计算机网络安全第九章(黑客技术)

4/19/20201:37:37PM1/73黑客技术概述黑客动机攻击流程攻击技术4/19/20201:37:37PM2/73概述目录目前网络安全领域研究趋势越来越注重攻防结合，追求动态安全。在信息安全技术的研究上，形成了两个完全不同的角度和方向：防御技术和攻击技术，两个相辅相成，互为补充。研究黑客常用攻击手段和工具必然为防御技术提供启示和新的思路，利用这些手段和工具对网络进行模拟攻击，找出网络的安全漏洞也成为网络安全维护手段的一个重要组成部分。4/19/20201:37:37PM3/73黑客4之1目录4/19/20201:37:37PM4/73黑客种类4之2白帽（WhiteHat）善意的黑客，长期致力于改善计算机社会及其资源，为了改善服务质量和产品，他们不断地寻找弱点和脆弱性并公布于众。黑帽（BlackHat）恶意的黑客，主要从事一些破坏活动，从事的是一种犯罪行为。目录4/19/20201:37:37PM5/73黑帽动机—之一4之3好奇心希望通过探究这些网络更好地了解它们是如何工作的。个人声望通过破坏具有高价值的目标以提高在黑客社会中的可信度及知名度。智力挑战为了向自己的智力极限挑战或为了向他人炫耀，证明自己的能力。窃取情报在Internet上监视个人、企业及竞争对手的活动信息及数据文件，以达到窃取情报的目的。目录4/19/20201:37:37PM6/73黑帽动机—之二4之4报复感觉其雇主本该提升自己、增加薪水或以其他方式承认其工作，通过此方式报复雇主。金钱赚取金钱。政治目的任何政治因素都会反映到网络领域。主要表现为：敌对国之间利用网络的破坏活动；个人及组织对政府不满而产生的破坏活动。一般采用的手法包括更改网页、植入电脑病毒。目录4/19/20201:37:37PM7/73攻击流程踩点扫描查点获取访问权拒绝服务攻击权限提升窃取掩盖踪迹创建后门不成功目录4/19/20201:37:37PM8/73踩点目录攻击流程5之1“踩点”（FootPrinting）原义是指策划一项盗窃活动的准备阶段。在黑客攻击领域，“踩点”是传统概念的电子化形式，主要目的是获取目标的信息，例如：网络域名、网络地址分配、域名服务器、邮件交换主机、网关等关键系统的位置及软硬件信息，与合作伙伴及子公司的网络的连接地址、连接类型及访问控制等。4/19/20201:37:37PM9/73采用技术—之一5之2开放信息源搜索通过一些标准搜索引擎揭示一些有价值的信息。例如：通过使用Usenet工具检索新闻组（newsgroup）工作帖子，往往能揭示许多有用东西；通过使用Google检索Web的根路径c:\Inetpub，揭示出目标系统为WindowsNT/2000。目录攻击流程4/19/20201:37:37PM10/73采用技术—之二5之3whois查询whois是目标Internet域名注册数据库。目前，可用的whois数据库很多，例如：查询com、net、edu和org等结尾的域名可通过得到，而查询美国以外的域名则应通过查询数据库服务器地址后完成进一步的查询。通过对whois数据库的查询，黑客可以得到很多信息，例如：注册机构、机构本身的信息、域名、IP地址、联系人等。目录攻击流程4/19/20201:37:37PM11/73Whois查询示例5之4目录攻击流程4/19/20201:37:37PM12/73采用技术—之三5之5DNS区域传送DNS区域传送是一种DNS服务器的冗余机制。通过该机制，辅DNS服务器能够从其主DNS服务器更新自己的数据，以便主DNS服务器不可用时，辅DNS服务器能够接替其工作。正常情况下，该操作只对辅DNS服务器开放。然而，当系统管理员配置错误时，将导致该操作对任何主机开放，以致于信息泄露。能够实现DNS区域传送的常用工具有dig、nslookup和Windows版的SamSpade（）。目录攻击流程4/19/20201:37:37PM13/73扫描5之1根据踩点已获取的信息（IP地址范围、DNS服务器地址、邮件服务器地址等），下一步就是确定目标网络中哪些系统是“活动”的，以及它们提供哪些服务。扫描（scanning）的主要目的是使攻击者对攻击的目标系统所提供的各种服务进行评估，以便集中精力在最有希望的途径上发动攻击。目录攻击流程4/19/20201:37:37PM14/73采用技术—之一5之2Ping扫描Ping扫描是判断主机是否“活动”的有效方式。Ping扫描的原理是：先向目标主机发送一系列的EchoRequest分组，如果能收到来自对方的EchoReply分组，则说明目标主机是“活动”的。常用的Ping扫描工具有：操作系统中的Ping命令和用于扫描网段的fping、WS_ping等。目录攻击流程4/19/20201:37:37PM15/73采用技术—之二5之3端口扫描端口扫描就是连接到目标主机的TCP和UDP端口上，确定哪些服务正在运行及服务的版本号，以便发现相应服务程序的漏洞。著名的扫描工具有：UNIX系统上运行的NetcatUNIX系统上运行的NmapWindows系统上运行的superscanWindows系统上运行的NetScanToolPro2003:37:37PM16/73采用技术—之三5之4操作系统检测由于许多漏洞是与操作系统密切相关的，因此确定操作系统类型对于黑客攻击目标来说也十分重要。目前用于探测操作系统的技术主要分为：利用系统标志信息和利用TCP/IP堆栈指纹，每种又可分为：主动鉴别和被动鉴别。目前，常用检测工具有：NmapQuesoSiphon:37:37PM17/73采用技术—之四5之5标志获取标志获取是指使用一个打开端口来联系和识别系统提供的服务和版本号。最常用的方法是连接到一个端口，按回车几次，看返回什么类型的信息。例如：[Netat_svr#]Telnet192.168.5.3322Ssh-199-OpenSSH_3.1P1表示该端口提供SSH服务，版本号为3.1p1。目录攻击流程4/19/20201:37:37PM18/73查点3之1查点（enumeration）就是搜索特定系统上用户和用户组名、路由表、SNMP信息、共享资源、服务程序及标志等信息。查点所采用的技术依操作系统而定。目录攻击流程4/19/20201:37:37PM19/73采用技术—Windows系统3之2主要技术“查点NetBIOS”线路、空会话（NullSession）、SNMP代理、活动目录（ActiveDirectory）等。主要工具Windows系统命令：netview、nbtstat、nbtscan和nltest。第三方软件：Netviewx：Userdump：User2sid：GetAcct：:37:37PM20/73采用技术—UNIX系统3之3主要技术RPC查点、NIS查点、NFS查点和SNMP查点等。主要工具rpcinfo、rpcdump、showmount、finger、rwho、ruser、nmap、telnet、nc和snmpwalk等目录攻击流程4/19/20201:37:37PM21/73获取访问权3之1在搜集到目标系统的足够信息后，下一步要完成的工作自然是得到目标系统的访问权进而完成对目标系统的入侵。目录攻击流程4/19/20201:37:37PM22/73主要技术3之2Windows系统主要有：NetBIOS-SMB密码猜测（包括手工和字典猜测）、窃听LM及NTLM认证散列、攻击IISWeb服务器及远程缓冲区溢出等。UNIX系统主要有：蛮力密码攻击、密码窃听、RPC攻击、NFS攻击以及针对X-Windows系统的攻击等。目录攻击流程4/19/20201:37:37PM23/73主要工具3之3窃听工具Snifferpro：TCPdumpLC4：readsmb字典攻击工具NAT：JohntheRIPper：SMBGrind：LC4fgrind目录攻击流程4/19/20201:37:37PM24/73权限提升2之1一旦攻击者通过前面四个步骤获得了系统上任意普通用户的访问权限后，攻击者就会试图将普通用户权限提升至超级用户权限，以便完成对系统的完全控制。这种从一个较低权限开始，通过各种攻击手段得到较高权限的过程称为权限提升（EscalatingPrivilege）。目录攻击流程4/19/20201:37:37PM25/73主要技术和工具2之2主要技术主要有：通过得到的密码文件，利用现有工具软件，破解系统上其他用户名和口令；利用不同操作系统及服务的漏洞（例如：Windows2000NetDDE漏洞）；利用管理员不正确的系统配置等。主要工具口令破解工具JohnTheRIPper等。得到WindowsNT管理员权限的工具Lc_message、getadmin、sechole、InvisibleKeystrokeLogger（）等。目录攻击流程4/19/20201:37:37PM26/73窃取一旦攻击者得到了系统的完全控制权，接下来将完成的工作就是窃取（pilfering），即进行一些敏感数据的篡改、添加、删除和复制（例如：Windows系统的注册表、UNIX系统的rhost文件等）。通过对敏感数据的分析，为进一步攻击应用系统做准备。目录攻击流程4/19/20201:37:37PM27/73掩盖踪迹一旦黑客入侵系统，必然留下痕迹。因此黑客需要做的首要工作就是要清除所有入侵痕迹，避免自己被检测出来，以便能够随时返回被入侵系统继续干坏事或作为入侵其他系统的中继跳板。掩盖踪迹（CoveringTrack）的主要工作有：禁止系统审计、清空事件日志、隐藏作案工具和使用人们称为rootkit的工具组替换那些常用的操作系统命令。常用清除日志工具有zap、wzap、wted等。目录攻击流程4/19/20201:37:37PM28/73创建后门2之1黑客的最后一招就是在受害系统上创建一些后门及陷阱，以便入侵者一时兴起卷土重来，并能以特权用户的身份控制整个系统。主要方法有：创建具有特权用户权限的虚假用户帐号、安装批处理、安装远程控制工具、使用木马程序替换系统程序、安装监控机制和感染启动文件等。目录攻击流程4/19/20201:37:37PM29/73主要工具2之2