如图2-43所示。
（2）设置扫描线程
因为X-Scan是一款多线程扫描工具，所以在“全局设置”选项下的“并发扫描”子选项中，可以设置扫描时的线程数量（扫描线程数量要根据自己网络情况来设置，不可过大），如图2-44所示。
图2-43 选择扫描模块
图2-44 设置扫描线程数量
（3）设置扫描报告存放路径
在“全局设置”选项中选取“扫描报告”子选项，即可设置扫描报告存放的路径，并选择报告文件保存的文件格式。若需要保存设置的扫描IP地址范围，则可在勾选“保存主机列表”复选框之后，输入保存文件名称，这样，以后就可以调用这些IP地址了。若用户需要在扫描结束时自动生成报告文件并显示报告，则可勾选“扫描完成后自动生成并显示报告”复选框，如图2-45所示。
（4）设置其他扫描选项
在“全局设置”选项中选取“其他设置”子选项，则可设置扫描过程其他选项，如勾选“跳过没有检测到开放端口的主机”复选框，如图2-46所示。
图2-45 设置报告存放路径
图2-46 其他选项设置
（5）设置扫描端口
展开“插件设置”选项并选取“端口相关设置”子选项，即可扫描端口范围以及检测方式，如图2-47所示。若要扫描某主机的所有端口，则可在“待扫描端口”文本框中输入“1～65535”。
（6）设置SNMP扫描
在“插件设置”选项中选取“SNMP相关设置”子选项，用户可以选取在扫描时获取SNMP信息的内容，如图2-48所示。
图2-47 设置端口范围
图2-48 选择需要获取的SNMP信息
（7）设置NETBIOS扫描
选取“插件设置”选项下的“NETBIOS相关设置”子选项，用户可以选择需要获取的NETBIOS信息，如图2-49所示。
图2-49 选取需要获取的NETBIOS信息
（8）设置漏洞检测脚本
选取“插件设置”选项下的“漏洞检测脚本设置”子选项，在显示窗口中取消勾选“全选”复选框，单击【选择脚本】按钮，即可选择扫描时需要加载的漏洞检测脚本，如图2-50所示。
（9）设置CGI插件扫描
在“插件设置”选项下选择“CGI相关设置”子选项，即可选择扫描时需要使用的CGI选项，如图2-51所示。
图2-50 选择漏洞检测脚本
图2-51 选取CGI选项
（10）设置字典文件
在“字典文件设置”选项中可选择需要的破解字典文件，如图2-52所示。在设置好所有选项之后，单击【确定】按钮，即可完成扫描参数的设置。
图2-52 选择破解字典文件
第12招 用流光扫描主机漏洞
流光在国内的安全爱好者们心中可以说是无人不晓，它不仅仅是一个安全漏洞扫描工具，更是一个功能强大的渗透测试工具。流光以其独特的C/S结构设计的扫描设计颇得好评。
1.批量主机扫描
流光因功能较多，所以对初学者来说显得有点儿繁琐，不过幸好熟悉这个过程需要的时间不会太长，下面将为大家详细讲述用流光扫描主机漏洞的方法。具体操作步骤如下。
步骤1：在“流光”主窗口中选择【文件】→【高级扫描向导】菜单项或按“Ctrl+W”组合键，即可弹出【设置】对话框，如图2-53所示。
步骤2：在“起始地址”和“结束地址”项右侧文本框中输入起始IP（如：192.168.0.1）和终止IP（如：192.168.0.255），将“目录系统”设置为“Windows NT/2000”，如图2-54所示。
图2-53 “流光”主窗口
图2-54 【设置】对话框
步骤3：在全选所有检测项目后，单击【下一步】按钮，即可打开【PORTS】对话框，在其中指定扫描的端口范围（这里既可选择“标准端口扫描”项，也可选中“自定端口扫描范围”项），自行设定所需要扫描的端口范围，如图2-55所示。
步骤4：在如图2-56所示中全都选择默认状态后，单击【下一步】按钮，直到进入“Telnet”设置界面，则清空“SunOS Login”选项，如图2-57所示。
图2-55 【PORTS】对话框
图2-56 各个选项设置界面
步骤5：单击【下一步】按钮进入“CGI Rules”设置界面，在操作系统类型列表中选择“Windows NT/2000”项，根据需要选中或清空下方扫描列表的具体选项，如图2-58所示。
图2-57 “Telnet”设置界面
图2-58 “CGI Rules”设置界面
步骤6：单击【下一步】按钮，即可在如图2-59所示中选择默认状态，也可以根据实际需要清空部分选项。单击【下一步】按钮，即可进入“Plugings”设置界面，将操作系统的类型设置为“Windows NT/2000”选项，如图2-60所示。
图2-59 设置扫描各项
图2-60 “Plugings”设置界面
步骤7：在完成基本设置后，还需要指定扫描引擎的位置。单击【下一步】按钮，即可打开【选择流光主机】对话框，流光的扫描引擎既可以安装在不同的主机上，也可以直接从本地启动，如图2-61所示。如果没有安装过任何扫描引擎，流光将使用默认的本地扫描引擎。
步骤8：单击【开始】按钮，程序开始进行扫描并可以在流光右上部分的控制台中看到正在扫描的内容，如图2-62所示。
图2-61 【选择流光主机】对话框
图2-62 查看正在扫描的内容
步骤9：当扫描到安全漏洞时流光会弹出一个“扫描结果”窗口，在其中可以看到能够连接成功的主机和其扫描到的安全漏洞信息，如图2-63所示。当扫描结束后，流光会弹出一个对话框，询问用户是否立即查看更为详细的扫描结果，如图2-64所示。
步骤10：单击【是】按钮，随即流光将使用IE浏览器打开含有扫描报告的网页，在其中可以看到每台主机的详细扫描报告，如图2-65所示。
图2-63 探测结果
图2-64 “注意”提示框
图2-65 查看详细扫描报告
2.指定漏洞扫描
很多时候并不需要对指定主机进行全面的扫描，而是根据需要对指定的主机漏洞进行扫描。比方说只想扫描指定主机是否具有FTP方面的漏洞，是否有CGI方面的漏洞等。
具体的操作步骤如下。
步骤1：先加入需要破解的站点名称，只需在“流光”主窗口中右击“FTP主机”，在快捷菜单中选择【编辑】→【添加】菜单项，即可打开【添加主机】对话框，如图2-66所示。
步骤2：在其中输入远程主机的域名或IP地址，单击【确定】按钮关闭对话框，如图2-67所示。因为要探测主机的FTP是否存在漏洞，而这个是从FTP是否具有弱口令体现出来的。
图2-66 “流光”主窗口
图2-67 【添加主机】对话框
步骤3：还需在流光中添加用户和密码的字典。右击添加主机“192.168.0.14”，在快捷菜单中选择【编辑】→【从列表中添加】菜单项，即可打开【打开】对话框，如图2-68所示。
步骤4：在【打开】对话框中选择流光安装目录中含有用户名列表的Name文件，如图2-69所示。单击【打开】按钮，双击新添加用户列表文件下的“显示所有项目”项，随即“显示所有项目”项将切换成“隐藏所有项目”项，而用户列表中的所有用户都将显示出来，此时可以通过鼠标单击勾选/清除复选框来决定用户名的选用与否，如图2-70所示。
图2-68 添加用户名和字典
图2-69 【打开】对话框
图2-70 查看隐藏的所有项目
步骤5：按“Ctrl+F7”快捷按钮，即可令流光开始FTP的弱口令探测。当流光探测到弱口令后，在主窗口下方将会出现探测到的用户名、密码和FTP地址，如图2-71所示。
图2-71 显示“所有探测的密码”窗口
第13招 用MBSA检测Windows系统
Microsoft基准安全分析器（Microsoft Baseline Security Analyzer，MBSA）工具允许用户扫描一台或多台基于Windows的计算机，以发现常见的安全方面的配置错误。MBSA将扫描基于Windows的计算机并检查操作系统和已安装的其他组件（如IIS和SQL Server），以发现安全方面的配置错误，并及时通过推荐的安全更新进行修补。
1.MBSA的安装设置
MBSA可以执行对Windows系统的本地和远程扫描，可以扫描错过的安全升级补丁已经在Microsoft Update上发布的服务包。使用MBSA V2.0对系统漏洞进行安全分析之前，先要对MBSA进行安装设置，具体的操作步骤如下。
步骤1：下载并双击“MBSA V2.0”安装程序图标，即可进入“Welcome to the Microsoft Baseline Security Analyzer（MBSA V2.0欢迎安装向导）”界面，如图2-72所示。
步骤2：单击【Next】按钮，即可打开【License Agreement】对话框，在其中阅读安装信息，如图2-73所示。
图2-72 “Welcome to the Microsoft Baseline Security Analyzer”界面
图2-73 【License Agreement】对话框
步骤3：在阅读完毕后，选择“I accept the license agreement”单选项，单击【Next】按钮，即可打开【Destination Folder】对话框。单击【Browse】按钮，在其中根据需要选择安装的目标位置，如图2-74所示。
步骤4：在选择好安装的目标位置之后，单击【Next】按钮，即可打开【Start installation】对话框，如图2-75所示。若单击【Back】按钮，则返回上一级菜单。
图2-74 【Destination Folder】对话框
图2-75 【Start installation】对话框
步骤5：单击【Install】按钮，即可打开【Installation progress】对话框，程序开始安装并显示安装的进度条，如图2-76所示。程序安装完毕后，即可弹出【MBSA Setup】提示框，提示“Microsoft Baseline Security Analyzer Setup has Completed Successfully”信息。单击【OK】按钮，将完成整个安装过程，如图2-77所示。
图2-76 【Installation progress】对话框
图2-77 【MBSA安装】提示框
2.检测单台计算机
单台计算机模式最典型的情况是“自扫描”，也就是扫描本地计算机。
扫描单台计算机的具体操作步骤如下。
步骤1：双击桌面上的“MBSA V2.0”应用程序图标，即可进入“MBSA V2.0”应用程序主窗口，如图2-78所示。
步骤2：在这里可以选择检测一台计算机，还是检测多台计算机。如果要检测一台（通常是当前计算机，但也可以是网络中其他计算机），则只需要单击【Scan a computer】按钮，即可打开【Pick a Computer to Scan】对话框，在“Computer name”栏中，选择默认的当前计算机名；用户也可以更改，在“IP address”栏中输入需要检测的其他计算机IP地址，如图2-79所示。
图2-78 “MBSA V2.0”应用程序主窗口
图2-79 【Pick a Computer to Scan】对话框
提示
要想扫描一台计算机，必须具有该计算机的管理员访问权限才行。在【Pick a Computer to Scan】对话框中有许多复选框。其中涉及到选择扫描检测的项目，包括Windows系统本身、IIS和SQL等相关选项，也就是MBSA的三大主要功能。根据检测到的计算机系统中所安装的程序系统和实际需要来确定。如果要形成检测结果报告文件，则在“Security report name”栏中输入报告文件名称。
步骤3：在输入要检测的计算机并选择好要检测的项目后，单击【Start Scan】按钮，即可打开【Scanning】对话框，自动开始检测已选择项目并显示检测进度条，如图2-80所示。
图2-80 【Scanning】对话框
步骤4：在检测完成之后，即可弹出【View Security report】对话框，如图2-81所示。若单击“Microsoft Baseline Security Analyzer”栏目下方的【Pick a security report to view】按钮，即可查看扫描后的安全报告内容，如图2-82所示。
图2-81 【View Security report】对话框
图2-82 扫描后的安全报告内容
在报告中凡检测到存在严重安全隐患的则以红色“×”显示，中等级别的则以黄色“×”显示。用户还可单击“How to correct this”链接了解如何配置才能纠正这些不正确设置。
在如图2-81所示的检测结果中，第一项（Windows Security updates），是严重隐患，说明用户存在安全更新的问题。第二项和第三项（Office Security Updates和Silverlight Security Updates）是中等级别的隐患，说明Office软件的安全性更新与Silverlight的安全性更新等存在问题。
3.检测多台计算机
多台计算机模式是对某一IP地址段或整个域进行扫描。只需单击左侧“Microsoft Baseline Security Analyzer”栏目下方的【Pick a Multiple Computers to Scan】按钮，即可指定要扫描检测的多台计算机。所扫描的多台计算机范围可通过在“Domain name”文本框中输入这些计算机所在域来确定。这样，可检测相应域中所有计算机，也可通过在“IP address range”栏中输入IP地址段中的起始IP地址和终止IP地址来确定，这样，只检测IP地址范围内的计算机。单击【Start Scan】按钮，同样可以开始检测，如图2-83所示。
图2-83 检测的多台计算机
第14招 深入浅出RPC漏洞扫描
RPC（Remote Procedure Call，远程过程调用）是操作系统的一种消息传递功能。RPC在处理通过TCP/IP的消息交换部分有一个漏洞。如果成功利用此漏洞，攻击者就可以取得系统的控制权，完全控制被入侵的系统，窃取文件、破坏资料、重新格式化硬盘或建立系统管理员权限的账户等。RPC漏洞溢出攻击的具体操作方法如下。
步骤1：将下载好的Dcomrpc.xpn插件复制到X-scan的Plugin文件夹中运行X-scan，执行“设置”→“扫描参数”命令，在【扫描参数】对话框的“全局设置”和“扫描模块”中，可看到增加的“DcomRpc溢出漏洞”模块，如图2-84所示。
图2-84 添加RPC漏洞扫描模块
步骤2：如果使用rpc_locator.exe专用RPC溢出漏洞扫描工具，则先打开“命令提示符”窗口，进入rpc_locator.exe所在文件夹，执行“rpc_locator起始IP地址结束IP地址”命令后开始扫描并看到最终扫描结果，如图2-85所示。
步骤3：在扫描到RPC溢出漏洞主机之后，可使用cndcom.exe溢出工具，执行“Cndcom＜Target ID＞＜Target IP＞”命令。
例如：攻击一个IP地址为127.0.0.1，系统版本为英文版Windows 2000+SP4的目标主机，其对应的溢出攻击命令如图2-86所示。对于存在RPC溢出漏洞的系统，用户应及时下载相应的安全补丁并进行安装，同时还应使用防火墙封堵135端口。
图2-85 rpc_locator的使用
图2-86 执行溢出工具命令
第15招 用ProtectX防御扫描器追踪
ProtectX是一款在用户连接网络时保护电脑的工具，可以同时监视20个端口，还可以帮助追踪攻击者的来源。一旦任何入侵者尝试连接到用户的电脑，即可发出声音警告并将入侵者的IP位址记录下来，可以防止黑客入侵。
1.ProtecX实用组件概述
ProtectX安装过程与一般软件安装过程类似，这里不再赘述。在安装完毕ProtectX后重启系统，即可在Windows系统的通知栏中看到显示的ProtectX
图标，双击即可显示操作界面，窗口中间显示的是当前本机状态信息，如图2-87所示。
图2-87 ProtectX初始界面
ProtectX提供了几项实用功能组件，依次是端口安全（Port Sentry）、特洛伊安全（Trojan Sentry）和Identd服务（Identd Server）等。
1）端口安全。端口安全就是端口扫描监视器，在TCP端口1上监听，如果有扫描活动触发到1号端口，则Port Sentry将会报警，如图2-88所示。Protectx便可反跟踪对方，查询其域名、追溯起路由信息，并显示所截击到的扫描信息，如图2-89所示。
图2-88 Port Sentry的报警信息
图2-89 显示所截击到的扫描信息
2）特洛伊安全。特洛伊安全是指在一些木马常用端口上进行监听，一旦发现有人试图连接这些端口，即可报警。
3）Identd服务。可在计算机上打开一个安全Identd服务，初级用户最好不要打开这个服务。
2.防御扫描器入侵
有了ProtectX的保护，对于一般的扫描攻击，大家就不用担心了。不过仅仅依靠这个工具，还远远谈不上安全，还需要提前做好防御扫描入侵的准备。
1）对于Windows 2000/XP用户，要修改注册表，禁止匿名用户对IPC$的访问。方法是在注册表编辑器中展开到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControl Set\Control\Lsa分支，找到restrictanonymous键值并将其值改为1，如图2-90所示。
2）修改注册表，禁止自动管理共享。在注册表编辑器中展开HKEY_LOCAL_MACHINE\SYSTEM\CurrentControl Set\Services\Lanmanserver\parameters分支，找到AutoShareServer键值并将其改为0，同时找到AutoShareWKs键值，改为0，如图2-91所示。
图2-90 将restrictanonymous键值改为13）及时更新操作系统。
图2-91 将restrictanonymous键值改为0
第16招 监控局域网计算机
针对机房中的用户经常误设工作组、随意更改计算机名、IP地址和共享文件夹等情况，可以使用“局域网查看工具LanSee”非常方便地完成监控，既可以迅速排除故障，又可以解决一些潜在的安全隐患。
1.搜索计算机
LanSee是一款主要用于对局域网（Internet上也适用）上各种信息进行查看的工具，采用多线程技术，将局域网上比较实用的功能完美地融合在一起，功能十分强大。
使用LanSee工具搜索计算机的具体操作步骤如下。
步骤1：双击下载的应用程序，即可打开【局域网查看工具】主窗口，如图2-92所示。
图2-92 【局域网查看工具】主窗口
步骤2：单击【设置】按钮，即可在【设置】对话框中选择相应网段形式，并进行相应的设置，如图2-93所示。在【搜索计算机设置】选项卡中选择在局域网内搜索计算机的选项，并在其文本框中输入搜索的相关任务，如图2-94所示。
图2-93 【设置】对话框
图2-94 【搜索计算机设置】对话框
步骤3：在【搜索文件设置】选项卡中没有要使用的文件类型，则可在【添加】按钮左侧的文本框中输入需要的文件格式名，如图2-95所示。单击【添加】按钮，即可成功添加。
步骤4：在选择所需格式之后，单击【保存设置】按钮，即可完成对搜索文件的设置。在【端口设置】选项卡中选择扫描的范围，并在“常用端口设置”中选择要使用的端口，如图2-96所示。
步骤5：打开【局域网查看工具】主窗口后，在“搜索工作组”文本框中输入某台计算机名称，单击【计算机名→IP】按钮，即可在文本框中显示出该计算机IP地址，如图2-97所示。
图2-95 【搜索文件设置】对话框
图2-96 【端口设置】对话框
步骤6：如果要打开搜索的计算机并与之进行连接，则单击【打开该计算机】按钮，在【连接到】对话框中输入相应内容，即可与此计算机建立连接，如图2-98所示。
图2-97 IP地址的显现
图2-98 【连接到】对话框
步骤7：如果想要搜索某一工作组的计算机，则单击【搜索工作组】按钮，即可搜索到局域网内的一切工作组，如图2-99所示。单击【搜索计算机】按钮，即可搜索出相应的计算机，如图2-100所示。
图2-99 工作组显现
图2-100 搜索计算机
2.搜索共享资源
共享资源往往是局域网数据泄漏的“罪魁祸首”，网管要经常检查局域网中是否存在一些不必要的开放共享资源，在查看到不安全因素后，要及时通知开放共享的用户将其关闭。
在LanSee中进行这个操作前需要先搜索出计算机，单击菜单栏中【搜索共享资源】按钮，即可在“共享资源列表”框中看到每台计算机开放的共享资源，如图2-101所示。
图2-101 搜索共享资源
第17招 Real Spy Monitor监控网络
Real Spy Monitor是一个监测互联网和个人电脑，以保障其安全的软件，包括键盘敲击、网页站点、视窗开关、程序执行、屏幕扫描以及文件的出入等都是其监控的对象。
1.添加使用密码
在使用Real Spy Monitor对系统进行监控之前，要进行一些设置，具体的操作步骤如下。
步骤1：在安装完Real Spy Monitor之后，双击桌面上的“Real Spy Monitor”应用程序图标，即可弹出“注册”页面，如图2-102所示。
步骤2：在阅读相应的注册信息后，单击【Continue..】按钮，即可打开【SetPassWord】对话框。由于是第一次使用，所以没有旧密码可更改，只需在“New Password”和“Confirm”文本框中输入相同的密码。单击【OK】按钮，即可完成密码设置，如图2-103所示。
图2-102 “注册”页面
图2-103 【SetPassWord】对话框
小技巧
在【SetPassWord】对话框中所填写的新密码，将会在Real Spy Monitor的使用中处处要用，所以千万不能忘记密码。
2.设置弹出热键
需要设置弹出热键，那是因为Real Spy Monitor运行时会彻底地将自己隐藏，用户在“任务管理器”等处看不到该程序的运行。要将运行时的Real Spy Monitor调出就要使用热键才行，否则即使单击【开始】菜单中的Real Spy Monitor菜单项也不会将其调出。
设置热键的具体操作步骤如下。
步骤1：在设置完使用密码后将返回到“Real Spy Monitor”主窗口，如图2-104所示。
步骤2：单击“Hotkey Choice”图标，即可打开【Configuration】对话框，在“Select your hotkey patten”下拉列表中选择所需热键（也可自定义），如图2-105所示。
图2-104 “Real Spy Monitor”的主窗口
图2-105 【Configuration】对话框
3.监控浏览过的网站
在完成了最基本的设置后，就可以使用Real Spy Monitor进行系统监控了。下面讲述Real Spy Monitor如何对一些最常使用的程序进行监控。监控浏览过的网站的具体操作步骤如下。
步骤1：单击“Real Spy Monitor”主窗口中的【Start Monitor】按钮，为确保程序的使用者是设置使用密码的那个用户，Real Spy Monitor将会弹出【密码输入】对话框，只有输入正确的密码后，才可能让Real Spy Monitor听从号令，如图2-106所示。
步骤2：单击【OK】按钮，即可弹出“注意”提示框，在认真阅读注意信息后，单击【OK】按钮，如图2-107所示。
图2-106 【密码输入】对话框
图2-107 “注意”提示框
步骤3：使用IE浏览器随便浏览一些网站后，再按所设的“Ctrl+Alt+S”组合键，则弹出如图2-108所示的窗口。在【密码输入】对话框中输入所设置的密码，才能够调出“Real Spy Monitor”主窗口，可以发现其中“Websites Visited”项下已有了计数，如图2-109所示。
步骤4：在其中可以看出计数的数字为37，这表示共打开了37个网页。单击“Websites Visited”项中的图标后将弹出“Report”窗口，可看到列表里的37个网址。这就是Real Spy Monitor监控到使用IE浏览器打开的网页。
图2-108 查看Websites Visited计数个数
图2-109 Websites Visited“Report”窗口
提示
如果想要深入查看相应网页是什么内容，只需要双击列表中的网址，即可自动打开IE浏览器访问的相应网页。
4.键盘输入内容监控
对键盘输入的内容进行监控通常是木马做的事，但Real Spy Monitor为了让自身的监控功能变得更加强大也提供了此功能。其针对键盘输入内容进行监控的具体操作步骤如下。
步骤1：在输入一些内容后，再按所设的“Ctrl+Alt+S”组合键，则会弹出如图2-108所示的窗口。在【密码输入】对话框中输入所设置的密码调出“Real Spy Monitor”主窗口，此时可以发现“Keystrokes Typed”项下已经有了计数，如图2-110所示。
步骤2：在其中可以看出计数的数字为15，这表示有和计数数字相同的15条记录。单击“Keystrokes Typed”项中的图标后，弹出“Report”窗口，在其中可以看到有和计数数字相同的15条记录，如图2-111所示。
图2-110 查看Keystrokes Typed计数个数
图2-111 Keystrokes Typed的“Report”窗口
步骤3：双击其中任意一条记录，弹出记事本窗口，在其中可以看出“Administrator”用户在某点某时某分输入的信息，如图2-112所示。如果用户输入了“Ctrl”类的快捷键，则Real Spy Monitor同样也可以捕获到，如图2-113所示。
5.程序执行情况监控
如果想知道用户都在计算机中运行哪些程序，只需在“Real Spy Monitor”主窗口中单击“Programs Executed”图标，在弹出报告对话框中可看到运行的程序名和路径，如图2-114所示。
图2-112 查看记事本
图2-113 捕获包含“Ctrl”这类的快捷键
图2-114 Programs Executed的“Report”窗口
6.即时截图监控
用户可以通过Real Spy Monitor的即时截图监控功能（默认为一分钟截一次图）来查知用户的操作历史。
监控即时截图的具体操作步骤如下。
步骤1：在“Real Spy Monitor”主窗口单击“Screen Snapshots”图标，即可弹出【Reprot】对话框，在其中可看到Real Spy Monitor对系统进行的操作，如图2-115所示。
步骤2：也可双击其中任意一项截图记录，打开Windows图片和传真查看器，可查看所截取的图，如图2-116所示。
显然，Real Spy Monitor的功能是极其强大的。使用它对系统进行监控，网管将会轻松得多。在一定程度上，为查看网管监控系统中是否有黑客的入侵带来了极大的方便。
图2-115 Screen Snapshots的“Report”窗口
图2-116 查看所截取的图