网络攻击与防御第二章 信息收集

intext: 将网页中正文中的字符作为搜索条件，例如：输入 “intext:安全”，将搜索出正文里包含“安全”关键字的 网页。
allintext: 与intext类似。
intitle: 在网页标题中搜索包含关键字的网页，例如：输入 “intitle:管理”，即可找出网页标题中包含“管理”的网 页。
◦ 对于“黑客”来说，这是个很有用的功能，他可以大概分析出你所 在网络的状况。这对于第一步的周边网络环境信息收集很有用。
tracert ：用IP生存时间TTL字段和ICMP错误消息来确定 从一个主机到网络上其他主机的路由。
Байду номын сангаас
网络连通性探测--ping
作用和特点
✓用来判断目标是否活动； ✓最常用； ✓最简单的探测手段； ✓Ping 程序一般是直接实现在系统内核中的，而不是 一个用户进程。
FS2ONru.ep7entee,BnBS2SBSoD.S8DlaDr4i2s.1.26, .,452..01TH.7,,TK,32LE.值.4Y6_,的L注OC册A表LWWWWI段C_位iiiiM值nnnnM置ddddPA为oooo回Cwwww1H显ssss2IN8NN2X应EP0TT答\044S0的YWSSeRrTTKvTEeSLMr 字\Curr
语法
操作关键符：搜索关键字 [空格] 操作关键符：搜索关键字 …
示例
◦ 我们在Google的搜索框中输入如下内容： site:target.com filetype:asp
◦ 其中site和filetype就是操作关键符，而target.com和asp 就是搜索关键字
◦ 点击搜索之后就会显示target.com这个域名的asp网页链 接地址
首先用google先看这个站点的一些基本情况 site:xxxx.com
从返回的信息中，找到二级域名： http://a1.xxxx.com http://a2.xxxx.com http://a3.xxxx.com http://a4.xxxx.com
ping一下，先看看有什么好东西没: site:xxxx.com filetype:doc
能探测同一局域网内的主机，因为防火墙不能阻断ARP请求。
info: 查找指定站点的基本信息。
inurl: 查找在url中包含搜索词的网页，例如：黑客惯用的 “inurl:admin”偶尔就能搜索出网站的登录页面，从而进 行下一步的攻击。
link: 搜索与某网站做了链接的网页，例如：输入 “link:www.baidu.com”即可搜索出包含有链接到 “www.baidu.com”的网页（这个可以用来找出有多少网 页在链接你的网站哦）。
site: 用于搜索某一域内的网页，例如：输入“site:sohu.com”，
即可实现在“sohu.com”域内搜索的目的。
还有一些符号在搜索中也是很有用的： + 必须包含有的搜索词； - 不能包含的搜索词； ~ 搜索同意词； . 单一通配符； * 通配符，可匹配多个字符； “” 精确的查询。
先找找网站的管理后台地址： site:xxxx.com intext:管理 site:xxxx.com inurl:login site:xxxx.com intitle:管理
获得2个管理后台地址： http://a2.xxxx.com/sys/admin_login.asp http://a3.xxxx.com:88/_admin/login_in.asp
allintitle: 与intitle类似。
cache: 在google的缓存里搜索，这里可能会找到很多很有用的 东西哦，虽然此刻网页已经删除，但google服务器里还 保存有。
define: 查找词语的定义，例如：输入“define hacker”，即可找 到“hacker”的相关定义。
看看服务器上跑的是什么程序： site:a2.xxxx.com filetype:asp site:a2.xxxx.com filetype:php site:a2.xxxx.com filetype:aspx site:a3.xxxx.com filetype:asp
有论坛那就看看能不能遇见什么公共的FTP帐号什 么的： site:a2.xxxx.com intext:ftp://*:*
Whois查询方式
◦ Unix系统中可使用whois命令 ◦ 通过提供whois服务的网站
http://www.internic.net/whois.html http://www.whois.net http://www.allwhois.com/
网络Ip地址分配
网络域名 使用单位 地址
再看看有没有上传一类的漏洞： site:a2.xxxx.com inurl:file site:a3.xxxx.com inurl:load
域名：为了方便记忆而专门建立的一套地址转换系 统。一个域名对应一个IP地址，而多个域名可以同 时被解析到一个IP地址。
域名解析：域名到IP地址的转换过程。
举例1：
Reply from 192.168.3.10: bytes=32 time<1ms TTL=32
Reply from 192.168.3.10 表示回应ping的ip 地址是192.168.3.10。
bytes=32 表示回应报文的大小，这里是32字节。
time<1ms表示回应所花费的时间，小于1毫秒。
HI段CPM值UP为X回12显05.5应20答的es据不Tn其就能TtCL中是大o字n有默于tr个认十olD的进See制Tfta\TSu的Lel值t2rTv5T了i5cL。，e的s我\DTWc们pO可ipR\以PDa修值ra改，m，其et但数er
ARP请求广播 ARP请求广播 ARP回应
ARP请求广播
域名解析服务器：DNS—Domain Name System。
两种模式：交互式和非交互式。 非交互式模式：
◦ Nslookup – DNS服务器或IP地址 ◦ Nslookup
>? //查看help
Nslookup
set querytype=any xxx.xxx #输入域名后根据输出内容找到dns服务
intitle:"index of" etc intitle:"Index of" .sh_history intitle:"Index of" .bash_history intitle:"index of" passwd intitle:"index of" people.lst intitle:"index of" pwd.db intitle:"index of" etc/shadow intitle:"index of" spwd intitle:"index of" master.passwd intitle:"index of" htpasswd
概念
信息收集是指通过各种方式获取所需要的信息。信息收集 是信息得以利用的第一步，也是关键的一步。信息收集工 作的好坏，直接关系到入侵与防御的成功与否。
为了保证信息收集的质量，应坚持以下原则：
（1）准确性原则 该原则要求所收集到的信息要真实，可靠。这是最基本的 要求。 （2）全面性原则 该原则要求所搜集到的信息要广泛，全面完整。 （3）时效性原则 信息的利用价值取决于该信息是否能及时地提供，即它的 时效性。信息只有及时、迅速地提供给它的使用者才能有 效地发挥作用。
常规信息收集
Whois网站
◦ http://whois.webhosting.info/
自动检测工具
◦ Domain
搜索引擎是自动从因特网收集信息，经过一定整理 以后，提供给用户进行查询的系统。它包括信息搜 集、信息整理和用户查询三部分。
主流搜索引擎：
◦ Google ◦ Baidu ◦ 天网 ◦…
ping
原理
类型为8，表示“回响请求”
Type = 8
主机A
Type = 0
主机B
类型为0，表示“回响应答”
类型8 代码0
校验和
回显请求
回显应答 类型0 代码0 校验和
主机在线情况
类型8 代码0
校验和
回显请求
不在线
主机不应答情况
1）主机不在线 2）防火墙阻断ICMP探测
ping
表示192.168.1.25机器不在线； 或者防火墙阻断。
网络信息探测
◦ 基于whois数据库的信息探测 ◦ 基于搜索引擎的信息探测 ◦ IP所在地理位置的信息探测
域名信息探测 网络连通性探测 路由信息探测 局域网信息探测
技术原理
◦ Whois是查询Internet注册信息的标准协议、服务，它可 提供：
网络注册机构 网络域名 主机信息 网络IP地址分配 网络管理人员信息，如电子邮件、电话号码等
filetype: 查找指定类型的网页，这个关键字非常有用，例如：输入 “filetype:bak”即可找出文件类型为bak的文件（该文件 很可能由各种编辑器自动备份产生，有可能找到网站的源 码）；又如，通常黑客会尝试下载网站的数据库文件 （*.mdb），即可用“filetype:mdb”来搜索，找到数据 库文件后直接下载，或许就能得到网站的权限。
器 primary name server = ns1.xxx.xxx.xxx server ns1.xxx.xxx.xxx #连接DNS服务器 ls -d xxx.xxx
概念
路由跟踪就是从本地开始到达某一目标地址所经过的路由 设备，并显示出这些路由设备的IP、连接时间等信息。 作用：
◦ 如果某段网络不通或网速很慢，可以利用路由跟踪找出某故障地点， 方便维护人员的维护工作。
intitle:phpmyadmin intext:Create new database
allinurl:bbs data filetype:mdb inurl:database filetype:inc conn inurl:data filetype:mdb intitle:"index of" data
TTL=32，TTL是生存时间，报文经过一个路由 器就减1，如果减到0就会被抛弃。这里是32。
LINUX Kernel 2.2.x & 2.4.x
ICMP 回显应答的 TTL 字 段值为 64
Windows 95/98/98SE Windows ME ICMP 回显应答的 TTL 字
段值为 32