信息系統(tǒng)攻擊與防御(第三章)

1、第三章 攻擊概述網(wǎng)絡(luò)攻擊概述 一次完整的入侵 內(nèi)容簡(jiǎn)介現(xiàn)在國(guó)際上幾乎每20秒就有一起黑客事件發(fā)生，僅美國(guó)，每年由黑客所造成的經(jīng)濟(jì)損失就高達(dá)100億美元?！昂诳凸簟痹诮窈蟮碾娮訉?duì)抗中可能成為一種重要武器，2001年5月，在中美撞機(jī)事件后，中國(guó)的“紅客”與美國(guó)的“黑客”就進(jìn)行了針對(duì)對(duì)方網(wǎng)絡(luò)的大規(guī)模的網(wǎng)上攻防對(duì)抗。隨著互聯(lián)網(wǎng)的日益普及和在社會(huì)經(jīng)濟(jì)活動(dòng)中的地位不斷加強(qiáng)，互聯(lián)網(wǎng)安全性得到更多的關(guān)注。因此，有必要對(duì)黑客現(xiàn)象、黑客行為、黑客技術(shù)、黑客防范進(jìn)行分析研究。本章作為學(xué)習(xí)攻擊的開始，介紹了現(xiàn)有的主要黑客組織，網(wǎng)絡(luò)攻擊的基本分類，并重點(diǎn)介紹了一次完整攻擊的一般過程，并舉了一個(gè)完整的實(shí)例進(jìn)行說明。3.

2、1.網(wǎng)絡(luò)攻擊概述 網(wǎng)絡(luò)史上第一宗黑客入侵是1988年，美國(guó)康乃爾大學(xué)一位叫作Robert-Morris的研究生設(shè)計(jì)出的一套網(wǎng)絡(luò)安全性測(cè)試程序出了差錯(cuò)，結(jié)果包括NASA、美國(guó)國(guó)家實(shí)驗(yàn)室、猶他州立大學(xué)等等在內(nèi)，超過6000臺(tái)的網(wǎng)絡(luò)主機(jī)遭到破壞而癱瘓。凈損失一千多萬(wàn)美元。 事實(shí)上，“黑客”并沒有明確的定義，它具有“兩面性”。黑客在造成重大損失的同時(shí)，也有利于系統(tǒng)漏洞發(fā)現(xiàn)和技術(shù)進(jìn)步。 安全性攻擊的的主要形式信息安全的目標(biāo)機(jī)密性完整性認(rèn)證性不可否認(rèn)性機(jī)密性 機(jī)密性是指保證信息不泄露給非授權(quán)的用戶或?qū)嶓w，確保存儲(chǔ)的信息和被傳輸?shù)男畔H能被授權(quán)的各方得到，而非授權(quán)用戶得到信息也無(wú)法知曉信息內(nèi)容，不能使用。通

3、常通過訪問控制阻止非授權(quán)用戶獲得機(jī)密信息，通過加密變換阻止非授權(quán)用戶獲知信息內(nèi)容。完整性 完整性是指信息未經(jīng)授權(quán)不能進(jìn)行改變的特征，維護(hù)信息的一致性，即信息在生成、傳輸、存儲(chǔ)和使用過程中不應(yīng)發(fā)生人為或非人為的非授權(quán)篡改（插入、修改、刪除、重排序等）。一般通過訪問控制阻止篡改行為，同時(shí)通過消息摘要算法來檢驗(yàn)信息是否被篡改。認(rèn)證性 認(rèn)證性是指確保一個(gè)消息的來源或消息本身被正確地標(biāo)識(shí)，同時(shí)確保該標(biāo)識(shí)沒有被偽造，分為實(shí)體認(rèn)證和消息認(rèn)證。 消息認(rèn)證是指能向接收方保證該消息確實(shí)來自于它所宣稱的源。 實(shí)體認(rèn)證是指在連接發(fā)起時(shí)能確保這兩個(gè)實(shí)體是可信的，即每個(gè)實(shí)體的確是它們宣稱的那個(gè)實(shí)體，使得第三方不能假冒這兩

4、個(gè)合法方中的任何一方。不可否認(rèn)性 不可否認(rèn)性是防止發(fā)送方或接收方抵賴所傳輸?shù)男畔?，要求無(wú)論發(fā)送方還是接收方都不能抵賴所進(jìn)行的傳輸。因此，當(dāng)發(fā)送一個(gè)信息時(shí)，接收方能證實(shí)該消息的確是由所宣稱的發(fā)送方發(fā)來的（源非否認(rèn)性）。當(dāng)接收方收到一個(gè)消息時(shí)，發(fā)送方能夠證實(shí)該消息的確送到了指定的接收方（宿非否認(rèn)性）。一般通過數(shù)字簽名來提供抗否認(rèn)服務(wù)。信息安全研究?jī)?nèi)容及相互關(guān)系3.1.1.主要黑客組織 1、國(guó)內(nèi)黑客組織 因特網(wǎng)在中國(guó)的迅速發(fā)展也使國(guó)內(nèi)的黑客逐漸成長(zhǎng)起來?？v觀中國(guó)黑客發(fā)展史，可以分為3代。第1代(19961998)，中國(guó)第1代黑客大都是從事科研、機(jī)械等方面工作的人，只有他們才有機(jī)會(huì)頻繁地接觸計(jì)算機(jī)和網(wǎng)

5、絡(luò)。他們有著較高的文化素質(zhì)和計(jì)算機(jī)技術(shù)水平，憑著扎實(shí)的技術(shù)和對(duì)網(wǎng)絡(luò)的熱愛迅速發(fā)展成為黑客?，F(xiàn)在他們都有穩(wěn)定的工作，有的專門從事網(wǎng)絡(luò)安全技術(shù)研究或成為網(wǎng)絡(luò)安全管理員，有的則開了網(wǎng)絡(luò)安全公司，演變?yōu)榕煽?由黑客轉(zhuǎn)變?yōu)榫W(wǎng)絡(luò)安全者)。黑客代表組織為“綠色兵團(tuán)”。第2代(19982000)，隨著計(jì)算機(jī)的普及和因特網(wǎng)的發(fā)展，有越來越多的人有機(jī)會(huì)接觸計(jì)算機(jī)和網(wǎng)絡(luò)，在第1代黑客的影響和指點(diǎn)下，中國(guó)出現(xiàn)了第2代黑客。他們一部分是從事計(jì)算機(jī)的工作者和網(wǎng)絡(luò)愛好者，另一部分是在校學(xué)生。黑客代表組織為原“中國(guó)黑客聯(lián)盟”。第3代(2000至今)，這一代黑客主要由在校學(xué)生組成，其技術(shù)水平和文化素質(zhì)與第1代、第2代相差甚遠(yuǎn)，

6、大都只是照搬網(wǎng)上一些由前人總結(jié)出來的經(jīng)驗(yàn)和攻擊手法?，F(xiàn)在網(wǎng)絡(luò)上所謂的入侵者也是由這一代組成。但是領(lǐng)導(dǎo)這一代的核心黑客還是那些第1代、第2代的前輩們。黑客代表組織為“紅客聯(lián)盟”、“中國(guó)鷹派”。3.1.1.主要黑客組織(續(xù)) 1、國(guó)內(nèi)黑客組織目前比較典型的黑客組織有：1安全焦點(diǎn) （代表人：冰河）；2綠色兵團(tuán)（已解散）（代表人：龔蔚）；3中國(guó)鷹派聯(lián)盟（代表人：老鷹）；4小榕軟件（代表人：小榕）；5第八軍團(tuán)（代表人：陳三公子）；6邪惡八進(jìn)制（代表人：冰血封情）；7黑客基地（代表人：孤獨(dú)劍客）；8華夏黑客同盟（代表人：怪狗）等。3.1.1.主要黑客組織(續(xù)) 2、國(guó)外黑客組織 以下是一些國(guó)外黑客組織的站

7、點(diǎn)或者是介紹黑客知識(shí)的網(wǎng)站。http:/seltzer，Larry Seltzer是美國(guó)eWEEK.com的安全欄目編輯。http:/www.security.nnov.ru/是俄羅斯一個(gè)安全站點(diǎn)。http:/vkp/是VKP的個(gè)人主頁(yè)，linux安全方面的專業(yè)人員(程序員)。http:/trust/是加州大學(xué)伯克利分校普及安全技術(shù)研究小組。http:/linsec.ca/是加拿大一個(gè)主要收集linux安全相關(guān)的文檔資料的站點(diǎn)， 也包括其它類Unix系統(tǒng)如OpenBSD， Mac OS X等。http:/是一個(gè)專門為系統(tǒng)管理員和黑客提供安全新聞的網(wǎng)站，成立于2002年9月8日。3.1.2.網(wǎng)絡(luò)

8、攻擊分類 網(wǎng)絡(luò)攻擊在最高層次上可以分為兩類：主動(dòng)攻擊和被動(dòng)攻擊。主動(dòng)攻擊是攻擊者非法訪問他所需信息的故意行為，如果要尋找，攻擊者是很容易被發(fā)現(xiàn)的。主動(dòng)攻擊包括拒絕服務(wù)攻擊、信息篡改、資料非法使用、欺騙等攻擊方法。被動(dòng)攻擊主要是被動(dòng)收集信息，而不是主動(dòng)訪問，數(shù)據(jù)的合法用戶對(duì)這種活動(dòng)很難覺察到。被動(dòng)攻擊包括嗅探、信息收集等攻擊方法。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 1、服務(wù)拒絕攻擊：服務(wù)拒絕攻擊企圖通過使你的服務(wù)計(jì)算機(jī)崩潰或把它壓跨來阻止你提供服務(wù)，服務(wù)拒絕攻擊是最容易實(shí)施的攻擊行為，主要包括：1死亡之ping （ping of death）由于在早期的階段，路由器對(duì)包的最大尺寸都有限制，許多操作系

9、統(tǒng)對(duì)TCP/IP棧的實(shí)現(xiàn)在ICMP包上都是規(guī)定64KB，并且在對(duì)包的標(biāo)題頭進(jìn)行讀取之后，要根據(jù)該標(biāo)題頭里包含的信息來為有效載荷生成緩沖區(qū)，當(dāng)產(chǎn)生畸形的，聲稱自己的尺寸超過ICMP上限的包也就是加載的尺寸超過64K上限時(shí)，就會(huì)出現(xiàn)內(nèi)存分配錯(cuò)誤，導(dǎo)致TCP/IP堆棧崩潰，致使接受方死機(jī)?；痉烙胧含F(xiàn)在所有的標(biāo)準(zhǔn)TCP/IP實(shí)現(xiàn)都已實(shí)現(xiàn)對(duì)付超大尺寸的包，并且大多數(shù)防火墻能夠自動(dòng)過濾這些攻擊，包括：從windows98之后的windows，NT(service pack 3之后)，linux、Solaris、和Mac OS都具有抵抗一般ping of death攻擊的能力。此外，對(duì)防火墻進(jìn)行配置，

10、阻斷ICMP以及任何未知協(xié)議，都可以防止此類攻擊。 3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 1、服務(wù)拒絕攻擊：2淚滴（teardrop）淚滴攻擊利用那些在TCP/IP堆棧實(shí)現(xiàn)中信任IP碎片中的包的標(biāo)題頭所包含的信息來實(shí)現(xiàn)自己的攻擊。IP分段含有指示該分段所包含的是原包的哪一段的信息，某些TCP/IP（包括service pack 4以前的NT）在收到含有重疊偏移的偽造分段時(shí)將崩潰?；痉烙胧悍?wù)器應(yīng)用最新的服務(wù)包，或者在設(shè)置防火墻時(shí)對(duì)分段進(jìn)行重組，而不是轉(zhuǎn)發(fā)它們。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 1、服務(wù)拒絕攻擊： 3UDP洪水（UDP flood）各種各樣的假冒攻擊利用簡(jiǎn)單的TCP/IP服務(wù)，如填

11、充和反射來傳送毫無(wú)用處的占滿帶寬的數(shù)據(jù)。通過偽造與某一主機(jī)的裝載服務(wù)之間的一次的UDP連接，回復(fù)地址指向開著Echo服務(wù)的一臺(tái)主機(jī)，這樣就生成在兩臺(tái)主機(jī)之間的足夠多的無(wú)用數(shù)據(jù)流，如果足夠多的數(shù)據(jù)流就會(huì)導(dǎo)致帶寬不夠的拒絕服務(wù)攻擊?；痉烙胧宏P(guān)掉不必要的TCP/IP服務(wù)，或者對(duì)防火墻進(jìn)行配置阻斷來自Internet的UDP請(qǐng)求。 3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 1、服務(wù)拒絕攻擊： 4SYN洪水（SYN flood）一些TCP/IP棧的實(shí)現(xiàn)只能等待從有限數(shù)量的計(jì)算機(jī)發(fā)來的ACK消息，因?yàn)樗麄冎挥杏邢薜膬?nèi)存緩沖區(qū)用于創(chuàng)建連接，如果這一緩沖區(qū)充滿了虛假連接的初始信息，該服務(wù)器就會(huì)對(duì)接下來的連接停止響

12、應(yīng)，直到緩沖區(qū)里的連接企圖超時(shí)。在一些創(chuàng)建連接不受限制的實(shí)現(xiàn)里，SYN洪水具有類似的影響?；痉烙胧涸诜阑饓ι线^濾來自同一主機(jī)的后續(xù)連接，未來的SYN洪水令人擔(dān)憂，由于釋放洪水的并不尋求響應(yīng)，所以無(wú)法從一個(gè)簡(jiǎn)單高容量的傳輸中鑒別出來。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 1、服務(wù)拒絕攻擊： 5Land攻擊 在Land攻擊中，一個(gè)特別打造的SYN包，它的原地址和目標(biāo)地址都被設(shè)置成某一個(gè)服務(wù)器地址，此舉將導(dǎo)致接受服務(wù)器向它自己的地址發(fā)送SYN-ACK消息，結(jié)果這個(gè)地址又發(fā)回ACK消息并創(chuàng)建一個(gè)空連接，每一個(gè)這樣的連接都將保留直到超時(shí)掉，對(duì)Land攻擊的反應(yīng)，許多UNIX實(shí)現(xiàn)將崩潰，NT變的極其緩慢（

13、大約持續(xù)五分鐘）?；痉烙胧捍蜃钚碌难a(bǔ)丁，或者在防火墻進(jìn)行配置，將那些在外部接口上入站的含有內(nèi)部源地址濾掉（包括10域、127域、192.168域、172.16到172.31域）。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 1、服務(wù)拒絕攻擊： 6Smurf攻擊一個(gè)簡(jiǎn)單的smurf攻擊通過使用將回復(fù)地址設(shè)置成受害網(wǎng)絡(luò)的廣播地址的ICMP應(yīng)答請(qǐng)求ping數(shù)據(jù)包來淹沒受害主機(jī)的方式進(jìn)行，最終導(dǎo)致該網(wǎng)絡(luò)的所有主機(jī)都對(duì)此ICMP應(yīng)答請(qǐng)求作出答復(fù)，導(dǎo)致網(wǎng)絡(luò)阻塞，比ping of death洪水的流量高出一或兩個(gè)數(shù)量級(jí)。更加復(fù)雜的Smurf將源地址改為第三方的受害者，最終導(dǎo)致第三方雪崩?；痉烙胧簽榱朔乐购诳屠?/p>

14、用你的網(wǎng)絡(luò)攻擊他人，關(guān)閉外部路由器或防火墻的廣播地址特性。為防止被攻擊，在防火墻上設(shè)置規(guī)則，丟棄掉ICMP包。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 1、服務(wù)拒絕攻擊： 7Fraggle攻擊Fraggle攻擊對(duì)Smurf攻擊作了簡(jiǎn)單的修改，使用的是UDP應(yīng)答消息而非ICMP?；痉烙胧涸诜阑饓ι线^濾掉UDP應(yīng)答消息。8電子郵件炸彈電子郵件炸彈是最古老的匿名攻擊之一，通過設(shè)置一臺(tái)機(jī)器不斷的大量的向同一地址發(fā)送電子郵件，攻擊者能夠耗盡接受者網(wǎng)絡(luò)的帶寬。基本防御措施：對(duì)郵件地址進(jìn)行配置，自動(dòng)刪除來自同一主機(jī)的過量或重復(fù)的消息。9畸形消息攻擊各類操作系統(tǒng)上的許多服務(wù)都存在此類問題，由于這些服務(wù)在處理信息之

15、前沒有進(jìn)行適當(dāng)正確的錯(cuò)誤校驗(yàn)，在收到畸形的信息可能會(huì)崩潰?；痉烙胧捍蜃钚碌姆?wù)補(bǔ)丁。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 2、利用型攻擊 ： 利用型攻擊是一類試圖直接對(duì)你的機(jī)器進(jìn)行控制的攻擊，最常見的有三種：1口令猜測(cè)一旦黑客識(shí)別了一臺(tái)主機(jī)而且發(fā)現(xiàn)了基于NetBIOS、Telnet或NFS這樣的服務(wù)可利用的用戶帳號(hào)，成功的口令猜測(cè)能提供對(duì)機(jī)器控制?；痉烙胧阂x用難以猜測(cè)的口令，比如詞和標(biāo)點(diǎn)符號(hào)的組合。確保像NFS、NetBIOS和Telnet這樣可利用的服務(wù)不暴露在公共范圍。如果該服務(wù)支持鎖定策略，就進(jìn)行鎖定。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 2、利用型攻擊 ： 2特洛伊木馬特洛伊木馬是一

16、種或是直接由一個(gè)黑客，或是通過一個(gè)不令人起疑的用戶秘密安裝到目標(biāo)系統(tǒng)的程序。一旦安裝成功并取得管理員權(quán)限，安裝此程序的人就可以直接遠(yuǎn)程控制目標(biāo)系統(tǒng)。最有效的一種叫做后門程序，惡意程序包括：NetBus、BackOrifice和BO2k，用于控制系統(tǒng)的良性程序如：netcat、VNC、pcAnywhere。理想的后門程序是透明運(yùn)行的。基本防御措施：避免下載可疑程序并拒絕執(zhí)行，運(yùn)用網(wǎng)絡(luò)掃描軟件定期監(jiān)視內(nèi)部主機(jī)上的監(jiān)聽TCP服務(wù)。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 2、利用型攻擊 ： 3緩沖區(qū)溢出由于在很多的服務(wù)程序中大意的程序員使用象strcpy()，strcat()類似的不進(jìn)行有效位檢查的函數(shù)，最終

17、可能導(dǎo)致惡意用戶編寫一小段利用程序來進(jìn)一步打開安全豁口然后將該代碼綴在緩沖區(qū)有效載荷末尾，這樣當(dāng)發(fā)生緩沖區(qū)溢出時(shí)，返回指針指向惡意代碼，這樣系統(tǒng)的控制權(quán)就會(huì)被奪取?；痉烙胧豪肧afeLib、tripwire這樣的程序保護(hù)系統(tǒng)，或者瀏覽最新的安全公告不斷更新操作系統(tǒng)。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 3、信息收集型攻擊 ： 信息收集型攻擊并不對(duì)目標(biāo)本身造成危害，這類攻擊被用來為進(jìn)一步入侵提供有用的信息。主要包括：掃描技術(shù)、體系結(jié)構(gòu)刺探、利用信息服務(wù)。以下（1）（4）是掃描技術(shù)、（5）是體系結(jié)構(gòu)刺探、（6）（8）是利用信息服務(wù)。1地址掃描 運(yùn)用ping這樣的程序探測(cè)目標(biāo)地址，對(duì)此作出響應(yīng)的表

18、示其存在?；痉烙胧涸诜阑饓ι线^濾掉ICMP應(yīng)答消息。2端口掃描通常使用一些軟件，向大范圍的主機(jī)連接一系列的TCP端口，掃描軟件報(bào)告它成功的建立了連接的主機(jī)所開的端口?；痉烙胧涸S多防火墻能檢測(cè)到是否被掃描，并自動(dòng)阻斷掃描企圖。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 3、信息收集型攻擊 ： 3反響映射黑客向主機(jī)發(fā)送虛假消息，然后根據(jù)返回“host unreachable”這一消息特征判斷出哪些主機(jī)是存在的。目前由于正常的掃描活動(dòng)容易被防火墻偵測(cè)到，黑客轉(zhuǎn)而使用不會(huì)觸發(fā)防火墻規(guī)則的常見消息類型，這些類型包括：RESET消息、SYN-ACK消息、DNS響應(yīng)包?；痉烙胧篘AT和非路由代理服務(wù)器

19、能夠自動(dòng)抵御此類攻擊，也可以在防火墻上過濾“host unreachable”ICMP應(yīng)答。4慢速掃描 由于一般掃描偵測(cè)器的實(shí)現(xiàn)是通過監(jiān)視某個(gè)時(shí)間楨里一臺(tái)特定主機(jī)發(fā)起的連接的數(shù)目（例如每秒10次）來決定是否在被掃描，這樣黑客可以通過使用掃描速度慢一些的掃描軟件進(jìn)行掃描。基本防御措施：通過引誘服務(wù)來對(duì)慢速掃描進(jìn)行偵測(cè)。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 3、信息收集型攻擊 ： 5體系結(jié)構(gòu)探測(cè)黑客使用具有已知響應(yīng)類型的數(shù)據(jù)庫(kù)的自動(dòng)工具，對(duì)來自目標(biāo)主機(jī)的、對(duì)壞數(shù)據(jù)包傳送所作出的響應(yīng)進(jìn)行檢查。由于每種操作系統(tǒng)都有其獨(dú)特的響應(yīng)方法（例NT和Solaris的TCP/IP堆棧具體實(shí)現(xiàn)有所不同），通過將此獨(dú)特的響

20、應(yīng)與數(shù)據(jù)庫(kù)中的已知響應(yīng)進(jìn)行對(duì)比，黑客經(jīng)常能夠確定出目標(biāo)主機(jī)所運(yùn)行的操作系統(tǒng)。基本防御措施：去掉或修改各種Banner，包括操作系統(tǒng)和各種應(yīng)用服務(wù)的，阻斷用于識(shí)別的端口擾亂對(duì)方的攻擊計(jì)劃。6DNS域轉(zhuǎn)換DNS協(xié)議不對(duì)轉(zhuǎn)換或信息性的更新進(jìn)行身份認(rèn)證，這使得該協(xié)議被人以一些不同的方式加以利用。如果你維護(hù)著一臺(tái)公共的DNS服務(wù)器，黑客只需實(shí)施一次域轉(zhuǎn)換操作就能得到你所有主機(jī)的名稱以及內(nèi)部IP地址。基本防御措施：在防火墻處過濾掉域轉(zhuǎn)換請(qǐng)求。3.1.2.網(wǎng)絡(luò)攻擊分類（續(xù)） 4、假消息攻擊 ： 假消息攻擊用于攻擊目標(biāo)配置不正確的消息，主要包括：DNS高速緩存污染、偽造電子郵件。1DNS高速緩存污染由于DNS

21、服務(wù)器與其他名稱服務(wù)器交換信息的時(shí)候并不進(jìn)行身份驗(yàn)證，這就使得黑客可以將不正確的信息摻進(jìn)來并把用戶引向黑客自己的主機(jī)?；痉烙胧涸诜阑饓ι线^濾入站的DNS更新，外部DNS服務(wù)器不應(yīng)能更改你的內(nèi)部服務(wù)器對(duì)內(nèi)部機(jī)器的認(rèn)識(shí)。2偽造電子郵件由于SMTP并不對(duì)郵件的發(fā)送者的身份進(jìn)行鑒定，因此黑客可以對(duì)你的內(nèi)部客戶偽造電子郵件，聲稱是來自某個(gè)客戶認(rèn)識(shí)并相信的人，并附帶上可安裝的特洛伊木馬程序，或者是一個(gè)引向惡意網(wǎng)站的連接?；痉烙胧菏褂肞GP等安全工具并安裝電子郵件證書。3.2.一次完整的入侵 黑客入侵行為模型圖 3.2.一次完整的入侵（續(xù)） 黑客入侵的完整模式一般為：踩點(diǎn)掃描查點(diǎn)分析并入侵獲取權(quán)

22、限擴(kuò)大范圍安裝后門清除日志，這幾個(gè)大的行為模塊。也許在實(shí)際入侵中不可能都用到上面的每一步，但是這種大概的思路和框架是差不多的，入侵并不是千篇一律的，和解題一樣，任何能解決此題的都是方法，只有優(yōu)劣之分而已，但都能達(dá)到目的?？傮w來說一次完整的黑客入侵攻擊的基本步驟可包括：搜集信息；實(shí)施入侵；上傳程序、下載數(shù)據(jù)；利用一些方法來保持訪問，如后門、特洛伊木馬；隱藏蹤跡。下面分別介紹各個(gè)步驟的基本內(nèi)容。黑客入侵行為模型圖 3.2.1.信息搜集 在攻擊者對(duì)特定的網(wǎng)絡(luò)資源進(jìn)行攻擊以前，他們需要了解將要攻擊的環(huán)境，這需要搜集匯總各種與目標(biāo)系統(tǒng)相關(guān)的信息，包括機(jī)器數(shù)目、類型、操作系統(tǒng)等等。踩點(diǎn)和掃描的目的都是進(jìn)行

23、信息的搜集。攻擊者搜集目標(biāo)信息一般采用7個(gè)基本步驟，每一步均有可利用的工具，攻擊者使用它們得到攻擊目標(biāo)所需要的信息。這7個(gè)基本步驟是：找到初始信息；找到網(wǎng)絡(luò)的地址范圍；找到活動(dòng)的機(jī)器；找到開放端口和入口點(diǎn)；弄清操作系統(tǒng)；弄清每個(gè)端口運(yùn)行的是哪種服務(wù)；畫出網(wǎng)絡(luò)圖。3.2.2.實(shí)施入侵 根據(jù)獲取的相關(guān)信息實(shí)施入侵，獲得遠(yuǎn)程shell。shell這個(gè)概念是從UNIX下繼承過來的，是指與操作系統(tǒng)核心的一種交互方式和界面。典型的例子是telnet。得到shell的辦法有很多種，比如通過系統(tǒng)自帶的telnet，終端服務(wù)?；蛘哂媚抉R和工具提供的，如winshell，等等。shell是有權(quán)限差別的。要想做更多

24、的事，就必須獲得更高的權(quán)限。最高權(quán)限-管理員權(quán)限才是我們的目標(biāo)。所以有時(shí)會(huì)有提升權(quán)限的問題。具體的方法有很多，根據(jù)實(shí)際情況靈活運(yùn)用。 3.2.3.保持訪問 入侵完后，如何在控制的系統(tǒng)后保留自己的根用戶權(quán)限，為將來可以保持訪問，你需要保持shell。做一個(gè)好的后門又是一種“學(xué)問”。克隆帳號(hào)、種木馬、破administrator的密碼，手段不一而足。一定要有好的隱秘性，即不易發(fā)覺。要不就沒有任何意義了。 3.2.4.隱藏蹤跡 一次完整的入侵后，退出來結(jié)束前，一定要有隱藏蹤跡、日志清除，但凡有日志記錄的地方，都得清除，ftp，mail，sqlserver，web，殺毒軟件日志（一般這個(gè)地方比較容易忽

25、略（一般上傳的黑客工具可能被殺，這樣就留下了日志，有被追蹤的可能）系統(tǒng)日志等。 3.2.4.隱藏蹤跡(續(xù)) 下面列舉一例介紹簡(jiǎn)單日志清除方法。Win2000日志清除技巧：（1）清除IIs的日志可不要小看IIS的日志功能，它可以詳細(xì)的記錄下你的入侵全過程，如你用unicode入侵時(shí)在ie中輸入的命令，以及對(duì)80端口掃描時(shí)留下的痕跡?？墒謩?dòng)清除它。日志的默認(rèn)位置：%systemroot%system32logfilesw3svc1，默認(rèn)每天一個(gè)日志，切換到這個(gè)目錄下，執(zhí)行：del *.* 但是，這樣刪除，當(dāng)天的日志是刪不掉的，因?yàn)閣3svc服務(wù)還開著，那怎么清除這個(gè)日志文件呢?可以用notepad

26、打開這個(gè)日志文件，Ctrl+A全部選中文件內(nèi)容，然后del就可以刪除日志文件的內(nèi)容，并保留了文件，不至于被發(fā)現(xiàn)。另外一種方法是使用net 命令：C:net stop w3svcWorld Wide Web Publishing Service 服務(wù)正在停止。(可能會(huì)等很長(zhǎng)的時(shí)間，也可能不成功)World Wide Web Publishing Service 服務(wù)已成功停止。w3svc停止了，可以清空它的日志了，執(zhí)行：del *.* 就可以刪除所有日志文件。清空它的日志后不要忘了再打開w3svc服務(wù)，執(zhí)行：C:net start w3svc。3.2.4.隱藏蹤跡(續(xù)) （2）清除ftp日志FT

27、P日志默認(rèn)位置：%systemroot%sys tem32logfilesmsftpsvc1，默認(rèn)每天一個(gè)日志，清除方法同上。（3）清除Scheduler日志Scheduler服務(wù)日志默認(rèn)位置：%systemroot%schedlgu.txt ，清除方法同上。（4）應(yīng)用程序日志、安全日志、系統(tǒng)日志、DNS日志默認(rèn)位置：%systemroot%sys tem32config ，清除方法同上。注意以上三個(gè)目錄可能不在上面的位置，那是因?yàn)楣芾韱T做的修改，可以讀取注冊(cè)表值得到它們的位置。應(yīng)用程序日志，安全日志，系統(tǒng)日志，DNS服務(wù)器日志，它們這些LOG文件在注冊(cè)表中的：HKEY_LOCAL_MACHINEsys temCurrentControlSetServicesEventlogSchedluler服務(wù)日志在注冊(cè)表中：KEY_LOCAL_MACHINESOFTWAREMic