Unix主機漏洞掃描器的設計與實現(xiàn)（1）
漏洞掃描器的總體目標是構(gòu)造一個運行于Unix操作系統(tǒng)平臺的基于瀏覽器/服務器（B/S）結(jié)構(gòu)的，可以掃描Unix操作系統(tǒng)安全漏洞的主機漏洞掃描器。整個掃描器的結(jié)構(gòu)如圖1所示。
圖1 Unix主機漏洞掃描器的結(jié)構(gòu)
由于主機掃描模塊需要模擬一些系統(tǒng)管理員的行為，所以必須在被掃描的目標主機上運行，而且需要超級用戶的權(quán)限。主機掃描模塊駐留于目標主機，它接受系統(tǒng)管理員通過控制平臺服務器傳來的啟動命令及配置參數(shù)，根據(jù)用戶的要求完成掃描功能，之后，將掃描結(jié)果通過控制平臺服務器反饋給系統(tǒng)管理員，以便系統(tǒng)管理員做出響應?？刂破脚_服務器是一個Web服務器，它可以與駐留于多個目標主機的主機掃描模塊進行交互。
主機掃描模塊的工作原理
整個主機漏洞掃描器的核心部件是主機掃描模塊，主機掃描模塊完成掃描的全部功能，其工作原理如圖2所示。
其中，主機掃描引擎對目標主機進行掃描，獲取掃描信息，然后由匹配機將掃描信息與主機系統(tǒng)配置規(guī)則庫中的標準配置規(guī)則進行匹配比較，從而發(fā)現(xiàn)違反安全策略的配置行為，并進行相應的漏洞報警。在漏洞掃描器的實現(xiàn)中，主機掃描引擎、主機系統(tǒng)配置規(guī)則庫和匹配機構(gòu)成主機掃描模塊，而漏洞報警被傳送至控制平臺服務器。
圖2 主機掃描模塊的工作原理
主機掃描模塊與控制平臺之間的通信
由于控制平臺和目標主機不在同一臺機器上，所以必須考慮主機掃描模塊以何種方式同控制平臺進行通信。在進行原型設計時，曾采用遠程登錄的方式：從控制平臺輸入管理員的賬號和密碼后登錄到目標主機，再在目標主機上啟動主機掃描模塊。這樣的方式在原型設計階段是很適合的，因為用Perl語言和一些現(xiàn)成的包來實現(xiàn)Telnet是比較方便的，而且在字符界面下，目標主機的掃描結(jié)果可以通過Telnet協(xié)議返回到虛擬終端上，無需做專門的處理。
但是在***成型階段，這樣的結(jié)構(gòu)就具有一些缺點了：首先從實現(xiàn)上來講，用C語言來實現(xiàn)Telnet的協(xié)商過程是一個很復雜的工作，而且掃描結(jié)果要在***的圖形界面顯示出來，又需要一個相對復雜的處理；最重要的是，作為一個網(wǎng)絡安全的軟件，本身的安全是很重要的，而Telnet方式是以明碼方式在網(wǎng)絡上傳遞超級用戶的賬號和密碼的，這一點將使軟件本身具有一個很大的安全隱患。所以***我們采用了瀏覽器/服務器結(jié)構(gòu)。
整個主機掃描模塊的采用的是瀏覽器/服務器結(jié)構(gòu)。瀏覽器通過一個JavaScript請求模塊把用戶輸入的目標主機的地址提取出來，加上一個特定的端口號，再作為一個完整的請求發(fā)送出去。瀏覽器對這個端口發(fā)出的請求是按照Http協(xié)議的格式發(fā)送的，如果在服務器端程序里再做一個類似于協(xié)議分析器的工具來分析到達的Http請求將會使實現(xiàn)變得非常復雜。其實利用套接字的原理就能方便地解決這個問題。
套接字是服務器端特定端口和客戶端特定端口建立連接后的一個通道，此通道具有唯一性，因為它是由一個唯一的四元組來確定的：服務器端的IP地址和端口號、客戶端的IP地址和端口號。當瀏覽器和服務器相應端口的連接建立以后，服務器端向該套接字發(fā)送的所有信息都將送到客戶端的瀏覽器。
根據(jù)Web瀏覽器軟件的特點和Http協(xié)議的特點，從服務器端來的信息如果只是ASCII信息，瀏覽器將缺省地把它歸為text/plain類，當作文本直接顯示，如果發(fā)送的信息再加上一些HTML的標記，瀏覽器則會把它看作text/html類顯示，這樣我們不僅能方便地把服務器端的輸出結(jié)果顯示到客戶端的瀏覽器上，還能利用HTML的特點對顯示加以控制。
所以我們只需在服務器端創(chuàng)建一個套接字，并綁定到特定的端口，然后程序在該特定端口監(jiān)聽。當有信息到達時，根據(jù)套接字的唯一性，程序不作其他考慮，認定它是從客戶端來的掃描請求，馬上啟動主機掃描模塊，而不用作復雜的Http協(xié)議請求分析；并實時地把掃描結(jié)果向該套接字輸出，這樣就能直接返回給瀏覽器并呈現(xiàn)給用戶。
【編輯推薦】
