解讀防火牆記錄

　　防火牆的記錄***Log***中看到了什麼?尤其是那些埠是什麼意思?你將能利用這些資訊做出判斷：我是否受到了Hacker的攻擊?他/她到底想要幹什麼?下面是小編跟大家分享的是，歡迎大家來閱讀學習~

　　一、目標埠ZZZZ是什麼意思

　　所有穿過防火牆的通訊都是連線的一個部分。一個連線包含一對相互“交談”的IP地址以及一對與IP地址對應的埠。目標埠通常意味著正被連線的某種服務。當防火牆阻擋***block***某個連線時，它會將目標埠“記錄在案”***logfile***。這節將描述這些埠的意義。

　　埠可分為3大類：

　　1*** 公認埠***Well Known Ports***：從0到1023，它們緊密綁定於一些服務。通常這些埠的通訊明確表明了某種服務的協議。例如：80埠實際上總是HTTP通訊。

　　2*** 註冊埠***Registered Ports***：從1024到49151。它們鬆散地綁定於一些服務。也就是說有許多服務綁定於這些埠，這些埠同樣用於許多其它目的。例如：許多系統處理動態埠從1024左右開始。

　　3*** 動態和/或私有埠***Dynamic and/or Private Ports***：從49152到65535。理論上，不應為服務分配這些埠。實際上，機器通常從1024起分配動態埠。但也有例外：SUN的RPC埠從32768開始。

　　從哪裡獲得更全面的埠資訊：

　　1."Assigned Numbers" RFC，埠分配的官方來源。

　　2.埠資料庫，包含許多系統弱點的埠。

　　3./etc/servicesUNIX 系統中檔案/etc/services包含通常使用的UNIX埠分配列表。Windows NT中該檔案位於%systemroot%/system32/drivers/etc/services。

　　4.特定的協議與埠。

　　5.描述了許多埠。

　　6.TLSecurity的Trojan埠列表。與其它人的收藏不同，作者檢驗了其中的所有埠。

　　7.Trojan Horse 探測。一*** 通常對於防火牆的TCP/UDP埠掃描有哪些?本節講述通常TCP/UDP埠掃描在防火牆記錄中的資訊。記住：並不存在所謂ICMP埠。如果你對解讀ICMP資料感興趣，請參看本文的其它部分。0 通常用於分析作業系統。這一方法能夠工作是因為在一些系統中“0”是無效埠，當你試圖使用一種通常的閉合埠連線它時將產生不同的結果。一種典型的掃描：使用IP地址為0.0.0.0，設定ACK位並在乙太網層廣播。

　　tcpmux 這顯示有人在尋找SGI Irix機器。Irix是實現tcpmux的主要提供者，預設情況下tcpmux在這種系統中被開啟。Iris機器在釋出時含有幾個預設的無密碼的帳戶，如lp, guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。許多管理員安裝後忘記刪除這些帳戶。因此Hacker們在Internet上搜索tcpmux並利用這些帳戶。

　　Echo 你能看到許多人們搜尋Fraggle放大器時，傳送到x.x.x.0和x.x.x.255的資訊。常見的一種DoS攻擊是echo迴圈***echo-loop***，攻擊者偽造從一個機器傳送到另一個機器的UDP資料包，而兩個機器分別以它們最快的方式迴應這些資料包。***參見Chargen***另一種東西是由DoubleClick在詞埠建立的TCP連線。有一種產品叫做“Resonate Global Dispatch”，它與DNS的這一埠連線以確定最近的路由。Harvest/squid cache將從3130埠傳送UDP echo：“如果將cache的source_ping on選項開啟，它將對原始主機的UDP echo埠迴應一個HIT reply。”這將會產生許多這類資料包。