20CN网络安全小组论坛 - 菜鸟乐园 - 攻击的一般模式 (浅显易懂,值得一看)

论坛: 菜鸟乐园标题: 攻击的一般模式 (浅显易懂,值得一看)

作者: yangze [yangze]

版主

一、隐藏黑客的位置

　　典型的黑客会使用如下技术隐藏他们真实的IP地址：

　　・利用被侵入的主机作为跳板

　　・在安装Windows 的计算机利内用Wingate 软件作为跳板

　　・利用配置不当的Proxy作为跳板

　　如果一位系统管理员发现时常有人利用上述计算机扫描自己的主机, 建议通过电话直接和那些主机的系统管理员取得联系, 并告知他们这里发生的事情。联系方式最好不要使用 e-mail，因为这样很容易被人截获。

　　更老练的黑客会使用电话转接技术隐蔽自己。他们常用的手法有：

　　・利用800 号电话的私人转接服务联接ISP，然后再盗用他人的账号上网

　　・通过电话联接一台主机，再经由主机进入Internet

　　使用这种在电话网络上的“三级跳”方式进入Internet 特别难于跟踪。理论上，黑客可能来自世界任何一个角落。如果黑客使用 800 号拨号上网，他更不用担心上网费用。

　　二、网络探测和资料收集

　　在开始攻击某机构内部网之前，黑客会首先探测位于Internet 部位的主机。他可以利用以下的手段得知位于内部网和外部网的主机名。

　　・使用nslookup 程序的ls 命令

　　・通过访问公司主页找到其它主机

　　・阅读FTP服务器上的文挡

　　・联接至mailserver 并发送 expn请求

　　・Finger 外部主机上的用户名

　　在具体寻找漏洞之前，黑客会试图搜集足够的信息以勾勒出整个网络的布局。利用上述操作得到的信息，黑客很容易列出所有的主机，并猜测它们之间的关系。

　　在完成这些工作后，黑客有时候会犯一个小错误：用他自己的IP访问主机的某些端口，以便弄清操作系统的版本或其它一些小细节。所以，当发现主机遭到攻击后，你很有可能从FTP和HTTPD的记录中找到一些奇怪的请求。

　　三、找出被信任的主机

　　黑客总是寻找那些被信任的主机。这些主机可能是管理员使用的机器，或是一台被认为是很安全的服务器。

　　第一步，他会检查所有运行nfsd或mountd的主机的NFS输出。往往这些主机的一些关键目录（如/usr/bin、/etc和/home）可以被那台被信任的主机mount。

　　Finger daemon 　Finger daemon也可以被用来寻找被信任的主机和用户，因为用户经常从某台特定的主机上登录。

　　黑客还会检查其它方式的信任关系。比如，他可以利用CGI 的漏洞，读取/etc/hosts.allow 文件等等。

　　分析完上述的各种检查结果，就可以大致了解主机间的信任关系。下一步，就是探测这些被信任的主机哪些存在漏洞，可以被远程侵入。

　　四、找出有漏洞的网络成员

　　当黑客得到公司内外部主机的清单后，他就可以用一些Linux 扫描器程序寻找这些主机的漏洞。 SATAN 之类的程序现在已经很少有人使用，因为它们速度较慢，而且所测漏洞大多都过时了。黑客一般寻找网络速度很快的Linux 主机运行这些扫描程序。

　　某些扫描程序要求以root身份执行。所以黑客先要得到一台Linux 主机的控制权，然后安装一些 “rootkit” 在上面。这些rootkit 利用系统代码的漏洞，可以使黑客取得root 权限而不被发觉。并且，ps、netstat 之类的命令也会被修改，使得这些Linux 主机的管理员通常很难发现扫描程序在运行。

　　其它的一些扫描程序不需要特权就可以在Linux 平台上执行，甚至还可以在UNIX 系统上运行。这虽然给使用者带来了方便，但它们效率低一些，隐藏得也不是那么好。

所有这些扫描程序都会进行下列检查：

　　・TCP 端口扫描；

　　・RPC 服务列表；

　　・NFS 输出列表；

　　・共享（如samba、netbiox）列表；

　　・缺省账号检查；

　　・Sendmail、IMAP、POP3、RPC status 和RPC mountd 有缺陷版本检测。

　　进行完这些扫描，黑客对哪些主机有机可乘已胸有成竹了。

　　如果路由器兼容SNMP协议，有经验的黑客还会采用攻击性的SNMP 扫描程序进行尝试，或者使用“蛮力式”程序去猜测这些设备的公共和私有community strings。

　　五、利用漏洞

　　现在，黑客找到了所有被信任的外部主机，也已经找到了外部主机所有可能存在的漏洞。下一步就该开始动手入侵主机了。

　　耐心的黑客不会在工作时间进行尝试。他们一般选择晚上9点到凌晨6点这段时间。一方面避免被人发觉，另外又可以有充足的时间安装后门和sniffer 程序。周末更是他们活动频繁的时间。

　　黑客会选择一台被信任的外部主机进行尝试。一旦成功侵入，黑客将从这里出发，设法进入公司内部的网络。但这种方法是否成功要看公司内部主机和外部主机间的过滤策略了。例如，黑客成功进入公司的外部mailserver 后，就会利用内外部mailserver 的信任关系顺利进入公司的内部网络的某个网段，随后把自己深深的隐藏起来。

　　攻击外部主机时，黑客一般是运行某个程序，利用外部主机上运行的有漏洞的daemon窃取控制权。有漏洞的daemon包括Sendmail、IMAP、POP3各个漏洞的版本，以及RPC服务中诸如statd、mountd、pcnfsd等。有时，那些攻击程序必须在与被攻击主机相同的平台上进行编译。这样，黑客就不得不从以前侵入的某台主机发起攻击。

　　六、获得控制权

　　黑客利用daemon的漏洞进入系统后会做两件事：清除记录和留下后门。

　　首先，他会安装一些后门程序，以便以后可以不被察觉的再次进入系统。大多数后门程序是预先编译好的，只需要想办法修改时间和权限就可以使用，甚至于新文件的大小都和原有文件一样。黑客一般会使用rcp 传递这些文件，以便不留下FTP记录。

　　一但黑客侵入公司内部网的主机后，就不会再为系统打补丁了。但他会更改一些重要的系统文件，如ps和netstat，使系统管理员无法发现他在系统中的活动。

　　在Solaris 2.x系统上，下面的这些文件常被黑客更改，加入后门程序：

　　/usr/bin/login

　　/usr/sbin/ping

　　/usr/sbin/in.telnetd

　　/usr/sbin/in.rshd

　　/usr/sbin/in.rlogind

　　一些黑客还会在/usr/bin 目录下留下一个.rhosts文件，这样他就可以以bin 用户的身份使用rsh进入系统。

　　下一件黑客要做的事就是检查主机的所有记录系统，清除他在主机内活动的所有痕迹。因此，对于一台极有可能成为黑客目标的关键服务器，建议将所有的记录映射到一台行式打印机上，这样黑客修改记录的企图将无法得逞。

　　一旦确认自己是安全的，黑客就开始侵袭公司的整个内部网。这时，他已经不会再把注意力放到攻入其它外部主机上了。

　　窃取网络资源和特权

　　黑客找到攻击目标后，会继续下一步的攻击，步骤如下：

一、下载敏感信息

　　如果黑客的目的是从某机构内部的FTP或WWW服务器上下载敏感信息，他可以利用已经被侵入的某台外部主机轻而易举的得到这些资料。

　　如果黑客的兴趣是那些即使在公司内部也没有被公开的资料，那他就必须利用内部网主机对这台外部网主机的信任关系，获得对保有资料的主机的访问权，进而达到自己的目的。

　　二、攻击其它被信任的主机和网络

　　大多数的黑客仅仅为了探测内部网上的主机并取得控制权，只有那些“雄心勃勃”的黑客，为了控制整个网络才会安装特洛伊木马和后门程序，并清除记录。他们经常使用的另一个手法是安装sniffer。

　　那些希望从关键服务器上下载数据的黑客，常常不会满足于以一种方式进入关键服务器。他们会费尽心机找出被关键服务器信任的主机，安排好几条备用通道。

　　三安装sniffers

　　在内部网上，黑客要想迅速获得大量的账号（包括用户名和密码），最为有效的手段是使用 “sniffer” 程序。这种方法要求运行Sniffer 程序的主机和被监听的主机必须在同一个以太网段上，故而在外部主机上运行sniffer 是没有效果的。再者，必须以root的身份使用sniffer 程序，才能够监听到以太网段上的数据流。

　　黑客会使用上面各节提到的方法，获得系统的控制权并留下再次侵入的后门，以保证sniffer能够执行。在Solaris 2.x平台上，sniffer 程序通常被安装在/usr/bin 或/dev 目录下。黑客还会巧妙的修改时间，使得sniffer程序看上去是和其它系统程序同时安装的。

　　大多数 “ethernet sniffer” 程序在后台运行，将结果输出到某个记录文件中。黑客常常会修改ps程序，使得系统管理员很难发现运行的sniffer 程序。

　　“ethernet sniffer” 程序将系统的网络接口设定为混合模式。这样，它就可以监听到所有流经同一以太网网段的数据包，不管它的接受者或发送者是不是运行sniffer的主机。程序将用户名、密码和其它黑客感兴趣的数据存入log 文件。黑客会等待一段时间 -----比如一周后，再回到这里下载记录文件。

　　在一般的以太网段里，sniffer 程序运行得很好，并且很难被检查出来。检查的手段有两个：

使用诸如Tripwire之类的工具，生成文件系统的MD5 “数据指纹”，及时发现被修改的系统文件；

网络接口被设置成混合模式是sniffer 程序正在运行的一个明显标志，这是可以用工具软件探测出来的。

　　四、瘫痪网络

　　如果黑客已经侵入了运行数据库、网络操作系统等关键应用程序的服务器，使网络瘫痪一段时间是轻而易举的事。

　　一种极端的做法是在这样的关键服务器上执行 “rm �Crf / & “命令，删除所有的文件从而使所有的网络功能瘫痪。恢复系统可能要花上几个小时、几天、几个月，甚至无法恢复。

　　如果黑客已经进入了公司的内部网，他可以利用许多路由器的弱点重新启动、甚至关闭路由器。如果他们能够找到最关键的几个路由器的漏洞，则可以使公司的网络彻底瘫痪一段时间。

　　因此，对于承担关键任务的路由器和服务器，要经常打补丁，确保其安全。

地主发表时间: 04/18 20:06