第9章 黑客技术

2.地址欺骗技术 在传统的网络中简单认证方式就是以主机的IP地址 作为认证的基础。
9.3.2 密码分析还原
密码的攻破理论上是不可行的，如果采用穷举攻击 的话，所用的时间将长到足够保证安全的程度。 但现实中，密码的破解却并不如理论中所保证的那 样困难。随着计算机运算速度的指数级提高，相同 的运算量所使用的时间明显地缩短。同时，对加密 算法的强度分析以及社会工程学的密码筛选技术的 不断发展，现实网络中的大量密码可以在可接受的 时间内被分析还原。密码分析与还原技术主要利用 的是人的惰性以及系统的错误配置。 只要严格要求网络所在用户的密码强度和复杂度， 还是可以避免大部分的攻击。
9.2.3 查点
查点就是搜索特定系统上用户和用户组名、路由表、 SNMP信息、共享资源、服务程序及旗标等信息。 查点所采用的技术依操作系统而定。 在Windows系统上主要采用的技术有“查点 NetBIOS”线路、空会话（Null Session）、SNMP 代理、活动目录（Active Directory）等。Windows 系统上主要使用以下工具： （1） Windows系统命令 net view、nbtstat、nbtscan及nltest。
1.开放信息源搜索 通过一些标准搜索引擎，揭示一些有价值的信息。 2.whois查询 whois是目标Internet域名注册数据库。通过对whois数据库 的查询，黑客能够得到以下用于发动攻击的重要信息。 3.DNS区域传送 DNS区域传送是一种DNS服务器的冗余机制。正常情况下， DNS区域传送操作只对辅DNS服务器开放。当配置错误时， 将导致任何主机均可请求主DNS服务器提供一个区域数据 的拷贝。能够实现DNS区域传送的常用工具有dig、 nslookup及Windows版本的 Sam Spade.
9.2.5 权限提升
一旦攻击者获得了系统上任意普通用户的访问权限 后，攻击者就会试图将普通用户权限提升至超级用 户权限，以便完成对系统的完全控制。权限提升所 采取的技术主要有通过得到的密码文件，利用现有 工具软件，破解系统上其他用户名及口令；利用不 同操作系统及服务的漏洞（例如Windows 2000 NetDDE漏洞），利用管理员不正确的系统配置等。 常用的口令破解工具有John The RIPper，得到 Windows NT管理员权限的工具有lc_message、 getadmin、sechole、Invisible Keystroke Logger （http://www.amecisco.com/iksnt.htm）。
9.2.2 扫描
确定目标网络范围内哪些系统是“活动”的，以及 它们提供哪些服务，以便集中精力在最有希望的途 径上发动攻击。 扫描中采用的主要技术有Ping扫射（Ping Sweep）、 TCP/UDP端口扫描、操作系统检测以及旗标 （banner）的获取。 1.Ping扫射 Ping扫射是判别主机是否“活动”的有效方式。常 用的ping扫射工具有操作系统的Ping命令及用于扫 射网段的fping、WS_ping等。
2.端口扫射 端口扫描就是连接到目标机的TCP和UDP端口上， 确定哪些服务正在运行及服务的版本号，以便发现 相应服务程序的漏洞。著名的扫描工具有UNIX系 统上运行的Netcat 、Nmap、 superscan、及 NetScan Tool Pro 2003。 3.操作系统检测 由于许多漏洞是和操作系统紧密相关的，因此，确 定操作系统类型对于黑客攻击目标来说也十分重要。 目前用于探测操作系统的技术主要可以分为两类： 利用系统旗标信息和利用TCP/IP堆栈指纹。每种 技术进一步细分为主动鉴别及被动鉴别。目前，常 用的检测工具有Nmap、Queso、Siphon。
第9章 黑客技术
9.1 9.2 9.3 9.4
黑客的动机 黑客攻击的流程 黑客技术概述 常见的网络攻击
9.1 黑客的动机
从黑客行为上划分，黑客有“善意”与“恶意”两 种，即所谓白帽（White Hat）及黑帽（Black Hat）。白帽长期致力于改善计算机社会及其资源， 为了改善服务质量及产品，他们不断寻找弱点及脆 弱性并公布于众。与白帽的动机相反，黑帽主要从 事一些破坏活动，从事的是一种犯罪行为。
著名的密码窃听工具有sniffer pro(http://www.sniffer.com)、TCPdump、 LC4(L0phtcrack version 4， http://www.atstake.com/research/lc/)、readsmb。 字典攻击工具有LC4、John the RIPper(http://www.openwall.com/john)、NAT、 SMBGrind(http://www.nai.com)及fgrind。
（2） 第三方软件 Netviewx(http://www.ibt.ku.dk/jesper/NetViewX/de fault.htm)； Userdump(http://www.hammerofgod.com/downloa d.htm); User2sid(http://www.ntbugtraq.com); GetAcct(http://securityfriday.com); DumpSec(http://www.somarsoft.com); Legion(http://www.legionlan.com); NAT(http://www.hackingexposed.com)。
（7） 政治目的 任何政治因素都会反映到网络领域。主要表现有： ①敌对国之间利用网络的破坏活动； ②个人及组织对政府不满而产生的破坏活动。这 类黑帽的动机不是钱，几乎永远都是为政治，一般 采用的手法包括更改网页、植入电脑病毒等。
9.2 黑客攻击的流程
图9.1 黑客攻击流程图
9.2.1 踩点
“踩点”原意为策划一项盗窃活动的准备阶段。 “踩点” 的主要目的是获取目标的如下信息： 1） 因特网网络域名、网络地址分配、域名服务器、邮件交 换主机、网关等关键系统的位置及软硬件信息。 （2）关注内联网内部网络的独立地址空间及名称空间。 （3） 远程访问模拟/数字电话号码和VPN访问点。 （4） 外联网与合作伙伴及子公司的网络的连接地址、连接 类型及访问控制机制。 （5） 开放资源未在前4类中列出的信息，例如 Usenet、雇 员配置文件等。
在UNIX系统上采用的技术有RPC查点、NIS查点、 NFS查点及SNMP查点等。UNIX系统上常用的工 具有rpcinfo、rpcdump、showmount、finger、 rwho、ruser、nmap、telnet、nc及snmpwalk等。
9.2.4 获取访问权
在搜集到目标系统的足够信息后，下一步要完成的 工作自然是得到目标系统的访问权进而完成对目标 系统的入侵。对于Windows系统采用的主要技术有 NetBIOSSMB密码猜测、窃听LM及NTLM认证 散列、攻击IIS Web服务器及远程缓冲区溢出。而 UNIX系统采用的主要技术有蛮力密码攻击；密码 窃听；通过向某个活动的服务发送精心构造的数据， 以产生攻击者所希望的结果的数据驱动式攻击(例 如缓冲区溢出、输入验证、字典攻击等)；RPC攻 击；NFS攻击以及针对X-Windows系统的攻击等。
9.2.9 拒绝服务攻击
如果黑客未能成功地完成第四步的获取访问权，那 么他们可能采取拒绝服务攻击。
9.3 黑客技术概述
黑客主要是通过对技术和实际实现中的逻辑漏洞进 行挖掘，通过系统允许的操作对没有权限操作的信 息资源进行访问和处理。目前，黑客对网络的攻击 主要是通过网络中存在的拓扑漏洞以及对外提供服 务的实现漏洞实现成功的渗透。
9.2.8 创建后门
最后，黑客在受害系统上创建一些后门及陷阱，以 便入侵者可再次入侵。创建后门的主要方法有创建 具有特权用户权限的虚假用户账号、安装批处理、 安装远程控制工具、使用木马程序替换系统程序、 安装监控机制及感染启动文件等。
黑客常用的工具有rootkit、 sub7(http://www.sub7.net)、cron、at、UNIX的rc、 Windows启动文件夹、 Netcat(http://www.atstake.com/research/tools)、 VNC(http://www.realvnc.com)、 BO2K(http://sourceforge.net/projects/bo2k)、 secadmin、Invisible Keystroke Logger、 remove.exe等。
4.旗标获取 最后一种扫描手段是旗标获取。在旗标获取方法中， 连接到一个端口，按 Enter 键几次，看返回什么类 型的信息。 例如： \[Netat_svr#\] Telnet 192.168.5.33 22 SSH-1.99-OpenSSH_3.1p1 表明该端口提供SSH服务，版本号为3.1p1。
1.密码还原技术 密码还原技术主要针对的是强度较低的加密算法。 通过对加密过程的分析，从加密算法中找出算法的 薄弱环节，从加密样本中直接分析出相关的密钥和 明文。 从理论和实践中还没出现对应的密码还原过程，因 此密码还原技术的使用并不多。
2.密码猜测技术 对于一般的成熟加密算法，密码攻击主要使用的是 密码猜测技术。密码猜测技术的原理主要是利用穷 举的方法猜测可能的明文密码，将猜测的明文经过 加密后与实际的密文进行比较，如果所猜测的密文 与实际的密文相符，则表明密码攻击成功。 密码猜测技术的核心在于如何根据已知的信息调整 密码猜测的过程，在尽可能短的时间内破解密码。 原因是许多人在选择密码时，技巧性都不是很好， 密码复杂性不高,规律性太强,包含了个人信息等缺 点为密码猜测技术提供了很大的可能性。
目前，在实施网络攻击中，黑客所使用的入侵技术 主要包括以下几种： 协议漏洞渗透； 密码分析还原； 应用漏洞分析与渗透； 社会工程学； 拒绝服务攻击； 病毒或后门攻击。
9.3.1 协议漏洞渗透
网络中包含着种类繁多但层次清晰的网络协议规范。 这些协议规范对安全的考虑有着先天的不足，部分 网络协议具有严重的安全漏洞。 1.会话侦听与劫持技术 传统的以太网络使用共享的方式完成对数据分组的 传送。根据共享式的网络环境的数据共享特性，黑 客技术中出现了会话窃听与劫持技术。
9.3.3 应用漏洞分析与渗透
任何的应用程序都不可避免地存在着一些逻辑漏洞。 几乎每天都有人宣布发现了某个操作系统的安全漏 洞。而这些安全漏洞也就成为了入侵者的攻击对象。 通过对这些安全漏洞的分析，确认漏洞的引发方式 以及引发后对系统造成的影响，攻击者可以使用合 适的攻击程序引发漏洞的启动，破坏整个服务系统 的运行过程，进而渗透到服务系统中，造成目标网 络的损失。 应用漏洞从错误类型上主要包括服务流程漏洞和边 界条件漏洞。
Biblioteka Baidu
9.2.6 窃取
窃取一些敏感数据或进行篡改、添加、删除及复制。通过 对敏感数据的分析，为进一步攻击应用系统做准备。
9.2.7 掩盖跟踪
黑客入侵系统成功后，为了不引起管理员的注意。此时， 黑客需要做清除所有入侵痕迹，避免自己被检测出来，以 便能够随时返回被入侵系统继续干坏事或作为入侵其他系 统的中继跳板。掩盖踪迹的主要工作有禁止系统审计、清 空事件日志、隐藏作案工具及使用人们称为rootkit的工具 组替换那些常用的操作系统命令。常用的清除日志工具有 zap、wzap、wted。
大量的案例分析表明黑帽具有以下主要犯罪动机。 （1） 好奇心 （2） 个人声望 通过破坏具有高价值的目标以提高在黑客社会中的 可信度及知名度。 （3） 智力挑战 为了向自己的智力极限挑战或为了向他人炫耀，证 明自己的能力；还有些甚至不过是想做个“游戏高 手”或仅仅为了“玩玩”而已。
（4） 窃取情报 在Internet上监视个人、企业及竞争对手的活动信 息及数据文件，以达到窃取情报的目的。 （5） 报复 电脑罪犯感到其雇主本该提升自己、增加薪水或以 其他方式承认他的工作。电脑犯罪活动成为他反击 雇主的方法，也希望借此引起别人的注意。 （6） 金钱 有相当一部分电脑犯罪是为了赚取金钱。