20CN网络安全小组论坛 - 菜鸟乐园 - 对天网防火墙的攻击方

论坛: 菜鸟乐园标题: 对天网防火墙的攻击方

作者: cg2327 [cg2327]

对天网防火墙的攻击方法
1.用黑毒克星或NoSkyNet
这两个软件共同的特点之一就是小巧隐蔽，另一个特点就是它们将天网破坏殆尽后，居然还能让天网防火墙在任务栏正常显示图标！具有极大的危害性和欺骗性　　虽然黑毒克星和NoSkyNet必须被运行它们才有机会破坏天网防火墙，但百密难免一疏，对于仅几k大小的黑毒克星、NoSkyNet，真的很难保证不会中招
2.用黑洞2001
黑洞2000只能关闭天网防火墙，对其它防火墙没有任何作用。黑洞2001则可以定义长达99个英文字符号，完全可以将您可能会用到的防火墙都定义到其中，从而可将这些防火墙全部关闭！
3.利用“反弹端口”型木马
反弹端口型木马的服务端（被控制端）使用主动端口，客户端（控制端）使用被动端口，当要建立连接时，由客户端通过 FTP 主页空间告诉服务端：“现在开始连接我吧！”，并进入监听状态，服务端收到通知后，就会开始连接客户端。为了隐蔽起见，客户端的监听端口一般开在80，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似“TCP　服务端的IP地址:1026　客户端的IP地址:80 ESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页。
二、强攻也可突破天网的保护
1.使装天网的系统死机的简单方法
　　推荐工具：PortScan和IGMP Nuke
　　(1)得到对方的IP
　　要查对方IP最简单的方法是打开网络防火墙，如天网，然后点击“安全规则设置”，在弹出的对话框中把“UDP数据包监视”前面的多选框内打上“√”，然后保存设置。现在，在QQ中给那个人发个消息，再来点击天网中的“日志”按钮，从中你就会发现对方的IP。有了IP，他想跑可就难了，哈哈。
　　(2)开始攻击
　　打开两个或两个以上PortScan，在“Scan:”栏中填入对方的IP，在“Send Port:”栏中填入1，在“Stop Port:”栏中填入65536，这样就配置完毕，可以攻击了！现在按“START”按钮，然后你就可以忙你的别的事吧！扫描的事教给PortScan就可以了。
　　(3)攻击原理
　　天网防火墙有个习惯，它对任何外来的不明数据包都会拦截，当一个时间段内有大量的 “各种不同类型的”数据包涌过来，天网会对之进行一一拦截，还要分析和解析这是什么数据包，一秒钟要解析几十次以上，由于数据包太多，会造成系统的资源逐渐耗掉，对方机子上的应用程序会越来越慢，最终……呵呵！由于PortScan占用系统资源不多，因此本机的速度不会变慢多少。
　　(4)攻击深入
　　如果该用户发现是由于天网的过多拦截才造成死机，那他就会关闭天网。此时IGMP Nuke就会发挥作用了：你可以每隔一段时间就对着目标IP运行一下IGMP Nuke，用默认设置就可以。结果，没有了天网的对方当然是蓝屏啦！真是有天网也烦，没天网也烦呀！
　　(5)攻击时自身防范
　　本方法有一个缺点，就是对方能知道你的IP(天网中会记录下来的)，因此你最好能使用代理服务器免得暴露自己。
2.利用天网小BUG
　　天网有个小BUG（也许不能算作BUG），它只能记录6万多条攻击记录。那如果有多出来的的记录会怎么样呢？这正是攻击者经常利用的一点。攻击者使用ICMP或IGMP包进行攻击，当攻击6万多次以后，天网就会不断弹出错误对话框，直到耗尽内存而当机！尽管手段不够漂亮，但的确使装有天网的主机死机了！简单实用就是这个方法的最大特点！
3.不断发送二进制的0字节流到
　　不停地发送二进制的0字节流到装有天网主机的特定端口（用TCP或UDP都可以），使装天网的主机当机。简单的测试方法如下：在Linux中通过netcat输入/dev/zero内容，命令如下：
　　TCP的测试命令为: nc 目标主机端口 < /dev/zero
　　举例：nc 127.0.0.1 7 < /dev/zero 其中“127.0.0.1”为装有天网主机的IP，“7”为目标主机端口。
　　UDP的测试命令为：nc -u 目标主机端口 < /dev/zero
　　举例：nc -u 127.0.0.1 53 < /dev/zero 其中“127.0.0.1”为装有天网主机的IP，“53”为目标主机端口。
　　TCP ports：7 9 21 23 7778等都是TCP端口。
　　UDP ports：53 67 68 135 137 500 1812 1813 2535 3456等都是UDP端口。
　　在本文即将撰稿完毕之际，天网又推出了新的测试版本，新增了一个非常好的功能：天网防火墙增加了对应用程序数据包进行底层分析拦截功能它可以控制应用程序发送和接收数据包的类型、通讯端口，并且决定拦截还是通过，这是目前其以前版本所不具有的功能。如果能很好的利用该功能，可以有效防止利用“反弹端口”型木马如“网络神偷”等程序悄悄连接客户端，但遗憾的是许多人嫌该功能太烦人（不管哪个程序启动运行，天网都会向您询问是否运行），因此将某些程序设置为“始终允许”，此时就给木马程序提供了机会――木马也可能被您设置为“始终允许”！就这样天网精心构筑的防线被您轻易的打开了！从这个角度上来说，世上只有愚蠢的人，而没有愚蠢的防火墙！

地主发表时间: 04-06-13 23:38

回复: wish259 [wish259]

论坛用户

太旧了

B1层发表时间: 04-06-13 23:57

回复: lhthacker [lhthacker]

论坛用户

基本上现在只能用隧道攻击了
要不就是让对方运行木马，自动关闭防火墙（不好用，容易被逮）

B2层发表时间: 04-06-14 08:20

回复: chy_tzl [chy_tzl]

论坛用户

又复习了一遍呀!!!

B3层发表时间: 04-06-14 08:42

论坛: 菜鸟乐园