入侵的基本步骤计算机网络信息安全计算机网络信息安全.pdf

《入侵的基本步骤计算机网络信息安全计算机网络信息安全.pdf》由会员分享，可在线阅读，更多相关《入侵的基本步骤计算机网络信息安全计算机网络信息安全.pdf（6页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、黑客攻击的基本步骤 不要步骤化，只是提供基本思路！在实践中，观察，分析，灵活，这样才可能成功。被条条 框框限制住，很难成功的。黑客攻击的基本步骤：搜集信息 实施入侵 上传程序、下载数据 利用一些方法来保持访问，如后门、特洛伊木马 隐藏踪迹 信息搜集 在攻击者对特定的网络资源进行攻击以前，他们需要了解将要攻击的环境，这需要搜集 汇总各种与目标系统相关的信息，包括机器数目、类型、操作系统等等。踩点和扫描的目的 都是进行信息的搜集。攻击者搜集目标信息一般采用 7 个基本步骤，每一步均有可利用的工具，攻击者使用 它们得到攻击目标所需要的信息。找到初始信息 找到网络的地址范围 找到活动的机器 找到开放端

2、口和入口点 弄清操作系统 弄清每个端口运行的是哪种服务 画出网络图 1.找到初始信息 攻击者危害一台机器需要有初始信息，比如一个 IP 地址或一个域名。实际上获取域名 是很容易的一件事，然后攻击者会根据已知的域名搜集关于这个站点的信息。比如服务器的 IP 地址（不幸的是服务器通常使用静态的 IP 地址）或者这个站点的工作人员，这些都能够 帮助发起一次成功的攻击。搜集初始信息的一些方法包括：开放来源信息（open source information）在一些情况下，公司会在不知不觉中泄露了大量信息。公司认为是一般公开的以及能争 取客户的信息，都能为攻击者利用。这种信息一般被称为开放来源信息。开放

3、的来源是关于公司或者它的合作伙伴的一般、公开的信息，任何人能够得到。这意 味着存取或者分析这种信息比较容易，并且没有犯罪的因素，是很合法的。这里列出几种获 取信息的例子：公司新闻信息：如某公司为展示其技术的先进性和能为客户提供最好的监控能力、容错 能力、服务速度，往往会不经意间泄露了系统的操作平台、交换机型号、及基本的线路连接。公司员工信息：大多数公司网站上附有姓名地址簿，在上面不仅能发现 CEO 和财务总 监，也可能知道公司的 VP 和主管是谁。新闻组：现在越来越多的技术人员使用新闻组、论坛来帮助解决公司的问题，攻击者看 这些要求并把他们与电子信箱中的公司名匹配，这样就能提供一些有用的信息。

4、使攻击者知 道公司有什么设备，也帮助他们揣测出技术支持人员的水平 Whois 对于攻击者而言，任何有域名的公司必定泄露某些信息！攻击者会对一个域名执行 whois 程序以找到附加的信息。Unix 的大多数版本装有 whois，所以攻击者只需在终端窗口或者命令提示行前敲入 whois 要攻击的域名 就可以 了。对于 windows 操作系统，要执行 whois 查找，需要一个第三方的工具，如 sam spade。通过查看 whois 的输出，攻击者会得到一些非常有用的信息：得到一个物理地址、一 些人名和电话号码（可利用来发起一次社交工程攻击）。非常重要的是通过 whois 可获得攻 击域的主要的

5、（及次要的）服务器 IP 地址。Nslookup 找到附加 IP 地址的一个方法是对一个特定域询问 DNS。这些域名服务器包括了特定域 的所有信息和链接到网络上所需的全部数据。任何网络都需要的一条信息，如果是打算发送 或者接受信件，是 mx 记录。这条记录包含邮件服务器的 IP 地址。大多数公司也把网络服 务器和其他 IP 放到域名服务器记录中。大多数 UNIX 和 NT 系统中，nslookup 代理或者攻 击者能够使用一个第三方工具，比如 spade。另一个得到地址的简单方法是 ping 域名。Ping 一个域名时，程序做的第一件事情是设 法把主机名解析为 IP 地址并输出到屏幕。攻击者得

6、到网络的地址，能够把此网络当作初始 点。成功的黑客攻击的基本步骤搜集信息实施入侵上传程序下载数据利用一些方法来保持访问如后门特洛伊木马隐藏踪迹信息搜集在攻击者对特定的网络资源进行攻击以前他们需要了解将要攻击的环境这需要搜集汇总各种与目标系统相本步骤每一步均有可利用的工具攻击者使用它们得到攻击目标所需要的信息找到初始信息找到网络的地址范围找到活动的机器找到开放端口入口点弄清操作系统弄清每个端口运行的是哪种服务画出网络图找到初始信息攻击者危害一搜集关于这个站点的信息比如服务器的地址不幸的是服务器通常使用静态的地址或者这个站点的工作人员这些都能够帮助发起一次成功的攻击搜集初始信息的一些方法包括开放来

7、源信息在一些情况下公司会在不知不觉中泄露了大量2.找到网络的地址范围 当攻击者有一些机器的 IP 地址，他下一步需要找出网络的地址范围或者子网掩码。需要知道地址范围的主要原因是：保证攻击者能集中精力对付一个网络而没有闯入其它 网络。这样做有两个原因：第一，假设有地址 10.10.10.5，要扫描整个 A 类地址需要一段 时间。如果正在跟踪的目标只是地址的一个小子集，那么就无需浪费时间；第二，一些公司 有比其他公司更好的安全性。因此跟踪较大的地址空间增加了危险。如攻击者可能能够闯入 有良好安全性的公司，而它会报告这次攻击并发出报警。攻击者能用两种方法找到这一信息，容易的方法是使用 America

8、 Registry for Internet Numbers（ARIN）whois 搜索找到信息；困难的方法是使用 tranceroute 解析结果。（1）ARIN 允许任何人搜索 whois 数据库找到 网络上的定位信息、自治系统号码（ASN）、有关的网络句柄和其他有关的接触点（POC）。基本上，常规的 whois 会提供关 于域名的信息。ARINwhois 允许询问 IP 地址，帮助找到关于子网地址和网络如何被分割的 策略信息。（2）Traceroute 可以知道一个数据包通过网络的路径。因此利用这一信息，能决定 主机是否在相同的网络上。连接到 internet 上的公司有一个外部服务器把

9、网络连到 ISP 或者 Internet 上，所有去公 司的流量必须通过外部路由器，否则没有办法进入网络，并且大多数公司有防火墙，所以 traceroute 输出的最后一跳会是目的机器，倒数第二跳会是防火墙，倒数第三跳会是外部路 由器。通过相同外部路由器的所有机器属于同一网络，通常也属于同一公司。因此攻击者查 看通过 tranceroute 到达的各种 ip 地址，看这些机器是否通过相同的外部路由器，就知道它 们是否属于同一网络。这里讨论了攻击者进入和决定公司地址范围的两种方法。既然有了地址范围，攻击者能 继续搜集信息，下一步是找到网络上活动的机器。3.找到活动的机器 在知道了 IP 地址范围

10、后，攻击者想知道哪些机器是活动的，哪些不是。公司里一天中 不同的时间有不同的机器在活动。一般攻击者在白天寻找活动的机器，然后在深夜再次查找，他就能区分工作站和服务器。服务器会一直被使用，而工作站只在正常工作日是活动的。Ping:使用 ping 可以找到网络上哪些机器是活动的。Pingwar：ping 有一个缺点，一次只能 ping 一台机器。攻击者希望同时 ping 多台机器，看哪些有反应，这种技术一般被称为 ping sweeping。Ping war 就是一个这样的有用程序。Nmap：Nmap 也能用来确定哪些机器是活动的。Nmap 是一个有多用途的工具，它主 要是一个端口扫描仪，但也能

11、ping sweep 一个地址范围。成功的黑客攻击的基本步骤搜集信息实施入侵上传程序下载数据利用一些方法来保持访问如后门特洛伊木马隐藏踪迹信息搜集在攻击者对特定的网络资源进行攻击以前他们需要了解将要攻击的环境这需要搜集汇总各种与目标系统相本步骤每一步均有可利用的工具攻击者使用它们得到攻击目标所需要的信息找到初始信息找到网络的地址范围找到活动的机器找到开放端口入口点弄清操作系统弄清每个端口运行的是哪种服务画出网络图找到初始信息攻击者危害一搜集关于这个站点的信息比如服务器的地址不幸的是服务器通常使用静态的地址或者这个站点的工作人员这些都能够帮助发起一次成功的攻击搜集初始信息的一些方法包括开放来源信

12、息在一些情况下公司会在不知不觉中泄露了大量4.找到开放端口和入口点（1）Port Scanners：为了确定系统中哪一个端口是开放的，攻击者会使用被称为 port scanner（端口扫描仪）的程序。端口扫描仪在一系列端口上运行以找出哪些是开放的。选择端口扫描仪的两个关键特征：第一，它能一次扫描一个地址范围；第二，能设定程 序扫描的端口范围。（能扫描 1 到 65535 的整个范围。）目前流行的扫描类型是：TCP conntect 扫描 TCP SYN 扫描 FIN 扫描 ACK 扫描 常用端口扫描程序有：ScanPort：使用在 Windows 环境下，是非常基础的端口扫描仪，能详细列出地址

13、范围 和扫描的端口地址范围。Nmap：在 UNIX 环境下推荐的端口扫描仪是 Nmap。Nmap 不止是端口扫描仪，也是 安全工具箱中必不可少的工具。Namp 能够运行前面谈到的不同类型的。运行了端口扫描仪后，攻击者对进入计算机系统的入口点有了真正的方法。（2）War Dialing 进入网络的另一个普通入口点是 modem（调制解调器）。用来找到网络上的 modem 的 程序被称为 war dialers。基本上当提交了要扫描的开始电话号码或者号码范围，它就会拨 叫每一个号码寻找 modem 回答，如果有 modem 回答了，它就会记录下这一信息。THC-SCAN 是常用的 war dial

14、er 程序。5.弄清操作系统 攻击者知道哪些机器是活动的和哪些端口是开放的，下一步是要识别每台主机运行哪种 操作系统。有一些探测远程主机并确定在运行哪种操作系统的程序。这些程序通过向远程主机发送 不成功的黑客攻击的基本步骤搜集信息实施入侵上传程序下载数据利用一些方法来保持访问如后门特洛伊木马隐藏踪迹信息搜集在攻击者对特定的网络资源进行攻击以前他们需要了解将要攻击的环境这需要搜集汇总各种与目标系统相本步骤每一步均有可利用的工具攻击者使用它们得到攻击目标所需要的信息找到初始信息找到网络的地址范围找到活动的机器找到开放端口入口点弄清操作系统弄清每个端口运行的是哪种服务画出网络图找到初始信息攻击者危害

15、一搜集关于这个站点的信息比如服务器的地址不幸的是服务器通常使用静态的地址或者这个站点的工作人员这些都能够帮助发起一次成功的攻击搜集初始信息的一些方法包括开放来源信息在一些情况下公司会在不知不觉中泄露了大量平常的或者没有意义的数据包来完成。因为这些数据包 RFC（internet 标准）没有列出，一个操作系统对它们的处理方法不同，攻击者通过解析输出，能够弄清自己正在访问的是什 么类型的设备和在运行哪种操作系统。Queso：是最 早实现这个功能的程序。Queso 目前能够鉴别出范围从 microsoft 到 unix 和 cisco 路由器的大约 100 种不同的设备。Nmap：具有和 Queso

16、 相同的功能，可以说它是一个全能的工具。目前它能检测出接 近 400 种不同的设备。6.弄清每个端口运行的是哪种服务（1）default port and OS 基于公有的配置和软件，攻击者能够比较准确地判断出每个端口在运行什么服务。例如 如果知道操作系统是 unix 和端口 25 是开放的，他能判断出机器正在运行 sendmail，如果 操作系统是 Microsoft NT 和端口是 25 是开放的，他能判断出正在运行 Exchange。（2）Telnet telnet 是安装在大多数操作系统中的一个程序，它能连接到目的机器的特定端口上。攻 击者使用这类程序连接到开放的端口上，敲击几次回车键

17、，大多数操作系统的默认安装显示 了关于给定的端口在运行何种服务的标题信息。（3）Vulnerability Scanners Vulnerability Scanners（弱点扫描器）是能被运行来对付一个站点的程序，它向黑客提 供一张目标主机弱点的清单。7.画出网络图 进展到这个阶段，攻击者得到了各种信息，现在可以画出网络图使他能找出最好的入侵 方法。攻击者可以使用 traceroute 或者 ping 来找到这个信息，也可以使用诸如 cheops 那 样的程序，它可以自动地画出网络图。Traceroute Traceroute 是用来确定从源到目的地路径的程序，结合这个信息，攻击者可确定网络

18、的 布局图和每一个部件的位置。Visual Ping Visual Ping 是一个真实展示包经过网络的路线的程序。它不仅向攻击者展示了经过的 系统，也展示了系统的地理位置。成功的黑客攻击的基本步骤搜集信息实施入侵上传程序下载数据利用一些方法来保持访问如后门特洛伊木马隐藏踪迹信息搜集在攻击者对特定的网络资源进行攻击以前他们需要了解将要攻击的环境这需要搜集汇总各种与目标系统相本步骤每一步均有可利用的工具攻击者使用它们得到攻击目标所需要的信息找到初始信息找到网络的地址范围找到活动的机器找到开放端口入口点弄清操作系统弄清每个端口运行的是哪种服务画出网络图找到初始信息攻击者危害一搜集关于这个站点的信息

19、比如服务器的地址不幸的是服务器通常使用静态的地址或者这个站点的工作人员这些都能够帮助发起一次成功的攻击搜集初始信息的一些方法包括开放来源信息在一些情况下公司会在不知不觉中泄露了大量Cheops Cheops 利用了用于绘制网络图并展示网络的图形表示的技术，是使整个过程自动化的 程序。如果从网络上运行，能够绘出它访问的网络部分。经过一系列的前期准备，攻击者搜集了很多信息，有了一张网络的详尽图，确切地知道 每一台机器正在使用的软件和版本，并掌握了系统中的一些弱点和漏洞。我们可以想象一下，他成功地攻击网络会很困难吗？回答是否定的！当拥有了那些信息后，网络实际上相当于受 到了攻击。因此，保证安全让攻击

20、者只得到有限的网络信息是关键！成功的黑客攻击的基本步骤搜集信息实施入侵上传程序下载数据利用一些方法来保持访问如后门特洛伊木马隐藏踪迹信息搜集在攻击者对特定的网络资源进行攻击以前他们需要了解将要攻击的环境这需要搜集汇总各种与目标系统相本步骤每一步均有可利用的工具攻击者使用它们得到攻击目标所需要的信息找到初始信息找到网络的地址范围找到活动的机器找到开放端口入口点弄清操作系统弄清每个端口运行的是哪种服务画出网络图找到初始信息攻击者危害一搜集关于这个站点的信息比如服务器的地址不幸的是服务器通常使用静态的地址或者这个站点的工作人员这些都能够帮助发起一次成功的攻击搜集初始信息的一些方法包括开放来源信息在一些情况下公司会在不知不觉中泄露了大量