黑客攻擊與入侵檢測講義(編輯修改稿)
2025-02-24 23:56 本頁面
【文章內(nèi)容簡介】 現(xiàn)。在堆棧中函數(shù)返回地址后面增加了附加的字節(jié)，在函數(shù)返回時(shí)，首先檢查附加的字節(jié)是否被改動(dòng)過。如果發(fā)生過緩沖區(qū)溢出的攻擊，那么這種攻擊很容易在函數(shù)返回前被檢測到。 數(shù)組邊界檢查 所有對數(shù)組的讀寫操作都應(yīng)當(dāng)被檢查以確保對數(shù)組的操作在正確的范圍內(nèi)。最直接的方法是檢查所有的數(shù)組操作，通?？梢圆捎靡恍﹥?yōu)化的技術(shù)來減少檢查單次數(shù)。 19 SQL注入式攻擊與防范 ? SQL注入式攻擊是目前比較流行，也是研究最多的一種黑客攻擊技術(shù)。它主要是針對網(wǎng)頁進(jìn)行的一種攻擊。詳細(xì)的描述見本書關(guān)于 Web的安全 一章 介紹。 20 木馬攻擊與檢查防范 1 ? 木馬 —— 又稱特洛伊木馬，是一種用于竊取用戶的密碼資料、破壞硬盤內(nèi)的數(shù)據(jù)或程序的軟件。其入侵方式與《荷馬史詩》中記載的特洛伊木馬及其類似。 ? 黑客的主要攻擊手段之一，就是使用木馬技術(shù)滲透到對方的主機(jī)系統(tǒng)中，從而實(shí)現(xiàn)對遠(yuǎn)程目標(biāo)主機(jī)的控制。凡是在表面上偽裝成正常的程序，而實(shí)際上卻偷偷把正常的程序換掉，并留下一些特殊的系統(tǒng)后門，以方便以后可以控制主機(jī)運(yùn)行或者執(zhí)行破壞行為的程序，就是一種特洛伊木馬程序，俗稱后門（ Backdoor）程序或者木馬（ Trojan）程序。 21 木馬攻擊與檢查防范 2 ? 黑客利用木馬入侵網(wǎng)絡(luò)中的電腦，從而達(dá)到操作被入侵電腦的目的。功過控制被入侵的電腦，黑客可以任意在其中瀏覽信息，上傳下載文件以及竊取密碼信息等，而且還可以通過該電腦向其他電腦進(jìn)行攻擊，達(dá)到既能攻擊更多主機(jī)又能隱藏自身信息的目的，所以木馬已經(jīng)成為黑客攻擊電腦的首選工具。 22 木馬攻擊與檢查防范 3 ? 黑客常將已經(jīng)被木馬入侵的主機(jī)成為服務(wù)器，而將用于接收或控制木馬運(yùn)行的電腦稱為客戶端，因此一個(gè)完整的木馬軟件一般是由兩部分組成，即入侵軟件和控制軟件，它們的關(guān)系如圖 71所示。 控 制控 制黑 客安 裝 了 控 制軟 件 的 電 腦安 裝 了 入 侵 軟件 的 電 腦23 木馬攻擊與檢查防范 4 ? 根據(jù)木馬的原理和危害，可知木馬具有偽裝性、隱蔽性和頑固性的特點(diǎn)。 ? 偽裝性 —— 由于人們對于病毒以及木馬警覺性的提高，木馬通常需要將自己偽裝成其他程序才能消除用戶的戒心，使用戶不會(huì)認(rèn)為它是來歷不明的程序，達(dá)到不知不覺進(jìn)入主機(jī)的目的。 ? 隱蔽性 —— 目前不少木馬在傳播時(shí)，大多會(huì)與一些常見的軟件一起被用戶存儲(chǔ)到電腦中，很難被發(fā)現(xiàn)，當(dāng)用戶使用該軟件時(shí)，木馬就自動(dòng)運(yùn)行了。 ? 頑固性 —— 某些木馬會(huì)在系統(tǒng)文件中留下備份文件，當(dāng)用戶用殺毒軟件清除木馬時(shí)，備份文件很難被清除掉，使這些病毒具有了“死灰復(fù)燃”的能力。另外，木馬一般都隨系統(tǒng)啟動(dòng)而啟動(dòng)，并且有進(jìn)程保護(hù)設(shè)置，所以查殺木馬非常麻煩。 24 木馬攻擊與檢查防范 5 ? 防治木馬，常用簡單使用措施如下： ? 安裝殺毒軟件和個(gè)人防火墻，并及時(shí)升級(jí)； ? 將個(gè)人防火墻設(shè)置好安全等級(jí)，防治未知程序向外傳送數(shù)據(jù)； ? 考慮使用安全性比較好的瀏覽器和電子郵件客戶端工具； ? 如果使用 IE瀏覽器，應(yīng)該看裝一些安全助手，防止惡意網(wǎng)站在自己的電腦上安裝不明軟件和瀏覽器插件，以免被木馬乘機(jī)侵入。 25 木馬攻擊與檢查防范 6 ? 進(jìn)一步幫助判斷是否被植入木馬 的方法 ? 軟件 Hash值校驗(yàn) —— 此方法就是檢驗(yàn)文件是否被篡改。無論何時(shí)，當(dāng)用戶從網(wǎng)站上下載一個(gè)軟件的時(shí)候，都應(yīng)該生成相應(yīng)文件的 Hash值，之后與發(fā)布廠商網(wǎng)站上的 Hash值進(jìn)行比較。如，從某網(wǎng)站下載軟件時(shí)，軟件連接旁邊看到軟件的 MD5值，下載之后，利用 MD5工具生成下載文件的 MD5散列值，兩個(gè)散列值進(jìn)行比較，若相等說明軟件沒有被篡改，若不等則要懷疑軟件的真實(shí)性。 ? 進(jìn)程和端口監(jiān)控 —— 監(jiān)控端口指監(jiān)控系統(tǒng)當(dāng)前哪些端口是處于監(jiān)聽、連接狀態(tài)，哪些進(jìn)程在使用哪些端口，即進(jìn)行進(jìn)程與端口的關(guān)聯(lián)。通過監(jiān)視計(jì)算機(jī)上打開的非常用端口，能夠檢測出等待建立連接的木馬。常用的 stat –na命令就可以實(shí)現(xiàn)這一功能 。 26 入侵檢測 ? ? ? ? 27 （ 1） 入侵檢測的定義 ? 入侵檢測（ Intrusion Detection） —— 就是對入侵行為的發(fā)覺。它通過對計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中若干關(guān)鍵點(diǎn)收集信息并對其進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象。 ? 防火墻 之后的第二道安全閘門，在不影響網(wǎng)絡(luò)性能的情況下能對網(wǎng)絡(luò)進(jìn)行監(jiān)測。這些都通過它執(zhí)行以下任務(wù)來實(shí)現(xiàn)： ? 監(jiān)視、分析用戶及系統(tǒng)活動(dòng)； ? 系統(tǒng)構(gòu)造和弱點(diǎn)的審計(jì)； ? 識(shí)別反映已知進(jìn)攻的活動(dòng)模式并向相關(guān)人士報(bào)警； ? 異常行為模式的統(tǒng)計(jì)分析； ? 評(píng)估重要系統(tǒng)和數(shù)據(jù)文件的完整性； ? 操作系統(tǒng)的審計(jì)跟蹤管理，并識(shí)別用戶違反安全策略的行為 28 （ 2） 入侵檢測系統(tǒng) ? 入侵檢測系統(tǒng)（簡稱 “IDS”） —— 是一種對網(wǎng)絡(luò)傳輸進(jìn)行即時(shí)監(jiān)視，在發(fā)現(xiàn)可疑傳輸時(shí)發(fā)出警報(bào)或者采取主動(dòng)反應(yīng)措施的網(wǎng)絡(luò)安全設(shè)備。它與其他網(wǎng)絡(luò)安全設(shè)備的不同之處便在于， IDS是一種積極主動(dòng)的安全防護(hù)技術(shù)。
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1