搜索
黑客攻击和网络安全开篇世界头号电脑黑客的传奇故事凯文米特尼克1964年生于美国加州从小父母离异，使他性格内向、生活独立4岁的米特尼克就能玩一种美国流行的名为“拿破仑的滑铁卢”高智力游戏15岁的米特尼克入侵了“北美空中防务指挥系统”，一举成名信心大增的他，接着入侵“太平洋电话公司”，任意修改用户信息世界头号电脑黑客的传奇故事入侵联邦调查局，发现特工们正在调查一名黑客，而资料显示，黑客正是自己。第一次被捕，因不满16岁获得人们的同情，被从轻发落。获释后的他把目光转向信誉不错的大公司1988年被DEC公司指控，未被允许保释1993年联邦调查局设下圈套引诱米特尼克，被中途发现。世界头号电脑黑客的传奇故事米特尼克的逃跑历程，传言，他曾经控制加州的一个电话系统，窃听警察行踪。1994年，米特尼克发动对“圣迭戈超级计算机中心”的攻击，并引起与人称“美国最出色的电脑安全专家之一”的下村勉的对抗。1995年，下村勉利用米特尼克使用的无线电话的电波而逮捕了米特尼克。2000年，米特尼克出狱，并禁止接触任何和电子相关的物品。黑客攻击和网络安全步骤篇黑客攻击的步骤之一踩点－搜索相关信息：通过多种途径获得和目标系统有关的大量信息譬如域名、IP地址范围、邮件地址、用户帐号、网络拓扑、路由跟踪信息、系统运行状态等等黑客攻击的步骤之二扫描－探测漏洞：获取目标系统的直接信息，特别是目标系统的可被利用的缺陷。这部分主要包括：端口扫描、操作系统类型扫描、针对特定应用以及服务的漏洞扫描（重点如Web漏洞扫描、Windows漏洞扫描、SNMP漏洞扫描、RPC漏洞扫描和LDAP目录服务漏洞扫描）黑客攻击的步骤之三嗅探－sniff技术：通过嗅探，获得大量的敏感信息。王维明已经介绍过在同一冲突域里面的嗅探原理，我将重点介绍交换网络的嗅探技术。黑客攻击的步骤之四攻击－直捣龙门：通过前面的刺探，开始真正的攻击。一般的攻击方法：DoS攻击、DDoS攻击、口令破解攻击、网络欺骗攻击、会话劫持攻击等黑客攻击和网络安全案例篇北航50周年服务器被黑案例分析踩点访问查询北航相关信息Whois服务器的结果Whoisbuaa.edu.cn?BeijingUniversityOfAeronautics&astronautics(DOM)#37,XueYuanLuRoad,HaidianDistrictBeijing,BJ100083ChinaDomainName:BUAA.EDU.CNNetworkNumber:202.112.128.0-202.112.143.255AdministrativeContact,TechnicalContact:Li,Yunchun(YL4-CN)lych@buaa.edu.cn+8682317655Recordlastupdatedon19990305Recordcreatedon19990305DomainServersinlistedorder:maindns.buaa.edu.cn202.112.128.50NetworkNumber:202.112.128.0-202.112.143.255dig的查询结果;DiG9.2.0buaa.edu.cn;;globaloptions:printcmd;;Gotanswer:;;-HEADER-opcode:QUERY,status:NOERROR,id:46238;;flags:qraardra;QUERY:1,ANSWER:0,AUTHORITY:1,ADDITIONAL:0;;QUESTIONSECTION:;buaa.edu.cn.INA;;AUTHORITYSECTION:buaa.edu.cn.86400INSOAmanager.buaa.edu.cn.root.buaa.edu.cn1997102401108003600360000086400;;Querytime:1msec;;SERVER:202.112.128.51#53(202.112.128.51);;WHEN:ThuDec511:46:552002;;SERVER:202.112.128.51#53(202.112.128.51)查询DNS服务器信息使用Nslookup获取的条目信息ls-dbuaa.edu.cn[manager.buaa.edu.cn]buaa.edu.cn.SOAmanager.buaa.edu.cnroot.buaa.edu.cn.(1997102401108003600360000086400)buaa.edu.cn.NSmanager.buaa.edu.cnbuaa.edu.cn.MX10mail.buaa.edu.cnxscserverA211.71.4.110sccA202.112.133.6050thA202.112.128.47experimentNSns.experiment.buaa.edu.cnns.experimentA202.112.137.235重点扫描扫描网段重点网段：服务器所在网段202.112.128.0重点端口：21（ftp）、22（ssh）、23（telnet）、25（smtp）、53（dns）、79（finger）、80（http）、139（NetBIOS）、3389（remoteadmin）、8080（proxy）入侵模拟一：3389端口的入侵由于微软对中国产品不付责任的态度，使得安装了终端服务和全拼的w2k服务器存在着远程登陆并能获取超级用户权限的严重漏洞入侵模拟一：3389端口的入侵扫描3389端口入侵模拟一：3389端口的入侵用终端客户端程序进行连接入侵模拟一：3389端口的入侵利用拼音输入法漏洞入侵模拟一：3389端口的入侵入侵模拟二：Ftp服务器的入侵由于某些ftp服务器口令设置过为简单，甚至用户名和密码完全相同，导致黑客有机可乘。入侵模拟二：Ftp服务器的入侵入侵模拟二：Ftp服务器的入侵入侵模拟三：嗅探器的使用通过嗅探往来目标主机的报文，从中发现可以利用的珍贵信息入侵模拟三：嗅探器的使用黑客攻击和网络安全技术篇技术篇之一：扫描过程中的隐藏技术IP地址欺骗扫描原理：客户端向服务器端发送端口连接数据报，但是报文的源IP地址填写为第三方的IP地址，这样服务器将向第三方返回确认信息。客户端通过观察第三方的反应就可以得知服务器端的指定端口有否打开。前提：第三方没有其他的网络活动IP数据包的ID值顺序增1A主机，192.168.0.1B主机，192.168.0.2NULL扫描RST+ACK，ID增量为1NULL扫描RST+ACK，ID增量为1A主机，192.168.0.1B主机，192.168.0.2SYNRST+ACKC主机，192.168.0.3NULL扫描RST+ACK，ID增量不为1A主机，192.168.0.1B主机，192.168.0.2SYNRST+ACKC主机，192.168.0.3SYN+ACK正常情况下B主机的反应被扫描C主机上的端口未监听被扫描C主机上的端口正在监听技术篇之一：扫描过程中的隐藏技术通过Proxy隐藏Socks代理工作在线路层，介于传输层和应用层之间，它并不向特定的协议处理模块提交数据内容，而只是简单的对IP地址和端口号进行转换处理。使用Sock5代理，可以支持多种客户端的应用，而且最关键的是不会在服务器端留下痕迹。方法：寻找漏洞百出的肉机，安装sock5代理服务器。技术篇之二：Unicode解码漏洞2000年10月微软发布的MS00-078号公告内容就是unicode漏洞漏洞原理介绍：黑客可以通过构造如下URL来执行目标系统中的程序：本指令假设目标服务器的主页目录为：c:\Interpub\下技术篇之二：Unicode解码漏洞一般的web服务器会过滤掉危险字符，譬如/和\，没有这两项，很多黑客攻击无法进行。但是如果是经过unicode编码过的，web服务器过滤后认为没有危险字符存在，就会对其进行解码，但是解码后就不再进行过滤了。如此，可以将危险字符直接写成unicode编码后的字符，就可以躲过过滤了。譬如，上面的命令行就可以改为：就可以了技术篇之三：交换网络的嗅探器关于ip地址和MAC地址盗用的问题交换网络的嗅探原理嗅探对策关于IP地址和MAC地址盗用的问题IP地址可以随意修改MAC地址的修改先了解目标主机的MAC地址2000下在修改注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\4D36E972-E325-11CE-BFC1-08002BE10318\0000、0001、0002等主键下寻找本主机的网卡的类型的主键下面添加一个名为“NetworkAddress”的主键，值为需要设置的MAC地址。Linux下面修改：Ifconfigeth0downIfconfigeth0hwether00:11:22:33:44:55交换网络的嗅探原理MAC洪水原理：交换机内存有限，地址映射表的容量也有限。向交换机发送大量的虚假MAC地址信息数据，让交换机应接不暇，这个时候交换机可能象hub一样，仅仅向所有的端口发送广播数据解决方法：使用静态地址映射表交换网络的嗅探原理MAC复制原理：就是修改本机的MAC地址，使其和目标主机MAC地址相同。让交换机同时向两个端口（同MAC地址）发送数据。解决方法：使用静态地址映射表，建立端口和MAC地址的映射交换网络的嗅探原理ARP欺骗原理：一台主机会将所有收到的ARP应答插入到本机的ARP缓存表里面。如果黑客想偷听网络中两台主机之间的通信（即使是通过交换机相连），他可以分别向两台主机发送ARP应答包，让两台主机都误认为对方的MAC地址是黑客机器的MAC地址，这样，则两台主机的通信全部通过黑客主机进行。黑客只需要更改数据包里面的某些信息用于转发就可以了。交换网络的嗅探原理ARP欺骗实例设A主机：IP：192.168.1.1MAC:11:11:11:11:11:11设B主机：IP：192.168.2.2MAC:22:22:22:22:22:22设H主机：IP：192.168.3.3MAC:33:33:33:33:33:33假设A和B正在通信，黑客H想进行ARP欺骗，这个时候H向A发送ARP应答包，里面包含192.168.2.233:33:33:33:33:33同时H向B发送ARP应答包，里面包含192.168.1.133:33:33:33:33:33技术篇之四：密码文件的破译控制一台主机之后，最好不要另外添加任何用户，容易被人发现。控制肉机的最好办法：远程登陆该肉机，破译其密码文件远程登陆的方法：执行psexec程序Psexec\\202.204.103.89-uIGUE_USER–p605forest605cmd.exe各种操作系统密码文件的存放方式Linux和Unix系统的用户文件为/etc/passwd，密码文件为/etc/shadow（没有使用shadow机制的Unix系统只有passwd文件）Windows98存放在C:\windows下的各种pwl文件，文件名即用户名各种操作系统密码文件的存放方式WindowsNT/2k存放在C:\winnt\system32\c