计算机网络安全技术（第7版）（微课版） 课件 第二章 黑客常用攻击方法

黑客攻防概述黑客是一个中文词语，皆源自英文hacker，随着灰鸽子的出现，灰鸽子成为了很多假借黑客名义控制他人电脑的黑客技术，于是出现了“骇客”与"黑客"分家。2012年电影频道节目中心出品的电影《骇客（Hacker)》也已经开始使用骇客一词，显示出中文使用习惯的趋同。2.1 概述黑客实际上，黑客（或骇客）与英文原文Hacker、Cracker等含义不能够达到完全对译，这是中英文语言词汇各自发展中形成的差异。Hacker一词，最初曾指热心于计算机技术、水平高超的电脑高手，尤其是程序设计人员，逐渐区分为白帽、灰帽、黑帽等，其中黑帽（blackhat）实际就是cracker。凯文•米特尼克是美国20世纪最著名的黑客之一，他是《社会工程学》的创始人《欺骗的艺术》史上5大最危险的黑客电影：骇客追缉令/video/av2149309/2.1 概述凯文•米特尼克2.1 概述传统现在动机对技术的兴趣政治、经济利益手段渗透入侵木马僵尸网络危害拒绝服务信息泄露2.1 概述网络攻击发展趋势12攻击组织化手段体系化3动机利益化2.1 概述攻击从个人作战向组织犯罪转变2.1 概述攻击手段体系化APT内部威胁组合攻击SQL注入僵尸网络跨站脚本木马后门0DAY漏洞APT:

AdvancedPersistentThreat--------高级持续性威胁/v?pd=wisenatural&vid=1032041754210152819Bvp47-美国NSA方程式组织的顶级

2.1 概述动机利益化2.1 概述黑客攻击的一般过程确定目标信息收集踩点扫描攻击口令破解监听欺骗社会工程学ARP/IP欺骗拒绝服务漏洞利用缓冲区溢出管理漏洞隐藏日志清除留下后门木马扫描器工作原理及应用石淑华扫描器概念原理扫描器向目标计算机发送数据包，然后根据对方反馈的信息来判断对方的操作系统类型、开发端口、提供的服务等敏感信息。概念扫描器是检测本地或远程主机（设备）安全弱点的程序，它能够快速的准确的发现扫描目标存在的漏洞并提供给使用者扫描结果。扫描器分类漏洞扫描：是指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用的漏洞的一种安全检测（渗透攻击）行为。扫描器主机操作系统存活类型端口UDPTCP口令检测漏洞检测系统漏洞应用软件漏洞网络

Nmap扫描主机ICMP常用类型类型代码描述00EchoReply30NetworkUnreachable31HostUnreachable32ProtocolUnreachable33PortUnreachable50Redirect80EchoRequestTCPSYN扫描的原理TCP数据包

NMAP主机发现主机发现（HostDiscovery）识别网络上的主机状态。例如，发送ARP、ICMP或TCP请求，根据响应情况判断主机是否存活。默认情况下，Nmap会发送四种不同类型的数据包来探测目标主机是否存活：①

发送

ICMPechorequest

-sP

②

发送TCPSYNpackettoport-PS（默认目的端口为80）③

发送TCPACKpackettoport-PA（默认目的端口为80）④

发送ARPrequest-PR（广播域）依次发送这四个报文对目标主机进行探测，只要收到其中一个包的回复，目标主机存活。使用四种不同类型的数据包可以避免因防火墙或丢包造成错误判断。-P0或者-Pn（无ping）

TCP端口扫描原理：TCP三次握手ClientServerSYNSYN+ACKACK端口的状态Open：意味着能够与目标主机在这个端口建立连接closed：关闭Filtered：表示防火墙或者其它的网络安全软件掩盖了这个端口，无法确定其状态。

unfiltered:未过滤的,仅用于映射防火墙规则集的ACK扫描才会把端口分类到这种状态。open|filtered：端口是开放的或被屏蔽（无法确定端口是开放还是被过滤）closed|filtered：端口是关闭的或被屏蔽（无法确定端口是开放还是被过滤）

全连接端口扫描ClientServerSYNSYN+ACKACKClientServerSYNRST有的系统回复：RST+ACK端口开放端口关闭原理RST2.2.2 全连接端口扫描全连接扫描的优缺点优点缺点AB不需要管理员权限效率较低操作系统记录日志2.2.3 半开连接端口扫描原理：三次握手的过程ClientServerSYNSYN+ACKACK？ClientServerSYNRST端口开放端口关闭2.2.3 半开连接端口扫描SYN（半连接）扫描的优缺点优点缺点AB扫描效率高操作系统不记录日志扫描主机需要管理员权限会被防火墙或IDS记录日志2.2.4 Nmap扫描主机其他扫描方式FIN扫描（-sF）圣诞树扫描（-sX）2.2.4 Nmap扫描主机UDP主机扫描的原理2.2.4 Nmap扫描主机UDP主机扫描UDP（数据随机）（端口开放，无响应）端口关闭，系统返回ICMP端口不可达2.2.4 Nmap扫描主机UDP扫描的优缺点优点缺点AB可同时扫描主机存活和端口状态扫描结果不够准确（返回的ICMP包可能会被防火墙阻断）2.2.4 Nmap扫描参数nmap-sTTCPconnect扫描nmap-sS使用SYN扫描，不需要完成三次握手nmap-sU扫描UDP端口nmap-sFFIN扫描，用于探测防火墙状态，nmap-sV扫描目标主机的端口和软件版本nmap-O远程检测操作系统和软件nmap-A综合扫描，包含1-10000的端口ping扫描，操作系统扫描，脚本扫描，路由跟踪，服务探测-P0(无ping)完全跳过Nmap发现阶段。2.2 信息收集思考：扫描器通过什么来判断端口的状态呢？2.2.5 主机扫描的防护端口扫描的防范关闭不必要的端口和服务必要时使用防火墙屏蔽端口使用IDS检测对重要主机的TCP连接请求网络查询主讲老师石淑华渗透步骤信息收集漏洞利用清除痕迹留下后门内网渗透信息收集第一步踩点扫描查点信息收集网络踩点的第一步网络踩点GooglehackingWhois域名IP地址知识点：GooglehackingGooglehacking自动提取网页的程序网页蜘蛛、网络机器人爬虫协议网站根目录下robots.txtUser-agent:GooglebotAllow:/folder1/myfile.htmlDisallow:/folder1/网络爬虫Googlehacking敏感信息举例标题包含Indexof:暴露网站的内容细节

网站地址中有data/admin/ver.txt：织梦CMS，暴露过大量漏洞敏感信息百度：indexof/adminGooglehacking敏感信息被爬虫扒出搜索时大海捞针高级搜索高级搜索GooglehackingInurl:网址中包含指定字符Intitle:网页标题中包含指定字符

Intext:网页内容中包含指定字符

Inurl:amin查找管理员入口Inurl:php?查找注入或包含漏洞入口Inurl:viewerframe?mode=motion查找在线摄像头Intitle:”indexof”查找文件目录结构Intitle:phpMyAdmin查找PHP数据库管理入口Intitle:管理查找中文网站的管理入口Intext:”poweredbydedecms”查找使用织梦的网站Intext:username&password查找登录页面Intext:登录查找中文网站后台高级搜索GooglehackingSite:搜索指定的网站Filetype:指定搜索文件类型

Cache:缓存里的内容

与其他关键字搭配使用，限定搜索范围搜素二级域名数据库相关文件mdb、sql备份文件bak包含文件inc文档文件docx、xlsx查询指定网页的缓存（快照）高级搜索空间搜索引擎空间搜索引擎

是一种专门用于搜索和索引互联网上可用的网络资源和信息的工具。它们通常提供对网络空间中各种资产的搜索，包括但不限于域名、IP地址、服务器、应用程序等。以下是一些常用的网络空间搜索引擎：1.FOFA

：它通过网络空间测绘帮助研究人员或企业迅速进行网络资产匹配，例如进行漏洞影响范围分析、应用分布统计、应用流行度排名统计等。Shodan：一款国外的网络空间搜索引擎，能够查询到连接到互联网的各种设备，如红绿灯、安全摄像头等。Shodan的基本语法包括主机名/域名、端口、网络范围和城市等。Zoomeye：一款国内的空间搜索引擎，提供对网络空间中各种资产的搜索，如域名、IP地址、服务器、应用程序等。Censys：也是一款常用的网络空间搜索引擎。360Quake：由360网络安全响应中心

自主设计研发的全球网络空间测绘系统，能够对全球IPv4、IPv6地址进行持续性探测，实时感知全球网络空间中各类资产并发现其安全风险。

1.FOFA/1.搜索：title="后台"2.is_domain=true表示搜索域名ip="0"&&port="2078"Fofa语法header=“edu"从http头中搜索“edu”body="网络空间测绘"从html正文中搜索“网络空间测绘”

domain=""搜索根域名带有的网站。

icp="京ICP证030173号"查找备案号为“京ICP证030173号”的网站

js_name="js/jquery.js"查找网站正文中包含js/jquery.js的资产

cname=""查找cname为""的网站cname_domain=""查找cname包含“”的网站

cloud_name="Aliyundun"new通过云服务名称搜索资产host="."从url中搜索”.”port="6379"查找对应“6379”端口的资产ip=""从ip中搜索包含“”的网站ZoomEys：/Shodan：

https://www.shodan.io/知识点：Whois查询网络踩点的第二步网络踩点GooglehackingWhois域名IP地址Whois查询域名WHOIS查询：注册人、电话、邮箱、DNS、地址IP地址WHOIS查询：网段所属网络名称、国家、地区、管理员WHOIS反查：使用邮箱、电话等反查获得更多关联域名信息WHOIS的概念IP地址查询地理位置查询IP地址查询

http://www.webscan.cc旁站查询IP地址查询192.168.1.10A段B段C段D段C段查询：IP地址A、B、C段相同其他IP地址信息C段查询dnsenum是一款用于收集DNS信息的工具，通过字典爆破、搜索引擎、whois查询、区域传输等手段，获取域名背后的DNS信息并发现不连续的IP地址。可以用它进行如下操作：获取主机记录（A记录）获取域名服务器获取MX记录通过Google抓取获取额外的域名和子域（Googlequery=“allinurl:-wwwsite:domain”）通过字典文件进行暴力破解子域，也可以对具有NS记录的子域执行递归查询计算C类网络地址范围并对其进行whois查询dnsenumdnsenum[Options]＜domain＞[选项]：--dnsserver＜server＞将此DNS服务器用于A、NS和MX查询。-h、--help打印此帮助消息。-t、--timeout＜value＞tcp和udp超时值，以秒为单位（默认值：10s）。--threads＜value＞将执行不同查询的线程数。-v、--verbose详细：显示所有进度和所有错误消息。口令破解主讲老师石淑华口令认证的优缺点20世纪80年代，当计算机开始在商业公司里广泛应用时，人们很快就意识到需要保护计算机中的信息。仅仅使用一个userID来标识用户身份，容易被冒名登录。基于这一考虑，口令认证要求用户登录时不仅要提供userID来标识自己是谁，还要提供只有自己才知道的口令来向系统证明自己的身份。口令认证的历史口令认证的优缺点口令是一种非常常见的身份认证方式基于用户名口令的身份认证实现简单广泛应用于各种系统登陆认证口令认证的优点口令认证的优缺点单因子的认证，安全性仅依赖于口令；用户往往选择容易记忆，也容易被猜测的弱口令；不同安全级别系统，用户往往采用相同口令，低安全级别系统较容易被攻破，威胁到高安全级别系统；口令认证的缺点口令认证的优缺点用户的口令以文件方式保存在认证方，入侵者容易利用系统漏洞，获取文件进行离线破解；口令在传输过程中容易被截获；口令认证的缺点口令认证的优缺点只能单向认证，系统认证用户，用户无法认证系统；口令认证易遭受重放攻击。口令认证的缺点破解口令的方法常见破解方式字典攻击暴力破解组合攻击破解口令的方法字典攻击字典是根据人们设置自己账号口令的习惯总结出来的常用口令列表文件。使用一个或多个字典文件，利用里面的单词列表进行口令猜测的过程，就是字典攻击。常见破解方式破解口令的方法暴力破解如果有速度足够快的计算机能尝试字母、数字、特殊字符所有的组合，将最终能破解所有的口令。这种攻击方式叫做暴力破解。分布式暴力破解常见破解方式破解口令的方法组合攻击字典攻击虽然速度快，但是只能破解字典单词口令；暴力破解能发现所有口令，但是破解的时间长。组合攻击是在使用字典单词的基础上，在单词的后面串接几个字母和数字进行攻击的攻击方式。常见破解方式破解口令的方法常见攻击方式的比较破解口令的方法社会工程学偷窥口令蠕虫键盘记录类木马网络嗅探重放攻击其他破解方式撞库攻击2014年12月25日上午10：59，乌云网发布漏洞报告称，大量12306用户数据在网络上疯狂传播。本次泄露事件被泄露的数据达131653条，包括用户账号、明文密码、身份证和邮箱等多种信息，共约14M数据。撞库攻击大事件撞库攻击12306回应：泄露的用户信息系经其他网站渠道流出国内安全机构知道创宇确认12306数据泄露事件为“撞库攻击”。撞库攻击大事件撞库攻击2014年，用户账号泄露，京东称遭受撞库攻击。2015年，黑客窃取9900万个淘宝账户，阿里称遭遇撞库。2016年，百度云遭撞库攻击,50万账号被盗。撞库攻击大事件撞库攻击黑客收集互联网已泄露的用户+密码信息黑客生成对应的字典表利用字典表，尝试批量登陆其他网站，得到一系列可以登陆的用户撞库攻击定义撞库攻击建议：不同的站点设置不同的密码对抗撞库撞库攻击的防范口令不出现在黑客字典中口令不能被轻易猜解出来破解口令的防范方式避免选取弱口令选择安全的口令硬盘分区采用NTFS格式正确设置和管理帐户禁止不需要的服务关闭不用的端口禁止建立空连接破解口令的防范方式防止口令猜测攻击密码长度最小值密码必须符合复杂性要求强制密码历史密码最长使用期限密码最短使用期限破解口令的防范方式设置安全策略账户锁定阈值账户锁定时间破解口令的防范方式设置账户锁定策略不要将口令写下来不要将口令存于电脑文件中不要选取显而易见的信息作口令不要让别人知道不要在不同系统上使用同一口令为了防止眼捷手快的人窃取口令，在输入口令时应当确定无人在身边定期更换口令，至少6个月要改变一次破解口令的防范方式保护口令的安全习惯SMB协议SMB的全称是ServerMessageBlock，是一种协议。SMB是一种客户机/服务器、请求/响应协议。通过SMB协议，客户端应用程序可以在各种网络环境下读、写服务器上的文件，以及对服务器程序提出服务请求。此外通过SMB协议，应用程序可以访问远程服务器端的文件、以及打印机等资源。SMB2.0:Windowsvista之后SMB3.0:包括：WindowsServer2022、WindowsServer2019、WindowsServer2016、WindowsServer2012R2。hydra工具俗称九头蛇，是一款非常强大的暴力破解工具，支持多种服务协议的账号和密码进行爆破，包括Web登录、数据库、SSH、FTP等服务连通性常见参数

选项说明-R继续上一次破解-I忽略现有还原文件（不等待10秒）-sPORT指定默认端口-lLOGIN指定破解登录用户名-LFILE使用文件指定多个用户名-pPASS指定密码-PFILE指定密码字典-xMIN:MAX:CHARSET密码暴力生成-y禁止在暴力破解中使用符号-r对选项-x使用非随机方法-ensrn：空密码试探，s：使用指定用户和密码试探。-u循环用户-CFILE冒号分隔用户名密码：“login:pass”格式-MFILE要攻击的服务器列表，每行一个条目，’:'指定端口-oFILE将找到的登录/密码写入文件-bFORMAT指定-o输出格式，默认text,可选json,jsonv1-f/-F找到用户名/密码后中止破解，-f:每个主机，-F：所有-tTASKS每个主机并行线程数，默认16-TTASKS所有并行线程数，默认64-w/-WTIME最大等待响应时间-cTIME所有进程每次尝试登录等待时间-4/-6IPv4(默认)/IPv6地址-v/-V/-d详细日志模式/每次尝试仅显示用户名密码/调试模式-k不重做失败的尝试（适用于-M批量扫描）-q不要打印错误连接消息-U服务模块详细使用信息kali使用hydra工具进行smb密码爆破字典文件连通性Hydrahydra-Luser.txt-Ppass.txt33smb嗅探原理主讲老师石淑华什么是嗅探网络嗅探（NetworkSniffer）是指利用计算机的网络接口截获其他计算机的通信数据报文的一种手段。网络嗅探的基础是数据捕获,目的是对数据进行分析，挑选出重点关注的数据。网卡的工作原理网卡的工作模式直接模式广播模式混杂模式混杂模式PromiscuousMode嗅探的步骤更改网卡工作模式捕获数据包分析数据包混杂模式协议分析软件人工或智能网络嗅探的工作环境1-HUB集线器（Hub）是物理层设备，它从一个接口收到数据，会把数据从其他全部接口发送出去。HUBPC1PC2PC3网络嗅探的工作环境2-交换机交换机（switch）是数据链路层设备，正常情况下，交换机只把转发给接收者所在的接口。switchPC1PC2PC3交换环境下的网络嗅探1-端口镜像如果嗅探者是交换机的管理员，则可以在交换机上配置机端口镜像，把需要嗅探的接口上的收和发的流量，镜像到嗅探器所连接的接口。switchPC1PC2PC3ARP欺骗交换环境下的网络嗅探2-结合ARP欺骗在交换机上配置端口镜像，把需要嗅探的接口上的收和发的流量，镜像到嗅探器所连接的接口。switchPC1PC2PC3嗅探软件介绍Wireshark（Ethereal）SnifferProIrisEffTechHTTPSniffer……嗅探的防御尽量工作在交换网络中对传输的关键数据加密在网络中布置入侵检测系统（IDS）wireshack的应用主讲老师石淑华作用：网络管理员使用Wireshark来检测网络问题网络安全工程师使用Wireshark来检查资讯安全相关问题，开发者使用Wireshark来为新的通讯协定除错普通使用者使用Wireshark来学习网络协定的相关知识Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是截取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。Wiresharkwireshack主页wireshack的窗口wireshack的捕获过滤wireshack捕获过滤的语法Logicale­xpressions（逻辑运算符）:

区分大小写:TCP(错误)

wireshack捕获过滤案例hostdsthosttcpnotudptcpdst80portrange

wireshack的显示过滤Wireshark显示过滤器的背景色:黄色绿色：过滤器语法正确并可以运行粉色

过滤器语法错误并不能运行C过滤器逻辑表达错误并不能运行D过滤器语法正确但可能不会过滤出用户想要的数据包framecontains"0032"

绿色：过滤器语法正确并可以运行粉色

过滤器语法错误并不能运行C过滤器逻辑表达错误并不能运行D过滤器语法正确但可能不会过滤出用户想要的数据包wireshack的案例1ARP欺骗的工作原理主讲老师石淑华ARP协议AddressResolutionProtocol即地址解析协议，解析IP地址与MAC地址的对应关系。ARP协议的基本功能就是:查询目标设备的MAC地址，完成数据封装。ARP工作原理bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aaWho

hasWho

hasARP

requestARP

replyisataa:aa:aa:aa:aa:aa这个ARPrequest和我没关系ARPCache在安装了以太网网络适配器（既网卡）或TCP/IP协议的计算机中，都有ARP

Cache用来保存IP地址以及解析的MAC地址。Windows系统默认的ARP缓存表的生存时间是120秒，最大生命期限是10分钟。ARP缓存的更新bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aaWho

hasWho

hasARP

replyisataa:aa:aa:aa:aa:aaInternet地址物理地址

bb:bb:bb:bb:bb:bbInternet地址物理地址aa:aa:aa:aa:aa:aaInternet地址物理地址

bb:bb:bb:bb:bb:bbARP

requestARP缓存的更新bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aaWho

hasWho

hasARP

replyisataa:aa:aa:aa:aa:aa主机A的ARP缓存记录Internet地址

物理地址

bb:bb:bb:bb:bb:bb主机B的ARP缓存记录Internet地址物理地址aa:aa:aa:aa:aa:aa主机C的ARP缓存记录Internet地址物理地址

bb:bb:bb:bb:bb:bbARP

request主机B主机C主机AARP协议实现的特点通过ARP缓存保存无需请求可以应答接受ARPrequest单播包ARP欺骗的工作原理基于ARPrequest的欺骗bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aa从ARPrequest里学习Internet地址物理地址aa:aa:aa:aa:aa:aaARP欺骗的攻击者ARP

requestWhohas

Tellcc:cc:cc:cc:cc:ccInternet地址物理地址cc:cc:cc:cc:cc:ccARP欺骗的工作原理基于ARPreply的欺骗bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aa从ARPreply里学习Internet地址物理地址aa:aa:aa:aa:aa:aaARP欺骗的攻击者ARP

replyisatcc:cc:cc:cc:cc:ccInternet地址物理地址cc:cc:cc:cc:cc:ccARP欺骗的工作原理基于ARPreply的欺骗bb:bb:bb:bb:bb:bb攻击对象cc:cc:cc:cc:cc:ccaa:aa:aa:aa:aa:aa收到ARPreply，我会缓存起来!Internet地址物理地址

aa:aa:aa:aa:aaARP欺骗的攻击者ARP

replyisatcc:cc:cc:cc:cc:ccInternet地址物理地址cc:cc:cc:cc:cc:cc网络拓扑bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:cc网关：aa:aa:aa:aa:aa:aaARP欺骗的攻击者Internet上网ARP欺骗+中间人攻击(单向欺骗)bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:cc网关：aa:aa:aa:aa:aa:aaARP欺骗的攻击者Internet上网Internet地址物理地址

cc:cc:cc:cc:cc:ccInternet地址物理地址bb:bb:bb:bb:bb:bbARP欺骗+中间人攻击(双向欺骗)bb:bb:bb:bb:bb:bbcc:cc:cc:cc:cc:cc网关：aa:aa:aa:aa:aa:aaARP欺骗的攻击者Internet上网Internet地址物理地址

cc:cc:cc:cc:cc:ccInternet地址物理地址

cc:cc:cc:cc:cc:ccARP欺骗攻击实例主讲老师石淑华利用SwitchSniffer完成ARP欺骗---实验拓扑GW：5400:0f:e2:50:4b:a0被攻击者ARP欺骗的攻击者PC1:0000:0c:29:e1:b4:aePC2:dc:4a:3e:46:45:0e安装:SwitchSniffer

wireshark欺骗前PC2的arp缓存SwitchSniffer设置备注：安装在PC1：00上欺骗后PC2的arp缓存后前ping54Wireshark安装在00双向欺骗截获双向数据包ARP欺骗的防御主讲老师石淑华ARP欺骗的防御MAC的静态绑定依靠第三方软件（ARP防火墙）交换机的DAI技术（DynamicARPInspection）防御方法1---MAC的静态绑定在主机的ARP缓存表配置静态记录：C:\>arp-s20-01-e6-b4-55-6c防御方法2---第三方软件交换机上启动DAI功能DAI---DynamicARPInspectionDHCPSnooping+DAI防ARP欺骗方案DAI保证接入交换机只传递“合法的”的ARP请求和应答信息。DNS的工作原理黑客攻防主讲老师石淑华DNS概念DNS（DomainNameSystem，域名系统），因特网上作为域名和IP地址相互映射的一个分布式数据库，是把域名解析为IP地址的过程。的IP地址是什么？5DNS服务器DNS客户端DNSresponseDNSqueryDNS查询过程本地缓存的IP地址是什么？其他DNS服务器23指定DNS服务器1HOSTS文件本地缓存45迭代查询（Iterativequery）计算机1本地DNS服务器a.com根..com递归查询

迭代查询迭代查询迭代查询查询.com查询a.com权威的应答321DNS欺骗的原理黑客攻防主讲老师石淑华什么是DNS欺骗改变DNS原始指向的IP的行为都可以称为DNS欺骗。DNS欺骗的主要形式hosts文件篡改DNS劫持hosts文件篡改默认位置为：%SystemRoot%\system32\drivers\etc\DNS劫持DNS劫持是指拦截域名解析的请求，分析请求的域名，按照需求修改某些域名对应的IP地址，其效果就是使特定域名的网络不能访问，或者是访问网络钓鱼网站，给受害者造成巨大损失。DNS劫持案例—Cain中间人攻击IP欺骗的攻击与防御黑客攻防主讲老师石淑华IP欺骗的定义IP地址欺骗是指行动产生的IP数据包伪造源IP地址，以便冒充其他系统或发件人的身份。

IP欺骗的目的：有效地隐藏攻击者的身份或者为了绕过系统认证过程。IP欺骗的原理IP协议是TCP/IP协议族中非可靠传输的网络层协议，它不保持任何连接状态信息，也不提供可靠性保障机制，这使得我们可以在IP数据报的源地址和目的地址字段填入任何的IP地址。IP欺骗案例1---SYN洪水攻击攻击者伪造的IP地址不可达或根本不存在。IP欺骗案例2---TCP会话劫持TCP会话劫持的基本工作过程利用的是被攻击的目标主机与其它主机之间的信任关系，通过伪造被攻击方信任的IP地址来进行冒充，从而获得对目标主机的访问权。

IP欺骗的防御在路由器上设置不允许声称来自内部的网络的外来包通过。防止外网用户对内网用户进行IP欺骗。另一方面需要目标设备采取更强有力的认证措施，不仅仅根据源IP就信任来访者，更多的需要强口令等认证手段。

木马主讲老师石淑华木马特洛伊木马木马

木马（Trojan）是指隐藏在计算机中的一段具有特殊功能的恶意代码，是一种黑客常用远程控制的工具，具有隐蔽性、潜伏性、危害性、非授权性等典型的特征。

木马的概念木马木马与病毒相同：破坏性、隐蔽性等区别：木马没有传染性木马与远控相同：工作原理一样不同：授权性，隐蔽性木马与后门木马（trojan）是后门（backdoor）程序的一种。后门可在软件开发过程故意产生，也可以使用过程中植入。木马在软件使用过程中植入。

木马与病毒、远程控制软件的区别

木马

木马的分类（按照功能）远程控制信息发送代理键盘记录破坏利用CPU木马

木马的分类（按照工作原理）传统木马DLL木马反弹端口网页木马C/S（Client-Server）模式的程序：

Server程序（被控制端）负责打开端口，端口处于监听状态。

Client程序（控制端）主动去连接。控制端被控制端端口监听木马的工作原理

传统木马工作原理木马的工作原理

反弹端口木马的工作原理反弹端口型木马是Client程序（控制端）打开端口，处于监听状态，

Server程序（被控制端）主动发起会话去连接。把Client程序（控制端）的信息（IP+端口）在配置木马时写入。利用反弹端口原理，躲避防火墙拦截。控制端被控制端端口监听木马的工作原理

反弹端口木马与传统木马的区别传统木马反弹端口木马AB攻击者主动连接被攻击者被攻击者主动连接攻击者DLL木马就是把一个实现了木马功能的代码。

DLL是编译好的代码，与一般程序没什么大

差别，只是它不能独立运行，需要可执行程

序调用。特点：隐藏性。

因为DLL运行时是直接挂在调用它的程序的

进程里的，并不会另外产生进程。DLL木马的工作原理DLL木马的工作原理木马

木马的传播途径下载挂马即时通讯工具病毒传播其他

木马的工作过程木马服务器端程序：G-server.exe客户端程序：G-client.exe进行服务器配置远程控制如何清除？控制端被控制端Win-7Win-2003端口：7626木马

冰河木马实验

实验拓扑

反弹端口木马的实验

反弹端口木马的工作原理服务端（被控制端）会主动连接客户端（控制端）目标了解：反弹端口木马（灰鸽子）的危害；熟悉：灰鸽子木马的工作原理；掌握：灰鸽子木马的配置和操作；内容通过灰鸽子木马实际攻击演示操作，掌握灰鸽子木马的攻击原理，为防范灰鸽子木马的学习作准备。木马

灰鸽子木马的实验拓扑控制端被控制端Win-2000Win-2003监听端口：80木马Kali系统常用框架的简介主讲老师石淑华1. Metasploit介绍Metasploit是一个免费的、可下载的框架。通过它可以很实施对计算机软件漏洞实施攻击。msfconsole主要用于管理Metasploit数据库，管理会话、配置并启动Metasploit模块。据封装。（1） auxiliary辅助模块，辅助渗透（端口扫描、登录密码爆破、漏洞验证等）。（2） exploits漏洞利用模块，通常是对某些可能存在漏洞的目标进行漏洞利用。（3） payloads攻击载荷，主要是攻击成功后在目标机器执行的代码。（4） encoders 编码器模块，主要包含各种编码工具，对payload进行编码加密。（5） evasion躲避模块，用来生成免杀payload。（6） nops

空指令模块，用来在攻击载荷中添加空指令区，以提高攻击可靠性的组件。Metasploit的模块searchname查找metasploit框架中所有的渗透攻击和其他模块。showexploit列出metasploit框架Q中的所有渗透攻击模块。showpayloads列出metasploit框架中的所有攻击载荷。showauxiliary列出metasploit框架中的所有辅助攻击载荷。Info展示出制定渗透攻击或模块的相关信息。usename装载一个渗透攻击或模块。LHOST你本地可以让目标主机连接的IP地址Q,通常当目标主机不在同一个局域网内时|使用。RHOST远程主机或是目标主机。setfunction设置特定的配置参数(EG:设置本地或远程主机参数)。showoptions列出某个渗透攻击或模块中所有的配置参数。setpayloadname指定想要使用的攻击载荷。Msfconsole常用命令Msfvenom是Kali系统主要用来生成带后门的软件。Msfvenom介绍-pwindows/meterpreter/reverse_tcp系统作用方式Meterpreter是Metasploit框架中的一个扩展模块，作为溢出成功以后的攻击载荷使用，攻击载荷在溢出攻击成功以后，给我们返回一个控制通道。后渗透模块(Meterpreter)介绍Meterpreter常用命令Downloaduploadexecute#执行命令，可执行脚本或程getprivs#查看当前用户具备的权限getuid#查看meterpreter所在的用户组getsystem#提权为管理员sysinfo#查看计算机系统和名称等详细信息runvnc#VNC连接，实现屏幕实时监控runwebcam#开启摄像头ps#查看目标系统的所有进程。如果没有root权限或者administrator权限，例如：execute-fcmd.exe-i或者shell即可弹回一个cmd命令拒绝服务攻击的概述主讲老师石淑华拒绝服务攻击的定义拒绝服务攻击：DenialofService（DoS），能导致服务器不能正常提供服务的攻击，都可以称为DoS攻击。分布式拒绝服务攻击：DistributedDenialofService（DDoS）指借助于客户/服务器模式，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。拒绝服务攻击的典型事件2002年10月21日，全球的13台根域名服务器遭受到了有史以来最严重庞大的一次网络袭击。2009年5月，暴风影音软件引起的ddos事件。2022年拒绝服务攻击的次数2022年拒绝服务攻击的峰值DDoS攻击的对象与工具攻击对象：节点设备、终端设备，还可以针对线路。特点：实时性DoS攻击的分类DoS消耗资源主机资源三层协议死亡之ping、smurf等四层协议SYNflood、UDPflood等应用层协议CC、NTPFlood、DNSFlood等带宽UDPflood等利用漏洞系统漏洞蠕虫病毒等管理策略账户锁定拒绝服务攻击的原理主讲老师石淑华拒绝服务攻击的定义拒绝服务攻击：DenialofService（DoS），能导致服务器不能正常提供服务的攻击，都可以称为DoS攻击。分布式拒绝服务攻击：DistributedDenialofService（DDoS）指借助于客户/服务器模式，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。DoS攻击的分类以消耗目标主机的可用资源为目的（例如：死亡之ping、SYN洪水攻击、Land攻击、泪珠攻击等）以消耗链路的有效带宽为目的（例如：UDP洪水攻击、Smurf攻击）死亡之Ping是由于单个包的长度超过了ICMP协议规范所规定的长度，从而导致操作系统崩溃的攻击。防御：更新操作系统协议栈。ICMP洪水攻击向目标主机长时间、连续、大量的ping包，来减慢主机的响应速度和阻塞目标网络。防御：对防火墙进行配置，阻断icmp协议的ECHO报文。泪珠攻击的原理泪珠攻击(TearDrop):利用IP数据包分片重组时候，数据重叠，操作系统不能恰当处理，而引起的系统性能下降的攻击行为。防御：更新操作系统协议栈。泪珠攻击示意图数据A第一片报文IP头UDP头数据A第二片报文IP头UDP头数据B正常分片报文组合后报文IP头UDP头数据B数据A偏移量=1460偏移量=0IP头UDP头数据AIP头UDP头数据B泪珠攻击分片报文IP头UDP头数据B偏移量=980偏移量=0第一片报文第二片报文组合后报文Smurf攻击原理被攻击者攻击者Ping55Ping55伪造Ping包的源IP：ICMP应答包ICMP请求Smurf攻击的防御路由器接口不允许ping一个广播域。比如cisco路由器的接口默认noipdirected-broadcastSYN洪水攻击的原理主讲老师石淑华TCP三次握手的原理SYN/ACK

SYN客户端服务器SYN_RECV3SYN_SEND

ACK12ESTABLISHEDESTABLISHEDSYN洪水攻击的原理....SYN/ACKSYN/ACKSYN/ACKSYNSYNSYN攻击者目标主机SYNSYN/ACK1nSYN/ACKSYN/ACKSYN/ACKSYN/ACK....等待ACK应答.........不应答不应答重新发送以windows为例SYN攻击花费时间（秒）累计花费时间（秒）第一次，失败33尝试第1次，失败69尝试第2次，失败1221尝试第3次，失败2445尝试第4次，失败4893尝试第5次，失败96189SYN洪水攻击案例Land攻击的原理Land攻击是一种特别SYN攻击，把攻击包的源IP地址和目标IP地址都被设置成被攻击目标的地址。UDP洪水攻击原理主讲老师石淑华UDP洪水攻击向目标系统发送大量UDP包，造成对方系统资源或者网络带宽资源耗尽。UDP泛洪攻击案例攻击的现象UDP洪水攻击的防御流量限制:可以很快将UDP流量限制在一个合理的范围内。指纹学习:发生攻击后学习数据包的指纹，并产生相应的阻断策略。CC攻击主讲老师石淑华CC攻击的原理攻击者借助代理服务器生成指向受害主机的合法请求，实现DDOS。CC=ChallengeCollapsar这种攻击主要是针对存在ASP、JSP、PHP、CGI等脚本程序，并调用MySQLServer、Oracle等数据库的网站系统而设计的，特征是和服务器建立正常的TCP连接，并不断的向脚本程序提交查询、列表等大量耗费数据库资源的调用。CC攻击现象网站出现serviceunavailable提示CPU占用率很高观察到大量的ESTABLISHED的连接状态；单个IP高达几十条甚至上百条用户无法访问网站页面或打开过程非常缓慢，软重启后短期内恢复正常，几分钟后又无法访问。CC攻击/ssa/#/cc天翼云CC安全态势https:///ssa/#/ccCC攻击的防御DDOS防火墙流量清洗使用验证码拒绝服务攻击的防御主讲老师石淑华SYN攻击防范技术SYN攻击防范加固协议栈过滤网关超时设置SYN网关SYN代理加固协议栈Windows可以利用注册表启动SYN攻击保护机制HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters值名称：SynAttackProtect防火墙的网络参数过滤网关—超时设置防火墙设置SYN转发超时参数（状态检测的防火墙可在状态表里面设置），该参数小于服务器的timeout时间。当客户端发送完SYN包，服务端发送确认包后，如果防火墙自身的超时到期时,还未收到客户端的ACK确认包，则往服务器发送RST包，以使服务器从队列中删去该半连接。过滤网关-SYN网关clientserverSYN防火墙SYNSYN+ACKSYNACKACKDATA过滤网关-SYN代理clientserverSYN防火墙SYNSYN+ACKSYNACKACKDATASYN+ACKSYN代理要求过滤网关自身具有很强的防范SYN攻击能力。缓冲区溢出原理主讲老师石淑华缓冲区溢出现象从一个对话框说起……什么是缓冲区、缓冲区溢出？从程序的角度，缓冲区就是应用程序用来保存用户输入数据、临时数据的内存空间。如果用户输入的数据长度超出了程序为其分配的内存空间，这些数据就会覆盖程序为其它数据分配的内存空间，形成所谓的缓冲区溢出。样例程序1#include"stdafx.h"intmain(intargc,char*argv[]){ charbuffer[8];

printf("Pleaseinputyourname:");

gets(buffer); printf("Yournameis:%s!\n",buffer); return0;}发生溢出样例程序2voidfunc(char*input){ charbuffer[16];

strcpy(buffer,input);}上面的strcpy()将直接把input中的内容复制到buffer中。这样只要input的长度大于16，就会造成buffer的溢出，使程序运行出错C语言存在像strcpy这样问题的标准函数还有strcat()，sprintf()，vsprintf()，gets()，scanf()以及在循环内的getc()，fgetc()，getchar()等缓冲区溢出带来的问题引起程序运行失败严重时可导致系统崩溃可以人为利用缓冲区溢出来执行代码（shellcode），从而取得对系统的控制权最常见的手段是通过制造缓冲区溢出使程序运行一个用户shell，再通过shell执行其他命令。如果该shell程序属于root（或者system）权限的话，攻击者便可以对系统进行任意操作缓冲区认识缓冲区缓冲区(buffer)是暂时存放输出或输入资料的内存。（它是内存空间的一部分）什么是缓冲区溢出缓冲区溢出（bufferoverflow），是由于程序设计缺陷，程序输入数据时，向缓冲区写入的数据超过被分配内存空间，而导致数据溢出，使得溢出的数据覆盖了其他内存空间的数据，从而破坏程序正常运行。程序在内存中的映像……文本（代码）段数据段堆栈段内存低地址内存高地址内存递增方向初始化数据段非初始化数据段(BSS)堆(Heap)栈(stack)堆的增长方向栈的增长方向内核数据代码PEB&TEB系统DLL代码段程序在内存中的映像文本区域包括代码(指令)和只读数据.该区域相当于可执行文件的文本段.这个区域通常被标记为只读。数据区域包含了已初始化和未初始化的数据.静态变量储存在这个区域中。堆栈可用于给函数中使用的局部变量动态分配空间,给函数传递参数和函数返回值也要用到堆栈。堆往高地址增长，而栈往低地址增长。栈栈是一块连续的内存空间先入后出生长方向与内存的生长方向正好相反,从高地址向低地址生长每一个线程有自己的栈，提供一个暂时存放数据的区域使用POP/PUSH指令来对栈进行操作使用ESP寄存器指向栈顶，EBP指向栈帧底变量EIPbuffer1.....EBP函数栈结构栈低地址栈高地址ESP栈内容函数的参数函数返回地址EBP（栈底指针）的值一些通用寄存器(EDI,ESI…)的值当前正在执行的函数的局部变量CPU里的三个重要寄存器ESP（RSP）：即栈顶指针，随着数据入栈、出栈而发生变化。EBP(RBP)：即基地址指针，用于标识栈中一个相对稳定的位置。通过EBP可以方便地引用函数参数以及局部变量。EIP(RIP)：即指令寄存器，在将某个函数的栈帧压入栈中时，其中就包含当前的EIP值，即函数调用返回后下一个执行语句的地址。备注：ESP（32位）RSP（64位）函数调用过程把参数压入栈保存指令寄存器中（EIP）的内容，作为返回地址放入堆栈当前的基址寄存器（EBP）把当前的栈指针(ESP)拷贝到基址寄存器（EBP），作为新的基地址为本地变量留出一定空间，把ESP减去适当的数值函数调用中栈的工作过程调用函数前，压入栈：上级函数传给A函数的参数返回地址(EIP)当前的EBP函数的局部变量调用函数后：恢复EBP恢复EIP局部变量不作处理例子intAFunc(inti,intj){ intm=3;

intn=4; m=i; n=j; …………… return8;}intmain(){ AFunc(5,6); return0;}函数调用中栈的工作过程函数调用中栈的工作过程缓冲区溢出利用的思路Fun(char*input){ charszBuf[8]={0}; strcpy(szBuf,input); …}input的内容：用Shellcode函数的地址对EIP的填充6szBuf5EIPEBPEDIESIEBX3（m=3）4（n=4）ShellcodeShellcodeShellcode实际是一段代码，是发生缓冲区溢出后将要执行的代码Shellcode的作用就是实现漏洞利用者想要达到的目的，一般是用来安装木马或者提升权限的Shellcode的功能添加administrators或者root组用户开启远程shell下载程序（Trojan或者Rootkit）执行变量2函数ACALLA函数A返回地址（0x4101）变量1buffer1EBP栈栈覆盖后栈低地址主函数buffer1填充shellcode1正常时候栈栈高地址代码段..........0x41000x4101shellcode在栈中

0x1100jmp0x11000x5100Shellcode在栈中变量2函数ACALLA函数A返回地址（0x4101）变量1buffer1.....EBP栈栈覆盖后栈低地址主函数buffer1填充shellcode正常时候栈栈高地址代码段..........0x41000x4101shellcode在代码段

jmp0x51000x5100Shellcode在代码中缓冲区溢出原理主讲老师石淑华描述：该漏洞源于rsync守护进程中未正确处理攻击者控制的校验和长度（s2length）。当MAX_DIGEST_LEN超过固定的SUM_LENGTH（16字节）时，攻击者可以在sum2缓冲区中写入越界数据，从而触发堆内存溢出问题。从而将恶意代码写入内存并执行。攻击者可以利用这一漏洞实现远程代码执行，甚至接管服务器权限。CVSS四等级划分‌低危（Low）‌：0.0-3.9，漏洞影响有限，通常无需立即修复。‌中危（Medium）‌：评分4.0-6.9，存在一定风险，需根据环境评估修复优先级。‌高危（High）‌：评分7.0-8.9，可能造成严重损害，需尽快修复。‌严重（Critical）‌：评分9.0-10.0，漏洞极易被利用且影响广泛，需紧急处理。/home/warnCNNVD关于微软多个安全漏洞的通报2025年4月8日，微软发布了2025年4月份安全更新，共121个漏洞的补丁程序。缓冲区溢出现象从一个对话框说起……什么是缓冲区、缓冲区溢出？从程序的角度，缓冲区就是应用程序用来保存用户输入数据、临时数据的内存空间。如果用户输入的数据长度超出了程序为其分配的内存空间，这些数据就会覆盖程序为其它数据分配的内存空间，形成所谓的缓冲区溢出。样例程序1#include"stdafx.h"intmain(intargc,char*argv[]){ charbuffer[8];

printf("Pleaseinputyourname:");

gets(buffer); printf("Yournameis:%s!\n",buffer); return0;}发生溢出样例程序2voidfunc(char*input){ charbuffer[16];

strcpy(buffer,input);}上面的strcpy(

)将直接把input中的内容复制到buffer中。这样只要input的长度大于16，就会造成buffer的溢出，使程序运行出错C语言存在像strcpy这样问题的标准函数还有strcat()，sprintf()，vsprintf(

)，gets(

)，scanf(

)以及在循环内的getc(

)，fgetc(

)，getchar()等缓冲区溢出带来的问题1.覆盖返回地址引起程序运行失败；通过修改返回地址，让程序跳转到指定的shellcode执行；（恶意程序）最常见的手段是通过制造缓冲区溢出使程序运行一个用户shell，再通过shell执行其他命令，如果该shell程序属于root（或者system）权限的话，达到提权的目的。2.覆盖了其他的局部变量保包括条件变量，那么就会改变原来的执行流程，可以完成一些软件的破解。3.覆盖了ebp的地方，就会导致栈帧失去平衡,严重时可导致系统崩溃。二、缓冲区溢出攻击案例案例1:SQLQSlammer蠕虫.时间:2003年，针对MicrosoftSQLServer的缓冲区溢出漏洞。,攻击方式:通过发送超长的数据包，导致SQLServer崩溃或重启。影响:全球范围内大量SQLServer受到影响，网络流量激增，导致网络拥塞。案例三:CodeRed蠕虫●时间:2001年背景:针对MicrosoftlSWeb服务器的缓冲区溢出漏洞。,攻击方式:通过发送超长的GET请求，导致1IS服务器崩溃或执行恶意代码。●影响:全球范围内数十万台lIS服务器受到影响，造成严重的经济损失。●教训:强调了对Web服务器进行安全配置的重要性，以及对网络请求进行严格验证的必要性。缓冲区认识缓冲区缓冲区(buffer)是暂时存放输出或输入资料的内存。（它是内存空间的一部分）什么是缓冲区溢出缓冲区溢出（bufferoverflow），是由于程序设计缺陷，程序输入数据时，向缓冲区写入的数据超过被分配内存空间，而导致数据溢出，使得溢出的数据覆盖了其他内存空间的数据，从而破坏程序正常运行。程序在内存中的映像……文本（代码）段数据段堆栈段内存低地址内存高地址内存递增方向初始化数据段非初始化数据段(BSS)堆(Heap)栈(stack)堆的增长方向栈的增长方向内核数据代码PEB&TEB系统DLL代码段程序在内存中的映像文本区域包括代码(指令)和只读数据.该区域相当于可执行文件的文本段.这个区域通常被标记为只读。数据区域包含了已初始化和未初始化的数据.静态变量储存在这个区域中。堆栈可用于给函数中使用的局部变量动态分配空间,给函数传递参数和函数返回值也要用到堆栈。堆往高地址增长，而栈往低地址增长。栈栈是一块连续的内存空间先入后出生长方向与内存的生长方向正好相反,从高地址向低地址生长每一个线程有自己的栈，提供一个暂时存放数据的区域使用POP/PUSH指令来对栈进行操作使用ESP寄存器指向栈顶，EBP指向栈帧底变量EIPbuffer1.....EBP函数栈结构栈低地址栈高地址ESP栈内容函数的参数函数返回地址EBP（栈底指针）的值一些通用寄存器(EDI,ESI…)的值当前正在执行的函数的局部变量CPU里的三个重要寄存器ESP（RSP）：即栈顶指针，随着数据入栈、出栈而发生变化。EBP(RBP)：即基地址指针，用于标识栈中一个相对稳定的位置。通过EBP可以方便地引用函数参数以及局部变量。EIP(RIP)：即指令寄存器，在将某个函数的栈帧压入栈中时，其中就包含当前的EIP值，即函数调用返回后下一个执行语句的地址。备注：ESP（32位）RSP（64位）函数调用过程把参数压入栈保存指令寄存器中（EIP）的内容，作为返回地址放入堆栈当前的基址寄存器（EBP）把当前的栈指针(ESP)拷贝到基址寄存器（EBP），作为新的基地址为本地变量留出一定空间，把ESP减去适当的数值函数调用中栈的工作过程调用函数前，压入栈：上级函数传给A函数的参数返回地址(EIP)当前的EBP函数的局部变量调用函数后：恢复EBP恢复EIP局部变量不作处理例子intAFunc(inti,intj){ intm=3;

intn=4; m=i; n=j; …………… return8;}intmain(){ AFunc(5,6); return0;}函数调用中栈的工作过程函数调用中栈的工作过程缓冲区溢