入侵方法与手段

• 黑客入侵模型与原理

• 漏洞扫描

• 口令破解

• 拒绝服务攻击

• 缓冲区溢出攻击

• 格式化字符串攻击

• 跨站脚本攻击

• SQL Injection攻击

黑客入侵步骤

常见安全威胁

• 口令破解

• 拒绝服务（DoS）攻击

• 缓冲区溢出攻击

• 格式化字符串攻击

• 特洛伊木马

• 网络监听等等

主要入侵攻击方法

主机渗透攻击方法

• 口令破解

• 漏洞攻击

• 特洛伊木马攻击

网络攻击方法

• 拒绝服务攻击

• IP地址欺骗

• 网络监听

其他攻击方法

• 病毒攻击

  • 随着蠕虫病毒的泛滥以及蠕虫、计算机病毒、木马和黑客攻击程序的结合，病毒攻击成为了互联网发展以来遇到的巨大挑战。

• 社会工程攻击

  • 社会工程学其实就是一个陷阱，黑客通常以交谈、欺骗、假冒或口语等方式，从合法用户中套取用户系统的秘密。

漏洞扫描

• 扫描器：扫描器是一种通过收集系统的信息来自动监测远程或本地主机安全性弱点的程序，通过使用扫描器，可以发现远程服务器的各种TCP端口的分配及提供的服务和它们的软件版本。这就能让黑客或管理员间接或直接的了解到远程主机存在的安全问题。

• 扫描器有三项功能：1、发现一个主机或网络；2、一旦发现一台主机，可以发现有什么服务程序正运行在这台主机上；3、通过测试这些服务，发现漏洞。

TCP Connect扫描

TCP SYN扫描

这种扫描方法没有建立完整的TCP连接，有时也被称为“半打开扫描（half-open scanning）”。其步骤是先往端口发送一个SYN分组。如果收到一个来自目标端口的SYN/ACK分组，那么可以推断该端口处于监听状态。如果收到一个RST/ACK分组，那么它通常说明该端口不在监听。执行端口的系统随后发送一个RST/ACK分组，这样并未建立一个完整的连接。这种技巧的优势比完整的TCP连接隐蔽，目标系统的日志中一般不记录未完成的TCP连接。

TCP FIN扫描

这种扫描方法是直接往目标主机的端口上发送FIN分组。按照RFC793，当一个FIN分组到达一个关闭的端口，数据包会被丢掉，并且回返回一个RST分组。否则，当一个FIN分组到达一个打开的端口，分组只是简单地被丢掉（不返回RST分组）。

TCP Xmas扫描

无论TCP全连接扫描还是TCP SYN扫描，由于涉及TCP三次握手很容易被远程主机记录下来。Xmas扫描由于不包含标准的TCP三次握手协议的任何部分，所以无法被记录下来，从而比SYN扫描隐蔽得多。这种扫描向目标端口发送一个FIN、URG和PUSH分组。按照RFC793，目标系统应该给所有关闭着的端口发回一个RST分组。

TCP 空扫描

这种扫描发送一个关闭掉所有标志位的分组，按照RFC 793，目标系统应该给所有关闭着的端口返回一个RST分组。

TCP ACK扫描

这种扫描一般用来侦测防火墙，他可以确定防火墙是否只是支持简单的分组过滤技术，还是支持高级的基于状态检测的包过滤技术。

UDP扫描

这种扫描往目标主机的端口发送UDP数据分组，如果目标端口是关闭状态，则返回一个“ICMP端口不可达（ICMP port unreachable）”消息。否则，如果没有收到上述返回信息，可以判断该端口是开启的。

OS Fingerprint技术

辨识一个操作系统是OS Fingerprint技术，常见的方法有：

• 一些端口服务的提示信息，例如，telnet、http、ftp等服务的提示信息；

• TCP/IP栈指纹；

• DNS泄漏出OS系统等等。

口令破解

口令破解是获得系统最高权限帐户的最有效的途径之一。

Windows口令文件的格式及安全机制

Windows NT及Windows2000中对用户帐户的安全管理使用了安全帐号管理器（SAM, Security Account Manager）的机制，SAM是组成注册表的5个配置单元之一，口令在SAM中通过单向函数（One-way Function, OWF）加密，SAM文件存放在“%systemroot%\system32\ config\sam”（在域服务器中，SAM文件存放在活动目录中，默认地址“%system32%\ntds\ ntds.dit”）。

Unix口令文件的格式及安全机制

• Unix系统中帐户信息存放在passwd文件中，口令可以实用DES或MD5加密后存放在shadow文件中。

• passwd使用的是存文本的格式保存信息。

• UNIX中的passwd文件中每一行都代表一个用户资料，每一个账号都有七部分资料，不同资料中使用“:”分割。

拒绝服务攻击

• 拒绝服务攻击的主要目的是使被攻击的网络或服务器不能提供正常的服务。
• DoS的攻击方式有很多种。最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，致使服务超载，无法响应其他的请求。

SYN湮没

• SYN是TCP/IP协议建立连接时使用的握手信号。

• 这种攻击向一台服务器发送许多SYN消息，该消息中携带的源地址根本不可用，但是服务器会当真的SYN请求处理，当服务器尝试为每个请求消息分配连接来应答这些SYN请求时，服务器就没有其它资源来处理来真正用户的合法SYN请求了。

Land攻击

• Land攻击和其它拒绝服务攻击相似，也是通过利用某些操作系统在TCP/IP协议实现方式上的漏洞来破坏主机。

• 在Land攻击中，一个精心制造的SYN数据包中的源地址和目标地址都被设置成某一个服务器地址，这将导致接收到这个数据包的服务器向它自己发送SYN-ACK消息，结果又返回ACK消息并创建一个空连接……每个这样的连接都将一直保持到超时。

• 不同的操作系统对Land攻击反应不同，多数UNIX操作系统将崩溃，而Windows NT会变的极其缓慢（大约持续五分钟）。

Smurf攻击

• Smurf攻击是以最初发动这种攻击的程序名Smurf来命名。这种攻击方法结合使用了IP欺骗和ICMP回复方法使大量数据充斥目标系统，引起目标系统不能为正常系统进行服务。

• 简单的Smurf攻击将ICMP应答请求（ping）数据包的回复地址设置成受害网络的广播地址，最终导致该网络的所有主机都对此ICMP应答请求作出答复，从而导致网络阻塞。因此它比ping of death攻击的流量高出一到两个数量级。复杂的Smurf攻击将源地址改为第三方的受害者，最终导致第三方崩溃。

Teardrop攻击

• Teardrop是一种拒绝服务攻击，可以令目标主机崩溃或挂起。目前多数操作系统已经升级或有了补丁程序来避免受到这种攻击。

• Teardrop攻击和其他类似的攻击发出的TCP或UDP包包含了错误的IP重组信息，这样主机就会使用错误的信息来重新组合成一个完整的包。结果造成崩溃、挂起或者执行速度极其缓慢。

Ping of Death攻击

Ping of Death攻击是利用网络操作系统（包括UNIX的许多变种、windows 和MacOS等）的缺陷，当主机接收到一个大的不合法的ICMP回应请求包（大于64KB）时，会引起主机挂起或崩溃。

分布式拒绝服务攻击

缓冲区溢出攻击

一个简单的堆栈例子example1.c:

void function(int a, int b, int c) 
{char buffer1[5];char buffer2[10];
}void main() 
{function(1,2,3);
}

格式化字符串攻击

*printf()系列函数有三条特殊的性质，这些特殊性质如果被黑客结合起来利用，就会形成漏洞。

跨站脚本攻击

• 因为CGI程序没有对用户提交的变量中的HTML代码进行过滤或转换，从而导致了跨站脚本执行的漏洞。CGI输入的形式，主要分为两种：显示输入；隐式输入。

SQL Injection 攻击

• 目前，大部分应用程序的架构都采用了三层架构，都存在后台数据库，以存储大量信息。而数据库中以结构化查询语言（SQL, Structure Query Language）为基础的关系数据库（RDBMS, Relational Database Management System）最为流行。