СКАНЕРЫ БЕЗОПАСНОСТИ ПОД WIN

marooned (fddx@land.ru)

Спецвыпуск Xakep, номер #023, стр. 023-026-3

LANGUARD NETWORK SCANNER

Еще один неплохой сканер, хотя и платный. Простой, но продуманный интерфейс - справа информация о ходе проверки, а слева результаты.

Прога изначально задумывалась для локальных сетей, и только с версии 2.0 стала универсальным сканером. Сильно отличает этот сканер от остальных способность отлично работать с NetBIOS, фигачить список ресурсов, сервисов и пользователей. Также хорошо прога знает слабые места реестра. Все дыры в базе данных имеют Bugtraq ID. Есть также такая полезная функция, как Traceroute, забытая почему-то остальными прогами. Ну и пара фирменных вещей. Первая - это Results comparnison - сравнивает результаты сканирования с прошлыми результатами и позволяет обнаруживать изменения (например, новые сервисы и дыры, новых пользователей). И вторая - собственный язык скриптов (LANS) для написания своих проверок - очень простой с примерами и подробным мануалом. После проверки выдает довольно приятный HTML/XML-отчет.

X-SCAN

Эту вещицу сработали братья-китайцы, и она, конечно, бесплатная. Все в X-Scan'е очень просто. Минимум настроек: диапазон IP и портов, параметры HTTP-запросов, а также выбор сканируемых сервисов из стандартного набора. Интерфейс тоже небогат: вывод результата на одной вкладке и состояние текущего потока на другой.

Но, с другой стороны, прога создавалась для работы из командной строки, потому, наверное, и интерфейс слабый. К тому же X-Scan имеет один из самых толстых CGI-словарей, так что пока еще может дать фору другим сканерам. В readme описан формат плагина, и умеющий писать на Си сможет написать его себе и возрадоваться.

Результаты можно сохранить в html-формате, правда, зачем-то в двух файлах, один из которых почти пустой, а тот, который не пустой, не очень читабельный, так как комментарии отсутствуют напрочь. Как и у всех, для известных дыр есть заплатки, а за остальными надо идти на сайт разработчика - может там есть.

NMAP

Мощный бесплатный сканер с открытым кодом. Есть варианты сканера для командной строки и почти для всех ОС. По сути, это сканер портов, так как предупреждать о том, что есть дыра, он не умеет. Зато с портами работает профессионально, быстро и имеет очень гибкие настройки.

Для работы Nmap использует кучу методов сканирования, таких, как UDP, TCP connect, SYN (полуоткрытое), FTP proxy, ICMP (ping), FIN, ACK, Xmas tree и NULL-сканирование (подробно и с примерами все эти методы рассматриваются с статье "Пожмем друг другу руки!" - прим. ред.).

Еще он умеет определять ОС хоста по отпечатку стека TCP/IP, делать "невидимое" сканирование, сканирование с использованием ложных хостов, определять наличие пакетных фильтров, RPC-сканирование. Весь процесс отражается в окне в виде текста и цифр, почти без комментариев.

В результате получается список портов удаленной машины с указанием номера и состояния порта, типа используемого протокола, а также названия службы, закрепленной за этим портом. По Nmap'у порт может иметь три состояния: "открытый", "фильтруемый" и "нефильтруемый". Состояние "открыт" означает, что удаленная машина прослушивает данный порт. Состояние "фильтруемый" означает, что файерволл, пакетный фильтр или другое устройство блокирует доступ к этому порту и Nmap не смог определить его состояние. "Нефильтруемый" означает, что по результатам сканирования Nmap воспринял данный порт как закрытый, при этом средства защиты не помешали Nmap определить его состояние. Это состояние Nmap определяет в любом случае (даже если большинство сканируемых портов хоста фильтруются).