安全知識：解讀防火牆日志記錄

　如今個人防火牆已經越來越多的應用於用戶的計算機上，但您真的可以駕馭您的防火牆嗎？它的性能可以被用戶最大限度的發揮出來嗎？本文將詳細介紹個人防火牆的日志的詳細信息，有效保護用戶的計算機。

　　一、目標端口

　　所有穿過防火牆的通訊都是連接的一個部分。一個連接包含一對相互“交談”的IP地址以及一對與IP地址對應的端口。目標端口通常意味著正被連接的某種服務。當防火牆阻擋（block）某個連接時，它會將目標端口“記錄在案”。

　　端口可分為3大類：

　　1） 公認端口（Well Known Ports）：從0到1023，它們緊密綁定於一些服務。通常這些端口的通訊明確表明了某種服務的協議。例如：80端口實際上總是HTTP通訊。

　　2） 注冊端口（Registered Ports）：從1024到49151.它們松散地綁定於一些服務。也就是說有許多服務綁定於這些端口，這些端口同樣用於許多其它目的。例如：許多系統處理動態端口從1024左右開始。

　　3） 動態和/私有端口（Dynamic/Private Ports）：從49152到65535.理論上，不應為服務分配這些端口。實際上，機器通常從1024起分配動態端口。但也有例外：SUN的RPC端口從32768開始。

　　從哪裡獲得更全面的端口信息：

　　1.ftp://ftp.isi.edu/in-notes/iana/assignments/port-numbers

　　"Assigned Numbers" RFC，端口分配的官方來源。

　　2.http://advice.networkice.com/advice/Exploits/Ports/

　　端口數據庫，包含許多系統弱點的端口。

　　3./etc/services

　　UNIX 系統中文件/etc/services包含通常使用的UNIX端口分配列表。Windows NT中該文件位於%systemroot%/system32/drivers/etc/services.

　　4.http://www.con.wesleyan.edu/~triemer/network/docservs.html

　　特定的協議與端口。

　　5.http://www.chebucto.ns.ca/~rakerman/trojan-port-table.html

　　描述了許多端口。

　　二、通常對防火牆的TCP/UDP端口掃描有哪些？

　　0 通常用於分析操作系統。這一方法能夠工作是因為在一些系統中“0”是無效端口，當你試圖使用一種通常的閉合端口連接它時將產生不同的結果。一種典型的掃描：使用IP地址為0.0.0.0，設置ACK位並在以太網層廣播。

　　1 tcpmux 這顯示有人在尋找SGI Irix機器。Irix是實現tcpmux的主要提供者，缺省情況下tcpmux在這種系統中被打開。Iris機器在發布時含有幾個缺省的無密碼的帳戶，如lp， guest， uucp， nuucp， demos， tutor， diag， EZsetup， OutOfBox， 和4Dgifts.許多管理員安裝後忘記刪除這些帳戶。因此Hacker們在Internet上搜索tcpmux並利用這些帳戶。

　　7 Echo 你能看到許多人們搜索Fraggle放大器時，發送到x.x.x.0和x.x.x.255的信息。

　　常見的一種DoS攻擊是echo循環（echo-loop），攻擊者偽造從一個機器發送到另一個機器的UDP數據包，而兩個機器分別以它們最快的方式回應這些數據包；另一種東西是由DoubleClick在詞端口建立的TCP連接。有一種產品叫做“Resonate Global Dispatch”，它與DNS的這一端口連接以確定最近的路由。

　　Harvest/squid cache將從3130端口發送UDP echo：“如果將cache的source_ping on選項打開，它將對原始主機的UDP echo端口回應一個HIT reply.”這將會產生許多這類數據包。

　　11 sysstat 這是一種UNIX服務，它會列出機器上所有正在運行的進程以及是什麼啟動了這些進程。這為入侵者提供了許多信息而威脅機器的安全，如暴露已知某些弱點或帳戶的程序。這與UNIX系統中“ps”命令的結果相似

　　19 chargen 這是一種僅僅發送字符的服務。UDP版本將會在收到UDP包後回應含有垃圾字符的包。TCP連接時，會發送含有垃圾字符的數據流知道連接關閉。Hacker利用IP欺騙可以發動DoS攻擊。偽造兩個chargen服務器之間的UDP包。由於服務器企圖回應兩個服務器之間的無限的往返數據通訊一個chargen和echo將導致服務器過載。同樣fraggle DoS攻擊向目標地址的這個端口廣播一個帶有偽造受害者IP的數據包，受害者為了回應這些數據而過載。

　　21 ftp 最常見的攻擊者用於尋找打開“anonymous”的ftp服務器的方法。這些服務器帶有可讀寫的目錄。Hackers或Crackers 利用這些服務器作為傳送warez （私有程序） 和pr0n（故意拼錯詞而避免被搜索引擎分類）的節點。