【文章內(nèi)容簡介】 毒具有極強的傳染性，而木馬雖然可以傳播，當本身不具備繁殖性和自動感染的功能。 特洛伊木馬的傳播形式 ? （ 1）手工放置：手工放置比較簡單，是最常見的做法。手工放置分本地放置和遠程放置兩種。本地安裝就是直接在計算機上進行安裝。遠程安裝就是通過常規(guī)攻擊手段使獲得目標主機的上傳權限后，將木馬上傳到目標計算機上，然后通過其他方法使木馬程序運行起來。 ? （ 2）以郵件附件的形式傳播：控制端將木馬改頭換面后，然后將木馬程序添加到附件中，發(fā)送給收件人。 ? （ 3）通過 OICQ對話，利用文件傳送功能發(fā)送偽裝了的木馬程序。 ? （ 4）將木馬程序捆綁在軟件安裝程序上，通過提供軟件下載的網(wǎng)站（ Web/FTP/BBS）傳播。 ? （ 5）通過病毒或蠕蟲程序傳播。 ? （ 6）通過磁盤或光盤傳播。 特洛伊木馬的基本技術 ? 1. 木馬的隱藏與欺騙技術 ? （ 1）進程隱蔽 ? （ 2）偽裝成圖像文件。即將木馬圖標修改成圖像文件圖標。 ? （ 3）偽裝成應用程序擴展組件。 ? （ 4）錯覺欺騙。利用人的錯覺，例如故意混淆文件名中的 1（數(shù)字）與 l（ L的小寫）、 0（數(shù)字）與 o（字母）或 O（字母）。 ? （ 5）合并程序欺騙。 ? 2. 程序的自加載運行技術 ? 3. 木馬程序建立連接的隱藏技術 木馬程序的數(shù)據(jù)傳遞方法有很多種，通常是靠 TCP、 UDP傳輸數(shù)據(jù)。 ? 4. 發(fā)送數(shù)據(jù)的組織方法 ? 為了避免被發(fā)現(xiàn)，木馬程序必須很好地控制數(shù)據(jù)傳輸量，例如把屏幕畫面切分為了多個部分，并將畫面存儲為 JPG格式，使壓縮率變高，使數(shù)據(jù)變得十分小，甚至在屏幕沒有改變的情況下，傳送的數(shù)據(jù)量為 0。 4 陷門 陷門及其特特征 ? 陷門（ trap doors）也稱“后門”， 是一種利用系統(tǒng)脆弱性進行重復攻擊的技術，通常是一段非法的操作系統(tǒng)程序，通過它可以在一個程序模塊中留下未被登記的秘密入口，使用戶可以不按正常的訪問步驟獲得訪問權。 陷門一般有如下一些技術或功能特征： ? （ 1）陷門通常寄生于某些程序（有宿主），但無自我復制功能。 ? （ 2）它們可以在系統(tǒng)管理員采取了增強系統(tǒng)安全措施（如改變所有密碼）的情況下，照樣進入系統(tǒng)。 ? （ 3）它們可以使攻擊者以最短的時間再次進入系統(tǒng)，而不是重新挖掘漏洞。 ? （ 4）許多陷門可以饒過注冊直接進入系統(tǒng)或者幫助攻擊者隱藏其在系統(tǒng)中一舉一動。 ? （ 5）陷門可以把再次入侵被發(fā)現(xiàn)的可能性降至最低。 常見陷門舉例 1. 賬號與注冊陷門 ? （ 1） Login 陷門 ? （ 2）密碼破解陷門 ? （ 3）超級賬號陷門 ? （ 4） rhosts++陷門 2．網(wǎng)絡通信陷門 ? （ 1） TCP Shell陷門 ? （ 2） UDP Shell陷門 ? （ 3） ICMF Shell 陷門 3. 隱匿陷門 ? （ 1）隱匿進程陷門 ? （ 2）文件系統(tǒng)陷門 ? （ 3）共享庫陷門 ? （ 4） Cronjob 陷門 ? （ 5）內(nèi)核陷門 ? （ 6） Boot塊陷門 5 電子欺騙攻擊 ? 電子欺騙（ spoofing）就是在兩臺建立了信任關系的計算機之間，冒充其中一臺，對另一臺進行欺騙性連接，而后對其發(fā)起攻擊。 IP欺騙 ? IP欺騙就是偽造別的機器的 IP地址用于欺騙第三者。 ? 假定有兩臺主機 S（設 IP地址為）和 T（設 IP地址為），并且它們之間已經(jīng)建立了信任關系。入侵者 X要對 T進行 IP欺騙攻擊，就可以假冒 S與 T進行通信。 IP欺騙的過程 確認攻擊目標 使要冒充的主機無法響應目標主機會話 猜測序列號 冒充受信主機連接到目標主機 實施會話攻擊 用猜測到的序列號回應目標主機 說 明 （ 1） ? （ 1）確認攻擊目標 施行 IP欺騙的第一步是確認攻擊目標。下面是容易受到電子欺騙攻擊的服務類型： ? 運行 Sun RPC（ Sun Remote Procedure Call,Sun遠程過程調(diào)用）的網(wǎng)絡設備； ? 基于 IP地址認證的任何網(wǎng)絡服務； ? 提供 R系列服務的機器，如提供 rlogin、 rsh、 rcp等服務的機器。 其他沒有這類服務的系統(tǒng)所受到的 IP欺騙攻擊雖然有，但要少得多。 ? （ 2）使計劃要冒充的主機無法響應目標主機的會話 說 明 （ 2） ? （ 2）使計劃要冒充的主機無法響應目標主機的會話。基本方法是對 S實施拒絕服務攻擊。 ? （ 3）精確地猜測來自目標請求的正確序列數(shù) ? 方法是根據(jù) TCP序列號的編排規(guī)律： ? 初始的 TCP序列號是由 tcp_init函數(shù)確定的，是一個隨機數(shù)，并且它每秒鐘增加 128 000。這表明，在沒有連接的情況下，TCP的序列號每 。而有連接時，每次連接把 TCP序列號增加 64 000。 ? 隨機的初始序列號的產(chǎn)生也是有一定規(guī)律的。在 Berkeley系統(tǒng)中，初始序列號由一個常量每秒鐘加 1產(chǎn)生。 ? 同時，攻擊者還需要估計他的服務器與可信服務器之間的往返時間（ RTT）。 RTT一般是通過多次統(tǒng)計平均計算出來的。在沒有連接的情況下， TCP序列號為 128 000*RTT；如果目標服務器剛剛建立過一個連接，就還要加上 64 000。 2. IP欺騙的防范 ? （ 1）放棄基于 IP地址的信任策略 ? （ 2）使用隨機化的初始序列號 ? （ 3）在路由器中加上一些附加條件 ? （ 4）配置服務器，降低 IP欺騙的可能 ? （ 5）使用防火墻和其他抗 IP欺騙的產(chǎn)品。 TCP會話劫持 ? 基于網(wǎng)絡通信中的如下規(guī)律進行的： ? （ 1）以太網(wǎng)使用廣播方式進行通信，在同一網(wǎng)段中，每一太監(jiān)聽設備都可以接收到其他站點發(fā)送的分組。 ? （ 2）在以太網(wǎng)中，主之間進行通信，并不檢測 MAC地址，因此主機不能發(fā)現(xiàn)連接中的 MAC地址改變。 ? （ 3）在 TCP連接中，只是剛開始連接時進行一次 IP地址的驗證，在連接過程中 TCP應用程序只跟蹤序列號，而不進行IP地址驗證。因此，一旦同一網(wǎng)段上的入侵者獲悉目標主機的序列號規(guī)律，就可以假冒該目標主機的受信機與該目標主機進行通信，把原來目標主機與其受信機之間的會話劫持過去。 ARP欺騙 ? ARP（ Address Resolution Protocol，地址解析協(xié)議）一種將 32位 IP地址轉化成 48位 MAC地址的協(xié)議。其工作過程是：當某臺主機要發(fā)送或轉發(fā)來自網(wǎng)絡層的數(shù)據(jù)時，首先要廣播一個 ARP請求，詢問哪臺主機擁有這個 IP地址。而該 IP地址的擁有者則用含有該 IP地址和相應 MAC地址的幀進行應答。這樣，發(fā)送者就會將之存入自己的高速緩存，并根據(jù)這種對應關系發(fā)送數(shù)據(jù)。但是， ARP的特點是無狀態(tài)，即在沒有請求時也可以發(fā)送應答的包。入侵者可以利用這一點，向網(wǎng)絡上發(fā)送自己定制的包，包中包括源 IP地址、目的 IP地址以及硬件地址，不過它們都是偽造的。這些偽造的數(shù)據(jù)，會修改網(wǎng)絡上主機中的 ARP高速緩存。 ARP欺騙過程 B（入侵者） A C AA:AA BB:BB BB:BB CC:CC DD:DD 發(fā)送數(shù)據(jù)報文到 DNS欺騙 ? DNS工作原理 B（ DNS服務器） A C 請求 IP地址 結果（ ) () 向其他 DNS請求 其他 DNS服務器 結果（ ) 向 C發(fā)出連接請求 2. DNS欺騙原理 DNS有兩個重要特性： ? DNS對于自己無法解析的域名，會自動向其他 DNS服務器查詢。 ? 為提高效率， DNS會將所有已經(jīng)查詢到的結果存入緩存（ Cache）。 正是這兩個特點，使得 DNS欺騙（ DNS Spoofing）成為可能。 ? 實施 DNS欺騙的基本思路是：讓 DNS服務器的緩存中存有錯誤的 IP地址，即在 DNS緩存中放一個偽造的緩存記錄。為此，攻擊者需要做兩件事： ? 先偽造一個用戶的 DNS請求。 ? 再偽造一個查詢應答。實施 DNS欺騙的基本思路是： 3. DNS欺騙原理 ? 1 入侵者先向 B（ DNS服務器）提交查詢 I