提取与安全相关的信息
从 Nmap 扫描中获取安全洞察
现在我们可以解析 Nmap XML 数据了，让我们扩展我们的脚本以提取与安全相关的信息。这包括：
- 识别潜在的危险开放端口
- 检测过时的服务版本
- 总结安全问题
让我们创建一个增强版本的解析器，专注于安全分析。
创建安全分析脚本
创建一个名为 security_analysis.py 的新文件：
nano ~/project/security_analysis.py
复制并粘贴以下代码：
#!/usr/bin/env python3
import xml.etree.ElementTree as ET
import sys
import datetime
## 定义潜在的危险端口
HIGH_RISK_PORTS = {
'21': 'FTP - 文件传输协议 (通常未加密)',
'23': 'Telnet - 未加密的远程访问',
'25': 'SMTP - 电子邮件传输 (可能允许中继)',
'445': 'SMB - Windows 文件共享 (蠕虫的潜在目标)',
'3389': 'RDP - 远程桌面协议 (暴力破解的目标)',
'1433': 'MSSQL - Microsoft SQL Server',
'3306': 'MySQL - 数据库访问',
'5432': 'PostgreSQL - 数据库访问'
}
## 具有已知安全问题的服务
OUTDATED_SERVICES = {
'ssh': [
{'version': '1', 'reason': 'SSHv1 具有已知的漏洞'},
{'version': 'OpenSSH 7', 'reason': '较旧的 OpenSSH 版本具有多个 CVE'}
],
'http': [
{'version': 'Apache httpd 2.2', 'reason': 'Apache 2.2.x 已停止维护'},
{'version': 'Apache httpd 2.4.1', 'reason': '2.4.30 之前的 Apache 版本具有已知的漏洞'},
{'version': 'nginx 1.14', 'reason': '较旧的 nginx 版本具有安全问题'}
]
}
def analyze_security(xml_file):
try:
## 解析 XML 文件
tree = ET.parse(xml_file)
root = tree.getroot()
## 准备报告
report = []
report.append("NMAP SECURITY ANALYSIS REPORT")
report.append("=" * 50)
report.append(f"Report generated on: {datetime.datetime.now().strftime('%Y-%m-%d %H:%M:%S')}")
report.append(f"Scan started at: {root.get('startstr')}")
report.append(f"Scan command: {root.get('args')}")
report.append("=" * 50)
## 跟踪安全发现
high_risk_services = []
potentially_outdated = []
exposed_services = []
## 处理扫描中的每个主机
for host in root.findall('host'):
## 获取主机地址
ip_address = None
for addr in host.findall('address'):
if addr.get('addrtype') == 'ipv4':
ip_address = addr.get('addr')
hostname = "Unknown"
hostnames = host.find('hostnames')
if hostnames is not None:
hostname_elem = hostnames.find('hostname')
if hostname_elem is not None:
hostname = hostname_elem.get('name')
report.append(f"\nHOST: {ip_address} ({hostname})")
report.append("-" * 50)
## 处理端口
ports = host.find('ports')
if ports is None:
report.append("No port information available")
continue
open_ports = 0
for port in ports.findall('port'):
port_id = port.get('portid')
protocol = port.get('protocol')
## 获取端口状态
state = port.find('state')
if state is None or state.get('state') != "open":
continue
open_ports += 1
## 获取服务信息
service = port.find('service')
if service is None:
service_name = "unknown"
service_product = ""
service_version = ""
else:
service_name = service.get('name', 'unknown')
service_product = service.get('product', '')
service_version = service.get('version', '')
service_full = f"{service_product} {service_version}".strip()
## 检查这是否是高风险端口
if port_id in HIGH_RISK_PORTS:
high_risk_services.append(f"{ip_address}:{port_id} ({service_name}) - {HIGH_RISK_PORTS[port_id]}")
## 检查过时的服务
if service_name in OUTDATED_SERVICES:
for outdated in OUTDATED_SERVICES[service_name]:
if outdated['version'] in service_full:
potentially_outdated.append(f"{ip_address}:{port_id} - {service_name} {service_full} - {outdated['reason']}")
## 跟踪所有暴露的服务
exposed_services.append(f"{ip_address}:{port_id}/{protocol} - {service_name} {service_full}")
report.append(f"Open ports: {open_ports}")
## 将安全发现添加到报告中
report.append("\nSECURITY FINDINGS")
report.append("=" * 50)
## 高风险服务
report.append("\nHIGH-RISK SERVICES")
report.append("-" * 50)
if high_risk_services:
for service in high_risk_services:
report.append(service)
else:
report.append("No high-risk services detected")
## 潜在的过时服务
report.append("\nPOTENTIALLY OUTDATED SERVICES")
report.append("-" * 50)
if potentially_outdated:
for service in potentially_outdated:
report.append(service)
else:
report.append("No potentially outdated services detected")
## 暴露的服务清单
report.append("\nEXPOSED SERVICES INVENTORY")
report.append("-" * 50)
if exposed_services:
for service in exposed_services:
report.append(service)
else:
report.append("No exposed services detected")
## 将报告写入文件
report_file = "security_report.txt"
with open(report_file, 'w') as f:
f.write('\n'.join(report))
print(f"Security analysis complete. Report saved to {report_file}")
## 显示摘要
print("\nSummary:")
print(f"- High-risk services: {len(high_risk_services)}")
print(f"- Potentially outdated services: {len(potentially_outdated)}")
print(f"- Total exposed services: {len(exposed_services)}")
except ET.ParseError as e:
print(f"Error parsing XML file: {e}")
return False
except Exception as e:
print(f"Error: {e}")
return False
return True
if __name__ == "__main__":
if len(sys.argv) != 2:
print(f"Usage: {sys.argv[0]} <nmap_xml_file>")
sys.exit(1)
xml_file = sys.argv[1]
if not analyze_security(xml_file):
sys.exit(1)
通过按 Ctrl+O，然后按 Enter 保存文件，然后使用 Ctrl+X 退出 nano。
使脚本可执行：
chmod +x ~/project/security_analysis.py
运行安全分析
让我们在 Nmap XML 文件上运行我们的安全分析脚本：
cd ~/project
./security_analysis.py localhost_scan.xml
该脚本将分析扫描结果并生成一份专注于潜在漏洞的安全报告，并将其保存到名为 security_report.txt 的文件中。
让我们看看报告的内容：
cat ~/project/security_report.txt
理解安全分析
安全分析脚本执行几个重要的功能：
-
高风险端口识别：它识别常见的被利用的端口，如 FTP (21)、Telnet (23) 和 RDP (3389)，这些端口是攻击者的常见目标。
-
过时服务检测：它检查可能存在已知安全漏洞的旧版本服务，如 SSH、Apache 和 nginx。
-
暴露服务清单：它创建所有开放端口和服务的完整清单，这对于安全审计非常有价值。
-
风险分类：它按风险级别组织发现，以帮助确定安全改进的优先级。
这种类型的分析对于安全专业人员在攻击者利用网络中的潜在漏洞之前识别它们至关重要。
扩展分析
在实际场景中，你可能希望通过以下方式扩展此分析：
- 将更多高风险端口添加到检测列表
- 使用最新的漏洞信息更新过时的服务定义
- 与漏洞数据库集成以检查已知的 CVE（通用漏洞披露，Common Vulnerabilities and Exposures）
- 添加针对检测到的问题的补救建议
对于网络安全专业人员来说，以编程方式分析 Nmap XML 数据是一项强大的技能，因为它允许自动化的漏洞评估以及与更大的安全监控系统集成。
