骇客攻防技术. PPT文件全文预览(2)

入侵者通过某个渠道获取合法用户的帐号和密码，然后使用该帐号登录目标主机并进行攻击. 具体的实现方法包括: 通过木马密码破解网络5.5非法入侵者身份盗窃（2）身份盗窃手段1: 密码破解入侵者首先获得有效的用户名，然后使用专用软件破解用户密码，尝试在其中进行破解. 破解密码时，有两种用于远程猜测的方法: 对于需要在目标主机上进行身份验证的服务，它会不断与之建立连接并输入可能的密码，直到正确为止. 本地密码猜测: 首先获取加密的密码；然后使用相同的加密方法来加密可能的密码，并通过比较加密的字符串是否相同来破解. 5.5非法入侵者身份盗窃（3）身份盗窃方法2: 网络在当前的网络环境中，许多协议在网络中以明文形式传输用户名和密码. 这为攻击者提供了使用嗅探软件拦截本地网络中数据包的机会，从而获得了在网络中传输的用户名和密码. 5.5非法入侵者-身份盗用（4）身份盗用方法3: 木马窃取这种类型的木马专门用于窃取受害者主机上的帐户信息. 他们直接访问缓存在内存中的用户名和密码；或假装为其他程序，并要求用户输入帐户信息. 5.6缓冲区溢出攻击-攻击原理（1）什么是缓冲区溢出？高速缓存区域是具有预定长度限制的临时存储区域. 当您尝试向其写入超出设置大小的数据时，将发生缓冲区溢出.

什么是缓冲区溢出攻击？攻击者用超过预定长度的字符串填充目标程序的堆栈空间，以达到猛烈修改功能返回地址的目的，从而部分或什至完全控制另一方的计算机系统. 5.6缓冲区溢出攻击-攻击原理（2）……内存高端内存低端堆栈高端堆栈低端参数传递给被调用函数的函数返回地址（EIP）调用者的堆栈基地址（EBP） ）局部变量void foo（char * str）{char buffer [16]; strcpy（buffer，str）;} void main（）{char * str =“当前字符串有16个字符”； foo（str）;返回; }缓冲区溢出示例①发生函数调用时，将使用堆栈. ②执行strcpy函数时，由于main传递的参数大于预设长度，因此将覆盖局部变量之前的内容. 从这个例子中不难看出. 我们可以通过缓冲区溢出来更改函数的返回地址，从而更改整个程序的执行流程，从而使其跳转到我们要执行的任何代码. 5.6缓冲区溢出攻防方法（1）增强编程行为的安全性. 尽管不可能设计和编写完全无缺陷的程序，但应尽可能减小缓冲区溢出条件.

在软件的设计阶段要考虑安全因素；避免使用不安全的函数，例如C库函数中的strcpy（），这样的函数将不会验证输入字符串的长度；使用安全的编译器；验证输入参数；避免使用suid程序. 5.6缓冲区溢出攻击防御方法（2）禁止堆栈执行. 攻击者通常以输入参数的形式将要执行的代码传递给程序，然后程序将传入的参数保存在堆栈中. 因此，最简单的解决方案是禁止在堆栈上执行代码. 禁止使用未使用或危险的服务. 攻击者无法攻击已关闭的服务，因此他们可以关闭系统中未使用或危险的服务，从而最大程度地减少系统风险. 5.7个人计算机，黑客，浏览器，电子邮件攻击，OICQ，病毒攻击5.7实验: DDoS攻击和防御实验目的实验内容实验步骤实验过程演示思维TFN2000 DDoS攻击演示受害者主机C IP: 06主攻击服务器A IP: 46从攻击服务器B IP: 47发送大量带有伪IP的攻击数据包指定攻击模式和目标*§5.1拒绝服务攻击§5.2恶意软件§5.3邮件攻击§5.4电子黑诱饵§5.5非法入侵者§5.6缓冲区溢出攻击本章内容5.7实验性第一步: 攻击者将伪造的数据包发送到放大的网络.

数据包的源地址是受害者的IP地址，目的地址是放大网络的广播地址. 步骤2: 在打开回显功能的情况下放大网络上的所有主机，并向受害者返回响应. 这时，受害者会被大量的响应信息所淹没. 禁止路由器转发目的地址为广播地址的数据包. 关闭主机的回声功能也会降低放大网络的放大能力. 5.1拒绝服务攻击示例-SYN Flood（1）初步了解: TCP三向握手过程步骤1: 客户端将SYN设置数据包发送到服务器，并告知服务器其初始序列号. 步骤2: 服务器返回SYN / ACK数据包作为响应. 还要告诉客户其初始序列号. 步骤3: 客户端返回一个ACK数据包作为响应，完成三向握手过程. 5.1拒绝服务攻击SYN Flood的示例（2）“ SYN Flood攻击”的攻击过程攻击者将源地址中不存在的SYN消息发送到目标主机，或者没有收到SYN / ACK消息对方发送的返回ACK消息. 如果未收到响应数据包，则目标主机将等待客户端的响应并重新传输，直到超时为止. 在此等待过程中，目标主机还将维护先前分配给该连接的资源. 因此，只要攻击者在短时间内启动大量连接，目标主机上的连接资源就会被耗尽，从而使目标主机无法提供正常的服务.

5.1通过确定每单位时间接收到的SYN连接数是否超过系统的预设值，可以检测到SYN Flood攻击防御. 当收到大量SYN数据包时，可以通知防火墙阻止连接请求或丢弃这些数据包，以达到防御效果. 5.1拒绝服务攻击示例LAND LAND的攻击过程1.攻击者向服务器发送伪造的SYN数据包，该数据包的源和目标地址是服务器的IP地址. 2.服务器以伪造的SYN数据包为目标返回SYN / ACK数据包. 由于伪造的SYN数据包的源地址是服务器的IP地址，因此服务器将接收到自己发送的SYN / ACK数据包. 3.当服务器发现数据包的确认号与预期的确认号相差太大时，将向其发送“丢弃”并重传先前的SYN / ACK数据包. 4.此过程将继续循环，从而导致数据包的显着减少. 服务器性能5.1 LAND攻击防御LAND攻击检测相对容易，只需简单地确定数据包的源地址和目的地址是否相同即可. 对于这种攻击，可以通过适当配置防火墙设置或修改路由器的过滤规则来防止. 5.1拒绝服务攻击示例-泪滴偏移量= 0，长度= N偏移量= K，长度= M（K

在计算机中，负数用反向代码表示，结果是将太多数据复制到内核邮件攻击主要是( )，导致系统重新启动或崩溃5.1泪珠攻击防御5.1 DDos攻击主从DDoS攻击结构利用反弹服务器的DDoS攻击结构5.1拒绝服务攻击防御方法5.2恶意软件引入5.2计算机病毒的恶意软件定义和特征5.2计算机病毒的恶意软件感染机制（1）5.2计算机病毒的恶意软件感染机制（2 ）5.2恶意软件-计算机病毒感染机制（3）5.2恶意软件-计算机病毒传播机制5.2蠕虫的恶意软件定义5.2恶意软件-蠕虫和病毒之间的区别是通过受感染文件通过网络传播，并通过可移动磁盘进行传播；或使用人工帮助通过网络传播. 网络中的本地主机文件或本地磁盘以寄生在其他对象中的独立程序的形式感染目标. 蠕虫病毒5.2恶意软件-木马的定义5.2恶意软件-木马的工作方式（1）5.2恶意软件-木马的工作方式（2）5.2恶意软件-木马的工作方式（3）5.2恶意软件-病毒检测技术（1）校验和技术原理: 由于病毒需要修改文件，因此可以将文件的当前校验和与初始校验和进行比较. 如果不一致，则表明该文件可能已被病毒修改.

优点: 您可以找到已知和未知病毒. 缺点: 误报太多，因为常规程序也会修改文件；它对隐藏的病毒没有影响；它无法检测到新文件. 5.2恶意软件—病毒检测技术（2）模式匹配原理: 根据病毒的特征值查找病毒. 例如，1575病毒代码包含字符串“ 06 12 8C C0 02 1F 07 A3”，因此您可以通过检查目标程序是否包含这样的字符串来确定它是否是1575病毒. 优点: 可以识别病毒名称，误报率低. 缺点: 随着病毒库的扩大，检查速度会降低；无法检测到未知病毒和多态病毒；对隐藏的病毒没有影响. 5.2恶意软件—病毒检测技术（3）行为扫描的原理: 通过观察和研究，人们发现病毒具有某些常见的行为，而这些行为在正常应用中相对较少. 因此，您可以监视目标程序是否表现出性能以确定它是否是病毒. 例如，引导病毒必须拦截INT 13H的滥用，高端内存驻留病毒将修改DOS系统数据区域中的内存总量，等等. 优点: 能够检测未知病毒. 缺点: ①误报过多，因为一些正常程序的行为也像病毒； ②无法识别特定类型的病毒. 5.2恶意软件病毒检测技术（4）启发式扫描原理: 依靠病毒的指令顺序，而不是病毒模式进行检测.

这种类型的防病毒软件将首先反汇编目标程序，然后分析其指令序列以找出其中包含的真正动机. 例如，如果程序包含指令“ MOV AH，5; MOV BX，500H; INT 13H”，则表示该程序将格式化磁盘并需要注意. 如果防病毒软件经过进一步分析并且发现在此命令之前没有来自用户的交互式输入并且没有传递任何命令行参数，则可以将其视为病毒或其他恶意代码. 缺点: ①如果单独阅读这些说明，将无法清楚地定义正常程序和病毒. ②搜索时，无法识别指令顺序的变化.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-259737-2.html