第4章 黑客攻击技术

莆田学院网络技术教研室第4章黑客攻击技术4.1攻击的一般流程4.2攻击的方法和技术莆田学院网络技术教研室概述本章来介绍黑客攻击的一般流程与技术。这些知识是信息安全防护技术的基础，因为只有知道了别人怎样攻击自己的，才能更好地、有针对性地进行防护。本章攻击的方法与技术包括常见的密码破解攻击、缓冲区溢出攻击、欺骗攻击、DoS/DDoS攻击、网络蠕虫和社会工程攻击等。莆田学院网络技术教研室4.1攻击的一般流程黑客攻击一般有六个步骤：踩点—扫描—入侵—获取权限—提升权限—清除日志信息。1.踩点：主要是获取对方的IP，域名服务器信息，管理员的个人信息以及公司的信息。IP域名服务器信息可以通过工具扫描获取，或通过网站进行查询，如：或通过ping命令返回的TTL值初步判定，一般情况下默认值：WindowsXP32bit为64，WindowsNT/2K/2003为128，UNIX为255。莆田学院网络技术教研室4.1攻击的一般流程2.扫描：针对某个网址的后台地址，则可以用注入工具扫描。另外，这只是对网址进行扫描，还可以用工具对一些常见的漏洞和端口进行扫描。关于扫描的方法，前一章已经介绍过了，这里就不再赘述。3.入侵：这个阶段主要是看通过什么样的渠道进行入侵了。根据前面搜集到的信息，是采用Web网址入侵，还是服务器漏洞入侵，还是通过社会工程学原理进行欺骗攻击，这需要根据具体的情况来定。莆田学院网络技术教研室4.1攻击的一般流程4.获取权限：我们入侵当然一部分目的是为了获取权限。通过Web入侵能利用系统的漏洞获取管理员后台密码，然后登录后台。这样就可以上传一个网页木马，如ASP木马、php木马等。根据服务器的设置不同，得到的木马的权限也不一样，所以还要提升权限。莆田学院网络技术教研室4.1攻击的一般流程5.提升权限：提升权限，将普通用户的权限提升为更高一点的权限，比如管理员权限。这样才有权限去做其他的事情。提权可以采用系统服务的方法，社会工程学的方法，一般都是采用的第三方软件的方法。6.清除日志：当入侵之后，当然不想留下蛛丝马迹。日志主要有系统日志，IIS日志和第三方软件的日志，比如系统装了入侵检测系统，就会有这个日志。要删除记录，一般是采用攻击删除。当然对于一些特殊记录，则需要手工删除了。不然使用工具统统删除了，管理员也会怀疑的。莆田学院网络技术教研室4.2攻击的方法与技术网上的攻击方式很多，这里介绍7种常用的攻击方法与技术，包括密码破解攻击、缓冲区溢出攻击、欺骗攻击、DoS/DDoS攻击、SQL注入攻击、网络蠕虫和社会工程攻击等。4.2.1密码破解攻击密码破解不一定涉及复杂的工具。它可能与找一张写有密码的贴纸一样简单，而这张纸就贴在显示器上或者藏在键盘底下。另一种蛮力技术称为“垃圾搜寻（dumpsterdiving）”，它基本上就是一个攻击者把垃圾搜寻一遍以找出可能含有密码的废弃文档。莆田学院网络技术教研室4.2攻击的方法与技术1.字典攻击（Dictionaryattack）到目前为止，一个简单的字典攻击是闯入机器的最快方法。字典文件（一个充满字典文字的文本文件）被装入破解应用程序（如L0phtCrack），它是根据由应用程序定位的用户帐户运行的。因为大多数密码通常是简单的，所以运行字典攻击通常足以实现目的了。莆田学院网络技术教研室4.2攻击的方法与技术2.混合攻击（Hybridattack）另一个众所周知的攻击形式是混合攻击。混合攻击将数字和符号添加到文件名以成功破解密码。许多人只通过在当前密码后加一个数字来更改密码。其模式通常采用这一形式：第一月的密码是“cat”；第二个月的密码是“cat1”；第三个月的密码是“cat2”，依次类推。莆田学院网络技术教研室4.2攻击的方法与技术3.暴力攻击（Bruteforceattack）暴力攻击是最全面的攻击形式，虽然它通常需要很长的时间工作，这取决于密码的复杂程度。根据密码的复杂程度，某些暴力攻击可能花费一个星期的时间。在暴力攻击中还可以使用LC5等工具。莆田学院网络技术教研室4.2攻击的方法与技术4.专业工具最常用的工具之有：(1)系统帐号破解工具LC5，如图2.3所示。莆田学院网络技术教研室4.2攻击的方法与技术(2)Word文件密码破解工具WordPasswordRecoveryMaster,如图2.4所示。莆田学院网络技术教研室4.2攻击的方法与技术(3)邮箱口令破解工具：黑雨，如图2.5所示。莆田学院网络技术教研室4.2攻击的方法与技术(4)RAR压缩文件破解工具：InteloreRARPasswordRecovery，如图2.6所示。莆田学院网络技术教研室4.2攻击的方法与技术(5)PowerPoint文件破解工具：Powerpoint-Password-Recovery.exe，如图2.7所示。莆田学院网络技术教研室4.2攻击的方法与技术4.2.2缓冲区溢出攻击缓冲区溢出是一种非常普遍、非常危险的漏洞，在各种操作系统、应用软件中广泛存在。利用缓冲区溢出攻击，可以导致程序运行失败、系统当机、重新启动等后果。更为严重的是，可以利用它执行非授权指令，甚至可以取得系统特权，进而进行各种非法操作。缓冲区溢出攻击有多种英文名称：bufferoverflow。第一个缓冲区溢出攻击--Morris蠕虫，它曾造成了全世界6000多台网络服务器瘫痪。莆田学院网络技术教研室4.2攻击的方法与技术缓冲区溢出攻击的原理主要是通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的。造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数。例如下面程序：voidfunction(char*str){charbuffer[16];strcpy(buffer,str);}莆田学院网络技术教研室4.2攻击的方法与技术4.2.3欺骗攻击1.源IP地址欺骗攻击许多应用程序认为如果数据包能够使其自身沿着路由到达目的地，而且应答包也可以回到源地，那么源IP地址一定是有效的，而这正是使源IP地址欺骗攻击成为可能的前提。莆田学院网络技术教研室4.2攻击的方法与技术要防止源IP地址欺骗行为，可以采取以下措施来尽可能地保护系统免受这类攻击：1.使用加密方法：在包发送到网络上之前，可以对它进行加密。虽然加密过程要求适当改变目前的网络环境，但它将保证数据的完整性和真实性。2.进行包过滤：可以配置路由器使其能够拒绝网络外部与本网内具有相同IP地址的连接请求。而且，当包的IP地址不在本网内时，路由器不应该把本网主机的包发送出去。莆田学院网络技术教研室4.2攻击的方法与技术2.源路由欺骗攻击在通常情况下，信息包从起点到终点走过的路径是由位于此两点间的路由器决定的，数据包本身只知道去往何处，但不知道该如何去。源路由可使信息包的发送者将此数据包要经过的路径写在数据包里，使数据包循着一个对方不可预料的路径到达目的主机。下面仍以上述源IP欺骗中的例子给出这种攻击的形式：莆田学院网络技术教研室4.2攻击的方法与技术为了防范源路由欺骗攻击，一般采用下面两种措施：1.对付这种攻击最好的办法是配置好路由器，使它抛弃那些由外部网进来的却声称是内部主机的报文。2.在路由器上关闭源路由。用命令noipsource-route。莆田学院网络技术教研室4.2攻击的方法与技术4.2.4DoS/DDoS攻击1.DoS攻击拒绝服务(DoS,DenialofService)攻击是目前黑客广泛使用的一种攻击手段。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。莆田学院网络技术教研室4.2攻击的方法与技术4.2.4DoS/DDoS攻击(1)SYNFlood:该攻击以多个随机的源主机地址向目的主机发送SYN包，而在收到目的主机的SYNACK后并不回应，这样，目的主机就为这些源主机建立了大量的连接队列，而且由于没有收到ACK一直维护着这些队列，造成了资源的大量消耗而不能向正常请求提供服务。莆田学院网络技术教研室4.2攻击的方法与技术4.2.4DoS/DDoS攻击(2)Smurf：该攻击向一个子网的广播地址发一个带有特定请求（如ICMP回应请求）的包，并且将源地址伪装成想要攻击的主机地址。子网上所有主机都回应广播包请求而向被攻击主机发包，使该主机受到攻击。Smurf攻击原理如图2.9所示。莆田学院网络技术教研室4.2攻击的方法与技术(3)Land-based：攻击者将一个包的源地址和目的地址都设置为目标主机的地址，然后将该包通过IP欺骗的方式发送给被攻击主机，这种包可以造成被攻击主机因试图与自己建立连接而陷入死循环，从而很大程度地降低了系统性能。(4)PingofDeath：根据TCP/IP的规范，一个包的长度最大为65536字节。尽管一个包的长度不能超过65536字节，但是一个包分成的多个片段的叠加却能做到。当一个主机收到了长度大于65536字节的包时，就是受到了PingofDeath攻击，该攻击会造成主机的死机。(5)Pingflood:该攻击在短时间内向目的主机发送大量ping包，造成网络堵塞或主机资源耗尽。莆田学院网络技术教研室4.2攻击的方法与技术2.DDoS攻击分布式拒绝服务DDoS(DistributedDenialofService)攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高时，它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了，目标对恶意攻击包的“消化能力”加强了不少，例如DoS攻击软件每秒钟可以发送3,000个攻击包，但被攻击主机与网络带宽每秒钟可以处理10,000个攻击包，这样一来攻击就不会产生什么效果。DDoS就是利用更多的傀儡机来发动进攻。莆田学院网络技术教研室4.2攻击的方法与技术图2.10为典型的DDoS攻击工具CCv2.1，它是一个强大的应用层的DDoS攻击工具。莆田学院网络技术教研室4.2攻击的方法与技术莆田学院网络技术教研室4.2攻击的方法与技术3.针对DoS/DDoS攻击的防范针对DoS/DDoS攻击的防范主要采取如下一些方法：1.确保所有服务器采用最新系统，并打上安全补丁。研究发现几乎每个受到DDoS攻击的系统都没有及时打上补丁。2.确保管理员对所有主机进行检查，而不仅针对关键主机。这是为了确保管理员知道每个主机系统在运行什么？谁在使用主机？哪些人可以访问主机？不然，即使黑客侵犯了系统，也很难查明。莆田学院网络技术教研室4.2攻击的方法与技术3.确保从服务器相应的目录或文件数据库中删除未使用的服务如FTP或NFS。Wu-Ftpd等守护程序存在一些已知的漏洞，黑客通过根攻击就能获得访问特权系统的权限，并能访问其他系统甚至是受防火墙保护的系统。4.禁止内部网通过Modem连接至PSTN系统。否则，黑客能通过电话线发现未受保护的主机，即刻就能访问极为机密的数据。莆田学院网络技术教研室4.2攻击的方法与技术6.禁止使用网络访问程序如Telnet、Ftp、Rsh、Rlogin和Rcp，以基于PKI的访问程序如SSH取代。SSH不会在网上以明文格式传送口令，而Telnet和Rlogin则正好相反，黑客能搜寻到这些口令，从而立即访问网络上的重要服务器。此外，在Unix上应该将.rhost和hosts.equiv文件删除，因为不用猜口令，这些文件就会提供登录访问！7.限制在防火墙外与网络文件共享。这会使黑客有机会截获系统文件，并以特洛伊木马替换它，文件传输功能无异将陷入瘫痪。8.确保