黑客攻擊與入侵檢測講義-文庫吧資料
2025-02-10 23:56本頁面
【正文】 木馬攻擊與檢查防范 6 ? 進(jìn)一步幫助判斷是否被植入木馬 的方法 ? 軟件 Hash值校驗(yàn) —— 此方法就是檢驗(yàn)文件是否被篡改。另外，木馬一般都隨系統(tǒng)啟動(dòng)而啟動(dòng)，并且有進(jìn)程保護(hù)設(shè)置，所以查殺木馬非常麻煩。 ? 隱蔽性 —— 目前不少木馬在傳播時(shí)，大多會(huì)與一些常見的軟件一起被用戶存儲(chǔ)到電腦中，很難被發(fā)現(xiàn)，當(dāng)用戶使用該軟件時(shí)，木馬就自動(dòng)運(yùn)行了。 控 制控 制黑 客安 裝 了 控 制軟 件 的 電 腦安 裝 了 入 侵 軟件 的 電 腦23 木馬攻擊與檢查防范 4 ? 根據(jù)木馬的原理和危害，可知木馬具有偽裝性、隱蔽性和頑固性的特點(diǎn)。功過控制被入侵的電腦，黑客可以任意在其中瀏覽信息，上傳下載文件以及竊取密碼信息等，而且還可以通過該電腦向其他電腦進(jìn)行攻擊，達(dá)到既能攻擊更多主機(jī)又能隱藏自身信息的目的，所以木馬已經(jīng)成為黑客攻擊電腦的首選工具。凡是在表面上偽裝成正常的程序，而實(shí)際上卻偷偷把正常的程序換掉，并留下一些特殊的系統(tǒng)后門，以方便以后可以控制主機(jī)運(yùn)行或者執(zhí)行破壞行為的程序，就是一種特洛伊木馬程序，俗稱后門（ Backdoor）程序或者木馬（ Trojan）程序。其入侵方式與《荷馬史詩》中記載的特洛伊木馬及其類似。詳細(xì)的描述見本書關(guān)于 Web的安全 一章 介紹。 19 SQL注入式攻擊與防范 ? SQL注入式攻擊是目前比較流行，也是研究最多的一種黑客攻擊技術(shù)。 數(shù)組邊界檢查 所有對(duì)數(shù)組的讀寫操作都應(yīng)當(dāng)被檢查以確保對(duì)數(shù)組的操作在正確的范圍內(nèi)。在堆棧中函數(shù)返回地址后面增加了附加的字節(jié)，在函數(shù)返回時(shí)，首先檢查附加的字節(jié)是否被改動(dòng)過。 保護(hù)堆棧 這是一種提供程序指針完整性檢查的編譯器技術(shù)。如果該程序具有 root權(quán)限，攻擊者就可以對(duì)系統(tǒng)就行任意操作了 18 緩沖區(qū)溢出攻擊與防范 2 ? 要有效防止該種攻擊，應(yīng)做到以下幾點(diǎn) 程序指針完整性檢查 在程序指針被引用之前，檢測它是否改變。當(dāng)然，普通的緩沖區(qū)內(nèi)容是達(dá)不到攻擊的目的的。 16 網(wǎng)絡(luò)嗅探攻擊與防范 4 ? 對(duì)于網(wǎng)絡(luò)嗅探攻擊，可以采用以下措施來實(shí)現(xiàn)防范 ? 主動(dòng)檢測嗅探器 ? 網(wǎng)絡(luò)通信丟包率很高 ? 網(wǎng)絡(luò)帶寬分配反常 ? 被動(dòng)隱藏?cái)?shù)據(jù) ? 網(wǎng)絡(luò)分段 ? 加密 ? 一次性口令技術(shù) ? 禁用雜錯(cuò)節(jié)點(diǎn) ? ARP或者 IPMAC映射表用靜態(tài)代替動(dòng)態(tài) 17 緩沖區(qū)溢出攻擊與防范 1 ? 許多程序都是用 C語言編寫的，而 C語言不做緩沖區(qū)下屆檢查 。 ? 第三，可以分析網(wǎng)絡(luò)數(shù)據(jù)，實(shí)現(xiàn)更大威脅的網(wǎng)絡(luò)攻擊的前奏。 ? 其次，它能捕獲專用機(jī)密信息。 ? 首先，它能夠捕獲密碼。嗅探器對(duì)廣播型網(wǎng)絡(luò)可監(jiān)聽能力比較高。嗅探器工作在網(wǎng)絡(luò)的底層，把網(wǎng)絡(luò)傳輸?shù)娜繑?shù)據(jù)記錄下來。 14 網(wǎng)絡(luò)嗅探攻擊與防范 2 ? 以太網(wǎng)的數(shù)據(jù)傳輸都是基于信道共享的原理，所有同一本地網(wǎng)范圍內(nèi)的計(jì)算機(jī)共同接收到相同的數(shù)據(jù)包， 以太 網(wǎng)卡構(gòu)造了硬件過濾，將與自己無關(guān)的網(wǎng)絡(luò)信息過濾掉，實(shí)現(xiàn)了忽略掉與自身 MAC地址不符的信息。 ? 嗅探器（ Sniffer）就像一個(gè)安裝在計(jì)算機(jī)上的竊聽器，可以竊聽計(jì)算機(jī)在網(wǎng)絡(luò)上的產(chǎn)生的信息。很多黑客使用嗅探器進(jìn)行網(wǎng)絡(luò)入侵。在路由器的前端對(duì) TCP做必要攔截，使得只有完成 TCP三次握手的數(shù)據(jù)包才可以進(jìn)入網(wǎng)段，可以有效地保護(hù)本網(wǎng)段內(nèi)的服務(wù)器不受此類攻擊。比如限制 SYN半開數(shù)據(jù)包的流量和個(gè)數(shù)。采取措施是對(duì)系統(tǒng)設(shè)定相應(yīng)的內(nèi)核參數(shù)，使得系統(tǒng)強(qiáng)制對(duì)超時(shí)的 SYN請(qǐng)求連接數(shù)據(jù)包復(fù)位，同時(shí)通過縮短超時(shí)常數(shù)和加長等候隊(duì)列來使得系統(tǒng)能迅速處理無效的 SYN請(qǐng)求數(shù)據(jù)包。比如，可以在服務(wù)器端拒絕所有的 ICMP包，或者在該網(wǎng)段內(nèi)，對(duì)路由器上的 ICMP包進(jìn)行帶寬限制，控制其在一定范圍內(nèi)。然而這個(gè) SYNFlood在其實(shí)現(xiàn)過程中，只有前兩個(gè)步驟，當(dāng)服務(wù)方收到請(qǐng)求方的 SYN并回送 SYNACKnowledege Character確認(rèn)報(bào)文后，請(qǐng)求方由于采用源 IP地址欺騙等手段，使得服務(wù)方得不到 ACK回應(yīng)，這樣，服務(wù)方會(huì)在一定時(shí)間內(nèi)處于等待接收請(qǐng)求方 ACK報(bào)文的狀態(tài)，一臺(tái)服務(wù)器可用的 TCP連接服務(wù)時(shí)有限的，如果惡意攻擊方快速連續(xù)的發(fā)送此類請(qǐng)求，則服務(wù)器的系統(tǒng)可用資源、網(wǎng)絡(luò)可用帶寬將急劇下降，導(dǎo)致無法向用戶提供正常的網(wǎng)絡(luò)服務(wù)。它常常是源 IP地址的前奏，也叫做半開式連接攻擊。 11 拒絕服務(wù)類的攻擊與防范 1 ? 拒絕服務(wù)攻擊，顧名思義，就是攻擊者加載過多的服務(wù)將被攻擊者資源全部耗盡，使其沒有多余的資源來供其他用戶使用，從而實(shí)現(xiàn)不了服務(wù)。 ? 第二，在路由器上關(guān)閉源路由使用。 ? 第一，配置好網(wǎng)絡(luò)互聯(lián)設(shè)備 —— 路由器。當(dāng) B回送數(shù)據(jù)包時(shí)，就傳送到被更改過的路由器，這就使得入侵者可以假冒一個(gè)主機(jī)的名義通過一個(gè)特殊的路徑來獲得某些被保護(hù)的服務(wù)和數(shù)據(jù)。仍以上面源 IP地址欺騙例子說明如下： 9 ? ? 主機(jī) A享有主機(jī) B的某些特權(quán)，主機(jī) X想冒充主機(jī) A從主機(jī) B獲得某些服務(wù)，主機(jī) B的 IP 地址為。 8 協(xié)議欺騙類的攻擊與防范 ? ? 一般情況下，信息報(bào)從起點(diǎn)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1