【文章內(nèi)容簡介】 所謂端口掃描，就是利用 Socket 編程與目標主機的某些端口建立 TCP 連接、進行傳輸協(xié)議的驗證等，從而偵知目標主機的掃描端口是否是處于激活狀態(tài)、主機提供了哪些服務、提供的服務中是否含有某些缺陷等等。 （三） 攻擊者常用的攻擊工具 1. 攻擊工具： 如 WinNuke 通過發(fā)送 OOB 漏洞導致系統(tǒng)藍屏 ； Bonk 通過發(fā)送大量偽造的 UDP 數(shù)據(jù)包導致系統(tǒng)重啟； TearDrop 通過發(fā)送重疊的 IP 碎片導致系統(tǒng)的 TCP/IP 棧崩潰；WinArp 通過發(fā)特殊數(shù)據(jù)包在對方機器上產(chǎn)生大量的窗口； Land 通過發(fā)送大量偽造源IP 的基于 SYN 的 TCP 請求導致系統(tǒng)重啟動； FluShot 通過發(fā)送特定 IP 包導致系統(tǒng)凝固； Bloo 通過發(fā)送大量的 ICMP 數(shù)據(jù)包導致系統(tǒng)變慢甚至凝固； PIMP 通過 IGMP 漏洞導致系統(tǒng)藍屏甚至重新啟動； Jolt 通過大量偽造的 ICMP 和 UDP 導致系統(tǒng)變的非常慢甚至重新啟動。 2. 木馬程序 (1) BO2021(BackOrifice)：它是功能最全的 TCP／ IP 構(gòu)架的攻擊工具，可以搜集信息，執(zhí)行系統(tǒng)命令，重新設置機器，重新定向網(wǎng)絡的客戶端／服務器應用程序。BO2021 支持多個網(wǎng)絡協(xié)議，它可以利用 TCP 或 UDP 來傳送，還可以用 XOR 加密算法或更高級的 3DES 加密算法加密。感染 BO2021 后機器就完全在別人的控制之下，黑客成了超級用戶，你的所有操作都可由 BO2021 自帶的“秘密攝像機”錄制成“錄像帶”。 (2)“冰河”：冰河是一個國產(chǎn)木馬程序，具有簡單的中文使用界面，且只有少數(shù)流行的反病毒、防火墻才能查出冰河的 存在。冰河的功能比起國外的木馬程序來一點也不遜色。 它可以自動跟蹤目標機器的屏幕變化，可以完全模擬鍵盤及鼠標輸入，論文題目：網(wǎng)絡攻擊的方法及策略 第 9 頁共 24 頁 即在使被控端屏幕變化和監(jiān)控端產(chǎn)生同步的同時，被監(jiān)控端的一切鍵盤及鼠標操作將反映在控端的屏幕。它可以記錄各種口令信息，包括開機口令、屏保口令、各種共享資源口令以及絕大多數(shù)在對話框中出現(xiàn)過的口令信息；它可以獲取系統(tǒng)信息；它還可以進行注冊表操作，包括對主鍵的瀏覽、增刪、復制、重命名和對鍵值的讀寫等所有注冊表操作。 (3) NetSpy：可以運行于 Windows95／ 98／ NT／ 2021 等多種平臺上， 它是一個基于 TCP／ IP 的簡單的文件傳送軟件，但實際上你可以將它看作一個沒有權(quán)限控制的增強型 FTP 服務器。通過它，攻擊者可以神不知鬼不覺地下載和上傳目標機器上的任意文件，并可以執(zhí)行一些特殊的操作。 (4) Glacier：該程序可以自動跟蹤目標計算機的屏幕變化、獲取目標計算機登錄口令及各種密碼類信息、獲取目標計算機系統(tǒng)信息、限制目標計算機系統(tǒng)功能、任意操作目標計算機文件及目錄、遠程關(guān)機、發(fā)送信息等多種監(jiān)控功能。類似于 BO2021。 (5) KeyboardGhost： Windows 系統(tǒng)是一個以消息循環(huán) (MessageLoop)為基礎(chǔ)的操作系統(tǒng)。系統(tǒng)的核心區(qū)保留了一定的字節(jié)作為鍵盤輸入的緩沖區(qū)，其數(shù)據(jù)結(jié)構(gòu)形式是隊列。鍵盤幽靈正是通過直接訪問這一隊列，使鍵盤上輸入你的電子郵箱、代理的賬號、密碼 Password（顯示在屏幕上的是星號）得以記錄，一切涉及以星號形式顯示出來的密碼窗口的所有符號都會被記錄下來，并在系統(tǒng)根目錄下生成一文件名為 的隱含文件。 (6) ExeBind：這個程序可以將指定的攻擊程序捆綁到任何一個廣為傳播的熱門軟件上，使宿主程序執(zhí)行時，寄生程序也在后臺被執(zhí)行，且支持多重捆綁。實際上 是通過多次分割文件，多次從父進程中調(diào)用子進程來實現(xiàn)的。 三、入侵實例 我們來看看，黑客是怎樣入侵我們的計算機的。 先用局域網(wǎng)查看器看看我們所在局域網(wǎng)存在多少主機： 論文題目：網(wǎng)絡攻擊的方法及策略 第 10 頁共 24 頁 圖 2 掃描主機 我們看到了 42 臺主機，下面，假如我們要入侵 ip 為 這臺主機，首先，要看看這臺計算機是否有我們可用的漏洞。下面，我用 Xscan 掃描這臺主機： 圖 3 掃描參數(shù) 設置 ip 為 ，其他選項默認就好。 然后開始掃描漏洞。 如果存在我們可以用的漏洞，我們就可以利用這個漏洞達到我 們?nèi)肭值哪康摹＠缒撑_主機存在 3389 端口漏洞，我們就可以用一個注入器入侵然后遠程連接該主機。 論文題目：網(wǎng)絡攻擊的方法及策略 第 11 頁共 24 頁 圖 4 掃描漏洞 圖 5 掃描結(jié)果 通過掃描漏洞，我們發(fā)現(xiàn)這臺主機沒有我們要用的一些重大漏洞。 既然我們不能過漏洞入侵，我們就試試利用給他傳木馬文件達到入侵的目的。當然，我們要千方百計的讓對方打開我們的木馬。 首先，我們下載一個灰鴿子軟件，配置一下我們的木馬。 論文題目：網(wǎng)絡攻擊的方法及策略 第 12 頁共 24 頁 圖 6 灰鴿子服務端 下面，我們來配置一下： 打開網(wǎng)址 ip 地址是，我們就填上線地址為 ，保存木馬目錄就暫填 D 盤的我的文檔。 圖 7 配置灰鴿子 接下來，我們用 qq 把木馬傳到對方計算機上面，可以跟對方說這事一個很有趣的軟件等可以讓對方打開我們的木馬的話。 論文題目：網(wǎng)絡攻擊的方法及策略 第 13 頁共 24 頁 圖 8 客戶端上線 對方運行了我們的木馬后，在我們的服務端就看到了對方的計算機已經(jīng)上線，我們現(xiàn)在可以對對方的計算機進行完全的控制。 圖 9 遠程屏幕 到此為止，我們就成功地入侵了這臺計算機。 由此可見，只要我們有計算機安全意識，時時更新自己的殺毒軟件，不隨便打開別人發(fā)的文件，我們的計算機還 是很安全的。 論文題目：網(wǎng)絡攻擊的方法及策略 第 14 頁共 24 頁 四、網(wǎng)絡攻擊的防范 隨著計算機網(wǎng)絡的發(fā)展，網(wǎng)絡的開放性、共享性、互連程度隨之擴大。特別是Inter 的普及，使得商業(yè)數(shù)字貨幣、互聯(lián)網(wǎng)絡銀行等一些網(wǎng)絡新業(yè)務的迅速興起，網(wǎng)絡安全問題顯得越來越重要。目前造成網(wǎng)絡不安全的主要因素是在協(xié)議、系統(tǒng)及數(shù)據(jù)庫等的設計上存在缺陷。網(wǎng)絡互連一般采用 TCP/IP 協(xié)議，它是一個工業(yè)標準的協(xié)議簇，但該協(xié)議簇在制訂之初，對安全問題并沒有考慮太多，協(xié)議中存在很多的安全漏洞。 對于操作系統(tǒng)，由于目前使用的計算機網(wǎng)絡操作系統(tǒng)在本身結(jié)構(gòu)設計和代碼設計時偏重于考慮系統(tǒng)的使用 方便性，導致了系統(tǒng)在遠程訪問、權(quán)限控制和口令管理及等許多方面存在安全漏洞。同樣，數(shù)據(jù)庫管理系統(tǒng)（ DBMS）也存在權(quán)限管理、數(shù)據(jù)的安全性及遠程訪問等許多方面問題，在 DBMS 或應用程序中能夠預先安置從事情報收集、受控激發(fā)破壞程序。 由上述可見，針對協(xié)議、系統(tǒng)及數(shù)據(jù)庫等，無論是其本身的設計缺陷，還是由于人為因素造成的各種漏洞，都可能被一些另有圖謀的黑客利用進行網(wǎng)絡攻擊，因此要保證網(wǎng)絡信息的安全，必須熟知黑客網(wǎng)絡攻擊的一般過程，在此基礎(chǔ)上才能制定防范策略，確保網(wǎng)絡安全。 （一） 協(xié)議欺騙攻擊及其防范措施 1. 源 IP 地址欺騙攻擊 許多應用程序認為如果數(shù)據(jù)包能夠使其自身沿著路由到達目的地，而且應答包也可以回到源地，那么源 IP 地址一定是有效的，而這正是使源 IP 地址欺騙攻擊成為可能的前提。 假設同一網(wǎng)段內(nèi)有兩臺主機 A、 B，另一網(wǎng)段內(nèi)有主機 X。 B 授予 A 某些特權(quán)。 X 為獲得與 A 相同的特權(quán)，所做欺騙攻擊如下：首先， X 冒充 A，向主機 B 發(fā)送一個帶有隨機序列號的 SYN 包。主機 B 響應，回送一個應答包給 A，該應答號等于原序 列號加 1。然而，此時主機 A 已被主機 X 利用拒絕服務攻擊 “淹沒”了，導致主機 A 服務失效。結(jié)果，主機 A 將 B 發(fā)來的包丟 棄。為了完成三次握手， X 還需要向 B 回送一個應答包，其應答號等于 B 向 A 發(fā)送數(shù)據(jù) 包的序列號加 1。此時主機 X 并不能檢測到主機 B 的數(shù)據(jù)包（因為不在同一網(wǎng)段），只有利用 TCP 順序號估算法來預測應答包的順序號并將其發(fā)送給目標機 B。如果猜測正確， B 則認為收到的 ACK 是來自內(nèi)部主機 A。此時， X 即獲得了主機 A 在主機 B 上所享有的特權(quán)，并開始對這些服務實施攻論文題目：網(wǎng)絡攻擊的方法及策略 第 15 頁共 24 頁 擊。 要防止源 IP 地址欺騙行為，可以采取以下措施來盡可能地保護系統(tǒng)免受這類攻擊： (1) 拋棄基于地址的信任策略：阻止這類攻擊的一種非常容易的辦法就是放棄以地址為基礎(chǔ)的驗 證。不允許 r 類遠程調(diào)用命令的使用；刪除 .rhosts 文件；清空/etc/ 文件。這將迫使所有用戶使用其它遠程通信手段，如 tel、 ssh、skey 等等。 (2) 使用加密方法：在包發(fā)送到 網(wǎng)絡上之前，我們可以對它進行加密。雖然加密過程要求適當改變目前的網(wǎng)絡環(huán)境，但它將保證數(shù)據(jù)的完整性和真實性。 (3) 進行包過濾：可以配置路由器使其能夠拒絕網(wǎng)絡外部與本網(wǎng)內(nèi)具有相同 IP地址的連接請求。而且，當包的 IP 地址不在本網(wǎng)內(nèi)時，路由器不應該把本網(wǎng)主機的包發(fā)送出去。 有一點要注意，路由器雖然可 以封鎖試圖到達內(nèi)部網(wǎng)絡的特定類型的包。但它們也是通過分析測試源地址來實現(xiàn)操作的。因此，它們僅能對聲稱是來自于內(nèi)部網(wǎng)絡的外來包進行過濾，若你的網(wǎng)絡存在外部可信任主機，那么路由器將無法防止別人冒充這些主機進行 IP 欺騙。 2. 源路由欺騙攻擊 在通常情況下，信息包從起點到終點走過的路徑是由位于此兩點間的路由器決定的，數(shù)據(jù)包本身只知道去往何處，但不知道該如何去。源路由可使信息包的發(fā)送者將此數(shù)據(jù)包要經(jīng)過的路徑寫在數(shù)據(jù)包里，使數(shù)