2.5 網(wǎng)絡攻擊的善后階段

1、山東職業(yè)學院 01隱藏技術(shù)02留后門山東職業(yè)學院 01隱藏技術(shù)第 4 頁隱藏技術(shù) 當非法用戶嘗試對網(wǎng)絡進行破壞前，首先探測和分析網(wǎng)絡的基本信息、狀態(tài)，以及結(jié)構(gòu)。 在這些探測和分析中通常需要隱藏自己的行蹤。第 5 頁隱藏技術(shù)1 1文件傳輸與文件隱藏技術(shù)文件傳輸與文件隱藏技術(shù) 所謂“隱藏入侵”，是指入侵者利用其他計算機代替自己執(zhí)行掃描、漏洞溢出、連接建立、遠程控制等操作。（1）文件傳輸方式：IPC$文件傳輸、FTP傳輸、打包傳輸（2）文件隱藏：簡單簡單隱藏、隱藏、利用專用文件夾利用專用文件夾隱藏隱藏第 6 頁隱藏技術(shù)2 2掃描隱藏技術(shù)掃描隱藏技術(shù) 入侵者通過制作“掃描代理肉雞”的方法來隱藏自己的掃

2、描行為。3 3入侵隱藏技術(shù)入侵隱藏技術(shù) 入侵者利用跳板技術(shù)實現(xiàn)隱藏。 這里指的跳板可稱為“入侵代理”或“入侵型肉雞”，它存在于入侵者與遠程主機/服務器之間，用來代替入侵者與遠程主機/服務器建立網(wǎng)絡連接或者漏洞溢出。山東職業(yè)學院 02留后門第 8 頁留后門1 1帳號后門帳號后門 賬號永遠是系統(tǒng)敞開的大門。入侵者為了能夠永久控制遠程主機/服務器，他們會在第一次入侵成功后便馬上在遠程主機/服務器內(nèi)部建立一個備用的管理員賬號，這種賬號就是“后門賬號”。入侵者常用的留賬號后門的方法是克隆賬號。第 9 頁留后門1 1帳號后門帳號后門 克隆賬號是通過修改注冊表的SAM來實現(xiàn)的。 SAM（Security A

3、ccount Manager）是專門用來管理Windows系統(tǒng)中賬號的數(shù)據(jù)庫，里面存放了一個賬號所有的屬性，包括賬號的配置文件路徑、賬號權(quán)限、賬號密碼等。第 10 頁留后門2 2漏洞后門漏洞后門 通過服務器IIS上的Unicode、.ida&.idq等漏洞，入侵者能夠毫不費力地遠程控制服務器的操作系統(tǒng)。（1 1）制造）制造UnicodeUnicode漏洞漏洞 步驟1：找出Web根目錄。 步驟2：復制cmd.exe到IIS目錄中，一般可放在IIS的Scripts文件夾中。 步驟3：使用文件隱藏方法隱藏文件。 步驟4：驗證Unicode后門。（2 2）制造）制造. .idqidq漏洞漏洞 步驟1：把idq.dll傳入遠程服務器的Scripts目錄中。 步驟2：隱藏后門文件。 步驟3：利用.idq或.ida漏洞進行入侵。第 11 頁留后門2 2木馬木馬后門后門 木馬具有體積小、功能強的特點，有一些木馬相當于一個嵌入在Windows系統(tǒng)內(nèi)部的微型系統(tǒng)，通過與木馬的連接，入侵者可以不經(jīng)過任何認證而直接控制Window