Python——实现集中式的病毒扫描&实现高效的端口扫描器

1、pyClamad模块安装方法

yum install clamav clamd clamav-update -y   #安装clamavp相关程序包
chkconfig --levels 235 clamd on  #添加扫描守护进场clamd系统服务
/usr/bin/freshclam    #更新病毒库，建议配置到crontab中定期更新
setenforce 0     #关闭SELinux，避免远程扫描时提示无权限的问题

#更新守护进程监听IP配置文件，根据不同环境自行修改监听的IP，'0.0.0.0'为监听所有主机IP
sed -i -e '/^TCPAddr/{ s/127.0.0.1/0.0.0.0/; }' /etc/clamd.conf
/etc/init.d/clamd start  #启动扫描守护进程

#主控端部署pyClamad环境
wget https://pypi.python.org/packages/13/73/97a0518b59f1b6aefa2ac851566038d2c9128f8a5503bcf4cd0adf8b0072/pyClamd-0.4.0.tar.gz
tar -xf pyClamd-0.4.0.tar.gz
cd pyClamd-0.4.0
python setup.py install

实践：实现集中病毒扫描

本文实现了一个集中式的病毒扫描管理，可以针对不同的业务环境定制扫描策略，比如：扫描对象、描述模式、扫描路径、调度频率等。实现的架构如下图，首先业务服务器打开clamd服务(监听3310端口)，管理服务器启用多线程对指定的服务集群进行扫描，扫描模式、扫描路径会传递到clamd，最后返回扫描结果给管理服务器端。

#!/usr/bin/env python
#coding=utf-8

import time
import pyclamd
from threading import Thread

class Scan(Thread):
    def __init__(self, IP, scan_type, file):
        Thread.__init__(self)
        self.IP = IP
        self.scan_type = scan_type
        self.file = file
        self.connstr = ""
        self.scanresult = ""

    def run(self):
        """多进程run方法"""
        try:
            #创建网络套接字连接对象
            cd = pyclamd.ClamdNetworkSocket(self.IP, 3310)

            #测试连通性
            if cd.ping():
                self.connstr = self.IP + " connection [OK]"
                #重载clamd病毒特征库，建议更新病毒库后做reload()操作
                cd.reload()
                #选择不同的扫描模式
                if self.scan_type == "contscan_file":
                    self.scanresult = "{0}
.".format(cd.contscan_file(self.file))
                elif self.scan_type == "multiscan_file":
                    self.scanresult = "{0}
.".format(cd.multiscan_file(self.file))
                elif self.scan_type == "scan_file":
                    self.scanresult = "{0}
.".format(cd.scan_file(self.file))
                #线程挂起1秒
                time.sleep(1)
            else:
                self.connstr = self.IP + " ping error, exit"
                return
        except Exception, e:
            self.connstr = self.IP + " " + str(e)

#扫描主机列表
IPs = ['192.168.209.121']
#指定扫描模式，支持contscan_file、multiscan_file、scan_file
scantype = "multiscan_file"
#指定扫描路径
scanfile = "/data/www"
i = 1

#指定启动线程数
threadnum = 2
#存储扫描Scan类线程对象列表
scanlist = []

for ip in IPs:
    #创建扫描Scan类对象，参数（IP,扫描模式,扫描路径）
    currp = Scan(ip, scantype, scanfile)
    #追加对象到列表
    scanlist.append(currp)

    #当达到指定的线程数或IP列表数后启动、退出线程
    if i % threadnum == 0 or i == len(IPs):
        for task in scanlist:
            #启动线程
            task.start()

        for stask in scanlist:
            #等待所有子线程退出，并输出扫描结果
            task.join()
            #打印服务器连接信息
            print task.connstr
            #打印扫描结果
            print task.scanresult
        scanlist = []

    i+=1

2、python-nmap模块的安装方法

yum install nmap -y    #安装nmap工具

#模块源码安装
wget http://xael.org/pages/python-nmap-0.6.1.tar.gz
tar -xf python-nmap-0.6.1.tar.gz
cd python-nmap-0.6.1
python setup.py install

     通过python-nmap实现一个高效的端口扫描工具，与定时作业crontab及邮件告警结合，可以很好地帮助我们及时发现异常端口开放的高危端口。当然，该工具也可以作为业务服务端口的可用性探测，例如扫描192.168.1.20-25网段Web服务端口80是否处于open状态。实践所采用的scan()方法的arguments参数指定为"-v -PE -p + 端口"，-v表示启用细节模式，可以返回非up状态主机清单；-PE表示采用TCP同步扫描（TCP SYN）方式；-p指定扫描端口范围。程序输出部分采用了三个for循环体，第一层遍历扫描主机，第二层为遍历协议，第三层为遍历端口，最后输出主机状态。

#!/usr/bin/env python
#coding=utf-8


import sys  
import nmap  
  
scan_row = []  
input_data = raw_input('Please input hosts and port: ')  
#以空格分隔  
scan_row = input_data.split(' ')  
  
if len(scan_row) != 2:  
    print "Input errors, example "192.168.209.0/24 80,443,22 ""  
    sys.exit(0)  
      
#接收用户输入的主机  
hosts = scan_row[0]  
#接收用户收入的端口  
port = scan_row[1]  
  
try:  
    #创建端口扫描对象  
    nm = nmap.PortScanner()  
except nmap.PortScannerError:  
    print 'Nmap not found', sys.exc_info()[0]  
    sys.exit(0)  
except Exception, e:  
    print "Unexpected error:", sys.exc_info()[0]  
    print str(e)  
    sys.exit(0)  
      
try:  
    #调用扫描方法，参数指定扫描主机hosts，nmap扫描命令行参数arguments  
    nm.scan(hosts=hosts, arguments=' -v -sS -p ' + port)  
except Exception, e:  
    print "Scan error:" + str(e)  
  
for host in nm.all_hosts():    #遍历扫描主机
    print '---------------------------------------------------------------------'  
    #输出主机及主机名  
    print 'Host : %s (%s)' % (host, nm[host].hostname())  
    #输出主机状态，如up、down  
    print 'State : %s' % nm[host].state()  
    #遍历扫描协议，tcp、udp  
    for proto in nm[host].all_protocols():    
        print '--------------'  
        #输出协议名  
        print 'Protocol : %s' % proto  
          
        #获取协议的所有扫描端口  
        lport = nm[host][proto].keys()  
        #端口列表排序  
        lport.sort()  
        #遍历端口输出端口与状态  
        for port in lport:  
            print 'port %s	state : %s' % (port, nm[host][proto][port]['state'])