论坛: 菜鸟乐园 标题: 攻击的一般模式 (浅显易懂,值得一看) 复制本贴地址    
作者: yangze [yangze]    版主   登录
一、隐藏黑客的位置 

  典型的黑客会使用如下技术隐藏他们真实的IP地址:

  ・利用被侵入的主机作为跳板 

  ・在安装Windows 的计算机利内用Wingate 软件作为跳板 

  ・利用配置不当的Proxy作为跳板 

  如果一位系统管理员发现时常有人利用上述计算机扫描自己的主机, 建议通过电话直接和那些主机的系统管理员取得联系, 并告知他们这里发生的事情。联系方式最好不要使用 e-mail, 因为这样很容易被人截获。

  更老练的黑客会使用电话转接技术隐蔽自己。他们常用的手法有:

  ・利用800 号电话的私人转接服务联接ISP, 然后再盗用他人的账号上网 

  ・通过电话联接一台主机, 再经由主机进入Internet 

  使用这种在电话网络上的“三级跳”方式进入Internet 特别难于跟踪。理论上,黑客可能来自世界任何一个角落。如果黑客使用 800 号拨号上网,他更不用担心上网费用。

  二、 网络探测和资料收集

  在开始攻击某机构内部网之前, 黑客会首先探测位于Internet 部位的主机。他可以利用以下的手段得知位于内部网和外部网的主机名。

  ・使用nslookup 程序的ls 命令 

  ・通过访问公司主页找到其它主机 

  ・阅读FTP服务器上的文挡 

  ・联接至mailserver 并发送 expn请求 

  ・Finger 外部主机上的用户名 

  在具体寻找漏洞之前,黑客会试图搜集足够的信息以勾勒出整个网络的布局。利用上述操作得到的信息,黑客很容易列出所有的主机,并猜测它们之间的关系。

  在完成这些工作后,黑客有时候会犯一个小错误:用他自己的IP访问主机的某些端口,以便弄清操作系统的版本或其它一些小细节。 所以,当发现主机遭到攻击后,你很有可能从FTP和HTTPD的记录中找到一些奇怪的请求。

  三、 找出被信任的主机

  黑客总是寻找那些被信任的主机。这些主机可能是管理员使用的机器,或是一台被认为是很安全的服务器。

  第一步,他会检查所有运行nfsd或mountd的主机的NFS输出。往往这些主机的一些关键目录(如/usr/bin、/etc和/home)可以被那台被信任的主机mount。

  Finger daemon  Finger daemon也可以被用来寻找被信任的主机和用户,因为用户经常从某台特定的主机上登录。

  黑客还会检查其它方式的信任关系。比如,他可以利用CGI 的漏洞,读取/etc/hosts.allow 文件等等。

  分析完上述的各种检查结果,就可以大致了解主机间的信任关系。下一步, 就是探测这些被信任的主机哪些存在漏洞,可以被远程侵入。

  四、找出有漏洞的网络成员

  当黑客得到公司内外部主机的清单后,他就可以用一些Linux 扫描器程序寻找这些主机的漏洞。 SATAN 之类的程序现在已经很少有人使用,因为它们速度较慢,而且所测漏洞大多都过时了。 黑客一般寻找网络速度很快的Linux 主机运行这些扫描程序。

  某些扫描程序要求以root身份执行。 所以黑客先要得到一台Linux 主机的控制权, 然后安装一些 “rootkit” 在上面。 这些rootkit 利用系统代码的漏洞,可以使黑客取得root 权限而不被发觉。 并且,ps、netstat 之类的命令也会被修改,使得这些Linux 主机的管理员通常很难发现扫描程序在运行。

  其它的一些扫描程序不需要特权就可以在Linux 平台上执行, 甚至还可以在UNIX 系统上运行。这虽然给使用者带来了方便,但它们效率低一些,隐藏得也不是那么好。

所有这些扫描程序都会进行下列检查:

  ・TCP 端口扫描; 

  ・RPC 服务列表; 

  ・NFS 输出列表; 

  ・共享(如samba、netbiox)列表; 

  ・缺省账号检查; 

  ・Sendmail、IMAP、POP3、RPC status 和RPC mountd 有缺陷版本检测。 

  进行完这些扫描,黑客对哪些主机有机可乘已胸有成竹了。

  如果路由器兼容SNMP协议,有经验的黑客还会采用攻击性的SNMP 扫描程序进行尝试, 或者使用“蛮力式”程序去猜测这些设备的公共和私有community strings。

  五、利用漏洞

  现在,黑客找到了所有被信任的外部主机,也已经找到了外部主机所有可能存在的漏洞。下一步就该开始动手入侵主机了。

  耐心的黑客不会在工作时间进行尝试。 他们一般选择晚上9点到凌晨6点这段时间。一方面避免被人发觉,另外又可以有充足的时间安装后门和sniffer 程序。 周末更是他们活动频繁的时间。

  黑客会选择一台被信任的外部主机进行尝试。一旦成功侵入,黑客将从这里出发,设法进入公司内部的网络。但这种方法是否成功要看公司内部主机和外部主机间的过滤策略了。 例如,黑客成功进入公司的外部mailserver 后,就会利用内外部mailserver 的信任关系顺利进入公司的内部网络的某个网段, 随后把自己深深的隐藏起来。

  攻击外部主机时,黑客一般是运行某个程序,利用外部主机上运行的有漏洞的daemon窃取控制权。有漏洞的daemon包括Sendmail、IMAP、POP3各个漏洞的版本,以及RPC服务中诸如statd、mountd、pcnfsd等。有时,那些攻击程序必须在与被攻击主机相同的平台上进行编译。这样,黑客就不得不从以前侵入的某台主机发起攻击。

  六、 获得控制权

  黑客利用daemon的漏洞进入系统后会做两件事:清除记录和留下后门。

  首先,他会安装一些后门程序,以便以后可以不被察觉的再次进入系统。大多数后门程序是预先编译好的,只需要想办法修改时间和权限就可以使用,甚至于新文件的大小都和原有文件一样。黑客一般会使用rcp 传递这些文件,以便不留下FTP记录。

  一但黑客侵入公司内部网的主机后,就不会再为系统打补丁了。但他会更改一些重要的系统文件,如ps和netstat,使系统管理员无法发现他在系统中的活动。

  在Solaris 2.x系统上,下面的这些文件常被黑客更改,加入后门程序:

  /usr/bin/login

  /usr/sbin/ping

  /usr/sbin/in.telnetd

  /usr/sbin/in.rshd

  /usr/sbin/in.rlogind

  一些黑客还会在/usr/bin 目录下留下一个.rhosts文件,这样他就可以以bin 用户的身份使用rsh进入系统。

  下一件黑客要做的事就是检查主机的所有记录系统,清除他在主机内活动的所有痕迹。因此,对于一台极有可能成为黑客目标的关键服务器,建议将所有的记录映射到一台行式打印机上,这样黑客修改记录的企图将无法得逞。

  一旦确认自己是安全的,黑客就开始侵袭公司的整个内部网。这时,他已经不会再把注意力放到攻入其它外部主机上了。

  窃取网络资源和特权

  黑客找到攻击目标后,会继续下一步的攻击,步骤如下:

一、 下载敏感信息

  如果黑客的目的是从某机构内部的FTP或WWW服务器上下载敏感信息,他可以利用已经被侵入的某台外部主机轻而易举的得到这些资料。

  如果黑客的兴趣是那些即使在公司内部也没有被公开的资料,那他就必须利用内部网主机对这台外部网主机的信任关系,获得对保有资料的主机的访问权,进而达到自己的目的。

  二、攻击其它被信任的主机和网络

  大多数的黑客仅仅为了探测内部网上的主机并取得控制权,只有那些“雄心勃勃”的黑客,为了控制整个网络才会安装特洛伊木马和后门程序,并清除记录。他们经常使用的另一个手法是安装sniffer。

  那些希望从关键服务器上下载数据的黑客,常常不会满足于以一种方式进入关键服务器。他们会费尽心机找出被关键服务器信任的主机,安排好几条备用通道。

  三 安装sniffers

  在内部网上,黑客要想迅速获得大量的账号(包括用户名和密码),最为有效的手段是使用 “sniffer” 程序。这种方法要求运行Sniffer 程序的主机和被监听的主机必须在同一个以太网段上,故而在外部主机上运行sniffer 是没有效果的。再者,必须以root的身份使用sniffer 程序,才能够监听到以太网段上的数据流。

  黑客会使用上面各节提到的方法,获得系统的控制权并留下再次侵入的后门,以保证sniffer能够执行。在Solaris 2.x平台上,sniffer 程序通常被安装在/usr/bin 或/dev 目录下。黑客还会巧妙的修改时间,使得sniffer程序看上去是和其它系统程序同时安装的。

  大多数 “ethernet sniffer” 程序在后台运行,将结果输出到某个记录文件中。黑客常常会修改ps程序,使得系统管理员很难发现运行的sniffer 程序。

  “ethernet sniffer” 程序将系统的网络接口设定为混合模式。这样,它就可以监听到所有流经同一以太网网段的数据包,不管它的接受者或发送者是不是运行sniffer的主机。程序将用户名、密码和其它黑客感兴趣的数据存入log 文件。黑客会等待一段时间 -----比如一周后,再回到这里下载记录文件。

  在一般的以太网段里,sniffer 程序运行得很好,并且很难被检查出来。检查的手段有两个:

使用诸如Tripwire之类的工具,生成文件系统的MD5 “数据指纹”,及时发现被修改的系统文件; 

网络接口被设置成混合模式是sniffer 程序正在运行的一个明显标志,这是可以用工具软件探测出来的。 

  四、瘫痪网络

  如果黑客已经侵入了运行数据库、网络操作系统等关键应用程序的服务器,使网络瘫痪一段时间是轻而易举的事。

  一种极端的做法是在这样的关键服务器上执行 “rm �Crf / & “命令,删除所有的文件从而使所有的网络功能瘫痪。恢复系统可能要花上几个小时、几天、几个月,甚至无法恢复。

  如果黑客已经进入了公司的内部网,他可以利用许多路由器的弱点重新启动、甚至关闭路由器。如果他们能够找到最关键的几个路由器的漏洞,则可以使公司的网络彻底瘫痪一段时间。

  因此,对于承担关键任务的路由器和服务器,要经常打补丁,确保其安全。


地主 发表时间: 04/18 20:06

回复: xiaojun [xiaojun]   剑客   登录
你也总算吐出点东西了,真难点啊!要继续啊……

B1层 发表时间: 04/18 22:13

回复: fengyi [fengyi]   论坛用户   登录
你也教教我好吗?

B2层 发表时间: 04/20 12:17

回复: getian [getian]   论坛用户   登录
这是你写的吗我说

B3层 发表时间: 04/20 12:30

回复: xiaoyouzhe [xiaoyouzhe]   论坛用户   登录
阁下真是志在千里,有远见又有胸心壮志,日后一定有所做为。小弟无才无能,
望大侠能帮帮小弟,教教我。这是我的QQ:82272651,谢谢谢谢


B4层 发表时间: 04/21 04:46

论坛: 菜鸟乐园

20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写:NetDemon

粤ICP备05087286号