内容辅导02.ppt

1、网络安全技术,第二部分：网络安全之攻击技术,第4章 网络扫描与网络监听：介绍黑客以及黑客攻击的基本概念、如何利用工具实现网络踩点、网络扫描和网络监听。 第5章 网络入侵：介绍常用的网络入侵技术：社会工程学攻击、物理攻击、暴力攻击、漏洞攻击以及缓冲区溢出攻击等。,第二部分：网络安全之攻击技术,第6章 网络后门与网络隐身：介绍网络后门和木马的基本概念，并利用四种方法实现网络后门。介绍利用工具实现网络跳板和网络隐身。 第7章 恶意代码分析与防治：介绍恶意代码的发展史，恶意代码长期存在的原因，介绍恶意代码实现机理、定义以及攻击方法等。,第四章 网络扫描与网络监听,知识点,黑客 网络踩点 网络扫描 网络

2、监听,知识点黑客,黑客分类 黑客精神 黑客守则 攻击五部曲 攻击和安全的关系,黑客定义,黑客是“Hacker”的音译，源于动词Hack，其引申意义是指“干了一件非常漂亮的事”。这里说的黑客是指那些精于某方面技术的人。对于计算机而言，黑客就是精通网络、系统、外设以及软硬件技术的人。 有些黑客逾越尺度，运用自己的知识去做出有损他人权益的事情，就称这种人为骇客（Cracker，破坏者）。,黑客分类,目前将黑客的分成三类： 破坏者； 红客； 间谍,黑客精神,“Free”精神 探索与创新精神 反传统精神 合作精神。,黑客守则,1、不要恶意破坏任何的系统，这样做只会给你带来麻烦。 2、不要破坏别人的软件和

3、资料。 3、不要修改任何系统文件，如果是因为进入系统的需要而修改了系统文件，请在目的达到后将他改回原状。 4、不要轻易的将你要黑的或者黑过的站点告诉你不信任的朋友。 5、在发表黑客文章时不要用你的真实名字。,黑客守则,6、正在入侵的时候，不要随意离开你的电脑。 7、不要入侵或破坏政府机关的主机。 8、将你的笔记放在安全的地方。 9、已侵入的电脑中的账号不得清除或修改。 10、可以为隐藏自己的侵入而作一些修改，但要尽量保持原系统的安全性，不能因为得到系统的控制权而将门户大开。,黑客守则,11、不要做一些无聊、单调并且愚蠢的重复性工作。 12、做真正的黑客，读遍所有有关系统安全或系统漏洞的书。,攻

4、击五部曲,一次成功的攻击，都可以归纳成基本的五步骤，但是根据实际情况可以随时调整。归纳起来就是“黑客攻击五部曲” 1、隐藏IP 2、踩点扫描 3、获得系统或管理员权限 4、种植后门 5、在网络中隐身,1、隐藏IP,通常有两种方法实现自己IP的隐藏： 第一种方法是首先入侵互联网上的一台电脑（俗称“肉鸡”），利用这台电脑进行攻击，这样即使被发现了，也是“肉鸡”的IP地址。 第二种方式是做多极跳板“Sock代理”，这样在入侵的电脑上留下的是代理计算机的IP地址。,2、踩点扫描,踩点就是通过各种途径对所要攻击的目标进行多方面的了解（包括任何可得到的蛛丝马迹，但要确保信息的准确），确定攻击的时间和地点。

5、 扫描的目的是利用各种工具在攻击目标的IP地址或地址段的主机上寻找漏洞。扫描分成两种策略：被动式策略和主动式策略。,3、获得系统或管理员权限,得到管理员权限的目的是连接到远程计算机，对其进行控制，达到自己攻击目的。,4、种植后门,为了保持长期对自己胜利果实的访问权,在已经攻破的计算机上种植一些供自己访问的后门。,5、在网络中隐身,一次成功入侵之后，一般在对方的计算机上已经存储了相关的登录日志，这样就容易被管理员发现。 在入侵完毕后需要清除登录日志已经其他相关的日志。,攻击和安全的关系,黑客攻击和网络安全的是紧密结合在一起的，研究网络安全不研究黑客攻击技术简直是纸上谈兵，研究攻击技术不研究网络安

6、全就是闭门造车。 某种意义上说没有攻击就没有安全，系统管理员可以利用常见的攻击手段对系统进行检测，并对相关的漏洞采取措施。,知识点网络踩点,踩点的目的就是探察对方的各方面情况，确定攻击的时机。 常见的踩点方法包括： 在域名及其注册机构的查询 公司性质的了解 对主页进行分析 邮件地址的搜集 目标IP地址范围查询。,知识点网络扫描,网络扫描目的、分类及方式 被动式策略扫描 主动式策略扫描,网络扫描目的,扫描的目的就是利用各种工具对攻击目标的IP地址或地址段的主机查找漏洞。 扫描采取模拟攻击的形式对目标可能存在的已知安全漏洞逐项进行检查，目标可以是工作站、服务器、交换机、路由器和数据库应用等。根据扫

7、描结果向扫描者或管理员提供周密可靠的分析报告。,网络扫描分类,黑客攻击五部曲中第二步踩点扫描中的扫描， 一般分成两种策略: 主动式策略 被动式策略。,网络扫描分类,被动式策略就是基于主机之上，对系统中不合适的设置，脆弱的口令以及其他同安全规则抵触的对象进行检查。 主动式策略是基于网络的，它通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞。,扫描方式,扫描方式可以分成两大类： 慢速扫描：对非连续端口进行扫描，并且源地址不一致、时间间隔长没有规律的扫描。 乱序扫描：对连续的端口进行扫描，源地址一致，时间间隔短的扫描。,被动式策略扫描,被动式策略是基于主机之上，对系统

8、中不合适的设置，脆弱的口令以及其他同安全规则抵触的对象进行检查。 被动式扫描不会对系统造成破坏，而主动式扫描对系统进行模拟攻击，可能会对系统造成破坏。,被动式策略扫描,操作 系统用户扫描 开放端口扫描 共享目录扫描,系统用户扫描,使用工具软件：GetNTUser，该工具可以在Winnt4以及Win2000操作系统上使用，主要功能包括： 扫描出NT主机上存在的用户名。 自动猜测空密码和与用户名相同的密码。 可以使用指定密码字典猜测密码。 可以使用指定字符来穷举猜测密码。,开放端口扫描,得到对方开放了哪些端口也是扫描的重要一步。 使用工具软件PortScan可以到得到对方计算机都开放了哪些端口。,

9、共享目录扫描,通过工具软件Shed来扫描对方主机，得到对方计算机提供了哪些目录共享。 该软件可以扫描一个IP地址段的共享信息。,主动式策略扫描,主动式策略是基于网络的，它通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞。,主动式策略扫描,主动式扫描一般可以分成： 1、活动主机探测； 2、ICMP查询； 3、网络PING扫描； 4、端口扫描； 5、标识UDP和TCP服务； 6、指定漏洞扫描； 7、综合扫描。,操作漏洞扫描,使用工具软件X-Scan-v2.3。 该软件采用多线程方式对指定IP地址段(（或单机）进行安全漏洞检测，支持插件功能，提供了图形界面和命令行两种

10、操作方式。,操作漏洞扫描,扫描内容包括： 远程操作系统类型及版本 标准端口状态及端口Banner信息 SNMP信息，CGI漏洞，IIS漏洞，RPC漏洞，SSL漏洞 SQL-SERVER、FTP-SERVER、SMTP-SERVER、POP3-SERVER NT-SERVER弱口令用户，NT服务器NETBIOS信息 注册表信息等。,网络监听,网络监听的目的是截获通信的内容，监听的手段是对协议进行分析。 Sniffer pro就是一个完善的网络监听工具。,网络监听,监听器Sniffer的原理：当主机工作在监听模式下时，无论接收到的数据包中目标地址是什么，主机都将其接收下来。然后对数据包进行分析，就

11、得到了局域网中通信的数据。 一台计算机可以监听同一网段所有的数据包，不能监听不同网段的计算机传输的信息。 防止监听的手段是：建设交换网络、使用加密技术和使用一次性口令技术。,监听软件,常用的监听软件： 嗅探经典Iris 密码监听工具Win Sniffer 密码监听工具pswmonitor和非交换环境局域网的fssniffer等等,操作Win Sniffer,Win Sniffer专门用来截取局域网内的密码，比如登录FTP，登录Email等的密码。,第五章 网络入侵,知识点,社会工程学攻击 物理攻击与防范 暴力攻击 漏洞攻击 缓冲区溢出攻击 拒绝服务攻击,知识点社会工程学攻击,定义 方式,社会工

12、程学攻击,社交工程是使用计谋和假情报去获得密码和其他敏感信息的科学，研究一个站点的策略其中之一就是尽可能多的了解这个组织的个体。 黑客不断试图寻找更加精妙的方法从他们希望渗透的组织那里获得信息。 目前社会工程学攻击主要包括两种方式：打电话请求密码和伪造Email,社会工程学攻击,打电话请求密码 尽管不像前面讨论的策略那样聪明，打电话寻问密码也经常奏效。在社会工程中那些黑客冒充失去密码的合法雇员，经常通过这种简单的方法重新获得密码。,社会工程学攻击,伪造Email 使用telnet一个黑客可以截取任何一个身份证发送Email的全部信息，这样的Email消息是真的，因为它发自于一个合法的用户。在这

13、种情形下这些信息显得是绝对的真实。黑客可以伪造这些。一个冒充系统管理员或经理的黑客就能较为轻松的获得大量的信息，黑客就能实施他们的恶意阴谋。,知识点物理攻击与防范,物理安全概念 操作： 获取管理员密码 权限提升,物理攻击与防范,物理安全是保护一些比较重要的设备不被接触。 物理安全比较难防，因为攻击往往来自能够接触到物理设备的用户。 操作： 获取管理员密码 权限提升,获取管理员密码,用户登录以后，所有的用户信息都存储在系统的一个进程中，这个进程是：“winlogon.exe”，可以利用程序将当前登录用户的密码解码出来。 使用FindPass等工具可以对该进程进行解码，然后将当前用户的密码显示出来

14、。,权限提升,有时候，管理员为了安全，给其他用户建立一个普通用户帐号。 其实用普通用户帐号登录后，可以利用工具GetAdmin.exe将自己加到管理员组或者新建一个具有管理员权限的用户。,知识点暴力攻击,字典文件 操作： 暴力破解操作系统密码 暴力破解软件密码,字典文件,一次字典攻击能否成功，很大因素上决定与字典文件。 一个好的字典文件可以高效快速的得到系统的密码。 一个字典文件本身就是一个标准的文本文件，其中的每一行就代表一个可能的密码。,暴力破解操作系统密码,字典文件为暴力破解提供了一条捷径，程序首先通过扫描得到系统的用户，然后利用字典中每一个密码来登录系统，看是否成功，如果成功则将密码显

15、示。 工具软件GetNTUser依然可以将管理员密码破解出来。,暴力破解软件密码,目前许多软件都具有加密的功能，比如Office文档、Winzip文档和Winrar文档等等。 这些文档密码可以有效的防止文档被他人使用和阅读。 但是如果密码位数不够长的话，同样容易被破解。,暴力破解软件密码,操作： 设置文档密码 使用工具软件，Advanced Office XP Password Recovery可以快速破解Word文档密码,知识点漏洞攻击,Unicode漏洞 打印漏洞 SMB致命漏洞,Unicode漏洞,通过打操作系统的补丁程序，就可以消除漏洞。只要是针对漏洞进行攻击的案例都依赖于操作系统是否

16、打了相关的补丁。 Unicode漏洞利用扩展UNICODE字符取代/和而能利用./目录遍历的漏洞。,Unicode漏洞的检测方法,使用扫描工具来检测Unicode漏洞是否存在。 使用上一章介绍的X-Scan来对目标系统进行扫描。 Unicode漏洞属于IIS漏洞。,打印漏洞,利用打印漏洞可以在目标的计算机上添加一个具有管理员权限的用户。 使用工具软件cniis.exe建立管理员组用户。,SMB致命攻击,SMB（Session Message Block，会话消息块协议）又叫做NetBIOS或LanManager协议，用于不同计算机之间文件、打印机、串口和通讯的共享和用于Windows平台上提供

17、磁盘和打印机的共享。 利用该协议可以进行各方面的攻击，比如可以抓取其他用户访问自己计算机共享目录的SMB会话包，然后利用SMB会话包登录对方的计算机。,SMB致命攻击,操作： 利用SMB协议让对方操作系统系统重新启动或者蓝屏。 使用的工具软件是：SMBDie V1.0。,知识点缓冲区溢出攻击,原理 RPC漏洞溢出,缓冲区溢出攻击原理,目前最流行的一种攻击技术就是缓冲区溢出攻击。当目标操作系统收到了超过了它的最大能接收的信息量的时候，将发生缓冲区溢出。这些多余的数据将使程序的缓冲区溢出，然后覆盖了实际的程序数据，缓冲区溢出使目标系统的程序被修改，经过这种修改的结果使在系统上产生一个后门。,RPC

18、漏洞溢出,远程过程调用RPC（Remote Procedure Call)，是操作系统的一种消息传递功能，允许应用程序呼叫网络上的计算机。 当系统启动的时候，自动加载RPC服务。可以在服务列表中看到系统的RPC服务。,RPC漏洞溢出,操作： 利用工具scanms.exe文件检测RPC漏洞 利用工具软件attack.exe进行攻击。攻击的结果将在对方计算机上建立一个具有管理员权限的用户，并终止了对方的RPC服务。 使用工具软件OpenRpcSs.exe来给对方重启RPC服务。,知识点拒绝服务攻击,定义 方式,拒绝服务攻击,拒绝服务攻击的简称是：DoS（Denial of Service）攻击。

19、凡是造成目标计算机拒绝提供服务的攻击都称为DoS攻击，其目的是使目标计算机或网络无法提供正常的服务。,拒绝服务攻击,最常见的DoS攻击是：计算机网络带宽攻击和连通性攻击。 带宽攻击是以极大的通信量冲击网络，使网络所有可用的带宽都被消耗掉，最后导致合法用户的请求无法通过。 连通性攻击指用大量的连接请求冲击计算机，最终导致计算机无法再处理合法用户的请求。,第六章 网络后门与网络隐身,知识点,网络后门 木马 网络代理跳板 清除日志,知识点网络后门,留后门的目的及艺术 常见后门工具的使用 终端服务,留后门的目的及艺术,只要能不通过正常登录进入系统的途径都称之为网络后门。 网络后门是保持对目标主机长久控

20、制的关键策略。可以通过建立服务端口和克隆管理员帐号来实现。 后门的好坏取决于被管理员发现的概率。只要是不容易被发现的后门都是好后门。,常见后门工具的使用,操作 远程启动Telnet服务 记录管理员口令修改过程 建立Web服务和Telnet服务,远程启动Telnet服务,在运行窗口中输入tlntadmn.exe命令启动本地Telnet服务。 利用工具RTCS.vbe可以远程开启对方的Telnet服务，使用该工具需要知道对方具有管理员权限的用户名和密码。,记录管理员口令修改过程,当入侵到对方主机并得到管理员口令以后，就可以对主机进行长久入侵了，但是一个好的管理员一般每隔半个月左右就会修改一次密码，

21、这样已经得到的密码就不起作用了。 利用工具软件Win2kPass.exe记录修改的新密码，该软件将密码记录在Winnttemp目录下的Config.ini文件中，有时候文件名可能不是Config，但是扩展名一定是ini，该工具软件是有“自杀”的功能，就是当执行完毕后，自动删除自己。,建立Web服务和Telnet服务,使用工具软件wnc.exe可以在对方的主机上开启两个服务：Web服务和Telnet服务。 其中Web服务的端口是808，Telnet服务的端口是707。,建立Web服务和Telnet服务,操作： 执行wnc.exe 利用命令“netstat -an”来查看开启的808和707端口

22、测试Web服务 下载对方硬盘设置光盘上的任意文件 测试Telnet服务 将wnc.exe加到自启动程序列表中,知识点终端服务,查看终端服务 三种连接方法 命令行安装开启对方的终端服务,查看终端服务,终端服务是Windows操作系统自带的，可以通过图形界面远程操纵服务器。 在默认情况下，终端服务的端口号是3389。 查看 可以在系统服务中查看终端服务是否启动 使用命令“netstat -an”查看3389端口是否开放,三种连接终端服务的方法,利用Windows 2000自带的终端服务工具：mstsc.exe。该工具中只要设置要连接主机的IP地址和连接桌面的分辨率就可以。 第二种方法是使用Wind

23、ows XP自带的终端服务连接器：mstsc.exe。界面比较简单，只要输入对方的IP地址就可以。 使用Web方式连接。,安装并启动终端服务,假设对方不仅没有开启终端服务，而且没有安装终端服务所需要的软件。 使用工具软件djxyxs.exe，可以给对方安装并开启该服务。在该工具软件中已经包含了安装终端服务所需要的所有文件。 将软件上传并拷贝到对方服务器的Winnttemp目录下（必须放置在该目录下，否则安装不成功！），,知识点木马,木马的定义 木马与后门的区别 常见的木马使用,木马,木马是一种可以驻留在对方系统中的一种程序。 木马一般由两部分组成：服务器端和客户端。 驻留在对方服务器的称之为木

24、马的服务器端 远程的可以连到木马服务器的程序称之为客户端。 木马的功能是通过客户端可以操纵服务器，进而操纵对方的主机。,木马和后门的区别,木马程序在表面上看上去没有任何的损害，实际上隐藏着可以控制用户整个计算机系统、打开后门等危害系统安全的功能。 本质上，木马和后门都是提供网络后门的功能，但是木马的功能稍微强大一些，一般还有远程控制的功能；后门程序则功能比较单一，只是提供客户端能够登陆对方的主机。,常见木马的使用,常见的简单得木马有NetBus远程控制、“冰河”木马、PCAnyWhere远程控制等等。 操作： 使用“冰河”进行远程控制 配置服务器 查看并控制远程屏幕的菜单,知识点网络代理跳板,

25、网络代理跳板的作用 网络代理跳板工具的使用,网络代理跳板的作用,当从本地入侵其他主机的时候，自己的IP会暴露给对方。 通过将某一台主机设置为代理，通过该主机再入侵其他主机，这样就会留下代理的IP地址，这样就可以有效的保护自己的安全。,网络代理跳板的作用,可以选择更多的代理级别，但是考虑到网络带宽的问题，一般选择两到三级代理比较合适。 选择代理服务的原则是选择不同地区的主机作为代理。 可以选择做代理的主机有一个先决条件，必须先安装相关的代理软件，一般都是将已经被入侵的主机作为代理服务器。,网络代理跳板工具的使用,Snake的代理跳板，支持TCP/UDP代理，支持多个（最多达到255）跳板。 程序

26、文件为：SkSockServer.exe，代理方式为Sock5，并自动打开默认端口1813监听。 使用Snake代理跳板需要首先在每一级跳板主机上安装Snake代理服务器。,网络代理跳板工具的使用,操作： 首先将本地计算机设置为一级代理 在网络上其他的主机上设置二级代理 安装代理的客户端程序,知识点清除日志,清除IIS日志 清除主机日志,清除IIS日志,当用户访问某个IIS服务器以后，无论是正常的访问还是非正常的访问，IIS都会记录访问者的IP地址以及访问时间等信息。这些信息记录在WinntSystem32logFiles目录下。,IIS日志的格式,打开任一文件夹下的任一文件，可以看到IIS日

27、志的基本格式，记录了用户访问的服务器文件、用户登的时间、用户的IP地址以及用户浏览器以及操作系统的版本号。,清除IIS日志,最简单的方法是直接到该目录下删除这些文件夹，但是全部删除文件以后，一定会引起管理员的怀疑。 一般入侵的过程是短暂的，只会保存到一个Log文件，只要在该Log文件删除所有自己的记录就可以了。 操作： 使用工具软件CleanIISLog.exe,清除主机日志,主机日志包括三类的日志：应用程序日志、安全日志和系统日志。 可以在计算机上通过控制面板下的“事件查看器”查看日志信息。,清除主机日志,使用工具软件clearel.exe，可以方便的清除系统日志。 操作： 删除系统日志Cl

28、earel System 删除安全日志Clearel Security 删除应用程序日志Clearel Application 删除全部日志Clearel All,第7章 恶意代码分析与防治,知识点,恶意代码概述 恶意代码实现机理 恶意代码实现的关键技术 网络蠕虫 恶意代码防范方法,知识点恶意代码概述,研究恶意代码的必要性 恶意代码的主要特征 恶意代码长期存在的原因,恶意代码概述,代码是指计算机程序代码，可以被执行完成特定功能。 黑客们在编写编写扰乱社会和他人的计算机程序，这些代码统称为恶意代码（Malicious Codes）。,研究恶意代码的必要性,在Internet安全事件中，恶意代码造

29、成的经济损失占有最大的比例。 恶意代码主要包括计算机病毒（Virus）、蠕虫（Worm）、木马程序（Trojan Horse）、后门程序（Backdoor）、逻辑炸弹（Logic Bomb）等等。 恶意代码成为信息战、网络战的重要手段。日益严重的恶意代码问题，不仅使企业及用户蒙受了巨大经济损失，而且使国家的安全面临着严重威胁。,恶意代码3个主要特征,恶意代码日趋复杂和完善： 恶意代码编制方法及发布速度更快： 从病毒到电子邮件蠕虫，再到利用系统漏洞主动攻击的恶意代码,恶意代码长期存在的原因,计算机新技术的出现还很有可能使计算机系统的安全变得比以往更加脆弱。 恶意代码的一个主要特征是其针对性（针对

30、特定的脆弱点），这种针对性充分说明了恶意代码正是利用软件的脆弱性实现其恶意目的的。,知识点恶意代码实现机理,恶意代码的定义 恶意代码的攻击机制,恶意代码的定义,早期恶意代码的主要形式是计算机病毒。 将一种在运行过程中可以复制自身的破坏性程序，命名为计算机病毒，它是早期恶意代码的主要内容。 随后，把病毒定义为一个具有相同性质的程序集合，只要程序具有破坏、传染或模仿的特点，就可认为是计算机病毒。,恶意代码的定义,90 年代末，恶意代码的定义随着计算机网络技术的发展逐渐丰富 经过存储介质和网络进行传播，从一台计算机系统到另外一台计算机系统，未经授权认证破坏计算机系统完整性的程序或代码。 它包括计算机

31、病毒(Computer Virus)、蠕虫(Worms)、特洛伊木马(Trojan Horse)、逻辑炸弹(Logic Bombs)、病菌(Bacteria)、用户级RootKit、核心级RootKit、脚本恶意代码(Malicious Scripts)和恶意ActiveX 控件等。,恶意代码的定义,恶意代码两个显著的特点是：非授权性和破坏性。,恶意代码攻击机制,侵入系统。 维持或提升现有特权。 隐蔽策略。 潜伏。 破坏。 重复至对新的目标实施攻击过程。恶意代码的攻击模型如图2-1所示。,知识点恶意代码实现关键技术,恶意代码生存技术 恶意代码攻击技术 恶意代码的隐蔽技术,知识点恶意代码生存技术,反跟踪技术 加密技术 模糊变换技术 自动生产技术,反跟踪技术,恶意代码采用反跟踪技术可以提高自身的伪装能力和防破译能力，增加检测与清除恶意代码的难度。 目前常用的反跟踪技术有两类：反动态跟踪技术和反静态分析技术。,反动态跟踪技术,禁止跟踪中断。 封锁键盘输入和屏幕显示，破坏各种跟踪调试工具运行的必需环境； 检测跟踪法。 其它反跟踪技术。如指令流队列法和逆指令流法等。,反静态分析技术,对程序代码分块加密执行。 伪指令法(Junk Code)。,加密技术,加密技术是恶意代码自我保护的一种手段。 加密技术和反跟踪技术的配合使用，使得分析者无法正常调试和阅读恶意代码，不知道恶意代码的工作原