常见的入侵攻击方法与手段

版权所有，盗版必纠第2章常见的入侵攻击方法与手段李剑北京邮电大学信息安全中心E-mail:[e-mail]电话：130－01936882版权所有，盗版必纠目录•2.1信息系统的漏洞•2.2信息系统的威胁•2.3攻击概述•2.4典型的攻击技术与方法版权所有，盗版必纠常见的入侵攻击方法与手段据CNCERT/CC统计，2007年上半年，CNCERT/CC共发现8361个境外控制服务器对我国大陆地区的主机进行控制。美国计算机应急响应小组(CERT)发布的数据显示，2006年安全研究人员共发现了8064个软件漏洞，与2005年相比增加2074个。各种攻击行为是当前信息系统面临的主要安全威胁。具不完全统计，全球目前大约有26万个网站在介绍入侵与攻击的方法。版权所有，盗版必纠2.1信息系统的漏洞•2.1.1漏洞的概念•信息系统本身的漏洞(Vulnerability)或脆弱性是诱发入侵攻击的主要原因，也是信息系统入侵攻击产生和发展不可回避的根源性原因之一。•漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，它可以使攻击者能够在未授权的情况下访问或破坏系统。具体举例来说，比如在IntelPentium芯片中存在的逻辑错误，在Sendmail早期版本中的编程错误，在NFS协议中认证方式上的弱点，在Unix系统管理员设置匿名Ftp服务时配置不当的问题，这些都可能被攻击者使用，威胁到系统的安全。因而这些都可以认为是系统中存在的安全漏洞。版权所有，盗版必纠漏洞的具体表现•漏洞具体而言表现在以下几个方面：•1.存储介质不安全•数据或者说信息的存储密度高，在一张磁盘或者一条磁带上可以存储大量信息，而此种存储介质极易被携带出去，并且容易被有意或者无意的损坏，不管哪种情况，都将造成大量信息的丢失。•2.数据的可访问性•数据可以很容易地被拷贝下来而不留任何痕迹。一台远程终端用户可以访问到系统中的所有数据，并可以按他的需要将其拷贝、删改或者破坏掉。版权所有，盗版必纠漏洞的具体表现•3.信息的聚生性•当信息以分离的少量形式出现时，它的价值往往不大，但当将大量信息聚集在一起时，则显示出它的可比较性和重要性。而信息系统的根本特点之一，就是能将大量信息收集在一起，进行自动、高效的处理，并进而产生有价值的结果。可以说，计算机信息系统内部信息的这种聚生性特点导致了其被窃取的可能性大为增加。•4.保密的困难性•由于计算机系统内的数据都是可用的，尽管可以利用许多方法在软件内设置一些关卡，但是对一个熟悉的人或者拥有更高水平的人来说，下些功夫就可以突破这些关卡，因此要想彻底保密是非常困难的。版权所有，盗版必纠漏洞的具体表现•5.介质的剩磁效应•存储介质中的信息有时是擦除不干净或者说是不能完全擦除的，会留下可读信息的痕迹，一旦被利用就会泄密。另外在大多数信息系统中，删除文件仅仅是将文件的文件名删除，并相应地释放存储空间，而文件的真正内容还原封不动地保留在存储介质上。利用这一特性窃取机密信息的案件已有发生。•6.电磁的泄露性•计算机设备工作时能够辐射出电磁波，任何人都可以借助仪器在一定的范围内收到它，尤其是利用高灵敏度仪器可以清晰地看到计算机正在处理的机密信息。版权所有，盗版必纠漏洞的具体表现•7.通信网络的脆弱性•连接信息系统的通信网络有不少弱点：通过未受保护的外部线路可以从外界访问到系统内部的数据；通信线路和网络可能被搭线窃听或者破坏等•8.软件的漏洞•在编写许多计算机软件的时候难免会出现一些漏洞等，特别是一些大型软件，如Windows操作系统。经常需要对Windows操作系统进行打补丁，以减少漏洞。版权所有，盗版必纠漏洞的分类•1.按漏洞可能对系统造成的直接威胁•可以大致分成以下几类，事实上一个系统漏洞对安全造成的威胁远不限于它的直接可能性，如果攻击者获得了对系统的一般用户访问权限，他就极有可能再通过利用本地漏洞把自己升级为管理员权限：•(1)远程管理员权限•攻击者无须一个账号登录到本地直接获得远程系统的管理员权限，通常通过攻击以root身份执行的有缺陷的系统守护进程来完成。漏洞的绝大部分来源于缓冲区溢出，少部分来自守护进程本身的逻辑缺陷。版权所有，盗版必纠漏洞的分类•(2)本地管理员权限•攻击者在已有一个本地账号能够登录到系统的情况下，通过攻击本地某些有缺陷的SUID程序，竞争条件等手段，得到系统的管理员权限。版权所有，盗版必纠漏洞的分类•(3)普通用户访问权限•攻击者利用服务器的漏洞，取得系统的普通用户存取权限，对UNIX类系统通常是shell访问权限，对Windows系统通常是cmd.exe的访问权限，能够以一般用户的身份执行程序，存取文件。攻击者通常攻击以非root身份运行的守护进程，有缺陷的cgi程序等手段获得这种访问权限。版权所有，盗版必纠漏洞的分类•(4)权限提升•攻击者在本地通过攻击某些有缺陷的SGID程序，把自己的权限提升到某个非root用户的水平。获得管理员权限可以看作是一种特殊的权限提升，只是因为威胁的大小不同而把它独立出来。版权所有，盗版必纠漏洞的分类•(5)读取受限文件•攻击者通过利用某些漏洞，读取系统中他应该没有权限的文件，这些文件通常是安全相关的。这些漏洞的存在可能是文件设置权限不正确，或者是特权进程对文件的不正确处理和意外dumpcore使受限文件的一部份dump到了core文件中。版权所有，盗版必纠漏洞的分类•(6)远程拒绝服务•攻击者利用这类漏洞，无须登录即可对系统发起拒绝服务攻击，使系统或相关的应用程序崩溃或失去响应能力。这类漏洞通常是系统本身或其守护进程有缺陷或设置不正确造成的。版权所有，盗版必纠漏洞的分类•(7)本地拒绝服务•在攻击者登录到系统后，利用这类漏洞，可以使系统本身或应用程序崩溃。这种漏洞主要因为是程序对意外情况的处理失误，如写临时文件之前不检查文件是否存在，盲目跟随链接等。版权所有，盗版必纠漏洞的分类•(8)远程非授权文件存取•利用这类漏洞，攻击可以不经授权地从远程存取系统的某些文件。这类漏洞主要是由一些有缺陷的cgi程序引起的，它们对用户输入没有做适当的合法性检查，使攻击者通过构造特别的输入获得对文件存取。版权所有，盗版必纠漏洞的分类•(9)口令恢复•因为采用了很弱的口令加密方式，使攻击者可以很容易的分析出口令的加密方法，从而使攻击者通过某种方法得到密码后还原出明文来。版权所有，盗版必纠漏洞的分类•(10)欺骗•利用这类漏洞，攻击者可以对目标系统实施某种形式的欺骗。这通常是由于系统的实现上存在某些缺陷。版权所有，盗版必纠漏洞的分类•(11)服务器信息泄露•利用这类漏洞，攻击者可以收集到对于进一步攻击系统有用的信息。这类漏洞的产生主要是因为系统程序有缺陷，一般是对错误的不正确处理。•(12)其它•虽然以上的几种分类包括了绝大多数的漏洞情况，可还是有可能存在一些上面几种类型无法描述的的漏洞，把它们归到这里。版权所有，盗版必纠漏洞的分类•按漏洞的成因•(1)输入验证错误•大多数的缓冲区溢出漏洞和CGI类漏洞都是由于未对用户提供的输入数据的合法性作适当的检查。•(2)访问验证错误•漏洞的产生是由于程序的访问验证部分存在某些可利用的逻辑错误，使绕过这种访问控制成为可能。上面提到的那个早期AIX的rlogin漏洞就是这种典型。•(3)竞争条件•漏洞的产生在于程序处理文件等实体时在时序和同步方面存在问题，这处理的过程中可能存在一个机会窗口使攻击者能够施以外来的影响。版权所有，盗版必纠漏洞的分类•(4)意外情况处置错误•漏洞的产生在于程序在它的实现逻辑中没有考虑到一些意外情况，而这些意外情况是应该被考虑到的。•(5)设计错误•这个类别是非常笼统的，严格来说，大多数的漏洞的存在都是设计错误，因此所有暂时无法放入到其他类别的漏洞，先放在这。•(6)配置错误•漏洞的产生在于系统和应用的配置有误，或是软件安装在错误的地方，或是错误的配置参数，或是错误的访问权限，策略错误。•(7)环境错误•由一些环境变量的错误或恶意设置造成的漏洞。如攻击者可能通过重置shell的内部分界符IFS，shell的转义字符，或其它环境变量，导致有问题的特权程序去执行攻击者指定的程序。上面提到的RedHatLinux的dump程序漏洞就是这种类型。版权所有，盗版必纠漏洞的分类•(9)口令恢复•因为采用了很弱的口令加密方式，使攻击者可以很容易的分析出口令的加密方法，从而使攻击者通过某种方法得到密码后还原出明文来。•(10)欺骗•利用这类漏洞，攻击者可以对目标系统实施某种形式的欺骗。这通常是由于系统的实现上存在某些缺陷。•(11)服务器信息泄露•利用这类漏洞，攻击者可以收集到对于进一步攻击系统有用的信息。这类漏洞的产生主要是因为系统程序有缺陷，一般是对错误的不正确处理。•(12)其它•虽然以上的几种分类包括了绝大多数的漏洞情况，可还是有可能存在一些上面几种类型无法描述的的漏洞，把它们归到这里。版权所有，盗版必纠漏洞的分类•(版权所有，盗版必纠2.2信息系统的威胁•总结起来，大致有下面几种主要威胁：•1．非人为、自然力造成的数据丢失、设备失效、线路阻断；•2．人为但属于操作人员无意的失误造成的数据丢失；•3．来自外部和内部人员的恶意攻击和入侵。版权所有，盗版必纠2.2信息系统的威胁•具体来说，信息系统的安全主要面临以下威胁：•1.计算机病毒•伴随着计算机技术的推广普及，计算机病毒也在不断地发展演变，其危害越来越大。目前的特点是：流行广泛、种类繁多、潜伏期长、破坏力大，对计算机信息系统的安全构成了长期与现实的威胁。•2.黑客入侵•通过技术手段，非法侵入计算机信息系统，获取秘密信息或有选择地破坏信息的有效性与完整性。这是当前计算机信息系统所面临的最大威胁，敌方攻击和计算机犯罪主要采取这一类手法。•3.信号截取•通过截收的手段，监听计算机、网络设备的电磁信号和声像外露信号来获取秘密信息。版权所有，盗版必纠2.2信息系统的威胁•4.介质失密•通过窃取信息存储介质(如涉密的软盘、硬盘、光盘、笔记本电脑等)来获取秘密信息。•5.系统漏洞•利用计算机操作系统、信息管理系统、网络系统等的安全漏洞，进行窃密与破坏活动。各类软件系统总是存在一些缺陷或漏洞，有些是疏忽造成的，有些则是软件公司为了自便而设置的，这些漏洞或“后门”一般不为人知，但一旦洞开，后果将不堪设想。版权所有，盗版必纠2.2信息系统的威胁•6.非法访问•外部人员利用非法手段进入安全保密措施不强的计算机信息系统，对系统内的信息进行修改、破坏和窃取。•7.人为因素•个别人员利用合法身份与国外的网络非法链接，造成失泄密。•8.遥控设备•敌方可以利用对方信息系统中某些设备里暗藏的遥控器材或芯片，刺探其计算机信息系统中的秘密信息，或扰乱系统的正常工作。版权所有，盗版必纠2.3攻击概述•2.3.1黑客•根据我国现行法律的有关规定，对黑客可以给出两个定义：一是广义的黑客，是指利用计算机技术，非法侵入或者擅自操作他人(包括国家机关、社会组织和个人，下同)计算机信息系统，对电子信息交流安全具有不同程度的威胁性和危害性的人；二是狭义的黑客，是指利用计算机技术，非法侵入并擅自操作他人计算机信息系统，对系统功能、数据或者程序进行干扰、破坏，或者非法侵入计算机信息系统并擅自利用系统资源，实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的人。狭义的黑客包括在广义的黑客之中，前者基本上是计算机犯罪的主体，后者的行为不一定都构成犯罪。版权所有，盗版必纠攻击的概念与分类•一种是主动攻击，主动攻击会造成网络系统状态和服务的改变。它以各种方式有选择地破坏信息的有效性和完整性，这就是纯粹的信息破坏，这样的网络侵犯者被称为积极侵犯者，积极侵犯者截取网上的信息包，并对其进行更改使它失效，或者故意添加一些有利于自己的信息，起到信息误导的作用，或者登录进入系统使用并占用大量网络资源，造成资源的消耗，损害合法用户的利益，积极侵犯者的破坏作用最大。版权所有，盗版必纠攻击的概念与分类•另一种是被动攻击，被动攻击不直接改变网络状态