网络攻防讲座薛质课件

网络攻击及防御技术内容网络攻击案例网络攻击及防御技术1、严峻的信息安全问题2000年2月6日前后，美国YAHOO等8家大型网站接连遭受黑客的攻击，直接经济损失约为12亿美元（网上拍卖“电子港湾”网站、亚马逊网站、AOL）此次安全事故具有以下的特点：攻击直接针对商业应用攻击造成的损失巨大信息网络安全关系到全社会凯文米特尼克凯文•米特尼克是美国20世纪最著名的黑客之一，他是“社会工程学”的创始人1979年他和他的伙伴侵入了北美空防指挥部1983年的电影《战争游戏》演绎了同样的故事，在片中，以凯文为原型的少年黑客几乎引发了第三次世界大战莫里斯蠕虫（MorrisWorm）

时间1988年肇事者-RobertT.Morris,美国康奈尔大学学生，其父是美国国家安全局安全专家机理-利用sendmail,finger等服务的漏洞，消耗CPU资源，拒绝服务影响-Internet上大约6000台计算机感染，占当时Internet联网主机总数的10%，造成9600万美元的损失CERT/CC的诞生-DARPA成立CERT（ComputerEmergencyResponseTeam），以应付类似“蠕虫（MorrisWorm）”事件94年末，俄罗斯黑客弗拉基米尔·利文与其伙伴从圣彼得堡的一家小软件公司的联网计算机上，向美国CITYBANK银行发动了一连串攻击，通过电子转帐方式，从CITYBANK银行在纽约的计算机主机里窃取1100万美元96年8月17日，美国司法部的网络服务器遭到黑客入侵，并将“美国司法部”的主页改为“美国不公正部”，将司法部部长的照片换成了阿道夫·希特勒，将司法部徽章换成了纳粹党徽，并加上一幅色情女郎的图片作为所谓司法部部长的助手。此外还留下了很多攻击美国司法政策的文字96年9月18日，黑客光顾美国中央情报局的网络服务器，将其主页由“中央情报局”改为“中央愚蠢局”96年12月29日，黑客侵入美国空军的全球网网址并将其主页肆意改动，其中有关空军介绍、新闻发布等内容被替换成一段简短的黄色录象，且声称美国政府所说的一切都是谎言。迫使美国国防部一度关闭了其他80多个军方网址中美五一黑客大战2001年5月1日是国际劳动节，5月4日是中国的青年节，而5月7日则是中国在南斯拉夫的大使馆被炸两周年的纪念日。中国黑客在这几个重大的纪念日期间对美国网站发起了大规模的攻击美国部分被黑网站美国加利福尼亚能源部日美社会文化交流会白宫历史协会UPI新闻服务网华盛顿海军通信站国内网站遭攻击的分布红色代码2001年7月19日，全球的入侵检测系统(IDS)几乎同时报告遭到不名蠕虫攻击在红色代码首次爆发的短短9小时内，以迅雷不及掩耳之势迅速感染了250,000台服务器最初发现的红色代码蠕虫只是篡改英文站点主页，显示“Welcometo!HackedbyChinese!”随后的红色代码蠕虫便如同洪水般在互联网上泛滥，发动拒绝服务(DoS)攻击以及格式化目标系统硬盘，并会在每月20日～28日对白宫的WWW站点的IP地址发动DoS攻击，使白宫的WWW站点不得不全部更改自己的IP地址。尼姆达（Nimda）尼姆达是在9·11恐怖袭击整整一个星期后出现的，当时传言是中国为了试探美国对网络恐怖袭击的快速反应能力而散布了尼姆达病毒尼姆达是在早上9:08发现的，明显比红色代码更快、更具有摧毁功能，半小时之内就传遍了整个世界。随后在全球各地侵袭了830万部电脑，总共造成将近10亿美元的经济损失传播方式包括：电子邮件、网络临近共享文件、IE浏览器的内嵌MIME类型自动执行漏洞、IIS服务器文件目录遍历漏洞、CodeRedII和Sadmind/IIS蠕虫留下的后门等SQLSlammer蠕虫Slammer的传播数度比“红色代码”快两个数量级在头一分钟之内，感染主机数量每8.5秒增长一倍；3分钟后该病毒的传播速度达到峰值（每秒钟进行5500万次扫描）；接下来，其传播速度由于自身挤占了绝大部分网络带宽而开始下降；10分钟后，易受攻击的主机基本上已经被感染殆尽30分钟后在全球的感染面积2003年8月11日首先被发现，然后迅速扩散，这时候距离被利用漏洞的发布日期还不到1个月该蠕虫病毒针对的系统类型范围相当广泛（包括WindowsNT/2000/XP）截至8月24日，国内被感染主机的数目为25~100万台全球直接经济损失几十亿美金RPCDCOM蠕虫传播速度“大型推土机”技术(Massrooter)，是新一代规模性恶意代码具备的显著功能。这些恶意代码不仅能实现自我复制，还能自动攻击内外网上的其它主机，并以受害者为攻击源继续攻击其它网络和主机。以这些代码设计的多线程和繁殖速度，一个新蠕虫在一夜之间就可以传播到互联网的各个角落。受害面许多国家的能源、交通、金融、化工、军事、科技和政府部门等关键领域的信息化程度逐年提高，这些领域的用户单位的计算机网络，直接或间接地与Internet有所联系。各种病毒、蠕虫等恶意代码，和各种黑客攻击，通过Internet为主线，对全球各行业的计算机网络用户都造成了严重的影响。穿透深度蠕虫和黑客越来越不满足于攻击在线的网站，各种致力于突破各种边界防线的攻击方式层出不穷。一个新的攻击手段，第一批受害对象是那些24小时在线的网站主机和各种网络的边界主机；第二批受害对象是与Internet联网的，经常收发邮件的个人用户；第三批受害对象是OA网或其它二线内网的工作站；终极的受害对象可能会波及到生产网络和关键资产主机。信息时代威胁图类别攻击举例V敌国政府、间谍IV商业间谍III罪犯II恶意用户、内部人员、普通黑客I用户误操作网络攻击的动机偷取国家机密商业竞争行为内部员工对单位的不满对企业核心机密的企望网络接入帐号、信用卡号等金钱利益的诱惑利用攻击网络站点而出名对网络安全技术的挑战对网络的好奇心

攻击的种类预攻击阶段端口扫描漏洞扫描操作系统类型鉴别网络拓扑分析攻击阶段缓冲区溢出攻击操作系统漏洞应用服务缺陷脚本程序漏洞攻击口令攻击错误及弱配置攻击网络欺骗与劫持攻击后攻击阶段后门木马痕迹擦除其它攻击种类拒绝服务攻击嗅探攻击恶意网页攻击社会工程攻击信息收集—非技术手段合法途径从目标机构的网站获取新闻报道，出版物新闻组或论坛社会工程手段假冒他人，获取第三方的信任搜索引擎TCPSYN扫描也叫半开式扫描利用TCP连接三次握手的第一次进行扫描被扫描主机开放的端口不提供服务的端口防火墙过滤的端口

扫描器SYNSYNSYNSYN+ACK握手RST重置没有回应或者其他端口扫描工具Nmap简介被称为“扫描器之王”有forUnix和forWin的两种版本需要Libpcap库和Winpcap库的支持能够进行普通扫描、各种高级扫描和操作系统类型鉴别等使用-sS：半开式扫描-sT:普通connect()扫描-sU：udp端口扫描-O：操作系统鉴别-P0：强行扫描（无论是否能够ping通目标）-p：指定端口范围-v：详细模式NmapWinv1.3.0端口扫描工具SuperScan简介基于Windows平台速度快，图形化界面最新版本为4.0使用傻瓜化漏洞扫描根据目标主机开放的不同应用和服务来扫描和判断是否存在或可能存在某些漏洞积极意义进行网络安全评估为网络系统的加固提供先期准备消极意义被网络攻击者加以利用来攻陷目标系统或获取重要的数据信息漏洞扫描的种类系统漏洞扫描特定服务的漏洞扫描WEB服务数据库服务FTP服务Mail服务信息泄漏漏洞扫描用户信息共享信息人为管理漏洞扫描弱口令错误配置网络及管理设备漏洞扫描路由器、交换机SNMP设备漏洞扫描工具Nessus构架服务器端：基于Unix系统客户端：有GTK、Java和Win系统支持运作客户端连接服务器端，并下载插件和扫描策略真正的扫描由服务器端发起两者之间的通信通过加密认证优势：具有强大的插件功能完全免费，升级快速非常适合作为网络安全评估工具链接：ClientServerTargetsNessus工作流程漏洞扫描工具X-Scan国人自主开发完全免费X-Scan使用扫描开始安全漏洞扫描器安全漏洞扫描器的种类网络型安全漏洞扫描器主机型安全漏洞扫描器数据库安全漏洞扫描器安全漏洞扫描器的选用ISS（InternetSecurityScanner）：安氏SSS（ShadowSecurityScanner）：俄罗斯黑客RetinaNetworkSecurityScanner：eEyeLANguardNetworkSecurityScannerCyberCopScanner：NAISSS（ShadowSecurityScanner）RetinaNetworkSecurityScannerLANguardNetworkSecurityScanner操作系统类型鉴别主要依据利用不同操作系统对各种连接请求的不同反应和特征来判断远程主机操作系统的类型当使用足够多的不同特征来进行判断，操作系统的探测精度就能有很大保证间接鉴别操作系统说明不直接进行扫描利用网络应用服务使用过程中的信息来推断和分析操作系统类型，并得到其他有用信息如Telnet

80端口查看WEB服务器类型从而初步判断操作系统类型这种方法难以被发现防御对策修改服务器上应用服务的banner信息，达到迷惑攻击者的目的直接鉴别操作系统类型TCP/IP栈指纹探测技术各个操作系统在实现TCP/IP栈的时候有细微的不同，可以通过下面一些方法来进行判定TTL值Windows窗口值ToS类型DF标志位初始序列号（ISN）采样MSS（最大分段大小）其他TTL=4TTL=5TTL=6TTL=7TTL=8TTL=9TTL=3TTL=2destinationsourceTTL=10TTL（TimeToLive）缓冲区溢出攻击危害性据统计，缓冲区溢出攻击占所有网络攻击总数的80%以上溢出成功后大都能直接拿到目标系统的最高权限身边的例子RPCDCOM溢出IIS.ida/idq溢出IIS.printer溢出IISWebDav溢出Wu-ftpd溢出缓冲区溢出原理通过往程序的缓冲区写入超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的缓冲区溢出攻击的对象在于那些具有某些特权(如root或本地管理器)运行的程序，这样可以使得攻击者取得该程序的控制权，如果该程序具有足够的权限，那么整个主机就被控制了缓冲区溢出示意图字符串变量数组函数返回点n字节输入数据>n字节,尾部为跳转的地址缓冲区用户输入正常流程溢出改变流程字符串变量数组函数返回点n字节输入数据<n字节缓冲区用户输入正常流程程序溢出时的表现SegmentationFault(coredumped)以特权身份运行的程序网络服务程序HTTPServerMailServerRPCDaemon…suid/sgid程序Root溢出Remoterootexploit通过网络，无需认证即可获得远程主机的root权限Localrootexploit本地普通用户，利用系统程序的漏洞获得root权限远程控制技术概念危害性发展历程技术类型特洛伊木马的来历希腊人攻打特洛伊城十年，始终未获成功，后来建造了一个大木马，并假装撤退，希腊将士却暗藏于马腹中。特洛伊人以为希腊人已走，就把木马当作是献给雅典娜的礼物搬入城中。晚上，木马中隐藏的希腊将士冲出来打开城门，希腊将士里应外合毁灭了特洛伊城。后来我们把进入敌人内部攻破防线的手段叫做木马计，木马计中使用的里应外合的工具叫做特洛伊木马来源于希腊神话中的特洛伊战争远程控制技术远程控制实际上是包含有服务器端和客户端的一套程序服务器端程序驻留在目标计算机里，随着系统启动而自行启动。此外，使用传统技术的程序会在某端口进行监听，若接收到数据就对其进行识别，然后按照识别后的命令在目标计算机上执行一些操作（比如窃取口令，拷贝或删除文件，或重启计算机等）攻击者一般在入侵成功后，将服务端程序拷贝到目标计算机中，并设法使其运行，从而留下后门。日后，攻击者就能够通过运行客户端程序，来对目标计算机进行操作远程控制技术的发展历程第一代功能简单、技术单一，如简单的密码窃取和发送等第二代在技术上有了很大的进步，如国外的BO2000，国内的冰河等第三代为了躲避防火墙而在数据传递技术上做了不小的改进，比如利用ICMP协议以及采用反弹端口的连接模式第四代研究操作系统底层，在进程隐藏方面有了很大的突破传统的远程控制步骤如何远程植入程序直接攻击电子邮件文件下载浏览网页+合并文件经过伪装的木马被植入目标机器远程受控端程序的自启动Windows启动目录注册表启动Run(RunOnce/RunOnceEx/RunServices）KnownDLLs修改文件关联方式系统配置文件启动Win.iniSystem.ini服务启动其他启动远程受控端程序的隐藏在任务栏（包括任务管理器）中隐藏自己初步隐藏注册为系统服务不适用于Win2k/NT启动时会先通过窗口名来确定是否已经在运行，如果是则不再启动防止过多的占用资源进程隐藏远程线程插入其他进程（不适用于Win9X）Hook技术远程控制数据传输方式ICMP协议传送反弹端口+HTTP隧道技术反弹端口连接模式>1024反弹式的远程控制程序防火墙IP数据包过滤目标主机Windows系统骗取系统IE进程木马线程正常线程进入合法应用程序正常线程…InternetExplorer浏览网页端口监听端口传统远程控制程序远程控制的防御远程端口扫描本地进程—端口察看Fport/VisionAntiyPortsAPorts

本地进程察看PslistListdlls注册表监控Regmon文件监控使用专用的查杀工具加强使用者的安全意识VisionAntiyPortsDoS与DDoS攻击DoS(DenialofService)攻击的中文含义是拒绝服务攻击DDoS(DistributedDenialofService)攻击的中文含义是分布式拒绝服务攻击拒绝服务攻击的种类发送大量的无用请求，致使目标网络系统整体的网络性能大大降低，丧失与外界通信的能力。利用网络服务以及网络协议的某些特性，发送超出目标主机处理能力的服务请求，导致目标主机丧失对其他正常服务请求的相应能力。利用系统或应用软件上的漏洞或缺陷，发送经过特殊构造的数据包，导致目标的瘫痪（称之为nuke)拒绝服务攻击典型举例SynFloodSmurfPingFloodUDPFlooder拒绝服务攻击—SynFlood正常的TCP/IP三次握手SynFlood攻击服务器

客户端SYNSYN+ACKACK握手完成，开始传送数据，系统消耗很少被攻击主机攻击主机伪造源地址不存在的主机不断重试及等待，消耗系统资源不响应SYNSYN+ACKSynFlood的防御对策重新设置一些TCP/IP协议参数增加TCP监听套解字未完成连接队列的最大长度减少未完成连接队列的超时等待时间类似于SYNCookies的特殊措施选择高性能的防火墙SYNThreshold类SYNDefender类SYNProxy类拒绝服务攻击—Smurf攻击AttackerTarget目标机器会接收很多来自中介网络的请求中介网络放大器broadcastechorequest

源地址被欺骗为被攻击主机地址其它拒绝服务攻击FragglePingofDeathUdpFloodTearDrop电子邮件炸弹Nuke类拒绝服务攻击WinNukeRPCNukeSMBDie分布式拒绝服务攻击DDoS是DoS攻击的延伸，威力巨大，具体攻击方式多种多样。分布式拒绝服务攻击就是利用一些自动化或半自动化的程序控制许多分布在各个地方的主机同时拒绝服务攻击同一目标。攻击一般会采用IP地址欺骗技术，隐藏自己的IP地址，所以很难追查。分布式拒绝服务攻击示意图分布式拒绝服务攻击步骤探测扫描大量主机以寻找可入侵的目标；入侵有安全漏洞的主机并获取控制权，在每台入侵主机中安装攻击程序；构造庞大的、分布式攻击网络；在同一时刻，由分布的成千上万台主机向同一目标地址发出攻击，目标系统全线崩溃；典型的分布式拒绝服务攻击工具TrinooTFNStacheldrahtTFN2K分布式拒绝服务攻击防御对策对于分布式攻击，目前仍无非常有效的方法来防御基本的防御对策做好各种基本的拒绝服务攻击防御措施，打好补丁；联系ISP对主干路由器进行限流措施；利用各种安全防御系统进行辅助记录工作。使用软件来帮助管理员搜索ddos客户端find_ddosZombieZapperddosping网络监听攻击源目的sniffer加密解密passwd$%@&)*=-~`^,{网络监听攻击的环境基于共享（HUB）环境的监听比较普遍实现较为简单基于交换（Switch）环境的监听基础是ARP欺骗技术基于共享环境的监听共享以太网环境中，所有物理信号都会被传送到每一个主机节点上去如将系统的网络接口设定为混杂模式(Promiscuous)，则就能接受到一切监听到的数据帧，而不管其目的MAC地址是什么共享环境监听的意义积极意义：方便网络管理员进行管理和网络故障分析消极意义：常被用来窃听在网络上以明文方式传输的口令和账号密码POP3邮件口令Ftp登录口令Telnet登录口令共享环境监听的检测基于主机的检测简单的ifconfig命令，包括各种UNIX系统基于网络的检测针对系统硬件过滤和软件过滤的检测针对DNS反向域名解析的检测针对网络和主机响应时间的检测使用专业的检测工具AntiSniff（有forwin和forunix的版本）PromiscanAntiSniff（LOpht）口令入侵口令入侵是指使用某些合法用户的帐号和口令登录到目的主机，然后再实施攻击活动获取口令的途径有：网络监听口令猜测，暴力破解利用系统管理员的失误口令猜测攻击口令猜测攻击原理现行很多加密算法都单向不可逆攻击者每次从攻击字典中取出一个条目作为口令，使用相同的加密算法进行加密，然后同密文进行比对，如不同则继续下一次尝试，否则则猜测成功。口令猜测可分为远程口令破解本地口令破解远程口令破解许多网络服务，都是通过账号/口令来认证需要访问该服务的用户POP3NetbiosTelnetFTPHTTP等可以远程进行穷举字典的方式来猜解口令破解效率很低，而且容易被记录本地口令猜解各种操作系统以自己各自的方式存放密码文件，而大多数的加密算法都比较脆弱，容易