網(wǎng)絡(luò)及系統(tǒng)攻擊技術(shù)

1、網(wǎng)絡(luò)與系統(tǒng)攻擊技術(shù)主要內(nèi)容一、網(wǎng)絡(luò)攻擊原理與技術(shù)1、網(wǎng)絡(luò)與系統(tǒng)攻擊背景Internet的飛速發(fā)展和普及，促進(jìn)了網(wǎng)絡(luò)信息系統(tǒng)的應(yīng)用和發(fā)展。各種基于網(wǎng)絡(luò)的信息系統(tǒng)已成為國(guó)民經(jīng)濟(jì)關(guān)鍵領(lǐng)域中的重要組成部分。例如電力信息系統(tǒng)、汽油運(yùn)輸和存儲(chǔ)系統(tǒng)、金融服務(wù)信息系統(tǒng)等。1、網(wǎng)絡(luò)與系統(tǒng)攻擊背景然而，對(duì)網(wǎng)絡(luò)的依賴性越大，所產(chǎn)生的風(fēng)險(xiǎn)也越來(lái)越大。網(wǎng)絡(luò)系統(tǒng)面臨入侵、事故、失效等威脅。受社會(huì)因素的影響，網(wǎng)絡(luò)信息會(huì)受到破壞、竊取、篡改等威脅。網(wǎng)絡(luò)信息化將傳統(tǒng)的有形“空間安全概念”改成了無(wú)形的“數(shù)字信息空間”的安全問(wèn)題。2、網(wǎng)絡(luò)攻擊技術(shù)和工具網(wǎng)絡(luò)攻擊的自動(dòng)化程度和攻擊速度不斷提高攻擊工具越來(lái)越復(fù)雜黑客利用安全漏洞的速度越

2、來(lái)越快防火墻被攻擊者滲透的情況越來(lái)越多安全威脅的不對(duì)稱性在增加攻擊網(wǎng)絡(luò)基礎(chǔ)設(shè)施產(chǎn)生的破壞效果越來(lái)越大3 3、網(wǎng)絡(luò)攻擊的目標(biāo)、網(wǎng)絡(luò)攻擊的目標(biāo)4 4、網(wǎng)絡(luò)攻擊分類(lèi)、網(wǎng)絡(luò)攻擊分類(lèi)4.1 4.1 基于攻擊術(shù)語(yǔ)分類(lèi)基于攻擊術(shù)語(yǔ)分類(lèi)特洛伊木馬特洛伊木馬口令猜測(cè)口令猜測(cè)病毒病毒蠕蟲(chóng)蠕蟲(chóng)IPIP欺騙欺騙會(huì)話攔截會(huì)話攔截偽造偽造掃描掃描社交工程社交工程郵件欺騙郵件欺騙組合攻擊組合攻擊懸掛進(jìn)程懸掛進(jìn)程電磁泄漏電磁泄漏竊聽(tīng)竊聽(tīng)拒絕服務(wù)拒絕服務(wù)數(shù)據(jù)擾亂數(shù)據(jù)擾亂4.2 4.2 基于攻擊種類(lèi)分類(lèi)基于攻擊種類(lèi)分類(lèi)竊取口令竊取口令社交工程社交工程錯(cuò)誤和后門(mén)錯(cuò)誤和后門(mén)認(rèn)證失效認(rèn)證失效協(xié)議失效協(xié)議失效信息泄露信息泄露拒絕服務(wù)拒絕

3、服務(wù)4.3 4.3 基于多維角度分類(lèi)基于多維角度分類(lèi)攻擊者攻擊者攻擊工具集攻擊工具集攻擊訪問(wèn)攻擊訪問(wèn)攻擊效果攻擊效果攻擊目標(biāo)攻擊目標(biāo)5 5、攻擊步驟、攻擊步驟6 6、網(wǎng)絡(luò)攻擊模型、網(wǎng)絡(luò)攻擊模型7 7、歷史上著名的黑客事件、歷史上著名的黑客事件20102010年年1111月月1919日，跆拳道選手楊淑君亞日，跆拳道選手楊淑君亞運(yùn)比賽被判出局，亞洲跆拳道聯(lián)盟在遭到強(qiáng)運(yùn)比賽被判出局，亞洲跆拳道聯(lián)盟在遭到強(qiáng)烈質(zhì)疑的同時(shí)，聯(lián)盟網(wǎng)站遭到黑客入侵，首烈質(zhì)疑的同時(shí)，聯(lián)盟網(wǎng)站遭到黑客入侵，首頁(yè)被換上頁(yè)被換上“淑君第一淑君第一還我金牌還我金牌”等字樣。等字樣。7 7、歷史上著名的黑客事件、歷史上著名的黑客事件20

4、092009年年7 7月月7 7日，韓國(guó)遭受有史以來(lái)最猛日，韓國(guó)遭受有史以來(lái)最猛烈的一次攻擊。韓國(guó)總統(tǒng)府、國(guó)會(huì)、國(guó)情院烈的一次攻擊。韓國(guó)總統(tǒng)府、國(guó)會(huì)、國(guó)情院和國(guó)防部等國(guó)家機(jī)關(guān)，以及金融界、媒體和和國(guó)防部等國(guó)家機(jī)關(guān)，以及金融界、媒體和防火墻企業(yè)網(wǎng)站遭到了攻擊。防火墻企業(yè)網(wǎng)站遭到了攻擊。7 7月月9 9日，韓國(guó)日，韓國(guó)國(guó)家情報(bào)院和國(guó)民銀行網(wǎng)站無(wú)法被訪問(wèn)。韓國(guó)家情報(bào)院和國(guó)民銀行網(wǎng)站無(wú)法被訪問(wèn)。韓國(guó)國(guó)會(huì)、國(guó)防部、外交通商部等機(jī)構(gòu)的網(wǎng)站國(guó)國(guó)會(huì)、國(guó)防部、外交通商部等機(jī)構(gòu)的網(wǎng)站一度無(wú)法打開(kāi)！這是韓國(guó)遭遇的到當(dāng)時(shí)為止一度無(wú)法打開(kāi)！這是韓國(guó)遭遇的到當(dāng)時(shí)為止最嚴(yán)重的一次黑客攻擊。最嚴(yán)重的一次黑客攻擊。7 7、歷史

5、上著名的黑客事件、歷史上著名的黑客事件20082008年，一個(gè)全球性的黑客組織，利用年，一個(gè)全球性的黑客組織，利用ATMATM欺詐程序在一夜之間從世界欺詐程序在一夜之間從世界4949個(gè)城市的銀個(gè)城市的銀行中盜走了行中盜走了900900萬(wàn)美元。黑客們攻破的是一種萬(wàn)美元。黑客們攻破的是一種名為名為RBS WorldPayRBS WorldPay的銀行系統(tǒng)，千方百計(jì)取的銀行系統(tǒng)，千方百計(jì)取得了數(shù)據(jù)庫(kù)內(nèi)的銀行卡信息，并在得了數(shù)據(jù)庫(kù)內(nèi)的銀行卡信息，并在1111月月8 8日午日午夜，利用團(tuán)伙作案從世界夜，利用團(tuán)伙作案從世界4949個(gè)城市總計(jì)超過(guò)個(gè)城市總計(jì)超過(guò)130130臺(tái)臺(tái)ATMATM機(jī)上提取了機(jī)上提取了

6、900900萬(wàn)美元。最關(guān)鍵的是，萬(wàn)美元。最關(guān)鍵的是，目前目前FBIFBI還沒(méi)破案，甚至據(jù)說(shuō)連一個(gè)嫌疑人還還沒(méi)破案，甚至據(jù)說(shuō)連一個(gè)嫌疑人還沒(méi)找到。沒(méi)找到。7 7、歷史上著名的黑客事件、歷史上著名的黑客事件20062006年年1010月月1616日，中國(guó)駭客李俊發(fā)布熊日，中國(guó)駭客李俊發(fā)布熊貓燒香木馬。并在短時(shí)間內(nèi)，致使中國(guó)數(shù)百貓燒香木馬。并在短時(shí)間內(nèi)，致使中國(guó)數(shù)百萬(wàn)用戶受到感染，并波及日本等周邊國(guó)家。萬(wàn)用戶受到感染，并波及日本等周邊國(guó)家。李俊于李俊于20072007年年2 2月月1212日被捕。日被捕。7 7、歷史上著名的黑客事件、歷史上著名的黑客事件20012001年年5 5月，中美黑客網(wǎng)絡(luò)大戰(zhàn)

7、，撞機(jī)事月，中美黑客網(wǎng)絡(luò)大戰(zhàn)，撞機(jī)事件發(fā)生后，兩國(guó)黑客之間發(fā)生的網(wǎng)絡(luò)大戰(zhàn)愈件發(fā)生后，兩國(guó)黑客之間發(fā)生的網(wǎng)絡(luò)大戰(zhàn)愈演愈烈。從演愈烈。從4 4月月4 4日以來(lái)，美國(guó)黑客組織日以來(lái)，美國(guó)黑客組織PoizonBOxPoizonBOx不斷襲擊中國(guó)網(wǎng)站。對(duì)此，我國(guó)的不斷襲擊中國(guó)網(wǎng)站。對(duì)此，我國(guó)的網(wǎng)絡(luò)安全人員積極防備美方黑客的攻擊。中網(wǎng)絡(luò)安全人員積極防備美方黑客的攻擊。中國(guó)一些黑客組織則在國(guó)一些黑客組織則在“五一五一”期間打響了期間打響了“黑客黑客反擊戰(zhàn)反擊戰(zhàn)”！主要內(nèi)容二、網(wǎng)絡(luò)信息探測(cè)1 1、目標(biāo)系統(tǒng)確定、目標(biāo)系統(tǒng)確定2 2、系統(tǒng)存活探測(cè)、系統(tǒng)存活探測(cè)3 3、高級(jí)端口服務(wù)掃描、高級(jí)端口服務(wù)掃描TCP SY

8、NTCP SYN掃描掃描ClientClient端端ServeServer r端端ClienClient t端端ServerServer端端SYNSYNSYNSYNRSTRSTSYN/ACKSYN/ACKRST/ACKRST/ACKTCP SYNTCP SYN掃描建立成功掃描建立成功TCP SYNTCP SYN掃描建立未成功掃描建立未成功秘密掃描秘密掃描ClientClient端端ServeServer r端端ClienClient t端端ServerServer端端FINFINFINFINRSTRST端口開(kāi)放端口開(kāi)放端口關(guān)閉端口關(guān)閉1 1、TCP FINTCP FIN掃描掃描秘密掃描秘密掃描

9、ClientClient端端ServeServer r端端ClienClient t端端ServerServer端端NULLNULLNULLNULLRSTRST端口開(kāi)放端口開(kāi)放端口關(guān)閉端口關(guān)閉2 2、NULLNULL掃描掃描秘密掃描秘密掃描ClientClient端端ServeServer r端端ClienClient t端端ServerServer端端XMASXMASXMASXMASRSTRST端口開(kāi)放端口開(kāi)放端口關(guān)閉端口關(guān)閉3 3、XMASXMAS掃描掃描秘密掃描秘密掃描ClientClient端端ServeServer r端端ClienClient t端端ServerServer端端AC

10、KACKACKACKRSTRST目標(biāo)主機(jī)安裝防火墻目標(biāo)主機(jī)安裝防火墻目標(biāo)主機(jī)未安裝防火墻目標(biāo)主機(jī)未安裝防火墻4 4、ACKACK掃描掃描掃描掃射掃描掃射1 1、分段掃描、分段掃描IPIP數(shù)據(jù)報(bào)頭內(nèi)有數(shù)據(jù)報(bào)頭內(nèi)有3 3位位FlagsFlags字段表示此次發(fā)送字段表示此次發(fā)送或接收的報(bào)文是否是分段報(bào)文，以及是否或接收的報(bào)文是否是分段報(bào)文，以及是否是最后一個(gè)分段報(bào)文；如果是分段報(bào)文，是最后一個(gè)分段報(bào)文；如果是分段報(bào)文，則有一個(gè)則有一個(gè)1313位的位的Fragment OffsetFragment Offset字段表示字段表示其在原報(bào)文的位置，另外有其在原報(bào)文的位置，另外有Identification

11、Identification字段用以識(shí)別各個(gè)分段。字段用以識(shí)別各個(gè)分段。分段掃描就是將原來(lái)封裝在一個(gè)報(bào)文的探測(cè)分段掃描就是將原來(lái)封裝在一個(gè)報(bào)文的探測(cè)信息拆分至多個(gè)報(bào)文中，以防止被過(guò)濾。信息拆分至多個(gè)報(bào)文中，以防止被過(guò)濾。掃描掃射掃描掃射2 2、代理掃描、代理掃描文件傳輸協(xié)議文件傳輸協(xié)議FTPFTP選項(xiàng)：代理選項(xiàng)：代理FTPFTP連接。連接。其目的是允許一個(gè)客戶端同時(shí)跟兩個(gè)其目的是允許一個(gè)客戶端同時(shí)跟兩個(gè)FTPFTP服服務(wù)器建立連接，然后在服務(wù)器之間直接傳務(wù)器建立連接，然后在服務(wù)器之間直接傳輸數(shù)據(jù)。輸數(shù)據(jù)。FTPFTP端口掃描主要利用端口掃描主要利用FTPFTP代理服務(wù)器來(lái)掃代理服務(wù)器來(lái)掃描描T

12、CPTCP端口。端口。掃描掃射掃描掃射3 3、認(rèn)證掃描、認(rèn)證掃描每個(gè)類(lèi)每個(gè)類(lèi)UNIXUNIX操作系統(tǒng)都帶有一個(gè)默認(rèn)是偵聽(tīng)操作系統(tǒng)都帶有一個(gè)默認(rèn)是偵聽(tīng)113113端口的身份服務(wù)器。端口的身份服務(wù)器。作用：作用：“是什么用戶從你的端口是什么用戶從你的端口X X初始化連到初始化連到我的我的Y Y上來(lái)了上來(lái)了”。例如：在自己機(jī)器上開(kāi)放例如：在自己機(jī)器上開(kāi)放113113端口，引發(fā)目標(biāo)端口，引發(fā)目標(biāo)主機(jī)向本機(jī)發(fā)送認(rèn)證請(qǐng)求，通過(guò)修改回應(yīng)主機(jī)向本機(jī)發(fā)送認(rèn)證請(qǐng)求，通過(guò)修改回應(yīng)的用戶信息，可能造成緩沖區(qū)溢出攻擊。的用戶信息，可能造成緩沖區(qū)溢出攻擊。端口掃描策略端口掃描策略隨機(jī)端口掃描隨機(jī)端口掃描(Random P

13、ort Scan)(Random Port Scan)慢掃描慢掃描(Slow Scan)(Slow Scan)通過(guò)分析某段時(shí)間內(nèi)的網(wǎng)絡(luò)通信來(lái)確定某個(gè)通過(guò)分析某段時(shí)間內(nèi)的網(wǎng)絡(luò)通信來(lái)確定某個(gè)特定的特定的IPIP正在掃描被保護(hù)的網(wǎng)絡(luò)正在掃描被保護(hù)的網(wǎng)絡(luò)分片掃描分片掃描(Fragmentation Scanning)(Fragmentation Scanning)根據(jù)攜帶的數(shù)據(jù)的根據(jù)攜帶的數(shù)據(jù)的IPIP分組進(jìn)行分片分組進(jìn)行分片誘騙誘騙(Decoy)(Decoy)某些網(wǎng)絡(luò)掃描器用于誘騙或者偽造假地址某些網(wǎng)絡(luò)掃描器用于誘騙或者偽造假地址分布式協(xié)調(diào)掃描分布式協(xié)調(diào)掃描(Coordinated Scan)(Co

14、ordinated Scan)利用多個(gè)利用多個(gè)IPIP同時(shí)對(duì)目標(biāo)系統(tǒng)進(jìn)行掃描同時(shí)對(duì)目標(biāo)系統(tǒng)進(jìn)行掃描常用掃描工具常用掃描工具SATANSATAN分析網(wǎng)絡(luò)的安全管理、測(cè)試和報(bào)告工具分析網(wǎng)絡(luò)的安全管理、測(cè)試和報(bào)告工具JakalJakal秘密掃描器秘密掃描器NSSNSS網(wǎng)絡(luò)安全掃描器網(wǎng)絡(luò)安全掃描器StrobeStrobe是一個(gè)是一個(gè)TCPTCP端口掃描器端口掃描器XscanXscan掃描具有掃描具有X X服務(wù)器弱點(diǎn)的子網(wǎng)或主機(jī)服務(wù)器弱點(diǎn)的子網(wǎng)或主機(jī)NmapNmap由由FyodorFyodor制作的端口掃描工具制作的端口掃描工具4 4、SNMPSNMP協(xié)議探測(cè)協(xié)議探測(cè)WindowsWindows系列都支

15、持簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議系列都支持簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議(SNMP)(SNMP)通過(guò)通過(guò)SNMPSNMP可以對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理可以對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理例如，當(dāng)一個(gè)例如，當(dāng)一個(gè)Windows2000Windows2000設(shè)備具有設(shè)備具有SNMPSNMP變量變量讀取權(quán)限時(shí)，可以獲取如下信息：讀取權(quán)限時(shí)，可以獲取如下信息：接口表、路由器表、接口表、路由器表、ARPARP表、表、TCPTCP表、表、UDPUDP表、設(shè)表、設(shè)備表、存儲(chǔ)表、進(jìn)程表和軟件表、用戶表、共享表備表、存儲(chǔ)表、進(jìn)程表和軟件表、用戶表、共享表主要內(nèi)容三、系統(tǒng)信息探測(cè)1 1、服務(wù)版本類(lèi)型探測(cè)、服務(wù)版本類(lèi)型探測(cè)遠(yuǎn)程登錄標(biāo)識(shí)（遠(yuǎn)程登錄標(biāo)識(shí)（Tel

16、netTelnet服務(wù)服務(wù)bannerbanner）文件傳輸協(xié)議標(biāo)識(shí)（文件傳輸協(xié)議標(biāo)識(shí)（FTPFTP服務(wù)服務(wù)bannerbanner）HTTPHTTP頭部（頭部（WebWeb服務(wù)器）服務(wù)器）其他方法（其他方法（RPCRPC服務(wù)查詢工具、服務(wù)查詢工具、netcatnetcat）2 2、操作系統(tǒng)指紋探測(cè)、操作系統(tǒng)指紋探測(cè)（1 1）TCP/IPTCP/IP棧指紋掃描技術(shù)棧指紋掃描技術(shù)TCP/IPTCP/IP棧指紋識(shí)別主要是依賴不同操作系統(tǒng)棧指紋識(shí)別主要是依賴不同操作系統(tǒng)對(duì)特定數(shù)據(jù)報(bào)的不同反應(yīng)來(lái)區(qū)分的?；趯?duì)特定數(shù)據(jù)報(bào)的不同反應(yīng)來(lái)區(qū)分的。基于各版本操作系統(tǒng)各版本操作系統(tǒng)TCP/IPTCP/IP協(xié)議體系

17、實(shí)現(xiàn)上的協(xié)議體系實(shí)現(xiàn)上的不同，通過(guò)提交不同的不同，通過(guò)提交不同的IPIP數(shù)據(jù)報(bào)并分析目數(shù)據(jù)報(bào)并分析目標(biāo)主機(jī)返回的相應(yīng)數(shù)據(jù)報(bào)，比較其中各標(biāo)標(biāo)主機(jī)返回的相應(yīng)數(shù)據(jù)報(bào)，比較其中各標(biāo)記參數(shù)的不同就可以將不同的操作系統(tǒng)區(qū)記參數(shù)的不同就可以將不同的操作系統(tǒng)區(qū)分開(kāi)。分開(kāi)。2 2、操作系統(tǒng)指紋探測(cè)、操作系統(tǒng)指紋探測(cè)（2 2）ICMPICMP棧指紋掃描技術(shù)棧指紋掃描技術(shù)ICMPICMP棧指紋識(shí)別主要是通過(guò)發(fā)送棧指紋識(shí)別主要是通過(guò)發(fā)送UDPUDP或或ICMPICMP的的請(qǐng)求報(bào)文，然后分析各種請(qǐng)求報(bào)文，然后分析各種ICMPICMP應(yīng)答，根據(jù)應(yīng)答，根據(jù)應(yīng)答數(shù)據(jù)報(bào)的差異來(lái)區(qū)分不同的系統(tǒng)。應(yīng)答數(shù)據(jù)報(bào)的差異來(lái)區(qū)分不同的系統(tǒng)。

18、技術(shù)的實(shí)現(xiàn)主要體現(xiàn)在技術(shù)的實(shí)現(xiàn)主要體現(xiàn)在ICMPICMP報(bào)文的報(bào)文的IPIP頭、頭、CMPCMP報(bào)文、報(bào)文、ICMPICMP報(bào)文所引用的數(shù)據(jù)項(xiàng)三個(gè)方面。報(bào)文所引用的數(shù)據(jù)項(xiàng)三個(gè)方面。2 2、操作系統(tǒng)指紋探測(cè)、操作系統(tǒng)指紋探測(cè)（3 3）被動(dòng)指紋掃描技術(shù)）被動(dòng)指紋掃描技術(shù)通過(guò)被動(dòng)監(jiān)測(cè)網(wǎng)絡(luò)通信，分析正常數(shù)據(jù)流通過(guò)被動(dòng)監(jiān)測(cè)網(wǎng)絡(luò)通信，分析正常數(shù)據(jù)流中遠(yuǎn)程主機(jī)所發(fā)送的特殊字段，與指紋數(shù)中遠(yuǎn)程主機(jī)所發(fā)送的特殊字段，與指紋數(shù)據(jù)庫(kù)比較，最終確定操作系統(tǒng)類(lèi)型和版本。據(jù)庫(kù)比較，最終確定操作系統(tǒng)類(lèi)型和版本。3 3、WindowsWindows系統(tǒng)信息探測(cè)系統(tǒng)信息探測(cè)（1 1）NetBIOSNetBIOS簡(jiǎn)介簡(jiǎn)介NetBIOSNetBIOS是網(wǎng)絡(luò)基本輸入和輸出系統(tǒng)，定義了是網(wǎng)絡(luò)基本輸入和輸出系統(tǒng)，定義了一個(gè)軟件接口，類(lèi)似于一個(gè)軟件接口，類(lèi)似于APIAPI編程，提供標(biāo)準(zhǔn)編程，提供標(biāo)準(zhǔn)方法用于各種網(wǎng)絡(luò)服務(wù)。方法用于各種網(wǎng)絡(luò)服務(wù)。NetBIOSNetBIOS給程序提供了請(qǐng)求底層服務(wù)所需的統(tǒng)給程序提供了請(qǐng)求底層服務(wù)所需的統(tǒng)一命令集，這些服務(wù)包括名字管理、會(huì)話一命令集，這些服務(wù)包括名字管理、會(huì)話執(zhí)行和節(jié)點(diǎn)之間的數(shù)據(jù)傳輸。執(zhí)行和節(jié)點(diǎn)之間的數(shù)據(jù)傳輸。3 3、WindowsWindows系統(tǒng)信息探測(cè)系統(tǒng)信息探測(cè)（2 2）資源工具箱內(nèi)的查