网络信息对抗第二章网络信息收集技术

网络信息对抗主讲人：张瑜Email:[e-mail]:344248003网络信息对抗第二章：网络信息收集技术提纲网络基础知识网络信息收集技术概述网络踩点技术网络扫描技术作业网络基础知识InternetTCP/IPInternet起源1969年美国国防部ARPANET投入使用1973年ARPANET扩展成互联网，第一批接入的有英国和挪威1983年1月1日，ARPANET将其网络内核协议由NCP改变为TCP/IP协议，独立出MILNET1986年NSFNET建立并连接ARPANET1994年商业运营，进入全球互联时代Internet起源中国网民规模与互联网普及率互联网接入设备情况新网民接入设备使用情况接入互联网的场所中国手机网民数网民城乡结构中国IPv4地址数及增长率中国IPv6地址数中国网站数中国网页数中国国际出口带宽网络安全事件发生比例Internet结构Internet接入局域网LAN(802.3)ADSL(PPPoE)自治系统(AS)Internet的基本组成单位ISP或大型组织骨干网(Backbone)大型网络中心基础数据链路地下、海底光缆，冗余链路Internet结构TCP/IP协议栈TCP/IP协议栈封包过程数据包(帧)结构传送用户数据－payload应用层包头部TCP/UDP传输层头部IP网络层头部以太网头部/尾部TCP/IP协议栈封包过程IPv4数据包格式IP互联原理广播子网内部ARP地址解析从IP地址到MAC地址的解析子网间寻路－路由器路由协议BGP、OSPFIP互联原理TCP数据包格式TCP数据包格式序号(SEQ):当前发送字节组的序号确认号(ACK):下一个要接收的字节组序号TCP协议实现可靠性传输的关键,通过三次握手同步TCP连接交互过程TCP-有状态的网络连接协议可靠传输拥塞控制流模式TCP三次握手C-S:SYNS-C:SYN|ACKC-S:ACK协商SEQ/ACKTCP连接交互过程提纲网络基础知识网络信息收集技术概述网络踩点技术网络扫描技术作业网络信息收集的必要性“知己知彼，百战不殆；不知彼而知己，一胜一负；不知彼，不知己，每战必殆。”——孙膑《孙子兵法·谋攻篇》网络信息收集的必要性攻防对抗(博弈)：对敌方信息的掌握是关键攻击者先发制人收集目标信息防御者后发制人对攻击者实施信息收集，归因溯源网络信息收集的内容网络攻击信息收集入手点：目标名称和域名攻击准备阶段在网络中的“地理位置”－－DNS、IP地址与真实世界的联系－－单位地址“网络地图”－－网络拓扑攻击所需的更详细信息－－电话号码、网管员及联系方式等攻击实施阶段目标系统中存在的安全缺陷和漏洞目标系统的安全防护机制网络信息收集的内容网络防御信息收集追查入侵者的身份、网络位置、所攻击的目标、采用的攻击方法等一般被归入取证与追踪技术范畴网络信息收集技术网络踩点(Footprinting)Web搜索与挖掘DNS和IP查询网络拓扑侦察网络扫描(Scanning)主机扫描端口扫描系统类型探查漏洞扫描网络查点(Enumeration)旗标抓取网络服务查点踩点Footprinting扫描Scanning查点Enumeration信息收集提纲网络基础知识网络信息收集技术概述网络踩点技术网络扫描技术作业网络踩点概要踩点(footprinting)有计划、有步骤的信息情报收集了解攻击目标的网络环境和信息安全状况得到攻击目标剖析图踩点目的通过对完整剖析图的细致分析攻击者将会从中寻找出攻击目标可能存在的薄弱环节为进一步的攻击行动提供指引网络踩点的信息目标组织具体使用的域名网络地址范围因特网上可直接访问的IP地址与网络服务网络拓扑结构电话号码段电子邮件列表信息安全状况目标个人身份信息、联系方式、职业经历，甚至一些个人隐私信息踩点获取的信息－案例网络踩点技术Web信息搜索与挖掘GoogleHacking对目标组织和个人的大量公开或意外泄漏的Web信息进行挖掘DNS与IP查询公开的一些因特网基础信息服务目标组织域名、IP以及地理位置之间的映射关系，以及注册的详细信息网络拓扑侦察网络的网络拓扑结构和可能存在的网络访问路径网络搜索公开渠道信息收集目标Web网页、地理位置、相关组织组织结构和人员、个人资料、电话、电子邮件网络配置、安全防护机制的策略和技术细节GoogleHackingGoogleHacking:通过网络搜索引擎查找特定安全漏洞或私密信息的方法allinurl:tsweb/default.htm:查找远程桌面Web连接JohnnyLong:GoogleHackingforPenetrationTestersGoogleHacking软件:Athena,Wikto,SiteDiggerGoogle搜索技巧基本搜索与挖掘技巧保持简单使用最可能出现在要查找的网页上的字词尽量简明扼要地描述要查找的内容选择独特性的描述字词善于利用搜索词智能提示功能Google高级搜索GoogleHacking技术基本搜索逻辑与：AND逻辑或：OR逻辑非：-完整匹配：”…”通配符：*?GoogleHacking技术高级搜索intitle:表示搜索在网页标题中出现第一个关键词的网页例如“intitle:黑客技术”将返回在标题中出现“黑客技术”的所有链接。用“allintitle:黑客技术Google”则会返回网页标题中同时含有“黑客技术”和“Google”的链接GoogleHacking技术高级搜索intext:返回网页内容中出现关键词的网页，用allintext:搜索多个关键字inurl:返回的网址中包含第一个关键字的网页site:在某个限定的网站中搜索GoogleHacking技术高级搜索filetype:搜索特定扩展名的文件（如.doc.pdf.ppt）黑客们往往会关注特定的文件，例如：.pwl口令文件、.tmp临时文件、.cfg配置文件、.ini系统文件、.hlp帮忙文件、.dat数据文件、.log日志文件、.par交换文件等等link:表示返回所有链接到某个地址的网页。GoogleHacking技术高级搜索related：返回连接到类似于指定网站的网页cache:搜索Google缓存中的网页info:表示搜索网站的摘要例如“info:whu.edu.cn”仅得到一个结果GoogleHacking技术高级搜索phonebook:搜索电话号码簿，将会返回街道地址和电话号码列表同时还可以得到住宅的全面信息，结合Googleearth将会得到更详细的信息rphonebook:仅搜索住宅用户电话号码簿bphonebook:仅搜索商业的电话号码簿GoogleHacking技术高级搜索author:搜索新闻组帖子的作者group:搜索Google组搜索词婚蝶子的标题msgid:搜索识别新闻组帖子的Google组信息标识符和字符串insubject:搜索Google组的标题行GoogleHacking技术高级搜索stocks:搜索有关一家公司的股票市场信息define:返回一个搜索词汇的定义inanchor:搜索一个HTML标记中的一个链接的文本表现形式daterange:搜索某个日期范围内Google做索引的网页GoogleHacking攻击Googlehacking可用于发现：公告文件，安全漏洞，错误信息，口令文件，用户文件，演示页面，登录页面，安全文件，敏感目录，商业信息，漏洞主机，网站服务器检测等信息GoogleHacking攻击攻击规律1.“Indexof”检索出站点的活动索引目录Index就是主页服务器所进行操作的一个索引目录黑客们常利用目录获取密码文件和其他安全文件常用的攻击语法如下：Indexof/admin可以挖崛到安全意识不强的管理员的机密文件GoogleHacking攻击其他Indexof语法列表Indexof/passwdIndexof/passwordIndexof/mail“Indexof/”+passwd“Indexof/”+password.txt“Indexof/”+.htaccess“Indexof/secret”“Indexof/confidential”“Indexof/root”“Indexof/cgi-bin”“Indexof/credit-card”“Indexof/logs”“Indexof/config”GoogleHacking攻击2.“inurl:”寻找易攻击的站点和服务器利用“allinurl:winnt/system32/”寻找受限目录“system32”，一旦具备cmd.exe执行权限，就可以控制远程的服务器利用“allinurl:”搜寻易受攻击的服务器GoogleHacking攻击利用“inurl:.bash_history”搜寻服务器的“.bash_history”文件。这个文件包括超极管理员的执行命令，甚至一些敏感信息，如管理员口令序列等利用“inurl:config.txt”搜寻服务器的“config.txt”文件，这个文件包括管理员密码和数据认证签名的hash值GoogleHacking攻击其他语法列表inurl:adminfiletype:txtinurl:adminfiletype:dbinurl:adminfiletype:cfginurl:mysqlfiletype:cfginurl:passwdfiletype:txtinurl:iisadminallinurl:/scripts/cart32.exeallinurl:/CuteNews/show_archives.phpGoogleHacking攻击其他语法列表allinurl:/phpinfo.phpallinurl:/privmsg.phpallinurl:/privmsg.phpinurl:auth_user_file.txtinurl:orders.txtinurl:“*.”inurl:adpassword.txtinurl:webeditor.phpinurl:file_upload.phpinurl:govfiletype:xls“restricted”indexofftp+.mdballinurl:/cgi-bin/+mailtoGoogleHacking攻击3.“intitle:”寻找易攻击的站点或服务器利用intitle:”phpshell*”“Enablestderr”filetype:php查找安装了phpwebshell后门的主机，并测试是否有能够直接在机器上执行命令的webshell利用allintitle:“indexof/admin”搜寻服务器的受限目录入口“admin”GoogleHacking攻击其他语法列表intitle:“Indexof”.sh_historyintitle:“Indexof”.bash_historyintitle:“indexof”passwdintitle:“indexof”people.lstintitle:“indexof”pwd.dbintitle:“indexof”etc/shadowintitle:“indexof”spwdGoogleHacking攻击其他语法列表intitle:“Indexof”.sh_historyintitle:“indexof”master.passwdintitle:“indexo