面向入侵防范的反端口扫描系统ScanAnti的设计与实现

admin管理员组

文章数量:1533099

2024年3月23日发(作者：)

２０１　０年第２期　面向入侵防范的反端１２扫描系统ＳｃａｎＡｎｔｉ的设计与实现　袁博　

面向入侵防范的反端口扫描系统　

ＳｃａｎＡｎｔｉ的设计与实现　

袁　博　

（中国国土资源经济研究院，北京　１　０１　１　４９）　

摘　要：随着计算机网络的快速发展，网络安全问题也变得日益突出，而入侵攻击正是网络　

安全领域的一大主要威胁。入侵者攻击往往使用端口扫描工具来确定攻击目标。本文针对目前　

端口扫描的类型及工作原理，设计并实现了一个面向入侵防范的反端口扫描系统ＳｃａｎＡｎｔｉ，从而　

加快了系统记录、检索、统计网络信息的速度，为系统的高效运行提供了有力的保障。　

关键词：入侵防范；反端口扫描；数据库　

１　反端口扫描系统ＳｃａｎＡｎｔｉ的设计　

端口扫描是通过称为“扫描器”（ｓｃａｎｎｅｒ）的程序　

括数据库的清空、Ｗｉｎｐｃａｐ抓包模块的各项参数配置等。　

Ｗｉｎｐｃａｐ抓包模块：此模块是所有模块的基础。　

完成的。扫描器作为一种发现通信信道的方法，其主要　

主要功能包括：①在数据链路层，抓取此局域网内的　

思想是尽可能多地探测主机侦听端口，然后根据需要收　所有数据包。②配置过滤器，对所有数据包进行初步过　

集接受到的信息，通过这些信息分析出主机的安全漏　滤，减轻对上层核心判决模块的压力。③向上层提供调　

洞。其原理是向要探测的主机的所有端口或端口序列发　

用接口，将初步过滤的数据包送给核心判决模块。　

送一些特殊意义的数据包，根据主机对这些数据包的应　

数据库模块：为核心判决模块作出准确判决提供保　

②所有可疑的数据包信息。　

答或其它返回信息来判断端口的状态，进而找出其安全　障。主要记录的信息有：①受保护的主机信息、端口信息。　

漏洞，以便进行有针对性的攻击。　

针对目前端口扫描的类型及工作原理，设计并实现　

一

个适用于局域网的反端口扫描系统，对端口扫描进行　

１．１系统设计思路　

设计反端口扫描系统ＳｃａｎＡｎｔｉ的初衷，就是试图　

检测并进行有效的入侵防范，是本论文主要探讨的内容。　

找到一种能够对端口扫描进行有效入侵防范的方法。针　

对目前端口扫描的类型及工作原理，在改进一些端口扫　

描检测系统不足之处的基础上，设计了一个反端口扫描　

系统ＳｃａｎＡｎｔｉ，主要实现局域网内的反扫描干扰功能，　

可作为Ｗｉｎｄｏｗｓ系统防火墙的辅助工具。它应用于共　

享式的局域网络中，可以被安装在网络中的任何一台主　

机上。反端口扫描系统监视共享网络上的所有数据包，　

如果发现有端口扫描存在的话，它就模仿被扫描的主　

机，向扫描者发出一些貌似真实的伪造信息，使扫描者　

得到错误的扫描结果。　

１．２　ＳｃａｎＡｎｔｉ的系统模块框架结构　

图１　ＳｃａｎＡｎｔｉ的系统模块框架结构　

核心判决模块：整个系统的工作核心。根据数据库　

为了达到反端口扫描系统的功能要求，进行了系统　

提供的信息，依据相应的判断规则和分类规则，对网络　

中的可疑数据包进行分析，从而对扫描者，扫描类型和　

的模块框架结构设计。具体如图１所示，其中：　

ＭＦＣ界面模块：通过与数据库模块的数据交互，　

数据包类型等做出判断。

反扫描干扰模块：依据判决模块做出的结果，对扫　

完成对反端口扫描系统ＳｃａｎＡｎｔｉ主要页面的实现。　

初始化模块：完成系统的所有初始化工作。主要包　

描者进行反扫描干扰。根据扫描类型，制造出相应的虚　

［作者简介］袁博（１　９　８　４　），　男，北京市人，北京理工大学工程硕士，现为中国国土资源经济研究院实习研究员，研究方向为资源经济、信息安全。　

；－．ＨＬ遥感　２０１０年第２期　

假信息，从而迷惑扫描者，使其得到错误的扫描结果。　

１．３　ＳｃａｎＡｎｔｉ中所采用的关键技术　

“ＰｒｏｔｅｃｔＬｏｃａｌＨｏｓｔＩｎｆｏ”、“ＰｒｏｔｅｃｔＰｏｒｔｌｎｆｏ”、　

“ＳｃａｎＡｎｔｉＥｖｅｎｔ”，分别存储本地局域网受保护主机信　

针对现有端口扫描检测工具和软件所存在的主要问　

息、受保护端口信息以及１Ｐ异常数据包信息记录。　

在反端口扫描系统Ｓ　Ｃ　ａ　ｎ　Ａ　ｎ　ｔ　ｉ中，数据表　

题，在设计反端口扫描系统ＳｃａｎＡｎｔｉ的过程中运用了　

如下的手段和技术方案。　

“ＰｒｏｔｅｃｔＬｏｃａｌＨｏｓｔＩｎｆｏ”实现对受保护主机信息的存　

①用Ｗｉｎｐｃａｐ来捕获局域网内数据包　

储；数据表“ＰｒｏｔｅｃｔＰｏｒｔｌｎｆｏ”实现对受保护端口信息　

Ｗｉｎｐｃａｐ是Ｕ　ＮＩＸ下的ｌｉｂｐｃａｐ移植到ｗｉｎｄｏｗｓ　

的存储；而在系统执行过程中，数据表　

下的产物，工作于数据链路层，所以能以很高的效率进　“ＳｃａｎＡｎｔｉＥｖｅｎｔ”实现对端口扫描信息的实时纪录。　

行网络操作。反端口扫描系统ＳｃａｎＡｎｔｉ在数据链路层　

调用Ｗｉｎｐｃａｐ抓包模块来捕获此局域网内的所有数据　

包，通过配置过滤器设置捕获条件，对所有数据包进行　

初步过滤，只捕获我们关心的数据，扔掉无关的垃圾数　

据，这使得捕获包的数量大大减少，节省了存储空间，　

同时也就减少了包处理时间和掉包问题，可以充分减轻　

对上层核心判决模块的压力。　

②蜜罐技术　

在设计反端口扫描系统ＳｃａｎＡｎｔｉ的过程中，采用　

了基于网络的检测方式，并吸收蜜罐技术的思想，提供　

假情报以迷惑扫描者。　

③针对知名端口和漏洞端口的措施　

在设计反端口扫描系统ＳｃａｎＡｎｔｉ的过程中，在数　

据库文件中建立了一个数据表“ＰｒｏｔｅｃｔＰｏｒｔＩｎｆｏ”，在其　

中存放当前的知名端口和漏洞端口，可以实现对受保护　

端口信息的存储，使其保持更新的实时性，反端口扫描　

系统ＳｃａｎＡｎｔｉ判断对于知名端口和漏洞端口进行扫描　

的依据就是该数据表“ＰｒｏｔｅｃｔＰｏｒｔｌｎｆｏ”。如果有新的漏　

洞端口出现，系统管理员只要在该数据表　

“ＰｒｏｔｅｃｔＰｏｒｔＩｎｆｏ”中加入该端口的信息，反端口扫描系　

统ＳｃａｎＡｎｔｉ就能够灵活的检测到对于知名端口和漏洞　

端口进行的扫描，并且马上发出足以引起系统管理员注　

意的警告信息。　

２反端口扫描系统ＳｃａｎＡｎｔｉ的实现　

２．１　ＳｃａｎＡｎｔｉ的开发环境　

反端口扫描系统ＳｃａｎＡｎｔｉ是在Ｗｉｎｄｏｗｓ　ＸＰ操作　

系统中Ｖｉｓｕａｌ　Ｃ＋＋６．０下开发完成的。系统是基于　

ＭＦＣ　Ｄｉａｌｏｇ开发的，使用Ｗｉｎｐｃａｐ作为抓包工具，同　

时使用Ｍｉｃｒｏｓｏｆｔ　ｏｆｆｉｃｅ　ａｃｃｅｓｓ　２００３数据库支持系统　

数据存储。　

２．２　ＳｃａｎＡｎｔｉ主要模块的实现　

２．２．１数据库模块的实现　

本系统中使用的数据库为Ｍｉｃｒｏｓｏｆｔ　ｏｆｆｉｃｅ　ａｃｃｅｓｓ　

２００３，数据库名为“ＳｃａｎＡｎｔｉＤＢ．ｍｄｂ”，存储在当前系　

统文件工作目录下，该数据库中含有以下三个数据表：　

２．２．２核心判决模块的实现　

核心判决模块主要负责将Ｗｉｎｐｃａｐ抓获的可疑数　

据包加以解析、判断、分类和进行最后的判决，并根据　

最后的判决结果将相关信息传递给反扫描干扰模块，由　

反扫描干扰模块负责发送相应的干扰数据包，对扫描者　

进行反扫描干扰。　

该模块首先将对抓获的数据包进行解析，获取ＩＰ　

数据报头信息，然后根据ＩＰ数据报头信息中协议的内　

容分别进一步解析上层数据报头信息（如ＴＣＰ，　ＵＤＰ，　

ＩＣＭＰ等）。至此核心判决模块获得了完整的各层数据报　

头信息，而后开始根据这些完整的数据报头信息进行判　

断、分类和最后的判决。　

另外，为了保证反端口扫描的准确性，对于抓获的　

关于“某一主机的某一种扫描”的数据包的数目需要超　

过预先设定的门限值（本系统中设定为４）时，才确定当　

前主机处于该种扫描状态，才对而后抓获的该类数据包　

加以反扫描干扰；否则若抓获的关于“某一主机的某一　

种扫描”的数据包的数目小于预先设定的门限值，同时　

大于０时，则认为当前主机处于该种扫描的可疑状态，　

暂时不对其做出任何反击，需要进一步做出观察；而若　

抓获的关于“某一主机的某一种扫描”的数据包的数目　

为０时，则认为当前主机没有该种扫描行为，即正常。　

２．２．３反扫描干扰模块的实现　

反扫描干扰模块根据核心判决模块的判决结果对需　

要反扫描干扰的情况发送相应的干扰数据包，达到对扫　

描者进行干扰，使其得到错误扫描结果的目的。　

反端口扫描系统Ｓｃａｉ１Ａｎｔｉ对于所有被判决为　

ＡＮＴＩＢＯＤＹ的数据包均不做出反扫描干扰处理；对于　

所有ＡＮＴＩＧＥＮ数据包都做出反扫描干扰处理；而对　

于ＰＯＳＳＩＢＬＥＡＮＴＩＧＥＮ数据包需要进一步参考其　

它信息后才能做出是否进行反扫描干扰的决定。　

２．３　ＳｃａｎＡｎｔｉ的运行过程　

①首先显示欢迎界面，显示时间为２秒。　

②接着系统将显示系统数据初始化界面，主界面上　

的进度条显示系统初始化的进度。在这个步骤中系统将　

２０１　０年第２期　面向入侵防范的反端Ｅｌ扫描系统ＳｃａｎＡｎｔｉ的设计与实现　袁博　７　

扫描局域网主机，获取本地局域网活动主机的基本信　

（２）反端口扫描系统ＳｃａｎＡｎｔｉ能够完成对端口扫　

息，包括主机ＩＰ，主机名，主机ＭＡＣ地址等等。系统　描的常规检测，同时吸收蜜罐技术（Ｈｏｎｅｙ　Ｐｏｔ）的思　

将把所有获得的活动主机信息存储到Ｍｉｃｒｏｓｏｆｔ　ｏｆｆｉｃｅ　

想，在快速定位人侵者的基础上，通过制造大量虚假信　

ａｃｃｅｓｓ　２００３数据库“ＳＣａｎＡｎｔｉＤＢ．ｍｄｂ”中　

息对其进行有效的入侵防范。　

“ＰｒｏｔｅｃｔＬｏｃａｌＨｏｓｔｌｎｆｏ”表中。同时系统将初始化系统　

的主要数据结构一

ｍ

（３）反端口扫描系统ＳｃａｎＡｎｔｉ引入数据库相关技　

“Ｃ　Ｓ　Ｃ　ａ　ｎ　Ａ　ｎ　ｔ　ｉ　Ｃ　０　ｒ　ｅ　

术，加快了系统记录、检索、统计网络信息的速度，从　

ｃＳｃａｎＡｎｔｉＣｔｒｌ”类对象；读取数据库“ＳｃａｎＡｎｔｉＤＢ．　

而为系统的高效运行提供了有力的保障，同时也为系统　

ｍｄｂ”中“ＰｒｏｔｅｃｔＬｏｃａｌＨｏｓｔＩｎｆｏ”表来初始化本地受保　向着大容量，高速率，高精度的实用化反端口扫描系统　

护主机信息，读取“ＰｒｏｔｅｃｔＰｏｒｔｌｎｆｏ”表来初始化本地　

受保护端口信息；清空“ＳｃａｎＡｎｔｉＥｖｅｎｔ”表来实时记　

录本次反扫描干扰事件的信息。　

③系统初始化后，开始进入前面所示的系统主控制　

界面。可以首先点击“查看受保护主机”，“查看受保护　

端口”按钮来分别查看“系统受保护主机信息”以及“系　

统受保护端口信息”；然后点击“启动ＳｃａｎＡｎｔｉ”（点击　

后，系统将自动刷新该按钮，并修改其为“关闭　

ＳｃａｎＡｎｔｉ”按钮），系统将启动“一ＳｃａｎＡｎｔｉＴｈｒｅａｄ”子　

线程来监控本地局域网：　

Ｕ　ＩＮＴ

ＳｃａｎＡｎｔｉＴｈｒｅａｄ（ＬＰＶＯＩＤ　ｌｐａｒａｍ）；　

ｐＴｈｒｅａｄＳＣａｎＡｎｔｉ＝：：ＡｆＸＢｅｇｉｎＴｈ　ｒｅａｄ　

（一ＳｃａｎＡｎｔｉＴｈｒｅａｄ，ｔｈｉｓ）；／／反扫描子线程　

该子线程将负责调用Ｗｉｎｐｃａｐ来抓取异常数据包，　

并进一步解析、分析，最终根据数据包的类型不同作出　

不同的处理。该线程将一直执行，直到系统关闭为止。　

在“一ＳｃａｎＡｎｔｉＴｈｒｅａｄ”子线程执行过程中，系统　

主线程将停滞并等待用户对主控制台对话框的操作，若　

用户点击“关闭ＳｃａｎＡｎｔｉ”按钮，则系统将通过改变系　

统状态变量“ｍ—ｂ　Ｓ　Ｙ　Ｓ　Ｓ　ｔ　ａ　ｔ　ｅ”来结束　

“

ＳｃａｎＡｎｔｉＴｈｒｅａｄ”予线程。　

④点击“退出ＳｃａｎＡｎｔｉ”按钮，结束本次反端口扫　

描动作，退出系统。　

２．４　ＳｃａｎＡｎｔｉ的补充说明　

①反端口扫描系统ＳｃａｎＡｎｔｉ目前只能使用在局域　

网中，并且要求该局域网使用集线器等非交换机设备作　

为交换节点，否则交换机将过滤数据包，系统抓包工具　

将无法抓捕发送到其他主机的ＩＰ包。　

②在设计反端口扫描系统的过程中考虑到主机的负　

荷能力，只对数据库中记录的知名端口和部分漏洞端口　

进行保护。　

３结论　

本论文的主要创新点：　

（１）针对目前端口扫描的技术及工作原理，设计并　

实现一个面向入侵防范的反端口扫描系统ＳｃａｎＡｎｔｉ。　

演进提供了良好的拓展空间。　

参考文献：　

…Ｇｒｅｇ　Ｈｏｌｄｅｎ．网络防御与安全对策【Ｍ】．北京：清华大学出版社，　

２００４．　

［２寺田真敏等著．ＴＣＰ／Ｉ２】Ｐ，网络安全篇［Ｍ］．北京：科学出版社，　

２００５．　

［５】杨先义，等．网络安全理论与技术【Ｍ】．北京：人民邮电出版社，　

２００５．　

【４】刘锋，等．网络对抗［Ｍ】．北京：国防工业出版社，２００５．　

［５】Ｇｒｅｇ　Ｈｏｌｄｅｎ．网络防御与安全对策【Ｍ】．北京：清华大学出版社，　

２００４．　

［６】胡道元，等．网络安全［Ｍ】．北京：清华大学出版社，２００４．　

［７】洪宏，等．网络安全扫描枝术研究［Ｊ］．计算机工程，２００４，５０　

（１　６）：５４－５６．　　’

【８］张义荣，等．计算机网络扫描技术研究［Ｊ］．计算机工程与应用，　

２００４．２：１　７５－１　７７．　

［９】张玉清，等．安全扫描技术［Ｍｊ．北京：清华大学出版社，２００４．　

［ｉ　０】赵伟锋，等．一种了解黑客的有效手段一蜜罐（Ｈｏｎｅｙ，ｐｏｔ）［Ｊ】．计算　

机应用，２００５，２１（６）：２５９－－２６１．　

………　………　≈≈　

（上接第４页）　

是描述一组数据相对于某个对应值的波动幅度，当　

标准差或者方差的值越小时，说明该组数值相对于该对　

应值的波动越小。对于本次试验来说，标准差和方差值　

都很小，表明该组数据很均匀，几何畸变小，像元几何　

大小稳定。经过计算得到：平均像素值２．５２８米、标准差　

０．０２８、方差０．０００８０９，证明了各实测像素值与标称像素值　

２．５米一致。　

４结论　

本文对ＡＬＯＳ２．５米全色数据进行了试验研究与分　

析，初步得出ＡＬ０Ｓ　１Ｂ１级全色数据的像素几何大小可　

以达到其标称精度２．５米，能够满足国家ｌ：１００００基本　

比例尺制图精度要求０］。另外，该数据价格便宜，与同　

等分辨率的其他卫星数据相比具有较高的性价比，因此　

利用该数据进行测绘、区域环境监测、灾害监测、资源　

调查等遥感应用，能够降低应用成本，提高经济收益。　

参考文献：　

［１】ｈｔｔｐ：／／ｗｗｗ．ｊａｘ

ａ．ｊｐ／　

．

［２】陈述彭，等．遥感大辞典【Ｍ】．北京：科学出版社，１　９９０．８－－９．　

［５】李建立，等．４Ｌｉｌｔ像片扫描分辨率的确定因素分析【Ｊ】．测绘技　

术装备，２００７．（１）：１　７－１　９．　

本文标签： 系统扫描端口扫描信息