【文章內(nèi)容簡(jiǎn)介】 本的五步驟，但是根據(jù)實(shí)際情況可以隨時(shí)調(diào)整。 ?歸納起來就是 “ 黑客攻擊五部曲 ” ： 隱藏 IP 踩點(diǎn)掃描 獲得系統(tǒng)或管理員權(quán)限 (入侵攻擊過程 ) 種植后門 在網(wǎng)絡(luò)中隱身 !!! 典型的網(wǎng)絡(luò)攻擊過程示意圖 選中攻 擊目標(biāo) 獲取普通 用戶權(quán)限 擦除入 侵痕跡 安裝后門 新建帳號(hào) 獲取超級(jí) 用戶權(quán)限 攻擊其它 主機(jī) 獲取或 修改信息 從事其它 非法活動(dòng) 掃描 網(wǎng)絡(luò) 利用系統(tǒng)已知的漏洞、通過輸入?yún)^(qū)向 CGI發(fā)送特殊的命令、發(fā)送特別大的數(shù)據(jù)造成緩沖區(qū)溢出、猜測(cè)已知用戶的口令，從而發(fā)現(xiàn)突破口。 截獲 篡改 偽造 中斷 被動(dòng)攻擊 主 動(dòng) 攻 擊 目的站 源站 源站 源站 源站 目的站 目的站 目的站 被動(dòng)攻擊：（破壞保密性） ? 消息內(nèi)容分析 ? 通信量分析 主動(dòng)攻擊 ? 中斷（破壞可用性） ? 篡改（破壞完整性） ? 偽造（破壞真實(shí)性） 典型的網(wǎng)絡(luò)攻擊方式和分類 !!! —— 利用 Windows NT/2022 空會(huì)話 ? 原理 ? 利用 Windows NT/2022 對(duì) NetBIOS的缺省信賴 ? 通過 TCP端口 139 返回主機(jī)的大量信息 ? 實(shí)例 ? 如果通過端口掃描獲知 TCP端口 139已經(jīng)打開 ? use \\\IPC$ “口令 ” /USER: “用戶名 ? 在攻擊者和目標(biāo)主機(jī)間建立連接 ? use z: \\\c$ ? copy \\\admin$\system32 ? time \\ ? at \\ 21:05 ? Windows 2022還有另一個(gè) SMB端口 445 針對(duì) Win系統(tǒng)的網(wǎng)絡(luò)攻擊術(shù)常識(shí) !!! 常用攻擊手段 ——分別介紹 ?漏洞掃描 ?特洛伊木馬 ?網(wǎng)絡(luò)嗅探（ Sniffer）技術(shù) ?拒絕服務(wù)（ DOS）和分布式拒絕服務(wù) ?口令猜測(cè) ?欺騙技術(shù) ?緩沖區(qū)溢出 系統(tǒng)信息收集 掃描目的 遠(yuǎn)程操作系統(tǒng)識(shí)別 網(wǎng)絡(luò)結(jié)構(gòu)分析 其他敏感信息收集 漏洞檢測(cè) 錯(cuò)誤的配置 系統(tǒng)安全漏洞 弱口令檢測(cè) 常用攻擊手段－漏洞掃描 掃描類型－地址掃描 Ping Reply 掃描類型－端口掃描 ? 主機(jī)可使用的端口號(hào)為 0～ 65535，前 1024個(gè)端口是保留端口，這些端口被提供給特定的服務(wù)使用。 ? 常用的服務(wù)都是使用標(biāo)準(zhǔn)的端口，只要掃描到相應(yīng)的端口開著，就能知道目標(biāo)主機(jī)上運(yùn)行著什么服務(wù)。然后入侵者才能針對(duì)這些服務(wù)進(jìn)行相應(yīng)的攻擊。 掃描類型－漏洞掃描 ? 漏洞掃描是使用漏洞掃描程序?qū)δ繕?biāo)系統(tǒng)進(jìn)行信息查詢，通過漏洞掃描，可以發(fā)現(xiàn)系統(tǒng)中存在的不安全的地方。 ? 例如： ? 操作系統(tǒng)漏洞 ? 弱口令用戶 ? 應(yīng)用程序漏洞 ? 配置錯(cuò)誤等 高級(jí)掃描術(shù)－慢速掃描 ?如果掃描是對(duì) 非連續(xù)性 端口、 源地址不一致、時(shí)間間隔很長(zhǎng) 且 沒有規(guī)律 的掃描的話，這些掃描的記錄就會(huì)淹沒在其他眾多雜亂的日志內(nèi)容中 ?使用慢速掃描的目的就是騙過防火墻和入侵檢測(cè)系統(tǒng)而收集信息。雖然掃描所用的時(shí)間較長(zhǎng)，但是這是一種較難發(fā)現(xiàn)的掃描 高級(jí)掃描術(shù)－亂序掃描 ?普通的掃描器在掃描遠(yuǎn)程系統(tǒng)的端口時(shí)，對(duì)端口掃描的順序是有序的，這種按照一定的順序掃描端口的方式很容易被入侵檢測(cè)系統(tǒng)發(fā)覺。 ?亂序掃描的 端口號(hào)的順序是隨機(jī) 生產(chǎn)的，這種方式能有效的欺騙某些入侵檢測(cè)系統(tǒng)而不會(huì)被入侵檢測(cè)系統(tǒng)發(fā)覺 掃描器 ?SATAN ?SAINT ?SSS ?Strobe ?XScan ?…… ?ISS (安氏 ) ?Pinger ?Portscan ?Superscan ?流光 ? 掃描工具： ? 掃描內(nèi)容包括： ? 遠(yuǎn)程操作系統(tǒng)類型及版本 ? 標(biāo)準(zhǔn)端口狀態(tài)及端口 Banner信息 ? SNMP信息， CGI漏洞， IIS漏洞， RPC漏洞， SSL漏洞 ? SQLSERVER、 FTPSERVER、 SMTPSERVER、 POP3SERVER ? NTSERVER弱口令用戶， NT服務(wù)器 NETBIOS信息 ? 注冊(cè)表信息等。 掃描器實(shí)例： XScan 反掃描對(duì)策 ?禁止 /關(guān)閉不必要的服務(wù) /端口 ?屏蔽敏感信息 ?合理配置防火墻和 IDS ?陷阱技術(shù) Honeypot ?僚機(jī)策略 ?…… 緩沖區(qū)溢出漏洞 (OOB) ?什么是緩沖區(qū)溢出？ 簡(jiǎn)單地說，緩沖區(qū)溢出就是向堆棧中分配的局部數(shù)據(jù)塊中寫入了超出其實(shí)際分配大小的數(shù)據(jù)，導(dǎo)致數(shù)據(jù)越界，結(jié)果覆蓋了原先的堆棧數(shù)據(jù)。 ?緩沖區(qū)溢出可以 : ?使主機(jī)系統(tǒng)癱瘓； ?獲取系統(tǒng)的登錄賬號(hào)； ?獲得系統(tǒng)的超級(jí)用戶權(quán)限。 暴力破解系統(tǒng)用戶密碼 ? 使用簡(jiǎn)單字典文件，利用工具軟件 GetNTUser可將管理員密碼破解出來。 暴力破解郵箱密碼 ? 郵箱的密碼一般需要設(shè)置到八位以上，否則七位以下的密碼容易被破解。尤其七位全部是數(shù)字，更容易被破解。 ? 案例 電子郵箱暴力破解： 工具軟件： 黑雨 ——POP3郵箱密碼暴力破解器 木 馬 ? 木馬是一種 可以駐留在對(duì)方系統(tǒng)中 的一種程序。 ? 木馬一般由兩部分組成： 服務(wù)器端和客戶端 。 ? 駐留在對(duì)方服務(wù)器的稱之為木馬的服務(wù)器端，遠(yuǎn)程的可以連到木馬服務(wù)器的程序稱之為客戶端。 ? 木馬的功能是通過客戶端可以操縱服務(wù)器，進(jìn)而操縱對(duì)方的主機(jī)。 ? 木馬程序在表面上看上去沒有任何的損害，實(shí)際上隱藏著可以控制用戶整個(gè)計(jì)算機(jī)系統(tǒng)、打開后門等危害系統(tǒng)安全的功能。 木馬＝特洛伊木馬 ? 木馬來自于“特洛伊木馬”，英文名稱為 Trojan Horse。傳說希臘人圍攻特洛伊城，久久不能攻克，后來軍師想出了一個(gè)特洛伊木馬計(jì)，讓士兵藏在巨大的特洛伊木馬中部隊(duì)假裝撤退而將特洛伊木馬丟棄在特洛伊城下，讓敵人將其作為戰(zhàn)利品拖入城中，到了夜里，特洛伊木馬內(nèi)的士兵便趁著夜里敵人慶祝勝利、放松警惕的時(shí)候從特洛伊木馬里悄悄地爬出來，與城外的部隊(duì)里應(yīng)外合攻下了特洛伊城。由于特洛伊木馬程序的功能和此類似，故而得名。 是登錄屏還是特洛伊木馬 ? G. Mark Hardy 吃驚嗎 ! G. Mark Hardy GINA木馬！ 木馬的分類 1) 遠(yuǎn)程訪問型特洛伊木馬 2) 鍵盤記錄型特洛伊木馬 3) 密碼發(fā)送型特洛伊木馬 4) 破壞型特洛伊木馬 5) 代理木馬 6) FTP型特洛伊木馬 7) 網(wǎng)頁(yè)型木馬 8) ?? 常見的 Trojans 木馬的植入方式 利用系統(tǒng)漏洞安裝 電子郵件附件、瀏覽網(wǎng)頁(yè)、FTP文件下載、 等方式傳播 手工放置 木馬的查殺 ?安裝殺毒軟件和防火墻 ?檢查 INI文件 ?查看 “ run=”、 “ load=” ?查看 “ shell= 程序名 ”后面所加載的程序。 木馬的查殺 ?檢查注冊(cè)表： 在注冊(cè)表中，最有可能隱藏木馬的地方是 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce ?檢查注冊(cè)表 其他可能隱藏木馬的注冊(cè)表項(xiàng)還有： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnceEx HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\windows\Load HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\windows\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\ AppInit_DLLs 木馬的查殺 ? 檢查服務(wù) 開始 \程序 \管理工具 \服務(wù) ? 檢查系統(tǒng)進(jìn)程 系統(tǒng)信息 \軟件環(huán)境 \正在運(yùn)行任務(wù) (win98)、 Pstools (winnt/2k) ? 檢查開放端口 Netstat –an(win98)、 Fport(winnt/2k) ? 監(jiān)視網(wǎng)絡(luò)通訊 防火墻、網(wǎng)絡(luò)監(jiān)視器 (win2k)、 Sniffer ? 對(duì)可疑文件的分析 W32Dasm、 IDA、 Softice 木馬的查殺 木馬的查殺 木馬端口列表： ? ? ? 網(wǎng)絡(luò)監(jiān)聽 / 嗅探（ Sniffer） ?定義 嗅探器 (Sniffer)是能夠從網(wǎng)絡(luò)設(shè)備上捕獲網(wǎng)絡(luò)報(bào)文的一種工具 ?Sniffer名稱的來由 通用網(wǎng)絡(luò)公司開發(fā)的一個(gè)程序－ NAI 監(jiān)聽工具 —pswmonitor ? 該工具軟件功能比較強(qiáng)大，可以監(jiān)聽的一個(gè)網(wǎng)段所有的用戶名和密碼，而且還可以指定發(fā)送的郵箱，設(shè)置的界面如圖所示。 請(qǐng)演示： pswmonitor監(jiān)聽工具 GW (Server) 1 C打開 IP轉(zhuǎn)發(fā)功能 2 C發(fā)送假冒的 arp包給 B,聲稱自己是 GW的 IP地址 3 B給外部發(fā)送數(shù)據(jù)，首先發(fā)給 C 4 C再轉(zhuǎn)發(fā)給 GW 普通用戶 B 嗅探者 C ARP欺騙 + Sniffer (一種中間人攻擊 ) 交換環(huán)境中的嗅探器 Sniffer 危害 ?嗅探器能夠捕獲口令 ?能夠捕獲專用的或者機(jī)密的信息 ?危害網(wǎng)絡(luò)鄰居的安全 ?獲取更高級(jí)別的訪問權(quán)限 ?獲得進(jìn)一步進(jìn)行攻擊需要的信息 網(wǎng)絡(luò)監(jiān)聽安全對(duì)策 ?規(guī)劃網(wǎng)絡(luò) 合理分段，采用交換機(jī)、路由器、網(wǎng)橋等設(shè)備，相互信任的主機(jī)處于同一網(wǎng)段 ?采用加密會(huì)話 對(duì)安全性要求高的數(shù)據(jù)通訊進(jìn)行加密傳輸 例如采用目前比較流行的 SSL協(xié)議以及使用 SSH這樣的安全產(chǎn)品傳送敏感 ?使用一次性口令技術(shù) (OTP) ?為了防止 ARP欺騙，使用永久的 ARP緩存條目 ?使用檢測(cè)工具 TripWar AntiSniffer（ L0pht， not free） 拒絕服務(wù)攻擊 (DOS) ? 拒絕服務(wù)攻擊的簡(jiǎn)稱是： DoS（ Denial of Service）攻擊，凡是造成目標(biāo)計(jì)算機(jī)拒絕提供服務(wù)的攻擊都稱為 DoS攻擊，其目的是使目標(biāo)計(jì)算機(jī)或網(wǎng)絡(luò)無法提供正常的服務(wù)。 ? 最常見的 DoS攻擊是：計(jì)算機(jī)網(wǎng)絡(luò)帶寬攻擊和連通性攻擊。 帶寬攻擊 是以極大的通信量沖擊網(wǎng)絡(luò)，使網(wǎng)絡(luò)所有可用的帶寬都被消耗掉，最后導(dǎo)致合法用戶的請(qǐng)求無法通過。 連通性攻擊指用大量的連接請(qǐng)求沖擊計(jì)算機(jī)，最終導(dǎo)致計(jì)算機(jī)無法再處理合法用戶的請(qǐng)求。 TCP SYN Attack Ping of Death ?消耗系統(tǒng)資源 (帶寬、內(nèi)存、隊(duì)列、 CPU… ) ?系統(tǒng)宕機(jī) …… ?阻止授權(quán)用戶正常訪問網(wǎng)絡(luò) (慢、不能連接、沒有響應(yīng) …… ) CPU 拒絕服務(wù)攻擊 DOS !!! 拒絕服務(wù)攻擊 ?