第3章 网络入侵_图文.ppt

曾经有一部讲述黑客狂人的电影，电影中那些顶尖黑客专门寻找各个国际安全机构计算机系统的漏洞并攻击它，张亚勤所做的工作就是模拟黑客，以各种算法设计攻击程序，袭击计算机系统的漏洞。• 自动取证：通过所发现的应用漏洞，模拟黑客使用的漏洞攻击手段，对目标应用进行深入安全分析，利用沙盒技术实施无害攻击，包括后台中的数据提取、执行控制台命令、获取注册表数据、获取目录树、操作、备份、远程文件下载、文件上传等，取得系统安全威胁的直接证据。目前黑客对于网站的攻击通常使用漏洞扫描软件批量对各个ip地址段进行扫描，网站安全狗则收集了很多已知的网站漏洞和sql注入漏洞进行防御，还可以禁用服务器上的危险组件，对于cc攻击也有一定的防御功能，从防火墙的后台日志可以看到，每天都有大量的攻击者提供各个漏洞和sql注入等方式进行攻击，虽然我网站本身可能没有这些漏洞，但是防火墙先将这些攻击拦截，可以做到“双保险”。

除此之外，使用远程控制软件完全控制，使用带有无线网卡的计算机即可接入该无线网络，如图2所示，如图5所示。1.登录电脑版飞信，点击下面的“系统设置”，如图4所示 2.选择下面的“安全与隐私”，再点...3.点击“修改密码”后，就会登录到网页版的个人中心，在这里要根据提示输入“验证码”，就会有验证发送到你的注册的手机上，如图6所示 4.输入手机收到的验证码，如图7所示 5.然后进入“下一步”，在这里就可以修改密码了，如图8所示。于是上传cscript.exe、adutil.vbs为1.vbs（改名仅为了使用方便，上传前将文件中的“issercureproperty = true”改为“issercureproperty = false”，这样密码将以明文方式显示）到“c:\”，如图6所示，用海洋命令行（命令路径为c:\cmd.exe）执行cscript.exe，成功回显出匿名用户和密码，如图7所示。

点击按钮“IDQ溢出”，出现攻击成功的提示框，如图5-40所示。 这个时候，813端口已经开放，利用工具软件nc.exe连接到该端口，将会自动执行改才发送的DOS命令“dir c:\”，使用的语法是：nc.exe -vv 09 813，其中-vv是程序的参数，813是目标端口。可以看到命令的执行结果，如图5-41所示。 下面利用nc.exe和snake工具的另外一种组合入侵对方计算机。首先利用nc.exe命令本地的813端口。使用的基本语法是“nc -l -p 813”，执行的过程如图5-42所示。 这个窗口就这样一直保留，启动工具软件snake，本地的IP地址是10，要攻击的计算机的IP地址是09，选择溢出选项中的第一项，设置IP为本地IP地址，端口是813，如图5-43所示。 设置好以后，点击按钮“IDQ溢出”，程序显示对话框如图4-44所示。 查看nc命令的DOS框，在该界面下，已经执行了设置的DOS命令。将对方计算机的C盘根目录列出来，如图4-45所示。 3.6.3 利用WebDav远程溢出 （案例5-12）需要使用工具软件nc.exe和webdavx3.exe，首先在DOS命令行下执行webdavx3.exe，如果执行的话，该程序将提示已经过期了，如图4-46所示。

4.如果使用大量的连接请求攻击计算机，使得所有可用的系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求，这种手段属于（ a）攻击。ddos攻击的一个致命趋势是使用复杂的欺骗技术和基本协议，如http，email等协议，而不是采用可被阻断的非基本协议或高端口协议，非常难识别和防御，通常采用的包过滤或限制速率的措施只是通过停止服务来简单停止攻击任务，但同时合法用户的请求也被拒绝，造成业务的中断或服务质量的下降。小程序后台控制的配置信息主要包括小程序名称、图标、最大webview深度、最大请求数、请求合法域名列表、下载合法域名列表和上传合法域名列表、socket合法域名列表以及app包的基本信息等，动态加载的配置信息相关代码详见【附录1】。

因此理解TCP的机制和功能需要了解TCP头中的内容，表2-6显示了TCP头结构。 来源端口（2字节） 目的端口（2字节） 序号（4字节） 确认序号（4字节） 头长度（4位） 保留（6位） URG ACK PSH RST SYN PIN 窗口大小（2字节） 校验和（16位） 紧急指针（16位） 选项（可选） 数据 TCP协议的头结构 （1）TCP源端口（Source Port）：16位的源端口包含初始化通信的端口号。源端口和IP地址的作用是标识报文的返回地址。 （2）TCP目的端口（Destination Port）：16位的目的端口域定义传输的目的。这个端口指明报文接收计算机上的应用程序地址接口。 （3）序列号（Sequence Number）：TCP连线发送方向接收方的封包顺序号。 （4）确认序号（Acknowledge Number）：接收方回发的应答顺序号。 （5）头长度（Header Length）：表示TCP头的双四字节数，如果转化为字节个数需要乘以4。 （6）URG：是否使用紧急指针，0为不使用，1为使用。 （7）ACK：请求/应答状态。0为请求，1为应答。 （8）PSH：以最快的速度传输数据。

（9）RST：连线复位，首先断开连接，然后重建。 （10）SYN：同步连线序号，用来建立连线。 （11）FIN：结束连线。如果FIN为0是结束连线请求，FIN为1表示结束连线。 （12）窗口大小（Window）：目的机使用16位的域告诉源主机，它想收到的每个TCP数据段大小。 （13）校验和（Check Sum）：这个校验和和IP的校验和有所不同，不仅对头数据进行校验还对封包内容校验。 （14）紧急指针（Urgent Pointer）：当URG为1的时候才有效。TCP的紧急方式是发送紧急数据的一种方式。 TCP协议的工作原理 TCP提供两个网络主机之间的点对点通讯。TCP从程序中接收数据并将数据处理成字节流。 首先将字节分成段，然后对段进行编号和排序以便传输。在两个TCP主机之间交换数据之前，必须先相互建立会话。TCP会话通过三次握手的完成初始化。这个过程使序号同步，并提供在两个主机之间建立虚拟连接所需的控制信息。 TCP在建立连接的时候需要三次确认，俗称“三次握手”，在断开连接的时候需要四次确认，俗称“四次挥手”。 TCP协议的三次“握手” 第一次“握手” 第一次握手：建立连接时，客户端发送syn包（syn=j）到服务器，并进入SYN_SENT状态，等待服务器确认； 第二次“握手” 第二次握手：服务器收到syn包，必须确认客户的SYN（ack=j+1），同时自己也发送一个SYN包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV状态(半连接)； 第三次“握手” 第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ack=k+1），此包发送完毕，客户端和服务器进入ESTABLISHED（TCP连接成功）状态，完成三次握手。

连接复用主要是指，一个连接可以被多个使用者同时使用，且互相之间不受影响，可以并发的发送多个请求，而应答是异步的，可复用的连接一般用于私有协议的连接，因为可复用的连接，请求可以一直发送，应答也不一定是按照请求顺序进行应答，就带来了一个问题，应答怎样才能和请求对应上。四次握手不是关闭tcp连接的唯一方法. 有时,如果主机需要尽快关闭连接(或连接超时,端口或主机不可达),rst (reset)包将被发送. 注意在，由于rst包不是tcp连接中的必须部分, 可以只发送rst包(即不带ack标记). 但在正常的tcp连接中rst包可以带ack确认标记。注意：四次挥手不是关闭tcp连接的唯一方法. 有时,如果主机需要尽快关闭连接(或连接超时,端口或主机不可达),rst (reset)包将被发送. 由于rst包不是tcp连接中的必须部分, 可以只发送rst包(即不带ack标记). 但在正常的tcp连接中rst包可以带ack确认标记请注意rst包是可以不要收到方确认的。

更加复杂的Smurf将源地址改为第三方的受害者，最终导致第三方崩溃 3.7.3利用处理程序错误进行攻击 故意错误地设定数据包头的一些重要字段。将这些错误的IP数据包发出去，使得接收端系统当机、挂起或崩溃，从而无法继续提供服务。 如Ping of Death，Teardrop，Land攻击，Bonk攻击，Boink攻击以及OOB攻击等。 3.8 分布式拒绝服务攻击DDOS 分布式拒绝服务攻击的特点是先使用一些典型的黑客入侵手段控制一些高带宽的服务器，然后在这些服务器上安装攻击进程，集数十台，数百台甚至上千台机器的力量对单一攻击目标实施攻击。在悬殊的带宽力量对比下，被攻击的主机会很快因不胜重负而瘫痪。分布式拒绝服务攻击技术发展十分迅速，由于其隐蔽性和分布性很难被识别和防御。 常用攻击手段及防范措施如下 第一，破坏物理设备。这些物理设备包括：计算机、路由器、电源、冷却设备、网络配线室等。防范这种破坏的主要措施有：例行检查物理实体的安全；使用容错和冗余网络硬件的方法，必要时迅速实现物理设备切换，从而保证提供正常的应用服务。 第二，破坏配置文件。错误配置也会成为系统的安全隐患，这些错误配置常常发生在硬件装置、系统或应用程序中。

因此，成功的创业（致富）者不会做过多的分析，而是采取迅速、廉价和及时的方法来做适度的分析。a.协议适用于国采取的某些影响货物进出口的卫生措施b.世贸组织成员有权采取比国际标准更高标准的卫生措施c.采取高标准的成员负举证责任，证明其高标准的合理性d.各成员应及时公布所采取的卫生标准19.《保护工业产权巴黎公约》规定的基本原则包括（）b.早期公开原则d.独立性原则。对对手的弱点迅速作出判断，及时调整自己战术手段，集中精力专门攻击对手的弱点，同时自己也要不断地变换方法，以免对方察觉自己的战术意图后故意引诱自己进攻。

因此，第三方的日志分析系统能够帮助管理员更容易地保留线索，顺藤摸瓜，将肇事者绳之以法； 6）使用DNS来跟踪匿名攻击； 7）对于重要的WEB服务器打电话请求密码属于什么攻击方式，为一个域名建立多个镜像主机。 本章总结 本章主要介绍网络攻击的常用手段和技巧 介绍的工具都是有代表性的工具，但是还有许多其他的工具可以进行有效的攻击。 需要了解社会工程学攻击的基本方法、学会防范物理攻击。 重点掌握暴力攻击下的暴力破解操作系统密码、暴力破解邮箱密码和暴力破解Office文档的密码； 掌握各种缓冲区溢出攻击的手段以及防御的手段。 了解拒绝服务攻击的概念。 点击工具栏按钮“Open File”，打开刚才建立的Word文档，程序打开成功后会在Log Window中显示成功打开的消息，如图5-15所示。 设置密码长度最短是一位，最长是三位，点击工具栏开始的图标，开始破解密码，大约两秒钟后，密码被破解了，如图5-16所示。 3.4 Unicode漏洞专题（22-46页自学） 通过打操作系统的补丁程序，就可以消除漏洞。只要是针对漏洞进行攻击的案例都依赖于操作系统是否打了相关的补丁。 Unicode漏洞是2000-10-17发布的，受影响的版本： Microsoft IIS 5.0+Microsoft Windows 2000系列版本 Microsoft IIS 4.0+ Microsoft Windows NT 4.0 消除该漏洞的方式是安装操作系统的补丁，只要安装了SP1以后，该漏洞就不存在了。

微软IIS 4.0和5.0都存在利用扩展UNICODE字符取代"/"和"\"而能利用"../"目录遍历的漏洞。 Unicode漏洞的检测方法 使用扫描工具来检测Unicode漏洞是否存在，使用上一章介绍的X-Scan来对目标系统进行扫描，目标主机IP为：09，Unicode漏洞属于IIS漏洞，所以这里只扫描IIS漏洞就可以了，X-Scan设置如图5-17所示。 Unicode漏洞的检测方法 将主机添加到目标地址，扫描结果如图5-18所示。 Unicode漏洞的检测方法 可以看出，存在许多系统的漏洞。只要是/scripts开头的漏洞都是Unicode漏洞。比如： /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir 其中/scripts目录是IIS提供的可以执行命令的一个有执行程序权限的一个目录，在IIS中的位置如图5-19所示。 Unicode漏洞的检测方法 scripts目录一般系统盘根目录下的Inetpub目录下，如图5-20所示。 Unicode漏洞的检测方法 在Windows的目录结构中，可以使用两个点和一个斜线“../”来访问上一级目录，在浏览器中利用“scripts/../../”可以访问到系统盘根目录，访问“scripts/../../winnt/system32”就访问到系统的系统目录了，在system32目录下包含许多重要的系统文件，比如cmd.exe文件，可以利用该文件新建用户，删除文件等操作。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-113647-1.html