05-網(wǎng)絡(luò)入侵技術(shù)-3nd-short解析

網(wǎng)絡(luò)入侵技術(shù)1入侵的一般過程預(yù)攻擊內(nèi)容：獲得域名及IP分布獲得拓?fù)浼癘S等獲得端口和服務(wù)獲得應(yīng)用系統(tǒng)情況跟蹤新漏洞發(fā)布目的：收集信息，進(jìn)行進(jìn)一步攻擊決策攻擊內(nèi)容：獲得遠(yuǎn)程權(quán)限進(jìn)入遠(yuǎn)程系統(tǒng)提升本地權(quán)限進(jìn)一步擴(kuò)展權(quán)限進(jìn)行實(shí)質(zhì)性操作目的：進(jìn)行攻擊，獲得系統(tǒng)的一定權(quán)限后攻擊內(nèi)容：植入后門木馬刪除日志修補(bǔ)明顯的漏洞進(jìn)一步滲透擴(kuò)展目的：消除痕跡，長期維持一定的權(quán)限2入侵攻擊的種類預(yù)攻擊階段端口掃描漏洞掃描操作系統(tǒng)類型鑒別網(wǎng)絡(luò)拓?fù)浞治龉綦A段緩沖區(qū)溢出攻擊操作系統(tǒng)漏洞應(yīng)用效勞缺陷腳本程序漏洞攻擊口令攻擊錯(cuò)誤及弱配置攻擊網(wǎng)絡(luò)哄騙與劫持攻擊后攻擊階段后門木馬痕跡擦除其它攻擊種類拒絕效勞攻擊嗅探攻擊惡意網(wǎng)頁攻擊社會(huì)工程攻擊3信息收集—非技術(shù)手段合法途徑從目標(biāo)機(jī)構(gòu)的網(wǎng)站獵取新聞報(bào)道，出版物新聞組或論壇社會(huì)工程手段假冒他人，獵取第三方的信任搜尋引擎4社會(huì)工程學(xué)攻擊

社交工程是使用計(jì)策和假情報(bào)去獲得密碼和其他敏感信息的科學(xué)，爭論一個(gè)站點(diǎn)的策略其中之一就是盡可能多的了解這個(gè)組織的個(gè)體，因此黑客不斷試圖查找更加精妙的方法從他們希望滲透的組織那里獲得信息。例：一組高中學(xué)生曾經(jīng)想要進(jìn)入一個(gè)當(dāng)?shù)氐墓镜挠?jì)算機(jī)網(wǎng)絡(luò)，他們擬定了一個(gè)表格，調(diào)查看上去顯得是無害的個(gè)人信息，例如全部秘書和行政人員和他們的配偶、孩子的名字，這些從學(xué)生轉(zhuǎn)變成的黑客說這種簡潔的調(diào)查是他們社會(huì)爭論工作的一局部。利用這份表格這些學(xué)生能夠快速的進(jìn)入系統(tǒng)，由于網(wǎng)絡(luò)上的大多數(shù)人是使用寵物和他們配偶名字作為密碼。5社會(huì)工程學(xué)攻擊

目前社會(huì)工程學(xué)攻擊主要包括兩種方式：打懇求密碼和偽造Email打懇求密碼盡管不像前面爭論的策略那樣聰明，打?qū)柮艽a也常常奏效。在社會(huì)工程中那些黑客冒充失去密碼的合法雇員，常常通過這種簡潔的方法重新獲得密碼。偽造Email使用telnet一個(gè)黑客可以截取任何一個(gè)身份證發(fā)送Email的全部信息，這樣的Email消息是真的，由于它發(fā)自于一個(gè)合法的用戶。一個(gè)冒充系統(tǒng)治理員或經(jīng)理的黑客就能較為輕松的獲得大量的信息，黑客就能實(shí)施他們的惡意陰謀。6信息收集—技術(shù)手段PingTracert/TracerouteRusers/FingerHost/nslookup7端口掃描目的推斷目標(biāo)主機(jī)開啟了哪些端口及其對(duì)應(yīng)的效勞常規(guī)掃描技術(shù)調(diào)用connect函數(shù)直接連接被掃描端口無須任何特殊權(quán)限速度較慢，易被記錄高級(jí)掃描技術(shù)利用探測(cè)數(shù)據(jù)包的返回信息〔例如RST〕來進(jìn)展間接掃描較為隱蔽，不易被日志記錄或防火墻覺察8TCPSYN掃描也叫半開式掃描利用TCP連接三次握手的第一次進(jìn)展掃描被掃描主機(jī)開放的端口不提供服務(wù)的端口防火墻過濾的端口

掃描器SYNSYNSYNSYN+ACK握手RST重置沒有回應(yīng)或者其他9端口掃描工具Nmap簡介被稱為“掃描器之王”有forUnix和forWin的兩種版本需要Libpcap庫和Winpcap庫的支持能夠進(jìn)展一般掃描、各種高級(jí)掃描和操作系統(tǒng)類型鑒別等使用-sS：半開式掃描-sT:一般connect掃描-sU：udp端口掃描-O：操作系統(tǒng)鑒別-P0：強(qiáng)行掃描〔無論是否能夠ping通目標(biāo)〕-p：指定端口范圍-v：具體模式10NmapWin11端口掃描工具SuperScan簡介基于Windows平臺(tái)速度快，圖形化界面最新版本為4.0使用傻瓜化12漏洞掃描依據(jù)目標(biāo)主機(jī)開放的不同應(yīng)用和效勞來掃描和推斷是否存在或可能存在某些漏洞樂觀意義進(jìn)展網(wǎng)絡(luò)安全評(píng)估為網(wǎng)絡(luò)系統(tǒng)的加固供給先期預(yù)備消極意義被網(wǎng)絡(luò)攻擊者加以利用來攻陷目標(biāo)系統(tǒng)或獵取重要的數(shù)據(jù)信息13漏洞掃描的種類系統(tǒng)漏洞掃描特定效勞的漏洞掃描WEB效勞數(shù)據(jù)庫效勞FTP效勞Mail效勞信息泄漏漏洞掃描用戶信息共享信息人為治理漏洞掃描弱口令錯(cuò)誤配置網(wǎng)絡(luò)及治理設(shè)備漏洞掃描路由器、交換機(jī)SNMP設(shè)備14漏洞掃描工具Nessus構(gòu)架效勞器端：基于Unix系統(tǒng)客戶端：有GTK、Java和Win系統(tǒng)支持運(yùn)作客戶端連接效勞器端，并下載插件和掃描策略真正的掃描由效勞器端發(fā)起兩者之間的通信通過加密認(rèn)證優(yōu)勢(shì)：具有強(qiáng)大的插件功能完全免費(fèi)，升級(jí)快速特殊適合作為網(wǎng)絡(luò)安全評(píng)估工具鏈接：15漏洞掃描工具X-Scan國人自主開發(fā)完全免費(fèi)16安全漏洞掃描器安全漏洞掃描器的種類網(wǎng)絡(luò)型安全漏洞掃描器主機(jī)型安全漏洞掃描器數(shù)據(jù)庫安全漏洞掃描器安全漏洞掃描器的選用ISS〔InternetSecurityScanner〕：SSS〔ShadowSecurityScanner〕：RetinaNetworkSecurityScanner：LANguardNetworkSecurityScannerCyberCopScanner：NAI17SSS〔ShadowSecurityScanner〕18RetinaNetworkSecurityScanner19LANguardNetworkSecurityScanner20操作系統(tǒng)類型鑒別主要依據(jù)利用不同操作系統(tǒng)對(duì)各種連接懇求的不同反響和特征來推斷遠(yuǎn)程主機(jī)操作系統(tǒng)的類型當(dāng)使用足夠多的不同特征來進(jìn)展推斷，操作系統(tǒng)的探測(cè)精度就能有很大保證21間接鑒別操作系統(tǒng)說明不直接進(jìn)展掃描利用網(wǎng)絡(luò)應(yīng)用效勞使用過程中的信息來推斷和分析操作系統(tǒng)類型，并得到其他有用信息如Telnet80端口查看WEB效勞器類型從而初步推斷操作系統(tǒng)類型這種方法難以被覺察防范對(duì)策修改效勞器上應(yīng)用效勞的banner信息，到達(dá)迷惑攻擊者的目的22直接鑒別操作系統(tǒng)類型TCP/IP棧指紋探測(cè)技術(shù)各個(gè)操作系統(tǒng)在實(shí)現(xiàn)TCP/IP棧的時(shí)候有微小的不同，可以通過下面一些方法來進(jìn)展判定TTL值Windows窗口值ToS類型DF標(biāo)志位初始序列號(hào)〔ISN〕采樣MSS〔最大分段大小〕其他23TTL=4TTL=5TTL=6TTL=7TTL=8TTL=9TTL=3TTL=2destinationsourceTTL=10TTL〔TimeToLive〕24UNIX及類UNIX操作系統(tǒng) 255

CompaqTru645.0 64

微軟WindowsNT/2K 128

微軟Windows95 32

LINUXKernel2.2.x&2.4.xICMP 64

FreeBSD4.1,4.0,3.4;

SunSolaris2.5.1,2.6,2.7,2.8;

OpenBSD2.6,2.7,

NetBSD

HPUX10.20

ICMP回顯應(yīng)答的TTL字段值為255TTL〔TimeToLive〕25目標(biāo)主機(jī)操作系統(tǒng)識(shí)別技術(shù)

依據(jù)之前提到的高級(jí)掃描方式，直接進(jìn)展的端口掃描，能夠賜予我們繞過防火墻的力氣，而且可以盡可能地隱蔽自己等等，但是，我們能夠得到的信息也是有限的，或許對(duì)是否開放一個(gè)端口并不是那么直接地感興趣，比方一個(gè)21端口，我們真正感興趣的是這個(gè)端口被用來作什么了，運(yùn)行什么版本的程序，而不是僅僅翻開一個(gè)21端口就滿足了。也就是說，我們對(duì)下面得到地這個(gè)東西更感興趣〔關(guān)系到IP的地方，用X代替〕

C:\>ftpXXX.XXX.XXX.XXX

ConnectedtoXXX.XXX.XXX.XXX.

220XXXXXX2WS_FTPServer1.0.5(1327846197)

User(XXX.XXX.XXX.XXX:(none)):26目標(biāo)主機(jī)操作系統(tǒng)識(shí)別技術(shù)

這就是一種最簡潔和最直接的判別方式，獲得程序版本變相地也讓我們能夠估量到目標(biāo)的操作系統(tǒng)類別。我們可以對(duì)每個(gè)翻開的端口進(jìn)展相應(yīng)的連接，通常這些效勞程序就會(huì)特殊歡快地顯示自己的“banner”，也就讓我們能夠直接得到它是什么版本了。甚至，我們能夠得到更好的東西：

這讓我們對(duì)操作系統(tǒng)版本一覽無余了。正像這些只對(duì)80端口感興趣的“黑客”一樣，通過對(duì)80端口的連接，我們也能得到足夠多的信息。C:\>telnetXXX.XXX.XXX.XXX

RedHatLinuxrelease7.1(Seawolf)

Kernel2.4.2-2onani686

login:27目標(biāo)主機(jī)操作系統(tǒng)識(shí)別技術(shù)

C:\>telnetXXX.XXX.XXX.XXX80

HEAD/HTTP/1.1

HTTP/1.1200OK

Via:1.1ADSL2023

Content-Length:97

Date:Thu,24Jan202313:46:56GMT

Content-Type:text/html

Server:Apache/1.3.20(Unix)PHP/4.0.6

Last-Modified:Wed,26Dec202309:22:54GMT

ETag:“8715f-61-3c2996ee“

Accept-Ranges:bytes

Keep-Alive:timeout=15,max=100可以留意到：，這里很明白地“奉獻(xiàn)”出WEB效勞器的軟件版本。

這樣直接的連接探測(cè)方式，對(duì)于這些banner開放的系統(tǒng)是特殊簡潔的。固然，負(fù)責(zé)的治理員也會(huì)屏蔽或者修改掉這些BANNER。

28目標(biāo)主機(jī)操作系統(tǒng)識(shí)別技術(shù)

還有一種粗劣而且簡潔的判別主機(jī)操作系統(tǒng)類型的方法就是通過Ping，然后分析得到的TTL值，略微準(zhǔn)確點(diǎn)可以同時(shí)再協(xié)作Tracert來確定主機(jī)原始的TTL值，不過，這種方法很簡潔被哄騙，比方，在WINDOWS系統(tǒng)中，對(duì)注冊(cè)表的修改：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

Key:DefaultTTL

通過對(duì)DefaultTTL的修改，比方：修改成為255，偽裝成為一臺(tái)UNIX主機(jī)，就能夠造成探測(cè)者的錯(cuò)誤推斷。29目標(biāo)主機(jī)操作系統(tǒng)識(shí)別技術(shù)

對(duì)主機(jī)使用端口的分析，同樣也能夠進(jìn)展操作系統(tǒng)識(shí)別，一些操作系統(tǒng)使用特殊的端口，比方：WINDOWS的137、139，WIN2K的445，而且一些網(wǎng)絡(luò)設(shè)備比方入侵檢測(cè)系統(tǒng)、防火墻等等也都有廠商自己的端口開放。30緩沖區(qū)溢出攻擊危害性據(jù)統(tǒng)計(jì)，緩沖區(qū)溢出攻擊占全部網(wǎng)絡(luò)攻擊總數(shù)的80%以上溢出成功后大都能直接拿到目標(biāo)系統(tǒng)的最高權(quán)限身邊的例子RPCDCOM溢出IIS.ida/idq溢出IIS.printer溢出IISWebDav溢出Wu-ftpd溢出31緩沖區(qū)溢出原理通過往程序的緩沖區(qū)寫入超出其長度的內(nèi)容，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以到達(dá)攻擊的目的緩沖區(qū)溢出攻擊的對(duì)象在于那些具有某些特權(quán)〔如root或本地治理器〕運(yùn)行的程序，這樣可以使得攻擊者取得該程序的把握權(quán)，假設(shè)該程序具有足夠的權(quán)限，那么整個(gè)主機(jī)就被把握了32緩沖區(qū)溢出原理voidfunction(char*szPara1){ charbuff[16]; strcpy(buffer,szPara1);}程序中利用strcpy函數(shù)將szPara1中的內(nèi)容拷貝到buff中，只要szPara1的長度大于16，就會(huì)造成緩沖區(qū)溢出。存在strcpy函數(shù)這樣問題的C語言函數(shù)還有：strcat、gets、scanf等33緩沖區(qū)溢出原理任憑往緩沖區(qū)填寫數(shù)據(jù)使它溢出一般只會(huì)消逝“分段錯(cuò)誤”，而不能到達(dá)攻擊的目的。最常見的手段是通過制造緩沖區(qū)溢出訪程序運(yùn)行一個(gè)用戶shell，再通過shell執(zhí)行其他命令，假設(shè)該shell有治理員權(quán)限，就可以對(duì)系統(tǒng)進(jìn)展任意操作。34緩沖區(qū)溢出示意圖字符串變量數(shù)組函數(shù)返回點(diǎn)n字節(jié)輸入數(shù)據(jù)>n字節(jié),尾部為跳轉(zhuǎn)的地址緩沖區(qū)用戶輸入正常流程溢出改變流程字符串變量數(shù)組函數(shù)返回點(diǎn)n字節(jié)輸入數(shù)據(jù)<n字節(jié)緩沖區(qū)用戶輸入正常流程35程序溢出時(shí)的表現(xiàn)SegmentationFault(coredumped)36緩沖區(qū)溢出——RPC漏洞溢出

遠(yuǎn)程過程調(diào)用RPC〔RemoteProcedureCall)，是操作系統(tǒng)的一種消息傳遞功能，允許應(yīng)用程序呼叫網(wǎng)絡(luò)上的計(jì)算機(jī)。當(dāng)系統(tǒng)啟動(dòng)的時(shí)候，自動(dòng)加載RPC效勞?？梢栽谛诹斜碇锌吹较到y(tǒng)的RPC效勞，如圖37緩沖區(qū)溢出——RPC漏洞溢出

遠(yuǎn)程過程調(diào)用RPC〔RemoteProcedureCall)，是操作系統(tǒng)的一種消息傳遞功能，允許應(yīng)用程序呼叫網(wǎng)絡(luò)上的計(jì)算機(jī)。當(dāng)系統(tǒng)啟動(dòng)的時(shí)候，自動(dòng)加載RPC效勞。可以在效勞列表中看到系統(tǒng)的RPC效勞。RPC效勞不能手動(dòng)停頓，在Windows操作系統(tǒng)中可以利用工具停頓該效勞，停頓該效勞以后，最明顯的特征是當(dāng)復(fù)制文件時(shí)，鼠標(biāo)右鍵菜單項(xiàng)“粘貼”總是禁用的。38緩沖區(qū)溢出——利用RPC漏洞建立超級(jí)用戶

RPC溢出漏洞，對(duì)SP4也適用，必需打?qū)Ｓ醚a(bǔ)丁。利用工具scanms.exe文件檢測(cè)RPC漏洞，該工具是ISS安全公司2023年7月30日公布的，運(yùn)行在命令行下用來檢測(cè)指定IP地址范圍內(nèi)機(jī)器是否已經(jīng)安裝了“DCOMRPC接口遠(yuǎn)程緩沖區(qū)溢出漏洞〔823980-MS03-026〕”補(bǔ)丁程序。假設(shè)沒有安裝補(bǔ)丁程序，該IP地址就會(huì)顯示出“[VULN]”。首先拷貝該文件到C盤根名目，現(xiàn)在要檢查地址段到的主機(jī)，執(zhí)行命令 scanms.exe39緩沖區(qū)溢出——檢查緩沖區(qū)溢出漏洞40利用工具軟件attack.exe對(duì)進(jìn)展攻擊。攻擊的結(jié)果將在對(duì)方計(jì)算機(jī)上建立一個(gè)具有治理員權(quán)限的用戶，并終止了對(duì)方的RPC效勞。新建用戶的用戶名和密碼都是qing10，這樣就可以登錄對(duì)方計(jì)算機(jī)了，RPC效勞停頓操作系統(tǒng)將有很多功能不能使用，特殊簡潔被治理員覺察，使用工具軟件OpenRpcSs.exe來給對(duì)方重啟RPC效勞。攻擊的全過程如以以下圖。緩沖區(qū)溢出——檢查緩沖區(qū)溢出漏洞41緩沖區(qū)溢出——攻擊的全過程

42利用OpenRpcSs.exe重啟對(duì)方RPC效勞之后，可以不引起治理員的留意，但是卻在對(duì)方主機(jī)中建立了一個(gè)具有治理員權(quán)限的帳號(hào)qing10，之后就可以利用這個(gè)賬戶進(jìn)展遠(yuǎn)程登錄，獵取信息。緩沖區(qū)溢出——檢查緩沖區(qū)溢出漏洞43在輸入登錄賬戶和口令后，可以連續(xù)獲得對(duì)方主機(jī)信息。緩沖區(qū)溢出——檢查緩沖區(qū)溢出漏洞44遠(yuǎn)程把握技術(shù)概念危害性進(jìn)展歷程技術(shù)類型45特洛伊木馬的來歷希臘人攻打特洛伊城十年，始終未獲成功，后來建筑了一個(gè)大木馬，并假裝撤退，希臘將士卻暗藏于馬腹中。特洛伊人以為希臘人已走，就把木馬當(dāng)作是獻(xiàn)給雅典娜的禮物搬入城中。晚上，木馬中隱蔽的希臘將士沖出來翻開城門，希臘將士里應(yīng)外合消滅了特洛伊城。后來我們把進(jìn)入敵人內(nèi)部攻破防線的手段叫做木馬計(jì)，木馬計(jì)中使用的里應(yīng)外合的工具叫做特洛伊木馬來源于希臘神話中的特洛伊戰(zhàn)斗46遠(yuǎn)程把握技術(shù)遠(yuǎn)程把握實(shí)際上是包含有效勞器端和客戶端的一套程序效勞器端程序駐留在目標(biāo)計(jì)算機(jī)里，隨著系統(tǒng)啟動(dòng)而自行啟動(dòng)。此外，使用傳統(tǒng)技術(shù)的程序會(huì)在某端口進(jìn)展監(jiān)聽，假設(shè)接收到數(shù)據(jù)就對(duì)其進(jìn)展識(shí)別，然后依據(jù)識(shí)別后的命令在目標(biāo)計(jì)算機(jī)上執(zhí)行一些操作〔比方竊取口令，拷貝或刪除文件，或重啟計(jì)算機(jī)等〕攻擊者一般在入侵成功后，將效勞端程序拷貝到目標(biāo)計(jì)算機(jī)中，并設(shè)法使其運(yùn)行，從而留下后門。日后，攻擊者就能夠通過運(yùn)行客戶端程序，來對(duì)目標(biāo)計(jì)算機(jī)進(jìn)展操作47遠(yuǎn)程把握技術(shù)的進(jìn)展歷程第一代功能簡潔、技術(shù)單一，如簡潔的密碼竊取和發(fā)送等其次代在技術(shù)上有了很大的進(jìn)步，如國外的BO2023，國內(nèi)的冰河等第三代為了躲避防火墻而在數(shù)據(jù)傳遞技術(shù)上做了不小的改進(jìn)，比方利用ICMP協(xié)議以及承受反彈端口的連接模式第四代爭論操作系統(tǒng)底層，在進(jìn)程隱蔽方面有了很大的突破48傳統(tǒng)的遠(yuǎn)程把握步驟49如何遠(yuǎn)程植入程序直接攻擊電子郵件文件下載掃瞄網(wǎng)頁+合并文件經(jīng)過偽裝的木馬被植入目標(biāo)機(jī)器50遠(yuǎn)程受控端程序的自啟動(dòng)Windows啟動(dòng)名目注冊(cè)表啟動(dòng)Run(RunOnce/RunOnceEx/RunServices〕KnownDLLs修改文件關(guān)聯(lián)方式系統(tǒng)配置文件啟動(dòng)Win.iniSystem.ini效勞啟動(dòng)其他啟動(dòng)51遠(yuǎn)程受控端程序的隱蔽在任務(wù)欄〔包括任務(wù)治理器〕中隱蔽自己初步隱蔽注冊(cè)為系統(tǒng)效勞不適用于Win2k/NT啟動(dòng)時(shí)會(huì)先通過窗口名來確定是否已經(jīng)在運(yùn)行，假設(shè)是則不再啟動(dòng)防止過多的占用資源進(jìn)程隱蔽遠(yuǎn)程線程插入其他進(jìn)程〔不適用于Win9X〕Hook技術(shù)52遠(yuǎn)程把握數(shù)據(jù)傳輸方式ICMP協(xié)議傳送反彈端口+HTTP隧道技術(shù)53反彈端口連接模式>1024反彈式的遠(yuǎn)程控制程序防火墻IP數(shù)據(jù)包過濾目標(biāo)主機(jī)Windows系統(tǒng)騙取系統(tǒng)IE進(jìn)程木馬線程正常線程進(jìn)入合法應(yīng)用程序正常線程…InternetExplorer瀏覽網(wǎng)頁端口監(jiān)聽端口傳統(tǒng)遠(yuǎn)程控制程序54遠(yuǎn)程把握的防范遠(yuǎn)程端口掃描本地進(jìn)程—端口觀看Fport/VisionAntiyPortsAPorts本地進(jìn)程觀看PslistListdlls注冊(cè)表監(jiān)控Regmon文件監(jiān)控Filemon使用專用的查殺工具加強(qiáng)使用者的安全意識(shí)55Vision56AntiyPorts57使用“冰河”進(jìn)展遠(yuǎn)程把握“冰河”包含兩個(gè)程序文件，一個(gè)是效勞器端，另一個(gè)是客戶端?！氨?.2”的文件列表如以以下圖58使用“冰河”進(jìn)展遠(yuǎn)程把握win32.exe文件是效勞器端程序，Y_Client.exe文件為客戶端程序。將win32.exe文件在遠(yuǎn)程得計(jì)算機(jī)上執(zhí)行以后，通過Y_Client.exe文件來把握遠(yuǎn)程得效勞器，客戶端的主界面如圖59使用“冰河”進(jìn)展遠(yuǎn)程把握將效勞器程序種到對(duì)方主機(jī)之前需要對(duì)效勞器程序做一些設(shè)置，比方連接端口，連接密碼等。選擇菜單欄“設(shè)置”下的菜單項(xiàng)“配置效勞器程序”，如圖60使用“冰河”進(jìn)展遠(yuǎn)程把握在消逝的對(duì)話框中選擇效勞器端程序win32.exe進(jìn)展配置，并填寫訪問效勞器端程序的口令，這里設(shè)置為“1234567890”，如圖61使用“冰河”進(jìn)展遠(yuǎn)程把握點(diǎn)擊按鈕“確定”以后，就將“冰河”的效勞器種到某一臺(tái)主機(jī)上了。執(zhí)行完win32.exe文件以后，系統(tǒng)沒有任何反響，其實(shí)已經(jīng)更改了注冊(cè)表，并將效勞器端程序和文本文件進(jìn)展了關(guān)聯(lián)，當(dāng)用戶雙擊一個(gè)擴(kuò)展名為txt的文件的時(shí)候，就會(huì)自動(dòng)執(zhí)行冰河效勞器端程序。當(dāng)計(jì)算機(jī)感染了“冰河”以后，查看被修改后的注冊(cè)表，如圖62使用“冰河”進(jìn)展遠(yuǎn)程把握沒有中冰河的狀況下，該注冊(cè)表項(xiàng)應(yīng)當(dāng)是使用notepad.exe文件來翻開txt文件，而圖中的“SYSEXPLR.EXE”其實(shí)就是“冰河”的效勞器端程序。63使用“冰河”進(jìn)展遠(yuǎn)程把握目標(biāo)主機(jī)中了冰河了，可以利用客戶端程序來連接效勞器端程序。在客戶端添加主機(jī)的地址信息，這里的密碼是就是剛剛設(shè)置的密碼“1234567890”。如圖64使用“冰河”進(jìn)展遠(yuǎn)程把握點(diǎn)擊按鈕“確定”以后，查看對(duì)方計(jì)算機(jī)的根本信息了，對(duì)方計(jì)算機(jī)的名目列表如圖65使用“冰河”進(jìn)展遠(yuǎn)程把握從圖中可以看出，可以在對(duì)方計(jì)算機(jī)上進(jìn)展任意的操作。除此以外還可以查看并把握對(duì)方的屏幕等等，如圖66DoS與DDoS攻擊DoS(DenialofService)攻擊的中文含義是拒絕效勞攻擊DDoS(DistributedDenialofService)攻擊的中文含義是分布式拒絕效勞攻擊67拒絕效勞攻擊的種類發(fā)送大量的無用懇求，致使目標(biāo)網(wǎng)絡(luò)系統(tǒng)整體的網(wǎng)絡(luò)性能大大降低，喪失與外界通信的力氣。利用網(wǎng)絡(luò)效勞以及網(wǎng)絡(luò)協(xié)議的某些特性，發(fā)送超出目標(biāo)主機(jī)處理力氣的效勞懇求，導(dǎo)致目標(biāo)主機(jī)喪失對(duì)其他正常效勞懇求的響應(yīng)力氣。利用系統(tǒng)或應(yīng)用軟件上的漏洞或缺陷，發(fā)送經(jīng)過特殊構(gòu)造的數(shù)據(jù)包，導(dǎo)致目標(biāo)的癱瘓〔稱之為nuke)68拒絕效勞攻擊典型舉例SynFloodSmurfPingFloodUDPFlooder69拒絕效勞攻擊—SynFlood1996年9月以來，很多Internet站點(diǎn)患病了一種稱為SYN風(fēng)暴〔SYNFlood〕的拒絕效勞攻擊。它是通過創(chuàng)立大量“半連接”來進(jìn)展攻擊，任何連接到Internet上并供給基于TCP的網(wǎng)絡(luò)效勞〔如WWW效勞、FTP效勞、郵件效勞等〕的主機(jī)都可能患病這種攻擊。70拒絕效勞攻擊—SynFlood正常的TCP/IP三次握手SynFlood攻擊服務(wù)器

客戶端SYNSYN+ACKACK握手完成，開始傳送數(shù)據(jù)，系統(tǒng)消耗很少被攻擊主機(jī)攻擊主機(jī)偽造源地址不存在的主機(jī)不斷重試及等待，消耗系統(tǒng)資源不響應(yīng)SYNSYN+ACK71拒絕效勞攻擊—SynFlood針對(duì)不同的系統(tǒng)，攻擊的結(jié)果可能不同，但是攻擊的根本都是利用這些系統(tǒng)中的TCP/IP協(xié)議族的設(shè)計(jì)弱點(diǎn)和缺陷。只有對(duì)現(xiàn)有TCP/IP協(xié)議族進(jìn)展重大轉(zhuǎn)變才能修正這些缺陷。目前還沒有一個(gè)完整的解決方案，但是可以實(shí)行一些措施盡量降低這種攻擊發(fā)生的可能性，減小損失。72SynFlood的防范對(duì)策2-1優(yōu)化系統(tǒng)配置： 縮短超時(shí)時(shí)間，使得無效的半連接能夠盡快釋放；增加TCP監(jiān)聽套接字半連接隊(duì)列的最大長度，使得系統(tǒng)能夠同時(shí)處理更多的半連接優(yōu)化路由配置： 配置路由器的外網(wǎng)卡，丟棄那些來自外部網(wǎng)而源IP地址具有內(nèi)部網(wǎng)絡(luò)地址的包；配置路由器的內(nèi)網(wǎng)卡，丟棄那些馬上發(fā)到外部網(wǎng)而源IP地址不具有內(nèi)部網(wǎng)絡(luò)地址的包。這種方法不能完全杜絕SYN風(fēng)暴攻擊，但是能夠有效地削減攻擊的可能。73SynFlood的防范對(duì)策2-2完善根底設(shè)施： 現(xiàn)有網(wǎng)絡(luò)體系構(gòu)造沒有對(duì)源IP地址進(jìn)展檢查的機(jī)制，同時(shí)也不具備追蹤網(wǎng)絡(luò)包的物理傳輸路徑的機(jī)制，使得覺察并懲治作惡者也很難。而且很多攻擊手段都是利用現(xiàn)有網(wǎng)絡(luò)協(xié)議的缺陷，因此，對(duì)整個(gè)網(wǎng)絡(luò)體系構(gòu)造的再改造特殊重要。使用防火墻： 實(shí)現(xiàn)半透亮網(wǎng)關(guān)技術(shù)的防火墻能夠有效地防范SYN風(fēng)暴攻擊主動(dòng)監(jiān)視： 監(jiān)視TCP/IP流量74Smurf攻擊是以最初發(fā)動(dòng)這種攻擊的程序名Smurf來命令的。這種攻擊方法結(jié)合使用了IP哄騙和帶有播送地址的ICMP懇求－響應(yīng)方法使大量網(wǎng)絡(luò)傳輸布滿目標(biāo)系統(tǒng)，引起目標(biāo)系統(tǒng)拒絕為正常系統(tǒng)進(jìn)展效勞，屬于間接、借力攻擊方式。任何連接到互聯(lián)網(wǎng)上的主機(jī)或其他支持ICMP懇求－響應(yīng)的網(wǎng)絡(luò)設(shè)備都可能成為這種攻擊的目標(biāo)。拒絕效勞攻擊—Smurf攻擊75拒絕效勞攻擊—Smurf攻擊攻擊者目標(biāo)受害者目標(biāo)機(jī)器會(huì)接收很多來自中間脆弱網(wǎng)絡(luò)的懇求中間脆弱網(wǎng)絡(luò)broadcastechorequest源地址被哄騙為被攻擊主機(jī)地址76Smurf的防范對(duì)策3-1針對(duì)中間網(wǎng)絡(luò)： 在路由器的每個(gè)端口關(guān)閉IP播送包的轉(zhuǎn)發(fā)設(shè)置； 可能的狀況下，在網(wǎng)絡(luò)邊界處使用訪問把握列表ACL，過濾掉全部目標(biāo)地址為本網(wǎng)絡(luò)播送地址的包； 對(duì)于不供給穿透效勞的網(wǎng)絡(luò)，可以在出口路由器上過濾掉全部源地址不是本網(wǎng)絡(luò)的數(shù)據(jù)包； 配置主機(jī)的操作系統(tǒng)，使其不響應(yīng)帶有播送地址的ICMP包77Smurf的防范對(duì)策3-2針對(duì)目標(biāo)受害者： 沒有什么簡潔的解決方法能夠幫助受害主機(jī)，當(dāng)攻擊發(fā)生時(shí)，應(yīng)盡快重新配置其所在的網(wǎng)絡(luò)的路由器，以堵塞這些ICMP響應(yīng)包。但是受害主機(jī)的路由器和受害主機(jī)ISP之間的擁塞不行避開。同時(shí)，也可以通知中間網(wǎng)絡(luò)的治理者協(xié)同解決攻擊大事。78Smurf的防范對(duì)策3-3針對(duì)發(fā)起攻擊的主機(jī)及其網(wǎng)絡(luò)： Smurf攻擊通常會(huì)使用哄騙性源地址發(fā)送echo懇求，因此在路由器上配置其過濾規(guī)章，丟棄那些馬上發(fā)到外部網(wǎng)絡(luò)而源IP地址不具有內(nèi)部網(wǎng)絡(luò)地址的包。這種方法盡管不能消滅IP哄騙的包，卻能有效降低攻擊發(fā)生的可能性。79其它拒絕效勞攻擊Fraggle〔Smurf攻擊的變種〕PingofDeathLandTearDropIP哄騙80其它拒絕效勞攻擊Fraggle攻擊Fraggle攻擊實(shí)際上就是對(duì)Smurf攻擊作了簡潔的修改，使用的是UDP應(yīng)答消息而非ICMP。81其它拒絕效勞攻擊PingofDeath攻擊 攻擊者有意創(chuàng)立一個(gè)長度大于65535〔IP協(xié)議中規(guī)定最大的IP包長為65535個(gè)字節(jié)〕ping包，并將該包發(fā)送到目標(biāo)受害主機(jī)，由于目標(biāo)主機(jī)的效勞程序無法處理過大的包，而引起系統(tǒng)崩潰、掛起或重啟。 這種攻擊已經(jīng)不適用了，目前全部的操作系統(tǒng)開發(fā)商都對(duì)此進(jìn)展了修補(bǔ)或升級(jí)。82其它拒絕效勞攻擊Land攻擊〔LandAttack〕 Land也是一個(gè)特殊有效的攻擊工具，它對(duì)當(dāng)前流行的大局部操作系統(tǒng)及一局部路由器都具有相當(dāng)?shù)墓袅?。攻擊者利用目?biāo)受害系統(tǒng)的自身資源實(shí)現(xiàn)攻擊意圖。由于目標(biāo)受害系統(tǒng)具有漏洞和通信協(xié)議的弱點(diǎn)，這樣就給攻擊者供給了攻擊的時(shí)機(jī)。 如：攻擊者不斷地向被攻擊的計(jì)算機(jī)發(fā)送具有源IP地址和目的IP地址完全一樣，TCP源端口和目的端口也完全一樣的的偽造TCPSYN包，導(dǎo)致該計(jì)算機(jī)系統(tǒng)向自己發(fā)送響應(yīng)信息，最終被攻擊的計(jì)算機(jī)系統(tǒng)將會(huì)無法承受過多的流量而癱瘓或重啟。83其它拒絕效勞攻擊Teardrop攻擊 一個(gè)IP分組在網(wǎng)絡(luò)中傳播的時(shí)候，由于沿途各個(gè)鏈路的最大傳輸單元不同，路由器常常會(huì)對(duì)IP包進(jìn)展分組，馬上一個(gè)包分成一些片段，使每段都足夠小，以便通過這個(gè)狹窄的鏈路。每個(gè)片段將具有自己完整的IP包頭，其大局部內(nèi)容和最初的包頭一樣。Teardrop攻擊就是利用IP包的分段/重組技術(shù)在系統(tǒng)實(shí)現(xiàn)的一個(gè)的錯(cuò)誤。84其它拒絕效勞攻擊Teardrop攻擊〔cont.〕攻擊特征：向被攻擊者發(fā)送多個(gè)分片的IP包〔IP分片數(shù)據(jù)包中包括該分片數(shù)據(jù)包屬于哪個(gè)數(shù)據(jù)包，以及在數(shù)據(jù)包中的位置等信息〕，某些操作系統(tǒng)收到含有重疊偏移的偽造分片數(shù)據(jù)包時(shí)將會(huì)消逝系統(tǒng)崩潰、重啟等現(xiàn)象。利用包重組時(shí)重疊偏移〔假設(shè)數(shù)據(jù)包中其次片IP包的偏移量小于第一片完畢的位移，而且算上其次片IP包的Data，也未超過第一片的尾部，這就是重疊現(xiàn)象〕的漏洞對(duì)系統(tǒng)主機(jī)發(fā)動(dòng)拒絕效勞攻擊，最終導(dǎo)致主機(jī)菪掉；對(duì)于Windows系統(tǒng)會(huì)導(dǎo)致藍(lán)屏死機(jī)，并顯示STOP0x0000000A錯(cuò)誤。檢測(cè)方法：對(duì)接收到的分片數(shù)據(jù)包進(jìn)展分析，計(jì)算數(shù)據(jù)包的片偏移量〔Offset〕是否有誤。反攻擊方法：添加系統(tǒng)補(bǔ)丁程序，丟棄收到的病態(tài)分片數(shù)據(jù)包并對(duì)這種攻擊進(jìn)展審計(jì)。85IP哄騙這種攻擊利用RST位來實(shí)現(xiàn)。假設(shè)現(xiàn)在有一個(gè)合法用戶(0)已經(jīng)同效勞器建立了正常的連接，攻擊者構(gòu)造攻擊的TCP數(shù)據(jù)，偽裝自己的IP為0，并向效勞器發(fā)送一個(gè)帶有RST位的TCP數(shù)據(jù)段。效勞器接收到這樣的數(shù)據(jù)后，認(rèn)為從發(fā)送的連接有錯(cuò)誤，就會(huì)清空緩沖區(qū)中建立好的連接。這時(shí)，假設(shè)合法用戶再發(fā)送合法數(shù)據(jù)，效勞器就已經(jīng)沒有這樣的連接了，該用戶就必需從新開頭建立連接。攻擊時(shí)，攻擊者會(huì)偽造大量的IP地址，向目標(biāo)發(fā)送RST數(shù)據(jù)，使效勞器不對(duì)合法用戶效勞，從而實(shí)現(xiàn)了對(duì)受害效勞器的拒絕效勞攻擊。其它拒絕效勞攻擊86分布式拒絕效勞攻擊DDoS是DoS攻擊的延長，威力巨大，具體攻擊方式多種多樣。分布式拒絕效勞攻擊就是利用一些自動(dòng)化或半自動(dòng)化的程序把握很多分布在各個(gè)地方的主機(jī)同時(shí)拒絕效勞攻擊同一目標(biāo)。攻擊一般會(huì)承受IP地址哄騙技術(shù)，隱蔽自己的IP地址，所以很難追查。87分布式拒絕效勞攻擊示意圖88分布式拒絕效勞攻擊步驟探測(cè)掃描大量主機(jī)以查找可入侵的目標(biāo)；入侵有安全漏洞的主機(jī)并獵取把握權(quán)，在每臺(tái)入侵主機(jī)中安裝DDoS代理端/分布端；構(gòu)造浩大的、分布式攻擊網(wǎng)絡(luò)；通過主控端和代理端/分布端，在同一時(shí)刻，由分布的成千上萬臺(tái)主機(jī)向同一目標(biāo)地址發(fā)出攻擊，目標(biāo)系統(tǒng)全線崩潰。89DoS與DDoS的區(qū)分被攻擊者

90分布式拒絕效勞攻擊

防范對(duì)策2-1對(duì)于分布式攻擊，目前仍無特殊有效的方法來防范根本的防范對(duì)策準(zhǔn)時(shí)地給系統(tǒng)打補(bǔ)丁，設(shè)置正確的安全策略定期檢查系統(tǒng)安全：檢查是否被安裝了DDoS攻擊程序，是否存在后門等建立資源安排模型，設(shè)置閾值，統(tǒng)計(jì)敏感資源的使用狀況使用DNS來跟蹤匿名攻擊對(duì)于重要的WEB效勞器，為一個(gè)域名建立多個(gè)鏡像主機(jī)91分布式拒絕效勞攻擊

防范對(duì)策2-2根本的防范對(duì)策優(yōu)化路由器配置，包括：配置路由器的外網(wǎng)卡，丟棄那些來自外部網(wǎng)而源IP地址具有內(nèi)部網(wǎng)絡(luò)地址的包；配置路由器的內(nèi)網(wǎng)卡，丟棄那些馬上發(fā)到外部網(wǎng)絡(luò)而源IP地址不具有內(nèi)部網(wǎng)絡(luò)地址的包；設(shè)置TCP攔截；限制TCP連接超時(shí)閾值；制止IP播送包流入內(nèi)部網(wǎng)絡(luò)；制止外出的ICMP不行達(dá)信息。由于攻擊者掩蓋行蹤的手段不斷加強(qiáng)，很難在系統(tǒng)級(jí)的日志文件中查找到蛛絲馬跡。因此，第三方的日志分析系統(tǒng)能夠防止治理員更簡潔地保存線索92網(wǎng)絡(luò)監(jiān)聽攻擊源目的sniffer加密解密Password$%@&)*=-~`^,{93網(wǎng)絡(luò)監(jiān)聽攻擊的環(huán)境基于共享〔HUB〕環(huán)境的監(jiān)聽比較普遍實(shí)現(xiàn)較為簡潔基于交換〔Switch〕環(huán)境的監(jiān)聽根底是ARP哄騙技術(shù)94基于共享環(huán)境的監(jiān)聽共享以太網(wǎng)環(huán)境中，全部物理信號(hào)都會(huì)被傳送到每一個(gè)主機(jī)節(jié)點(diǎn)上去如將系統(tǒng)的網(wǎng)絡(luò)接口設(shè)定為混雜模式(Promiscuous)，則就能承受到一切監(jiān)聽到的數(shù)據(jù)幀，而不管其目的MAC地址是什么95共享環(huán)境監(jiān)聽的意義樂觀意義：便利網(wǎng)絡(luò)治理員進(jìn)展治理和網(wǎng)絡(luò)故障分析消極意義：常被用來竊聽在網(wǎng)絡(luò)上以明文方式傳輸?shù)目诹詈唾~號(hào)密碼POP3郵件口令Ftp登錄口令Telnet登錄口令96共享環(huán)境監(jiān)聽的檢測(cè)基于主機(jī)的檢測(cè)簡潔的ifconfig命令，包括各種UNIX系統(tǒng)基于網(wǎng)絡(luò)的檢測(cè)針對(duì)系統(tǒng)硬件過濾和軟件過濾的檢測(cè)針對(duì)DNS反向域名解析的檢測(cè)針對(duì)網(wǎng)絡(luò)和主機(jī)響應(yīng)時(shí)間的檢測(cè)使用專業(yè)的檢測(cè)工具AntiSniff〔有forwin和forunix的版本〕Promiscan97AntiSniff〔LOpht〕98口令入侵口令入侵是指使用某些合法用戶的帳號(hào)和口令登錄到目的主機(jī)，然后再實(shí)施攻擊活動(dòng)獵取口令的途徑有：網(wǎng)絡(luò)監(jiān)聽口令猜測(cè)，暴力破解利用系統(tǒng)治理員的失誤99口令猜測(cè)攻擊口令猜測(cè)攻擊原理現(xiàn)行很多加密算法都單向不行逆攻擊者每次從攻擊字典中取出一個(gè)條目作為口令，使用一樣的加密算法進(jìn)展加密，然后同密文進(jìn)展比對(duì)