毕业论文：基于.NET的端口检测技术的原理与实现.doc文档28页优秀范文

比如端口就是分配给第个向系统发出申请的程序。

在关闭程序进程后，就会释放所占用的端口号。

不过，动态端口也常常被病毒木马程序所利用，如冰河默认连接端口是是是病毒是等等。

按协议类型划分按协议类和入侵预防系统的个重点。

本课题研究的意义在今天快速发展的中，黑客攻击方法层出不穷，网络的安全性已经越来越受到威胁。

要保证计算机资源的保密性有效性完整性也变得越来越困难。

端口扫描作为黑客攻击的个重要方面，也在不停地向前发展，扫描手段已经变得越来越丰富，越来越隐蔽，越来越具有威胁性。

如何有效的对端口扫描行为进行检测，已经是越来越重要的个课题，这对于保证我们网络的安全性有着重要的意义，也是如何有效的对端口扫描行为进行检测，已经是越来越重要的个课题，这对于保证我们网络的安全性有着重要的意义，也是入侵检测系统端口扫描作为黑客攻击的个重要方面，也在不停地向要保证计算机资源的保密性有效性完整性也变得越来越困难。

部分内容简介况的程序然后重点研究端口扫描的检测技术，从对数据包的捕获和分析着手，再定义个判断是否扫描的条件，并通过统计由定义的扫描条件判断是否存在端口扫描行为，不但能对般的扫描快速扫描能够检测，且在定程度上对慢速扫描也能很好的检测。

本课题研究的意义在今天快速发展的中，黑客攻击方法层出不穷，网络的安全性已经越来越受到威胁。

要保证计算机资源的保密性有效性完整性也变得越来越困难。

端口扫描作为黑客攻击的个重要方面，也在不停地向前发展，扫描手段已经变得越来越丰富，越来越隐蔽，越来越具有威胁性。

如何有效的对端口扫描行为进行检测，已经是越来越重要的个课题，这对于保证我们网络的安全性有着重要的意义，也是入侵检测系统和入侵预防系统的个重点。

本课题的研究方法本文分别对端口扫描技术以及端口扫描的检测技术作了研究，并设计出个根据扫描者向目标主机的服务端口发送探测数据包，并记录目标主机的响应，通过分析响应来判断服务端口是打开还是关闭，进而得知端口的状态的端口扫描程序，以及个从网络信息的数据包的捕获和分析着手，通过统计判断是否存在端口扫描行为的端口扫描检测程序。

端口扫描概述基本概念端口的含义在网络技术中，端口大致有两种意思是物理意义上的端口，比如，集线器交换机路由器用于连接其他网络设备的接口，如端口端口等等。

二是逻辑意义上的端口，般是指协议中的端口，端口号的范围从到，比如用于浏览网页服务的端口，用于服务的端口等等。

我们这里将要介绍的就是逻辑意义上的端口。

端口分类逻辑意义上的端口有多种分类标准，下面将介绍两种常见的分类按端口号分布划分知名端口知名端口即众所周知的端口号，范围从到，这些端口号般固定分配给些服务。

比如端口分配给服务，端口分配给简单邮件传输协议服务，端口分配给服务，端口分配给远程过程调用服务等等。

动态端口动态端口的范围从到，这些端口号般不固定分配给个服务，也就是说许多服务都可以使用这些端口。

只要运行的程序向系统提出访问网络的申请，那么系统就可以从这些端口号中分配出个供该程序使用。

比如端口就是分配给第个向系统发出申请的程序。

在关闭程序进程后，就会释放所占用的端口号。

不过，动态端口也常常被病毒木马程序所利用，如冰河默认连接端口是是是病毒是等等。

按协议类型划分按协议类型划分，可以分为和控制消息协议等端口。

下面主要介绍和端口端口端口，即传输控制协议端口，需要在客户端和服务器之间建立连接，这样可以提供可靠的数据传输。

常见的包括服务的端口，服务的端口，服务的端口，以及服务的端口等等。

端口端口，即用户数据包协议端口，无需在客户端和服务器之间建立连接，安全性得不到保障。

常见的有服务的端口，简单网络管理协议服务的端口，使用的和端口等等。

端口扫描原理扫描者向目标主机的服务端口发送探测数据包，通过探测性数据包得到目标主机的响应并记录下来，通过分析响应来判断服务端口是打开还是关闭，进而得知端口的状态。

通常通过调用套接字函数连接到目标计算机上，完成个完整的次握手程。

如果端口处于侦听状态，那么就能成功返回。

否则，该端口不可用，即没有提供服务。

端口扫描的第步是向目标主机的端口发送探测数据包，然后根据对方的回应判断端口是否开放。

由于网络环境的差异以及操作系统对连接请求的应答并不致，在端口扫描中支持多种扫描方式，以保证扫描的准确和快速。

大多数扫描技术要发送原始套接字包来进行探测。

因为只有原始套接字支持对报头的设置，即构造数据包。

同时，原始套接字也支持发送和接收数据包。

这样，原始套接字接口实际上成为网络层向上提供的接口。

实现时可通过调用库中的函数来设置选项，以获取自定义报头的权限。

由于仅支持和，不支持，因此，发送数据包，必须通过设置选项来构造报头。

首先创建原始套接字，定义首部。

，伪首部和首部，再填充首部和首部，其中，首部中的结构体变量的，表示发送的是数据包，修改它可以实现不同的标志位探测，如是，是，是，是探测等等。

因为是自己填充首部和首部，所以还需定义个计算校验和函数来计算报头和报头的校验和。

在填充首部时，通过伪首部填充数据包的选项。

事实上伪首部并不是真正存在的，只是用于填充的些选项和计算校验和。

调用设置选项，根据填充报头的内容构造数据包。

设置侦听原始套接字的同步和超时之后，调用发送数据包。

发送原始然，在分布式扫描的基础上加以慢速扫描，则是更加难以检测的扫描技术。

图分布式扫描技术在当前的分布式扫描检测技术中，最常用的是在进行端口扫描检测时，将系统分成两个部分第部分是传感器，它的功能是判断个包的异常程度，赋给包个异常值。

如果个包有异常，则从网络数据中过滤出来，进行下步的处理如果个包没有异常，则简单地丢弃。

第二部分是分析器，它对异常包进行汇集分类分析。

首先将异常包根据其不同特性分成不同的类，然后再对不同的类计算个类的异常值总和。

如果个类的异常值总和超过了阈值，则判断为扫描。

在分布式端口扫描检测系统中，传感器分布在个大网的各个子网内，采集网络上的各种有关扫描异常数据而分类器是个汇总的分析器，通过汇总分析网络内各个子网的数据，可以更好地分析网络上出现的扫描情况。

分布式检测方法具有很多优点首先，它能够实现分布式扫描的检测。

因为分布式扫描其扫描包具有定的异常性，所以这些包可以被第步的检测从网络数据中过滤出来。

在第二步进行分类分析的时候，由于这些分布式扫描的包具有个共同的特性，即扫描对象是同个主机或同个端口，因此它们可以被聚集到个类里，从而被检测为扫描。

其次，这种方法也能够检测慢速的扫描。

由于网络上巨大的通信量，所以在以前的检测方法里检测时间窗必须很小，否则会消耗掉太多的内存和时间而瘫痪。

而采用该方法，由于分析器只需分析处理异常包，因此可以取个很大的时间窗，从而检测出慢速的扫描。

另外，分布式检测方法具有很好的实时性。

由于传感器只需要判断个包的异常程度，而不需要判断是否属于扫描，因此可以实现个很快的异常包过滤器。

而传统的检测方法，例如，在接收到个包以后，首先检查包的结构，然后检查现有的扫描列表，相对来说是很费时间的。

异常包的检测首先，需要有个准则来确定网络上个包的异常程度。

通过分析已有的些检测工具扫描工具以及入侵者用以躲避扫描检测的方法，总结出下面的包是异常的包带有奇怪标志位的包有可能是扫描包没有正确的执行协议握手过程的包有可能是扫描包连接后马上断开，没有具体协议内容的包，有可能是扫描包对没有开放服务的端口的连接包有可能是扫描包。

扫描技术在进步，相应的检测技术也在相应提高，现今还出现了种新的检测分布式扫描的方法，其原理是靠统计流量来进行判断，也能很好的检测出分布式扫描。

但是由于网络上的流量非常的大，且相当的不固定，要定义定时间内的流量有很大的困难，所以这种检测方法还存在很多缺陷，容易产生误判为端口扫描，也容易放过真正的端口扫描行为。

主流的端口扫描工具常用的几种端口扫描检测器有和等。

是最早的基于网络的入侵检测系统，它认为所有与大于个其它主机建立连接的主机都是扫描者。

这种算法是许多检测系统检测算法的雏形。

通过建立网络连接拓扑图来检测端口扫描。

它使用节点代表主机，如果主机间存在数据交换，就在相应的节点间连线。

次扫描试探就会在扫描者的主机和被扫描者的主机之间建立条连线，通过计算个节点上存在多少连线的方法判断是不是有端口扫描行为。

这种方法不能检测秘密扫描，速度相对较慢，具体的端口扫描行为的判断需要人工完成。

是基于的个源代码公开的轻量级的入侵检测系统。

它的端口检测功能是通过个嵌入程序来完成。

的扫描检测器通过计算在时间秒内有个或数据包从个源地址发往不同的目的地址来确定是否有端口扫描行为能查找单个不正常的包。

缺点是不能检测分布式扫描慢速扫描，不能处理分片。

是基于主机的端口扫描检测器。

它指定多个端口进行监听，当这些端口被试图连接或扫描时，能在瞬间捕捉连接或扫描企图它能有效捕捉非连续随机扫描，生成外界扫描动作的详细日志记录，并将发起扫描的主机地址写入的文件中，并重指扫描者路由，把信息流重定向到个不存在的主机。

缺点是仅限于对台单机进行端口扫描分析判断规则过于严格，正常的扫描容易被误认为是端口扫描行为。

端口扫描的实现扫描程序的设计原理在进行端口扫描的设计与开发中，利用三次握手的原理，建立原始套接字，通过向目标主机的服务端口发送探测性数据包，并记录目标主机的响应情况，最后通过分析响应情况来判断目标主机服务端口是打开还是关闭，进而得知端口的状态。

程序流程图如下图所示，所开发的端口扫描流程图图端口扫描流程图检测端口扫描的实现检测程序的设计原理在检测端口扫描程序的设计与开发中，这里首先是采取