low-grade（轻度）扫描：
这种状态下的扫描是从DNS、rpc、portmap进行的。
DNS扫描时利用nslookup（Unix上一种交互式查询Internet主机、server
名字的命令程序）来收集有关目标主机的更多点信息，这些信息包括目标主
机的MX记录和授权nameserver。
rpc扫描目标主机portmap请求一张服务列表，而后对列表进行扫描查询：
bootparam、ypbind、selection-SVCnfs、rexd、arm、mountd、rusersd、
netinfobind以及admind。
如果说portmap的服务列表中显示有mountd，那么SATAN就会进行showmount
扫描，首先会要求目标的mountd给出一个列表，列表中显示哪些文件系统输出
和哪些主机被允许加载它们。最后会要求目标mountd列出实际加载文件系统的
host和被加载的文件系统。showmount是Unix中一个消息查询的命令，它可以给
出一台远程主机上的NFS信息，比如用$showmount -e 4.4.4.4。
这样的扫描不做普通的TCP and UDP扫描的，扫描范围比较小。
normal（标准）扫描：
标准扫描包含了轻度扫描的所有内容，同时增加了对fingerd、各种TCP
服务以及UDP服务的扫描。扫描时会根据结果和扫描规则库有选择的对rusers
（这是个Unix上消息查询的命令，可以显示出一台远程机器上登陆用户列表）、
bootparam和yn进行扫描。
finger的查询无须再说了。
SATAN随后会对TCP进行扫描，以便得到目标端口上活跃的gopher、http、
FTP、telnet、SMTP、NNTP、UUCP以及X等服务。再者就是UDP端口上的DNS与
Xdmcp的扫描。如果说查询时portmap报告回来目标的rusersd是可以用的，
那么SATAN就会请求rusersd给出都有哪些用户，他们是从哪个系统上登陆进
入的等等。
rpc bootparam服务可以让SATAN获取NIS的域名，如果SATAN一旦获得了这
个域名的话，SATAN就会开始启动一个up -chk程序来尝试从NIS server上获得
passwd、byanme映射。
现实中SATAN标准扫描是比较常用的。因为很多机器到这里就已经可以达
到驾驭它的目的了。
serious（重度）扫描：
这次扫描包含了上述两种的全部内容。增加了对那些比较活跃的服务的更
多一些的扫描。TCP的端口也从1到了65535（但默认时是1到9999），UDP的端口
则是1到2050，32767到33500。很显然，这需要时间和多点资源了。
上面这三种扫描其实仅仅只是SATAN扫描的前个阶段，主要是为了收集目标
机器的信息。
在SATAN的规则扫描中包含了一些常见的安全漏洞的检查。但并不包含所有
已知漏洞，这需要你来自己增加。经常的更新自己的SATAN漏洞库集对发现新漏
洞是很重要的。通过创建一个新的.satan并将它放到bin/目录中就可以完成增加
一个新的扫描了。
建立SATAN也很简单，但却很麻烦。在SATAN软件包里包含了大量的HTML构造
起来的Web页，这些Web页是很重要的，因为很多漏洞的信息来自这些页面。上面
简单的说了些关于建立SATAN的方式。在config/目录下编辑paths.pl and paths.sh
文件，实现你做需要的文件放置位置；接着可以根据你自己的要求去编辑config/satan.cf，
可以根据自己的需要考虑给$only-attack-these and $dont-attack-these增加一些
简单的实用的内容（这两个变量提供对SATAN扫描主机时的控制）；运行rcsonfig
脚本（应当注意的是这个脚本是Perl5.00x and a Web浏览器的增强脚本，如果
rcsonfig选择的Web不适合，那么编辑config/paths.pl指向这个选择的浏览器，
这时的Web浏览器变量是$MOSAIC）；在satan-1.1.1/目录下执行make指令；如果
你想隐藏自己或者是需要一个代理的话（因为这个时候会提示给你的）在SATAN
的文档中特别说明了不需要设置代理环境变量或浏览器代理；以root登录运行SATAN
脚本，如果没有给出命令行参数，脚本调用一个小的Web server，也就是html.pl，
再与之进行对话……一切妥当之后SATAN的主界面便会出现。
由于SATAN操作很简单，就如何使用它来描述可能有点prosiness。《:-)
首先启动SATAN，毫无疑问，启动它需要#。administrators在使用SATAN的
候最好是将其配置成拒绝本地以外的IP来运行SATAN，但这也不完全可以防止。
因为一般情况下使用IP欺骗便可以饶过这个环节。
接着配置管理选项，对www.semxa.com这单一的目标进行扫描必须将proximity
最大设置成0并且关闭子网的扩展或者过早的编辑config/satan.cf，根据需求再
利用$only-attack-these变量将扫描限制在单一之上。然后选择""Change the C-
nfiguration File""项save修改。很多时候把限制放松到一个整的网段效果会好
许多，但这取决于你是否有这个时间和精力。
最后在""Target Selection""中植入目标地址，接着选择scan degree启动扫
描就over了。后来需要做的就是等待结果。
当SATAN的子线提示已经完成时，就可以在SATAN的Data Gather Of Screen选
""View primary target results""来浏览结果。也可以在SATAN的子目录results/s-
ata-data来看。
信息和弱点收集结束接着能做的就只有空洞的分析那些结果了。This is the
job nerve-racking，当然只是就我而言的。:-
对于www.semxa.com，现在已经收集到了很多信息在我的表格中了，“对号入
座”是目前该做的事情了。在SATAN收集到目标机器的OS的时候，我抽了这个空余
时间到www.netsafety.com收集关于那个OS的所有漏洞的信息，有了它我就可以在
SATAN的报告中标识出哪个可以用哪个该放弃。所以说经常留意最新的安全弱点报
告是很重要的。但目前应当做的还是需要第一个能登陆系统的用户和它的口令。
对于匿名可以进入的系统来说，这无疑是一个好的兆头。虽说匿名的FTP本身
并不是个漏洞，但是它却可以使攻击者能获得这个系统的信息以及更多的包括内部
SATAN不能逾越的漏洞，甚至可以因为管理员的低级配置而获得/etc/passwd文件。
目前在Internet上，提供匿名服务的系统依然很多。我们花点时间来探讨一下
这些吧（如果你也有时间的话）。但匿名FTP的未来我想应该不会很长远吧，毕竟
它是一个潜在的安全隐患。
从Unix上设置匿名的FTP服务路径：
$mkdir/home/ftp
$cd /home/ftp
$mkdir bin
$mkdir etc
$mkdir pub
$mkdir lib
$cp /bin/ls /home/ftpbin
$chmod 111 /home/ftp/bin/ls
接着需要创建只能被匿名FTP用户使用的FTP组，这个组没有其他成员的组，把
这个新创建的组所能使用的项加到/etc/group文件里，再创建一个单独的
$mkdir /home/ftp/etc/group
FTP::50
建设匿名的FTP用户名，方法是把该用户的项放在/etc/passwd中，并创建一
个为/home/ftp/etc/passwd文件，当然它只能包含该FTP项。内容表现为：
FTP:*:23:32::no shell
接着需要做的就是把这个项设置成只读444：
$chmod 444/home/ftp/etc/passwd
$chmod 444/home/ftp/etc/group
以上这是一般的Unix上匿名FTP的配置。从上面的no shell不难看到匿名的FTP
用户登陆后是无法通过shell对系统进行操作的。如果说出现可以通过shell来操作
系统或的匿名FTP用户拥有合法的shell的话，那这个管理员一定是个Zanily Gink。
而所谓的匿名用户获取/etc/passwd那也是属于管理员配置上的低级错误。匿名FTP
的/home/ftp/etc目录里包含了passwd和group文件，这几个文件允许匿名用户使用
ls来显示它们名称，但不是UID。至于passwd文件的密码域则是不可用的。但如果说
管理员不慎把/etc/passwd和/etc/group文件copy到了/home/ftp/etc目录下，那么
攻击者就该偷笑了。还有的危险就是telnet to ftp 21如果允许执行SITE CHMOD and
SITE EXEC、/home的所有者是匿名FTP的用户，那么随便就可把权限设置成777或者
更多的进行修改等等等等。可semxa却没有匿名FTP服务，所以上面的话只是我想到了
才说的。haha……:-x
*就SATAN而言。www.semxa.com的实际漏洞并不是很多，但却有一个绝对够级
别的漏洞——mount的漏洞。这是一个很老的漏洞了，据说可以延伸到VAX年
代，Sun的描述是“如果两个连续的mount -d -s命令在几秒内发送给机器，
则请求被实现……”。而对缓冲区溢出来说，一直是受到关注的。以缓冲区
溢出为类型的安全漏洞是最为常见。但要利用缓冲区溢出上的漏洞那么你就
得熟悉汇编语言、c and Unix、Windows甚至是Linux以及更多的系统。否则
你只能看着别人去模仿，这是很不自然也很不方便的。当然了，最重要的还
是你得知道溢出的是什么缓冲区。Mixter95年曾经写过一篇初级的关于缓冲
区溢出的利用的文章《Writing buffer overflow exploits - a tutorial
for beginners》，我在这里纯粹是起一个“广而告之”的作用。看这篇文章
你可以到http://semxa.kstar.com/HANLU/buffer95.txt看到全部。*
我提倡把扫描的结果建立成表格的形式，是因为这样可以使你更好与漏洞进行匹
配，这是很值得的。熟悉英文的用户在建立了表格之后可以去BUGTRAQ找，最重要的在
这里你甚至还可以相匹配的攻击代码。而厌烦English的用户则可以去www.105.com.cn，
这是一个很有价值的站点，在这里可以找到97年至今的各个系统的安全漏洞，当然大部
分也是带有代码的。
怎么利用所收集到的漏洞进行攻击暂时不是这个文章所讨论的问题。可事实上讨论
漏洞如果利用却一直是很得到重视的，很多朋友都这么以为。可我认为这是后话，只是
觉得一个真正的技术上的成功的背后大多是有着坚韧而不舍弃、勇往追求的执着精神努
力而来的，绝不是从天上掉下来或者是从娘胎里带出来的“天生的天才”。如果说一个
潜在的漏洞所能给你得到的是一个最高权限的话，那么没有任何漏洞的情况下呢？当我
们还在尝试Modem的拨号入侵甚至是再深奥一点的时候，美国人却正在进行着DCC attack，
不由得发现世界如此之大，可我们太肤浅了……
请相信一步难上青天，需要点点滴滴……
by 寒路 E-mail:
[email protected]
注:因这篇文章是我较早前写的,所以里面的工具下载地址都已变动,如果你还需要的
话可在semxa.kstar.com/netjs找到,包括SATAN。