第2章 扫描与嗅探工具

重点提示：

◆ Real Spy Monitor

◆ 端口扫描器

◆ 漏洞扫描器

◆ 常见的嗅探工具

黑客在进行攻击前，常常会利用专门的扫描和嗅探工具对目标计算机进行扫描。在分析目标计算机的各种信息之后，才会对其进行攻击。在本章将介绍几款常见的嗅探与扫描工具。

扫描工具和嗅探工具是黑客使用最频繁的工具，只有充分掌握了目标主机的详细信息，才可以进行下一步操作。同时合理利用扫描和嗅探工具，还可以实现配置系统的目的。

2.1 Real Spy Monitor监控网络

Real Spy Monitor是一款监测互联网和个人电脑、以保障其安全的软件，可以监控键盘敲击、网页站点、视窗开关、程序执行、屏幕扫描以及文件的出入等内容。不仅可以记录网页的浏览，还可以记录AOL、ICQ、MSN、AIM、Yahoo Messenger等实时通信的软件，在网页上使用邮件系统的Web Mail内容，包含MSN和Hotmail等，均可详细记录所有资料。

2.1.1 设置Real Spy Monitor

在使用Real Spy Monitor软件对系统进行监控之前，要进行一些设置，例如设置密码和热键等。具体的操作步骤如下。

步骤01 在安装完Real Spy Monitor之后，双击桌面上的“Real Spy Monitor”应用程序图标，即可弹出打开“Real Spy Monitor注册”窗口，如图2-1所示。

步骤02 在阅读相应的注册信息后，单击“Continue（继续）”按钮，即可打开“SetPassWord（设置密码）”窗口，如图2-2所示。

步骤03 由于是第一次使用，所以没有旧密码，只需在“New Password（新密码）”和“Confirm（确认）”文本框中输入相同密码，单击“OK”按钮，即可打开“Real Spy Monitor”主窗口，如图2-3所示。

步骤04 在“Real Spy Monitor”主窗口中单击“Hotkey Choice（选择热键）”按钮，即可打开“Configuration（配置）”对话框，如图2-4所示。

步骤05 在“Select your hotkey patten（选择热键样式）”下拉列表中，可以选择所需的热键（也可以自定义），单击“OK”按钮，即可完成设置。

2.1.2 使用Real Spy Monitor监控网络

在设置完密码和热键之后，就可以使用Real Spy Monitor软件对系统进行监控。下面讲述Real Spy Monitor监控一些最常使用的程序。具体的操作步骤如下。

步骤01 在“Real Spy Monitor”主窗口中单击“开始监控”按钮，即可打开“输入密码”对话框，在其中输入设置的密码，如图2-5所示。只有输入正确密码，才可让Real Spy Monitor对系统进行监控。

步骤02 单击“OK”按钮，即可打开“注意”提示框，在其中认真阅读注意信息，如图2-6所示。单击“OK”按钮，即可进行监控。

步骤03 在IE浏览器中浏览一些网站后，按设置的“Ctrl+Alt+E”组合键，在“输入密码”文本框中输入设置的密码，即可打开“Real Spy Monitor”主窗口，发现窗口中的“Websites Visited”项下已经有了计数，如图2-7所示。

步骤04 单击“Websites Visited”图标，即可弹出“Report（报告）”窗口，在其中看到用户使用IE浏览器打开的网页，如图2-8所示。

步骤05 对键盘输入的内容进行监控通常是木马做的事，但Real Spy Monitor为了让自身的监控功能变得更加强大却也提供了此功能。在“报告”对话框中勾选“Keystrokes Typed”复选框，即可看到相应的键盘输入记录，如图2-9所示。

步骤06 双击其中任意一条记录，则可打开一个记事本文件，通过该文件可看出“Administrator”用户在某时刻输入的信息，如图2-10所示。

步骤07 如果想知道目标计算机中打开哪些窗口，则只需在“报告”对话框中勾选“Windows”复选框，即可将目标计算机中正在打开的窗口显示出来。如图2-11所示。

步骤08 利用Real Spy Monitor软件还可以将目标主机中正在运行的应用程序显示出来。在“报告”对话框中勾选“Programs（程序）”复选框，即可将计算机中正在运行的程序显示出来。如图2-12所示。

步骤09 可以通过Real Spy Monitor的即时截图监控功能（默认为一分钟截一次图）查知用户的操作历史。在“报告”对话框中勾选“Snapshots”复选框，即可所有的截图记录，如图2-13所示。

步骤10 双击其中的任意一项截图记录，即可打开Windows图片和传真查看器，在其中查看所截取的图。如图2-14所示。

步骤11 在Real Spy Monitor软件中还可以查看用户打开文件的记录。在“报告”对话框中勾选“Files/Docs”复选框，即可看到该用户打开文件夹或者Word文档的全部记录，如图2-15所示。

步骤12 在Real Spy Monitor软件中还可以监控AOL、ICQ、MSN、AIM、Yahoo Messenger等实时通信的软件。在“Real Spy Monitor”主窗口中单击“MSN Messenger”按钮，即可打开“Messenger Report（信息报告）”对话框，在其中对MSN、ICQ、ACL\AIM以及yahoo等即时通信软件进行监视，如图2-16所示。

不难看出，Real Spy Monitor的功能是极其强大的。使用该软件可以对系统进行监控，这样在一定程度上，将会给网管监控系统中是否有黑客的入侵带来极大方便。

2.2 端口扫描器

由于网络服务和端口是一一对应的，如FTP服务通常开设在TCP 21端口，Telnet服务通常开设在TCP 23端口，所以黑客在攻击前要进行端口扫描，其主要目的是取得目标主机开放的端口和服务信息，从而为“漏洞检测”做准备。

2.2.1 X-Scan扫描器

X-Scan工具采用多线程方式对指定IP地址段(或单机)进行安全漏洞检测，且支持插件功能。它可以扫描出操作系统类型及版本、标准端口状态及端口BANNER信息、CGI漏洞、IIS漏洞、RPC漏洞、SQL-SERVER、FTP-SERVER、SMTP-SERVER、POP3-SERVER、NT-SERVER弱口令用户、NT服务器NETBIOS等信息。

1. 设置X-Scan扫描器

在使用X-Scan扫描器扫描系统之前，需要先对该工具的一些属性进行设置，例如扫描参数、检测范围等。设置和使用X-Scan的具体操作步骤如下。

步骤01 在X-Scan文件夹中双击“X-Scan_gui.exe”应用程序，即可打开“X-Scan v3.3 GUI”主窗口，在其中可以浏览此软件的功能简介、常见问题解答等信息，如图2-17所示。单击工具栏中的“扫描参数”按钮，即可打开“扫描参数”对话框，如图2-18所示。

步骤02 在左边的列表中单击“检测范围”选项卡，在“指定IP地址范围”文本框中输入要扫描的IP地址范围。若不知道输入的格式，则可以单击“示例”按钮，即可打开“示例”对话框，在其中看到各种有效格式，如图2-19所示。

步骤03 在“全局设置”选项卡中单击“扫描模块”子项，即可选择扫描过程中需要扫描的模块，还可在右侧窗格中查看选择的模块的相关说明，如图2-20所示。

步骤04 由于X-Scan是一款多线程扫描工具，所以可以在“并发扫描”子项中设置扫描时的线程数量，如图2-21所示。在“扫描报告”子项中可以设置扫描报告存放的路径和文件格式，如图2-22所示。

步骤05 在“其他设置”子项中可以设置扫描过程的其他属性，如设置扫描方式、显示详细进度等，如图2-23所示。

步骤06 单击“插件设置”选项下的“端口相关设置”子选项，即可设置扫描端口范围以及检测方式，如图2-24所示。X-Scan提供TCP和SYN两种扫描方式；若要扫描某主机的所有端口，则在“待扫描端口”文本框中输入“1～65535”即可。

步骤07 在“SNMP相关设置”子项中勾选相应的复选框，即可设置在扫描时获取SNMP信息的内容，如图2-25所示。在“NETBIOS相关设置”子项中设置需要获取的NETBIOS信息类型，如图2-26所示。

步骤08 在“漏洞检测脚本设置”子项中取消勾选“全选”复选框之后，单击“选择脚本”按钮，即可打开“Select Script（选择脚本）”对话框，如图2-27所示。

步骤09 在选择检测的脚本文件之后，单击“确定”按钮返回到“扫描参数”对话框中，分别设置脚本运行超时和网络读取超时等属性，如图2-28所示。

步骤10 在“CGI相关设置”子项中可设置扫描时需要使用的CGI选项，如图2-29所示。在“字典文件设置”子项中双击字典类型，即可打开“打开”对话框，如图2-30所示。

步骤11 在其中选择相应的字典文件，单击“打开”按钮返回到“扫描参数”对话框，即可看到选中的文件名字和可以选择的字典文件，如图2-31所示。在设置好所有选项之后，单击“确定”按钮，即可完成设置。

2. 使用X-Scan进行扫描

在设置完X-Scan各个属性后，就可以利用该工具对指定IP地址范围内的主机进行扫描。

具体的操作步骤如下。

步骤01 在“X-Scan v3.3 GUI”主窗口中单击“开始扫描”按钮，即可加载漏洞检测脚本，如图2-33所示。待加载完毕后，即可进行扫描，在扫描的同时显示扫描进程和扫描所得到的信息，如图2-34所示。

步骤02 在扫描完成之后，即可看到HTML格式的扫描报告，可看到活动主机IP地址、存在的系统漏洞和其他安全隐患，同时还提出了安全隐患的解决方案，如图2-35所示。

步骤03 在“X-Scan v3.3 GUI”主窗口中选择“漏洞信息”选项卡，即可看到存在漏洞的主机信息，如图2-36所示。

步骤04 利用X-Scan扫描工具不仅可以扫描目标计算机开放端口及存在的安全隐患，还具有查询目标计算机物理地址、检测本地计算机网络信息和Ping目标计算机等功能。在“X-Scan”窗口中选择“工具”→“物理地址查询”菜单项，即可打开“工具”对话框，在“IP地址/主机名”文本框中输入相应的IP地址，如图2-37所示。

步骤05 单击“查询物理地址”按钮，即可查看目标计算机的信息。在“ARP Query（ARP查询）”选项卡中单击“Query（查询）”按钮，即可显示出本机所在局域网中所有主机的IP地址和物理地址，如图2-38所示。在该工具中还可以执行域名查询、路由跟踪等操作。

2.2.2 SuperScan扫描器

扫描类黑客工具SuperScan自带有一个木马端口列表Trojans.lst，通过这个列表可以检测目标计算机是否有木马，也可以自定义修改这个木马端口列表。主要功能有通过Ping检验IP是否在线、IP和域名相互转换、检验目标计算机提供的服务类别、检验一定范围目标计算机是否在线和端口情况等。使用SuperScan进行扫描的具体操作步骤如下。

步骤01 下载“SuperScan”工具之后，运行其中的“SuperScan.exe”应用程序，即可打开“SuperScan 4.0”主窗口，如图2-39所示。

步骤02 在“开始IP”和“结束IP”文本框中设置要扫描的IP范围之后，单击按钮，即可将其添加到右边的列表中，如图2-40所示。

步骤03 在设置完毕之后，单击按钮，即可开始扫描。在扫描结束之后，SuperScan将提供一个主机列表，用于显示每台扫描过的主机被发现的开放端口信息，如图2-41所示。

步骤04 SuperScan还有选择以HTML格式显示信息的功能，单击“查看HTML结果”按钮，即可打开“SuperScan Report”页面，在其中显示扫描了的主机和以及每台主机中开放的端口，如图2-42所示。

步骤05 在SuperScan软件中还可自己定制扫描方式。在“SuperScan 4.0”主窗口中单击“Windows枚举”选项卡，在“主机名/IP/URL”文本框中输入目标主机的IP地址，如图2-43所示。单击“Enumerate（枚举）”按钮，即可在列表中看到该主机各种信息，如图2-44所示。

步骤06 在“主机和服务扫描设置”选项卡中可以设置扫描主机和服务的各种属性，如图2-45所示。如在“查找主机”栏目中将“发现主机”方法设为“回显请求”；在“UDP端口扫描”和“TCP端口扫描”栏目中设置要扫描的端口。因为一般的主机都有超过65000个的TCP和UDP端口，若对每个可能开放端口的IP地址进行超过130000次的端口扫描，将无疑需要耗费太长的时间。这里需要自己定义要扫描端口范围，也可以只扫描常用的几个端口。

步骤07 在“扫描选项”选项卡中设置与扫描有关的各种属性，如将“检测开放主机次数”设置为1，如图2-46 所示。还可以设置扫描速度和通过扫描的数量，其中“查找主机名”选项可设置主机名解析通过的数量（默认值是1）。当扫描速度设置为0时，虽然扫描速度最快，但却存在数据包溢出的可能。如果担心SuperScan引起的过量包溢出，则最好调慢SuperScan扫描的速度。

步骤08 在“工具”选项卡中可利用SuperScan提供的各种工具得到目标主机的各种信息，如图2-47所示。如果想得到目标主机的主机名，则在“主机名/IPURL”文本框中输入目标主机IP地址，单击“查找主机名/IP”按钮，即可得到该主机的主机名，如图2-48所示。

2.2.3 ScanPort

ScanPort软件不但可以用于网络扫描，同时还可以探测指定IP及端口，速度比传统软件快，且支持用户自设IP端口又增加了其灵活性。具体的使用方法如下。

步骤01 下载并运行ScanPort程序，即可打开“ScanPort”主窗口，在其中设置起始IP地址、结束IP地址以及要扫描的端口号，如图2-49所示。单击“扫描”按钮，即可进行扫描，从扫描结果中可以看出设置的IP地址段中计算机开启的端口，如图2-50所示。

步骤02 如果扫描到某台计算机中开启的端口，则将开始IP和结束IP都设置为该主机的IP地址，如图2-51所示。在设置完要扫描的端口号之后，单击“扫描”按钮，即可扫描出该主机中开启的端口（设置端口范围之内），如图2-52所示。

2.2.4 极速端口扫描器

利用扫描端口的工具“极速端口扫描器”不仅可以扫描端口，还可以实现在线更新IP地址，将扫描结果导出为记事本、网页以及XLS格式。使用该工具扫描端口的操作步骤如下。

步骤01 下载并运行“极速端口扫描器V2.0.500”，即可打开“极速端口扫描器”主窗口，如图2-53所示。切换到“参数设置”选项卡，即可看到该工具自带的IP地址段以及各种参数，如图2-54所示。

步骤02 如果要对目标主机进行扫描，则需添加指定的IP段。在“参数设置”选项卡中单击“添加”按钮，即可打开“IP段编辑”对话框，如图2-55所示。

步骤03 在“开始IP”和“结束IP”文本框中分别输入起始IP地址，单击“确定”按钮，即可将该IP段添加到“搜索IP段设置”列表中，如图2-56所示。

步骤04 单击“全消”按钮，即可取消选择所有的IP段，在其中勾选刚添加的IP段，将要扫描的端口设置为445，如图2-57所示。

步骤05 选择“开始搜索”选项卡，在其中单击“开始搜索”按钮，即可扫描指定的IP段，扫描结果如图2-58所示。可以将扫描的结果保存为记事本、网页、XLS等格式。在“开始搜索”选项卡中单击“导出”按钮，即可打开“另存为”对话框，如图2-59所示。

步骤06 在设置完保存名称和路径后，单击“保存”按钮，即可将扫描结果保存为记事本文件格式。打开保存的搜索结果，即可看到搜索到的IP地址及搜索的端口，如图2-60所示。

2.3 漏洞扫描器

安全管理员还需要做很多工作，如漏洞的及时升级、及时给系统打补丁、设置正确的用户权限等，而漏洞扫描工具可以帮助管理员查找系统中的缺陷。

2.3.1 SSS扫描器

系统漏洞扫描器SSS（Shadow Security Scaner）的功能很强大，如端口探测、端口banner探测、CGI/ASP弱点探测、Unicode/Decode/.printer探测、*nix弱点探测、(pop3/ftp)密码破解、拒绝服务探测、操作系统探测、NT共享/用户探测，且对于探测出的漏洞，有详细的说明和解决方法。利用SSS扫描器对系统漏洞进行扫描的具体操作步骤如下。

步骤01 在安装好SSS软件后，选择“开始”→“程序”→“Safety-lab”→“Shadow Security Scaner”→“Shadow Security Scaner”菜单项，即可打开“Shadow Security Scaner”主窗口，如图2-61所示。单击工具栏中的“New session（新建项目）”按钮，即可打开“New session（新建项目）”窗口，如图2-62所示。

步骤02 可选择预设的扫描规则，也可单击“Add rule（添加规则）”按钮添加扫描规则。单击“添加规则”按钮，打开“Create new rule（创建新规则）”对话框，如图2-63所示。

步骤03 选中“Create copy of the rule（创建副本的规则）”单选项，在其下拉列表中选择“Complete Scan（完全扫描）”选项；再输入新创建规则的名称，单击“OK”按钮，即可打开“Security Scanner Rules”窗口，如图2-64所示。

步骤04 在其中设置相应的属性，单击“OK”按钮返回到“New session（新建项目）”窗口，即可看到新创建的规则，如图2-65所示。

步骤05 选中刚创建的规则后，单击“Next（下一步）”按钮，即可打开“添加扫描主机”窗口，如图2-66所示。单击“Add host（添加主机）”按钮，即可打开“添加主机”对话框，如图2-67所示。

步骤06 选择“Hosts range” 单选项，在“From IP”和“To IP”文本框中分别输入起始IP地址，单击“Add”按钮，即可在“添加扫描主机”窗口中看到添加的IP地址段，如图2-68所示。

步骤07 单击“Next（下一步）”按钮，即可完成扫描项目的创建并返回“Shadow Security Scaner”主窗口，在其中看到所添加的主机，如图2-69所示。

步骤08 单击工具栏上的“Start Scan（开始扫描）”按钮，即可开始对目标计算机进行扫描，在扫描的同时会把扫描的信息显示在右边的窗口中，如图2-70所示。

步骤09 待扫描结束后，在“Vulnerabilities（漏洞）”选项卡中可看到扫描出的漏洞程序，单击相应的漏洞程序，在下方看到该漏洞的介绍以及补救措施，如图2-71所示。

步骤10 使用SSS还可以进行DoS安全性进行检测。单击左侧的“DoS Checker（DoS检查器）”按钮，即可打开“DoS检查器”对话框，如图2-72所示。在其中选择检测的项目并设置扫描的线程数（Threads），单击“Start（开始）”按钮，即可进行DoS检测。

步骤11 在“Shadow Security Scaner”主窗口中选择“Tools（工具）”→“Options（选项）”菜单项，即可打开“Security Scaner Options（SSS选项设置）”对话框，在其中可以设置扫描各个选项，如图2-73所示。

步骤12 在“Shadow Security Scaner”工具中可以通过其自带的文本编辑器来编辑脚本代码。在“Shadow Security Scaner”主窗口中单击“Script（脚本）”按钮，即可打开“Script（脚本）”对话框，在其中可编辑脚本代码，如图2-74所示。

步骤13 在“Shadow Security Scaner”工具中可以查看当前项目的扫描报告，还可以查看历史报告。在“Shadow Security Scaner”主窗口中选择“Tools（工具）”→“Reports（报告）”菜单项，即可打开“Reports wizard（报告向导）”对话框，如图2-75所示。

步骤14 单击“Add Current session（添加当前项目）”按钮，即可将当前项目的扫描结果添加到“Rules Name（规则名称）”列表中，如图2-76所示。

2.3.2 S-GUI Ver扫描器

S-GUI Ver扫描器是以S.EXE为核心的可视化端口扫描工具，支持多端口扫描、支持线程控制、隐藏扫描、扫描列表、去掉端口、自动整理扫描结果等。

使用S-GUI Ver扫描器扫描漏洞的具体操作步骤如下。

步骤01 下载并解压“S-GUI Ver2.0”软件，双击其中的“S-GUI Ver2.0.exe”文件，即可打开“S-GUI Ver2.0”主窗口，如图2-77所示。

步骤02 在“扫描分段”选项框中分别输入开始扫描的IP地址和结果扫描的IP地址，在“端口设置”选项框中的“端口”文本框中输入要扫描的端口，在“协议”选项区中选择“TCP”单选项，如图2-78所示。

步骤03 单击“开始扫描”按钮，即可打开“提示”对话框，在其中看到“提示扫描已经开始，正在扫描中，扫描完毕后有提示”的提示信息，如图2-79所示。

步骤04 单击“确定”按钮，即可打开“Windows Script Host”对话框，在其中看到“扫描完毕，请载入扫描结果”提示信息，如图2-80所示。

步骤05 单击“确定”按钮，即可返回“S-GUI Ver2.0”主窗口，单击右侧的按钮，即可打开“提示”对话框，在其中看到“你真的要[载入结果]吗？如果‘是’将覆盖掉[扫描结果]中的原有数据”提示信息，如图2-81所示。

步骤06 单击“是”按钮，即可将扫描结果添加到“扫描结果”文本区域中，在其中看到扫描到的开放指定端口主机的IP地址以及端口号，如图2-82所示。

步骤07 如果想要将扫描结果内容放入到左侧扫描列表中，单击“发送列表”按钮，即可打开“提示”对话框，在其中看到“你真的要将[扫描结果]发送到[扫描列表]吗？如果‘是’将覆盖掉[扫描列表]中的原有数据”提示信息，如图2-83所示。

步骤08 单击“是”按钮，即可打开“已经发送到[扫描列表]中并去掉端口号”提示框，如图2-84 所示。单击“确定”按钮，即可在“S-GUI Ver2.0”主窗口左侧“扫描列表”中看到扫描到的主机列表，如图2-85所示。

步骤09 单击“打开Result”按钮，即可以记事本的形式打开“Result”记事本文件，如图2-86所示。在其中即可看到具体的扫描信息。

2.3.3 TrustSight Security Scanner网页安全扫描工具

TrustSight Security Scanner是一款非常好的网页扫描工具，利用该工具可以检测出1300多种HTTP的漏洞，下面讲述如何使用该工具扫描网页。

1. 扫描网页漏洞

利用TrustSight Security Scanner工具可以扫描出网页中存在的漏洞。设置并使用该工具扫描网页漏洞的操作步骤如下。

步骤01 运行TrustSight Security Scanner软件包中的“trustscn_6.4_b85.exe”应用程序，即可打开“Choose a Language（选择语言）”对话框，如图2-87所示。

步骤02 选择“English” 单选项（该软件目前还没有中文版），单击“Next（下一步）”按钮，即可打开“License Agreement（安装协议）”对话框，如图2-88所示。

步骤03 选择“I accept the agreement（我同意协议）”单选项，单击“OK”按钮，在弹出窗口中依次单击“Next”按钮，直到出现安装路径对话框，如图2-89所示。

步骤04 如果想改变安装路径，则可单击“Destination”超链接按钮重新选择安装路径，单击“Finish（完成）”按钮，即可打开“TrustSight Security Scanner”窗口，如图2-90所示。

步骤05 在“Choose a Language（选择语言）”下拉列表中选择“English”选项，单击“OK”按钮，即可打开“TrustSight Security Scanner”主窗口，如图2-91所示。

步骤06 选择“Vulnerability Detection（漏洞探测）”选项卡，单击“Scan Rule（扫描规则）”下拉按钮，在下拉列表中选择扫描规则（如Normal）；在“Exploit Selection”选项区域中选择要执行的动作，如图2-92所示。

步骤07 在“TrustSight Security Scanner”主窗口中单击“Special Options（特殊选项）”超链接，即可在“特殊选项”选项卡中对所选扫描规则进行一些特殊设置，如图2-93所示。

步骤08 在“TrustSight Security Scanner”主窗口中单击左侧“DataBase（数据库）”按钮，即可在“数据库”选项卡中对漏洞数据库的一些属性进行设置，如图2-94所示。要想及时有效地查看网页是否存在漏洞，最好经常对漏洞数据库进行更新。

步骤09 对入侵检测系统进行测试，在“TrustSight Security Scanner”主窗口中单击左侧“IDS Test（IDS测试）”按钮，即可在“IDS Test”选项卡中设置相应属性，如图2-95所示。

步骤10 在“Advanced（高级）”选项卡中可设置有关IDS测试的高级属性，如图2-96所示。在“TrustSight Security Scanner”主窗口中单击左侧“Scanner（扫描）”按钮，即可打开“Scanner（扫描）”选项卡，在“Host address（主机地址）”文本框中输入要扫描的IP地址，如图2-97所示。

步骤11 单击“Perforn Scan（完全扫描）”按钮，即可打开“是否将该主机添加到扫描列表中”提示，如图2-98所示。单击“是”按钮，即可进行扫描，同时在“Events（事件）”选项卡中看到具体的扫描进程，如图2-99所示。

步骤12 待扫描结束后，即可弹出“另存为”对话框，在其中选择默认的文件名，如图2-100所示。单击“保存”按钮，即可保存本次扫描结果，以供随时查阅。

2. 网页安全漏洞

在漏洞扫描结束后，可通过查看漏洞扫描报告来找出网站中存在的安全隐患。查看网页漏洞的方法有如下两种。

（1）直接在程序窗口中查看

在“TrustSight Security Scanner”主窗口中查看网页存在的安全漏洞。具体操作步骤如下。

步骤01 待扫描结束后，即可在“Scanner”选项卡中看到“Possible bug found（找到问题的可能）”提示信息，如图2-101所示。

步骤02 单击“Click Here for Details（单击这里查看详细信息）”超链接，在“Exploitation（开发）”选项卡中可看到扫描到的安全漏洞，如图2-102所示。

步骤03 双击某个安全漏洞，即可打开“TrustSight Terminal（TrustSight终端）”对话框，在其中可看到该漏洞的详细信息，如图2-103所示。

（2）利用扫描后保存的网页文件进行查看

找到保存目录，双击打开保存的报告，即可在打开的网页中看到扫描到的漏洞的列表和详细说明，如图2-104所示。再查阅相关资料，对这些漏洞进行修补，以免被不怀好意者所利用。

2.4 常见的嗅探工具

作为一名黑客，强大的黑客工具自然是必不可少，嗅探工具就是黑客使用最多、使用最频繁的工具。只有充分掌握了被攻击主机的相关信息，下一步操作才能得心应手。

2.4.1 WinArpAttacker

WinArpAttacker是一款ARP欺骗攻击工具，被攻击的主机无法正常与网络进行连接。该工具还是一款网络嗅探（监听）工具，可以嗅探网络中的主机、网关等对象，同时也可以进行反监听，扫描局域网中是否存在监听等操作。

利用WinArpAttacker进行嗅探并实现欺骗工具的具体操作步骤如下。

步骤01 在安装WinPcap软件后，双击“WinArpAttacker”文件夹中的“WinArpAttacker.exe”应用程序，即可打开“WinArpAttacker”主窗口，如图2-105所示。

步骤02 单击“Scan（扫描）”按钮，即可扫描出局域网中所有主机。如果在“WinArpAttacker”主窗口中选择“Scan（扫描）”→“Advanced（高级）”菜单项，即可打开“Scan（扫描）”对话框，在其中可以看出有3种扫描方式，如图2-106所示。

● Scan a host（扫描主机）：可以获得目标主机的MAC地址。

● Scan a range（扫描IP网段）：扫描某个IP地址范围内的主机。

● Scan local networks（扫描本地网络）：扫描本地网络。如果本机存在两个以上IP地址，就会出现两个子网选项。最下面有两个属性：正常扫描（Normal Scan）属性的作用是扫描其是否在线，而反监听扫描（Antisniff scan）作用是把正在监听的机器扫描出来。

步骤03 这里以扫描本地网络为例，在“Scan range（扫描范围）”选项区域中选择“Scan local networks（本地网络）”单选项并勾选相应子网，单击“Scan（扫描）”按钮进行扫描，即可打开“Scanning successfully！（扫描成功）”对话框，如图2-107所示。

步骤04 单击“确定”按钮，即可在“WinArpAttacker”主窗口中看到扫描结果，如图2-108所示区域是主机列表区，主要显示局域网内机器IP、MAC、主机名、是否在线、是否在监听、是否处于被攻击状态；左下方区域主要显示检测事件，在这里显示检测到的主机状态变化和攻击事件；而右下方区域主要显示本地局域网中所有主机IP地址和MAC地址信息。

步骤05 在进行攻击之前，需要对攻击的各个属性进行设置。单击工具栏上的“Option（选项）”按钮，则打开“Option（选项）”对话框，如图2-109所示。如果本地主机安装有多块网卡，则可在“Adapter（适配器）”选项卡下选择绑定的网卡和IP地址。

步骤06 在“Attack（攻击）”选项卡中可设置网络攻击时的各种选项，如图2-110所示。除Arp flood攻击是次数外，其他都是持续的时间，如果是0则表示不停止。

步骤07 在“Update（更新）”选项卡中可设置自动扫描的时间间隔，如图2-111所示。在“Detect（检测）”选项卡中可设置是否启动自动检测以及检测的频率，如图2-112所示。

步骤08 在“Analysis（分析）”选项卡中可设置保存ARP数据包文件的名称与路径，如图2-113所示。在“Proxy Arp（Arp代理）”选项卡中可启用代理Arp功能，如图2-114所示。

步骤09 在“Protect（保护）”选项卡中可以启用本地和远程防欺骗保护功能，以避免受到Arp欺骗攻击，如图2-115所示。

步骤10 在“WinArpAttacker”主窗口中选取需要攻击的主机，单击“Attack（攻击）”按钮右侧下拉按钮，在弹出菜单中选择攻击方式，即可进行攻击，如图2-116所示。这样受到攻击的主机将不能正常与Internet网络进行连接。

步骤11 如果使用嗅探攻击，则可单击“探测”按钮开始嗅探。如果对ARP包的结构比较熟悉，了解ARP攻击原理，则可自己动手制作攻击包，单击“发送”按钮进行攻击。

其中ArpSQ是该机器的发送ARP请求包的个数；ArpSP是该机器的发送回应包个数；ArpRQ是该机器的接收请求包个数；ArpRP是该机器的接收回应包个数。

2.4.2 影音神探

通过网络来收看电影电视等，有些网站可能由于网络服务器速度较慢或同一时间收看的人数较多，会出现每几分钟停顿一次的情况，即使加大缓存后还是不理想。此时就可以将电影先下载到本地硬盘再收看，而使用影音神探就能很容易地找到这些电影的下载地址。

影片嗅探大师工具使用WinPcap23开发包，嗅探流过网卡的数据并智能分析，可监视二十余种网络文件；可通过自定义类型扩充嗅探功能；对于已经找到的文件，可以启动事先设置好的下载工具下载；其弹出广告屏蔽模块，让用户上网不再受弹出广告之累。该工具具有操作简单方便，功能强大等特点。设置和使用影音神探的具体操作步骤如下。

步骤01 待安装WINPCAP成功后，启动影音神探将会看到“程序将测试所有网络适配器”提示框，如图2-117所示。

步骤02 单击“OK”按钮，即可打开“设置”对话框，在其中开始查看网络适配器是否可用，如图2-118所示。

步骤03 如果计算机的网络适配器符合测试要求，则会看到“当前网络适配器可用，是否它作为默认适配器”提示信息，如图2-119所示。

步骤04 单击“OK”按钮返回到“设置”对话框，即可看到标识为“可用”的网路适配器已经被选中，如图2-120所示。

步骤05 单击“确定”按钮，即可完成对网络适配器的设置并打开“网络嗅探器（影音神探）”主窗口，如图2-121所示。

步骤06 选择“嗅探”→“开始嗅探”菜单项或单击工具栏的“开始嗅探”按钮，即可进行嗅探并将嗅探到的信息显示在下面列表中，如图2-122所示。

步骤07 在“文件类型”列表中选中要下载的文件，选择“列表”→“使用网际快车下载”菜单项，即可打开“新建任务”对话框，如图2-123所示。

步骤08 在其中设置保存路径、文件名等属性之后，单击“确定”按钮返回到“迷你快车”对话框中即可开始进行下载，待下载完成后即可在“文件名”前面看到有个对号，如图2-124所示。此下载过程和使用迅雷进行下载的过程相似。

步骤09 在“网络嗅探器（影音神探）”主窗口中选择“设置”→“综合设置”菜单项，即可打开“设置”对话框，在“常规设置”选项卡下中勾选相应复选框，还可以自定义网际快车的位置，如图2-125所示。

步骤10 在“文件类型”选项卡中可以设置要下载文件的类型，在这里勾选所有复选框，如图2-126所示。在“网络嗅探器（影音神探）”主窗口中选择“嗅探”→“过滤设置”菜单项即可打开“数据包过滤设置”对话框，在其中指定网站数据包进行过滤，如图2-127所示。

步骤11 “网络嗅探器”工具有“获取URL”和“列举数据包”两种模式，其默认模式是“获取URL”模式。在“网络嗅探器”主窗口中选择“嗅探”→“工作模式”→“列举数据包”菜单项，即可将其模式设置为“列举数据包”模式，如图2-128所示。

步骤12 在影音神探中可以给嗅探的数据包添加备注信息，在“文件类型”类表中选择要备注的数据包，在“网络嗅探器（影音神探）”主窗口中选择“列表”→“添加备注”菜单项，即可打开“编辑备注”对话框，如图2-129所示。

步骤13 在文本框中输入备注名称，单击“OK”按钮，即可在“网络嗅探器（影音神探）”主窗口“备注”栏目看到添加的备注，如图2-130所示。

步骤14 如果想分类显示嗅探出的数据包，则在“网络嗅探器（影音神探）”主窗口中的“数据包”列表中右击，在弹出菜单中选择“分类查看”→“图片文件”菜单项，即可只显示图片形式的数据包，如图2-131所示。

步骤15 如果想查看文本文件的数据包，则在弹出菜单中选择“分类查看”→“文件文件”菜单项，即可只显示文本文件形式的数据包，如图2-132所示。选择“分类查看”→“未定义”菜单项，即可显示出所有未定义的数据包，如图2-133所示。

步骤16 如果查看某个数据包的信息，则在“网络嗅探器（影音神探）”主窗口中的“数据包”列表中选中该数据包后右击，在弹出菜单中选择“查看数据包”选项，即可打开“数据包相关信息”对话框，在其中看到选中数据包的详细信息，如图2-134所示。

步骤17 在“网络嗅探器（影音神探）”主窗口中选择“列表”→“保存列表”菜单项，即可打开“Save file（保存文件）”对话框，在其中选择相应的保存位置，如图2-135所示。

步骤18 单击“保存”按钮，即可看到“选择文件保存方式”提示框，如图2-136所示。单击“是（Yes）”按钮，即可保存全部的地址，待保存完成后可看到“保存完毕”提示框，如图2-137所示。

2.4.3 SpyNet Sniffer嗅探器

网络监听工具SpyNet Sniffer可以捕获到Telnet、POP、QQ、HTTP、login等数据，可以了解到与自己计算机连接的用户以及其正在进行的操作。如果有黑客攻击自己的计算机，则SpyNet Sniffer也可以将其踪迹记录下来。

1. SpyNet Sniffer配置

在使用SpyNet Sniffer工具进行嗅探之前，需要对其进行配置，例如选择适配器、当缓冲满时应采取的措施等。配置SpyNet Sniffer的操作步骤如下。

步骤01 下载并安装SpyNet Sniffer软件之后，选择“开始”→“程序”→“SpyNet”→“CaptureNet”菜单项，即可打开“Settings（设置）”对话框，在其中选择监听网络适配器，如图2-138所示。

步骤02 在“Action（措施）”选项卡中可设置当缓冲满时应采取的措施，以及记录文件保存的路径等属性，如图2-139 所示。在“Miscellaneous（杂项）”选项卡中可设置缓冲区的大小，如图2-140所示。

步骤03 单击“确定”按钮，即可打开“SpyNet Sniffer”主窗口，如图2-141所示。

2. SpyNet Sniffer的使用

在设置完SpyNet Sniffer之后，就可以使用该工具来捕获网页中的数据。下面以打开一个音乐网站为例讲述使用该软件捕获网页中的数据，具体的操作步骤如下。

步骤01 在IE浏览器中打开一个音乐网站的网页，在SpyNet Sniffer的主窗口中单击“Start Capture（开始捕获）”按钮，即可开始捕获该网页的信息，同时把捕获的数据显示在右侧的列表框中，如图2-142所示。单击“Stop Capture”按钮，即可停止捕获。

步骤02 单击工具栏中的“Save（保存）”按钮，即可打开“另存为”对话框，如图2-143所示。

步骤03 在设置完保存位置和名称后，单击“保存”按钮，即可打开“What do you want（你想做什么）”提示框，在其中选择“Packets display（显示数据包）”单选项，如图2-144所示。单击“Ok”按钮，即可完成保存操作。

步骤04 单击工具栏中的“PeepNet”按钮，即可打开“PeepNet”窗口，如图2-145所示。选择“File（文件）”→“Open（打开）”菜单项，即可打开“打开”对话框，在其中选择刚才保存的CAP文件，如图2-146所示。

步骤05 单击“打开”按钮，即可在“PeepNet”窗口的左侧列表中显示捕获的数据。单击需要查看的信息条，在右侧窗口中可看到打开的网页内容，如图2-147所示。

步骤06 使用记事本程序打开前面保存的CAP文件，在“查找”对话框“查找内容”文本框中输入要查找的网址，单击“查找下一个”按钮，即可查找需要下载的网络地址，如图2-148所示。在IE浏览器的地址栏中输入刚找到的网页，按下回车键，即可打开该网页，如图2-149所示。

2.5 专家课堂（常见问题与解答）

点拨1：X-Scan中有TCP与SYN两种方式对扫描结果有什么影响？

解答：TCP和SYN是X-Scan扫描器进行扫描的两种主要方式。前者是通过与目标主机建立标准的TCP连接，所以这种方法最准确，但容易被目标主机察觉。而后者是通过与目标主机建立半打开连接，就不容易被主机记录，但扫描结果会出现漏报，尤其是在网络不好的情况下这种漏报是很严重的。

点拨2：为什么在使用端口扫描器扫描时，总是扫不出QQ开放的端口？

解答：之所以会出现这种情况，其原因在于QQ在通信时使用了UDP协议，而UDP协议在通信时是不建立连接的，且端口扫描器是基于TCP协议的。所以当用户试图通过“连接”或“半连接”测试方式确定端口是否开放时，端口扫描器将扫不出QQ开放的端口。