黑客常用的系統(tǒng)攻擊

項(xiàng)目二黑客常用的系統(tǒng)攻擊課堂教學(xué)要素授課時(shí)數(shù)：24學(xué)時(shí)授課日期:2014年3月5日---2014年3月28授課班級(jí):1206班1207班目的與要求：黑客發(fā)展的歷史網(wǎng)絡(luò)威脅網(wǎng)絡(luò)掃描網(wǎng)絡(luò)監(jiān)聽(tīng)常用黑客技術(shù)的原理（木馬、緩沖區(qū)溢出等）黑客攻擊的防范教學(xué)重點(diǎn)：了解黑客入侵攻擊系統(tǒng)的過(guò)程；掌握掃描器使用的方法，能夠通過(guò)掃描器寫(xiě)出系統(tǒng)漏洞的報(bào)告。教學(xué)難點(diǎn)：

ARP欺騙、緩沖區(qū)溢出項(xiàng)目二黑客常用的系統(tǒng)攻擊方法黑客攻擊手段可分為非破壞性攻擊和破壞性攻擊兩類(lèi)。非破壞性攻擊一般是為了擾亂系統(tǒng)的運(yùn)行，并不盜竊系統(tǒng)資料，通常采用拒絕服務(wù)攻擊或信息炸彈；破壞性攻擊是以侵入他人電腦系統(tǒng)、盜竊系統(tǒng)保密信息、破壞目標(biāo)系統(tǒng)的數(shù)據(jù)為目的。

目錄2.2目標(biāo)系統(tǒng)的探測(cè)方法2.3口令破解2.4網(wǎng)絡(luò)監(jiān)聽(tīng)2.5ARP欺騙攻擊2.1黑客概述42.6木馬2.7拒絕服務(wù)攻擊2.8緩沖區(qū)溢出2.1.1黑客發(fā)展的歷史5Hacker的由來(lái)黑客、駭客（Cracker）62.1.2黑客發(fā)展的歷史2.1.3黑客發(fā)展的歷史攻擊復(fù)雜度與所需入侵知識(shí)關(guān)系圖2.1.3黑客入侵攻擊的一般過(guò)程1.

確定攻擊的目標(biāo)。2.

收集被攻擊對(duì)象的有關(guān)信息。3.

利用適當(dāng)?shù)墓ぞ哌M(jìn)行掃描。4.

建立模擬環(huán)境，進(jìn)行模擬攻擊。5.

實(shí)施攻擊。6.清除痕跡。2.2目標(biāo)系統(tǒng)的探測(cè)方法9

漏洞源自“vulnerability”（脆弱性）。一般認(rèn)為，漏洞是指硬件、軟件或策略上存在的的安全缺陷，從而使得攻擊者能夠在未授權(quán)的情況下訪(fǎng)問(wèn)、控制系統(tǒng)。

標(biāo)準(zhǔn)化組織CVE（CommonVulnerabilitiesandExposures,即“公共漏洞與暴露”）致力于所有安全漏洞及安全問(wèn)題的命名標(biāo)準(zhǔn)化，安全產(chǎn)品對(duì)漏洞的描述與調(diào)用一般都與CVE兼容。漏洞的概念2.2目標(biāo)系統(tǒng)的探測(cè)方法漏洞掃描技術(shù)在網(wǎng)絡(luò)安全行業(yè)中扮演的角色（1）掃描軟件是入侵者分析將被入侵系統(tǒng)的必備工具（2）掃描軟件是系統(tǒng)管理員掌握系統(tǒng)安全狀況的必備工具（3）掃描軟件是網(wǎng)絡(luò)安全工程師修復(fù)系統(tǒng)漏洞的主要工具（4）掃描軟件在網(wǎng)絡(luò)安全的家族中可以說(shuō)是扮演著醫(yī)生的角色

1.合法使用：檢測(cè)自己服務(wù)器端口，以便給自己提供更好的服務(wù)；2.非法使用：查找服務(wù)器的端口，選取最快的攻擊端口2.2目標(biāo)系統(tǒng)的探測(cè)方法掃描技術(shù)分類(lèi)一.端口掃描器二.漏洞掃描器

系統(tǒng)敏感信息數(shù)據(jù)庫(kù)腳本

……2.2目標(biāo)系統(tǒng)的探測(cè)方法掃描器原理-預(yù)備知識(shí)2.2目標(biāo)系統(tǒng)的探測(cè)方法預(yù)備知識(shí)-TCP頭2.2目標(biāo)系統(tǒng)的探測(cè)方法預(yù)備知識(shí)-IP頭2.2目標(biāo)系統(tǒng)的探測(cè)方法常用的掃描軟件Nmap（端口掃描器）X-scan（綜合掃描器）Fluxayipscan2.2目標(biāo)系統(tǒng)的探測(cè)方法課堂演練一：端口掃描器Nmap

Nmap簡(jiǎn)介(NetworkMapper)

官方下載及文檔地址：http:///nmap/通過(guò)tcp/ip來(lái)甄別操作系統(tǒng)類(lèi)型、秘密掃描、動(dòng)態(tài)延遲和重發(fā)、平行掃描、通過(guò)并行的ping偵測(cè)下屬的主機(jī)、欺騙掃描、端口過(guò)濾探測(cè)、直接的rpc掃描、分布掃描、靈活的目標(biāo)選擇以及端口的描述Nmap支持的四種最基本的掃描方式：2.2目標(biāo)系統(tǒng)的探測(cè)方法案例（1）Ping掃描（-sP參數(shù)）。（2）TCPconnect()端口掃描（-sT參數(shù)）。（3）TCP同步（SYN）端口掃描（-sS參數(shù)）。（4）UDP端口掃描（-sU參數(shù)）。

其他掃描方式：（1）FIN掃描（-sF）。（2）圣誕樹(shù)掃描（-sX）。（3）空掃描（-sN）。2.2目標(biāo)系統(tǒng)的探測(cè)方法TCPconnect()掃描

1）SYN數(shù)據(jù)包被發(fā)往目標(biāo)主機(jī)的掃描端口。2）用戶(hù)等待目標(biāo)主機(jī)發(fā)送回來(lái)的包類(lèi)型：如果收到的數(shù)據(jù)包是SYN／ACK類(lèi)型，說(shuō)明目標(biāo)端口正在監(jiān)聽(tīng)如果收到的數(shù)據(jù)包是RST／ACK類(lèi)型，說(shuō)明目標(biāo)端口不處于監(jiān)聽(tīng)狀態(tài)，連接被復(fù)位。3）如果收到SYN／ACK數(shù)據(jù)包則通過(guò)發(fā)送ACK信號(hào)完成三路握手。4）當(dāng)整個(gè)連接過(guò)程完成后，結(jié)束連接。

2.2目標(biāo)系統(tǒng)的探測(cè)方法漏洞掃描器工作原理漏洞掃描主要通過(guò)以下兩種方法來(lái)檢查目標(biāo)主機(jī)是否存在漏洞：在端口掃描后得知目標(biāo)主機(jī)開(kāi)啟的端口以及端口上的網(wǎng)絡(luò)服務(wù)，將這些相關(guān)信息與網(wǎng)絡(luò)漏洞掃描系統(tǒng)提供的漏洞庫(kù)進(jìn)行匹配，查看是否有滿(mǎn)足匹配條件的漏洞存在；通過(guò)模擬黑客的攻擊手法，對(duì)目標(biāo)主機(jī)系統(tǒng)進(jìn)行攻擊性的安全漏洞掃描，如測(cè)試弱勢(shì)口令等。若模擬攻擊成功，則表明目標(biāo)主機(jī)系統(tǒng)存在安全漏洞。2.2目標(biāo)系統(tǒng)的探測(cè)方法課堂演練二：綜合掃描器X-scan本部分內(nèi)容安排學(xué)生自己完成掃描內(nèi)容包括什么？掃描參數(shù)的設(shè)置掃描報(bào)告的分析2.2目標(biāo)系統(tǒng)的探測(cè)方法（1）CGIScanner（2）AspScanner（3）從各個(gè)主要端口取得服務(wù)信息的Scanner（4）獲取操作系統(tǒng)敏感信息的Scanner（5）數(shù)據(jù)庫(kù)Scanner（6）遠(yuǎn)程控制系統(tǒng)掃描器專(zhuān)用掃描器的介紹2.2目標(biāo)系統(tǒng)的探測(cè)方法CGI--CommonGatewayterface在物理上，CGI是一段程序，它運(yùn)行在Server上，提供同客戶(hù)段Html頁(yè)面的接口。例子：現(xiàn)在的個(gè)人主頁(yè)上大部分都有一個(gè)留言本。留言本的工作是這樣的：先由用戶(hù)在客戶(hù)段輸入一些信息，如名字之類(lèi)的東西。接著用戶(hù)按一下“留言”（到目前為止工作都在客戶(hù)端），瀏覽器把這些信息傳送到服務(wù)器的CGI目錄下特定的cgi程序中，于是cgi程序在服務(wù)器上按照預(yù)定的方法進(jìn)行處理。在本例中就是把用戶(hù)提交的信息存入指定的文件中。然后cgi程序給客戶(hù)端發(fā)送一個(gè)信息，表示請(qǐng)求的任務(wù)已經(jīng)結(jié)束。此時(shí)用戶(hù)在瀏覽器里將看到“留言結(jié)束”的字樣。整個(gè)過(guò)程結(jié)束。2.3口令攻擊口令破解概述口令破解方法口令破解實(shí)驗(yàn)（教材p35）2.3.1口令攻擊實(shí)驗(yàn)通過(guò)猜測(cè)或獲取口令文件等方式獲得系統(tǒng)認(rèn)證口令從而進(jìn)入系統(tǒng)危險(xiǎn)口令類(lèi)型：用戶(hù)名用戶(hù)名變形生日常用英文單詞5位以下長(zhǎng)度的口令【課堂實(shí)戰(zhàn)】口令破解smbcrack2

入侵系統(tǒng)psexec2.4網(wǎng)絡(luò)監(jiān)聽(tīng)Sniffer原理:Sniffer，中文可以翻譯為嗅探器,也就是我們所說(shuō)的數(shù)據(jù)包捕獲器。采用這種技術(shù)，我們可以監(jiān)視網(wǎng)絡(luò)的狀態(tài)、數(shù)據(jù)流動(dòng)情況以及網(wǎng)絡(luò)上傳輸?shù)男畔⒌鹊取?.4.1網(wǎng)絡(luò)監(jiān)聽(tīng)概述網(wǎng)卡工作原理網(wǎng)卡內(nèi)的單片程序先接收數(shù)據(jù)頭的目的MAC地址，根據(jù)計(jì)算機(jī)上的網(wǎng)卡驅(qū)動(dòng)程序設(shè)置的接收模式判斷該不該接收，認(rèn)為該接收就在接收后產(chǎn)生中斷信號(hào)通知CPU，認(rèn)為不該接收就丟棄不管。CPU得到中斷信號(hào)產(chǎn)生中斷，操作系統(tǒng)就根據(jù)網(wǎng)卡驅(qū)動(dòng)程序中設(shè)置的網(wǎng)卡中斷程序地址調(diào)用驅(qū)動(dòng)程序接收數(shù)據(jù)，驅(qū)動(dòng)程序接收數(shù)據(jù)后放入信號(hào)堆棧讓操作系統(tǒng)處理。2.4.1網(wǎng)絡(luò)監(jiān)聽(tīng)概述網(wǎng)卡的工作模式普通方式：混雜模式（promiscuous）：夠接收到一切通過(guò)它的數(shù)據(jù)2.4.1網(wǎng)絡(luò)監(jiān)聽(tīng)概述Username:herma009<cr>Password:hiHKK234<cr>以太網(wǎng)（HUB）

FTPLoginMail普通用戶(hù)A服務(wù)器C嗅探者B網(wǎng)絡(luò)監(jiān)聽(tīng)原理Username:herma009<cr>Password:hiHKK234<cr>2.4.1網(wǎng)絡(luò)監(jiān)聽(tīng)概述網(wǎng)絡(luò)監(jiān)聽(tīng)原理一個(gè)sniffer需要作的：把網(wǎng)卡置于混雜模式。捕獲數(shù)據(jù)包。分析數(shù)據(jù)包2.4.1網(wǎng)絡(luò)監(jiān)聽(tīng)概述HUB工作原理2.4.1網(wǎng)絡(luò)監(jiān)聽(tīng)概述HUB工作原理2.4.1網(wǎng)絡(luò)監(jiān)聽(tīng)概述交換環(huán)境下的SNIFF2.4.1網(wǎng)絡(luò)監(jiān)聽(tīng)概述交換環(huán)境下的SNIFF2.4.1Sniffer演示實(shí)驗(yàn)Wireshark的使用2.4.1Sniffer演示實(shí)驗(yàn)課堂演練【例1】嗅探FTP過(guò)程【例2】嗅探HTTP登錄郵箱的過(guò)程【例3】嗅探POP郵箱密碼的過(guò)程【問(wèn)題】常見(jiàn)的郵箱中，哪些是加密的，哪些是不加密的？擴(kuò)展例子：嗅探網(wǎng)絡(luò)信使（netsend）的過(guò)程2.4.1Sniffer演示實(shí)驗(yàn)如何防止SNIFF進(jìn)行合理的網(wǎng)絡(luò)分段

用SSH加密Sniffer往往是入侵系統(tǒng)后使用的，用來(lái)收集信息，因此防止系統(tǒng)被突破。防止內(nèi)部攻擊。AntiSniff

工具用于檢測(cè)局域網(wǎng)中是否有機(jī)器處于混雜模式（不是免費(fèi)的）2.5ARP欺騙攻擊ARP欺騙的工作原理交換環(huán)境下的ARP欺騙攻擊及其嗅探演示實(shí)驗(yàn)（見(jiàn)教材P47）2.5ARP欺騙攻擊實(shí)驗(yàn)拓?fù)?.6木馬木馬是一種基于遠(yuǎn)程控制的黑客工具隱蔽性潛伏性危害性非授權(quán)性2.6木馬木馬與病毒、遠(yuǎn)程控制的區(qū)別病毒程序是以自發(fā)性的敗壞為目的木馬程序是依照黑客的命令來(lái)運(yùn)作，主要目的是偷取文件、機(jī)密數(shù)據(jù)、個(gè)人隱私等行為。隱蔽、非授權(quán)性2.6.1木馬的工作原理實(shí)際就是一個(gè)C/S模式的程序（里應(yīng)外合）操作系統(tǒng)被植入木馬的PC（server程序）TCP/IP協(xié)議端口被植入木馬的PC（client程序）操作系統(tǒng)TCP/IP協(xié)議端口控制端端口處于監(jiān)聽(tīng)狀態(tài)2.6.2木馬實(shí)施攻擊的步驟1.

配置木馬木馬偽裝：信息反饋：2.

傳播木馬3.

啟動(dòng)木馬4.

建立連接5.

遠(yuǎn)程控制2.6.3木馬偽裝方法1.木馬文件的隱藏與偽裝（1）文件的位置（2）文件的屬性（3）

捆綁到其他文件上（4）

文件的名字：（5）

文件的的擴(kuò)展名（6）文件的圖標(biāo)2.6.4發(fā)現(xiàn)木馬的方法系統(tǒng)的異常情況打開(kāi)文件，沒(méi)有任何反應(yīng)

查看打開(kāi)的端口檢查注冊(cè)表查看進(jìn)程1.

木馬運(yùn)行中的隱藏與偽裝（1）

在任務(wù)欄里隱藏（2）

在任務(wù)管理器里隱藏（3）隱藏端口2.6.5木馬的隱藏與偽裝方式2.6.6木馬啟動(dòng)方式win.inisystem.ini啟動(dòng)組注冊(cè)表捆綁方式啟動(dòng):偽裝在普通文件中設(shè)置在超級(jí)連接中2.6.7防御發(fā)現(xiàn)木馬：檢查系統(tǒng)文件、注冊(cè)表、端口不要輕易使用來(lái)歷不明的軟件不熟悉的E-MAIL不打開(kāi)常用殺毒軟件并及時(shí)升級(jí)查在安裝新的軟件之前，請(qǐng)先備份注冊(cè)表在安裝完軟件以后，立即用殺毒軟件查殺Windows文件夾和所安裝的軟件的所在文件夾。如果殺毒軟件報(bào)告有病毒，這時(shí)請(qǐng)將它殺掉，殺毒完成后，重新啟動(dòng)計(jì)算機(jī)2.6.8木馬傳播方式主動(dòng)與被動(dòng)：主動(dòng)種入通過(guò)E－mail文件下載瀏覽網(wǎng)頁(yè)2.6.9流行木馬簡(jiǎn)介冰河backorificeSubseven網(wǎng)絡(luò)公牛(Netbull)網(wǎng)絡(luò)神偷(Nethief)廣外女生Netspy(網(wǎng)絡(luò)精靈)2.7拒絕服務(wù)攻擊DoS--DenialofServiceDoS攻擊的事件：

2000年2月份的Yahoo、亞馬遜、CNN被DoS攻擊

2002年10月全世界13臺(tái)DNS服務(wù)器同時(shí)受到了DDoS（分布式拒絕服務(wù)）攻擊。2003年1月25日的“2003蠕蟲(chóng)王”病毒2004年8月，共同社報(bào)道：日本近期共有上百網(wǎng)站遭到黑客襲擊。攻擊者

目標(biāo)主機(jī)SYNSYN/ACKSYN/ACK等待應(yīng)答SYN：同步SYN/ACK:同步/確認(rèn)(DoS):

2.7拒絕服務(wù)攻擊2.7拒絕服務(wù)攻擊拒絕服務(wù)攻擊(DoS)(控制)....SYN/ACKSYN/ACKSYN/ACKSYNSYNSYN攻擊者目標(biāo)主機(jī)SYNSYN/ACK1nSYN/ACKSYN/ACKSYN/ACK....等待應(yīng)答SYN/ACK.........2.7拒絕服務(wù)攻擊以windows為例SYN攻擊花費(fèi)時(shí)間（秒）累計(jì)花費(fèi)時(shí)間（秒）第一次，失敗33嘗試第1次，失敗69嘗試第2次，失敗1221嘗試第3次，失敗2445嘗試第4次，失敗4893嘗試第5次，失敗961892.7拒絕服務(wù)攻擊死亡之ping

SYNFloodLand攻擊淚珠（Teardrop）攻擊行行色色的DOS攻擊1)攻擊者攻擊諸客戶(hù)主機(jī)以求分析他們的安全水平和脆弱性。攻擊者各種客戶(hù)主機(jī)目標(biāo)系統(tǒng)攻擊準(zhǔn)備：安置代理代理程序2.7拒絕服務(wù)攻擊2)攻擊者進(jìn)入其已經(jīng)發(fā)現(xiàn)的最弱的客戶(hù)主機(jī)之內(nèi)(“肉機(jī)”)，并且秘密地安置一個(gè)其可遠(yuǎn)程控制的代理程序(端口監(jiān)督程序demon)。DDoS攻擊時(shí)序(分布式拒絕服務(wù))2.7拒絕服務(wù)攻擊

3)攻擊者使他的全部代理程序同時(shí)發(fā)送由殘缺的數(shù)字包構(gòu)成的連接請(qǐng)求送至目標(biāo)系統(tǒng)。攻擊者目標(biāo)系統(tǒng)發(fā)起攻擊：指令攻擊的代理程序4)包括虛假的連接請(qǐng)求在內(nèi)的大量殘缺的數(shù)字包攻擊目標(biāo)系統(tǒng)，最終將導(dǎo)致它因通信淤塞而