网络攻击技术及攻击实例介绍

网络袭击技术及袭击实例简介摘要：伴随计算机网络的广泛使用，网络袭击技术也迅猛发展。研究网络袭击带来的多种威胁，有针对性的对这些威胁进行有效防备，是加固安全防御体系的重要途径。研究计算机网络袭击技术，模拟黑客行为，以敌手推演为模型、以攻防对抗为实践方式来验证网络整体安全防护效能，是加强网络安全防护的一种重要手段。本文简介了WEB脚本入侵袭击、缓冲区滋出袭击、木马后门袭击、网络设备袭击、内网渗透袭击、拒绝服务袭击、网电空间对抗六种经典网络袭击技术及伊朗核设施遭震网技术的网络袭击案例。网络袭击技术分类?计算机网络袭击是网络袭击者运用网络通信协议自身存在的缺陷、顾客使用的操作系统内在缺陷或顾客使用的程序语言自身所具有的安全隐患，通过使网络命令或者专门的软件非法进人当地或远程顾客主机系统，获得、修改、删除顾客系统的信息以及在顾客系统上插入有害信息，减少、破坏网络使用效能等一系列活动的总称。?从技术角度看，计算机网络的安全隐患，首先是由于它面向所有顾客，所有资源通过网络共享，另首先是由于其技术是开放和原则化的。层出不穷的网络袭击事件可视为这些不安全原因最直接的证据。其后果就是导致信息的机密性、完整性、可用性、真实性、可控性等安全属性遭到破坏，进而威胁到系统和网络的安全性。?从法律定义上，网络袭击是入侵行为完全完毕且入侵者已在目的网络内。不过更激进的观点是(尤其是对网络安全管理员来说)，也许使一种网络受到破坏的所有行为都应称为网络袭击，即从一种入侵者开始对目的机上展动工作的那个时刻起，袭击就开始了。一般网络袭击过程具有明显的阶段性，可以粗略的划分为三个阶段:准备阶段、实行阶段、善后阶段。为了获取访问权限，或者修改破坏数据等，袭击者会综合运用多种袭击措施到达其目的。常见的袭击措施包括：网络探测、欺骗、嗅探、会话劫持、缓冲区滋出、口令猜解、木马后门、社交工程、拒绝服务等。?网络渗透是网络攻力的关键，袭击者通过一步步入侵目的主机或目的服务器，到达控制或破坏目的的目的。袭击者往往通过对这些技术的综合使用，对一种看似安全的网络，寻找到一种很小的安全缺陷或漏洞，然后一步一步将这些缺口扩大，最终导致整个网络安全防线的失守，从而掌控整个网络的控制权限。?剑有双刃，网络渗透袭击可以成为袭击者手中的一种破坏性极强的袭击手段，也可以成为网络管理员和安全工作者保护网络安全的重要方案设计来源。下面分别简介这些渗透袭击技术。信息踩点与搜集?对于袭击者而言，目的网络系统上的任何漏洞均有也许成为撕开网络安全防线的一种突破口。袭击者踢点与搜集的信息，无非就是找到这条防线中最微弱的那个环节。首先获取尽量详细的目的信息，然后制定人侵方案，寻找突破口进人内部网络，再提高权限控制目的主机或网络。信息踩点重要有如下三个方面。?管理员顾客信息搜集?袭击者通过网络搜索引擎、实地理解、电话征询等方式，运用社会工程学方式，搜集目的系统或网络的归属性质、重要顾客、构造分支、邮件联络地址、电话号码、QQ或MSN等多种社交网络注册账户及信息，以及重要管理员的网络习惯等。这些信息可用作制作弱口令猜解字典以及钓鱼袭击的先验知识。?服务器系统信息搜集?运用多种扫描工具，搜集服务器对外提供的服务，并测试其与否存在开放式的漏洞。常用的针对系统漏洞的扫描工具有NESSUS、SSS、ISS、X-scan、Retha等。针对服务端口的扫描工具有Nmap、SuperScan、Amap等。针对WEB页面眼务的扫描工具有SQL扫播器、PHP扫描器、上传漏洞扫描器等，以及WEB站点扫描工具如Appscan、AcunetixWebVulnerabilityScanner、Jsky等。针对数据库的扫描工具有shadowDatabasescanner、NGSSQuirreL、SQL弱口令扫描器等。此外还可以根据需要自己开发专门的漏洞验证扫描器。网络信息搜集袭击者通过GoogleHacking、WHOIS、DNS查询以及网络拓扑扫描器(如Solarwinds等)，对目的网络拓扑构造、IP分布状况、网络连接设备信息、眼务器分布状况等信息进行搜集。?WEB脚本入侵袭击?WEB服务作为现今Intemet上使用最广泛的服务，底层软件庞大、配置复杂、漏洞较多，因此袭击手段也最多；一旦WEB服务被攻破，也许成为袭击者渗透进内网的跳板。WEB服务往往大量采用动态网页，例如，使用ASP、PHP和JSP等脚本。针对动态网页的脚本袭击措施越来越流行，包括文献上传、注入、暴库、旁注、Cookies欺骗、xss跨站脚本袭击、跨站伪造祈求袭击、远程文献包括攻击等。WEB脚本人侵重要以WEB服务器以及数据库服务器为入侵袭击对象，采用脚本命令或浏览器访问的方式对目的实行人侵袭击。在袭击者对一种WEB站点完毕踩点和信息搜集之后，可以采用数据库人侵或者多种脚本漏洞获取到后台管理权限，再获得webshell权限，继而通过webshell提高权限打开内网渗透的突破口。?由于WEB脚本人侵所有操作都是通过80端口进行数据传送，可以顺利的穿透防火墙，这种无孔不人的袭击方式让网站管理员难于防备。WEB脚本袭击技术多种多样，并且时刻都在更新。SQL注人袭击?SQL注人袭击技术自开始逐渐发展，并日益流行，已成为WEB入侵的常青技术。这重要是由于网页程序员在编写代码时，没有对顾客输人数据的合法性进行判断，使得袭击者可以构造并提交一段恶意的数据，根据返回成果来获得数据库内存储的敏感信息。由于编写代码的程序员技术水平参差不齐，一种网站的代码量往往又大得惊人，使得注入漏洞往往层出不穷，也给袭击者带来了突破的机会。SQL常用的注人工具有：pangolin.等。?数据库人侵袭击?数据库人侵包括默认数据库下载、暴库下载以及数据库弱口令连接等袭击方式。默认数据库漏洞，是指部分网站在使用开源代码程序时，未对数据库途径以及文献名进行修改，导致袭击者可以直接下载到数据库文献进行袭击。暴库下载袭击是指运用IIS的％5C编码转换漏洞，导致袭击者在提交特殊构造的地址时，网站将数据库真实物理途径作为错误信息返回到浏览器中。袭击者即可以此下载到关键数据库。数据库弱口令连接人侵，袭击者通过扫推得到的弱口令，运用数据库连接工具直接连接到目的主机的数据库上，并依托数据库的存储过程扩展等方式，添加后门账号、执行特殊命令。文献上传漏洞人侵?网站的上传漏洞是由于网页代码中文献上传途径变量以及文献名变量过滤不严导致的，运用这个漏洞可以将如.ASP等格式的网页木立即传到网站服务器，继而获得网站的服务器权限。诸多网站都提供文献上传功能，以以便顾客发图、资源共享等。但由于上传功能限制不严，导致了漏洞的出现。上传漏洞的成因如下：首先，对文献的扩展名或文献头验证不严密，导致上传任意或特殊文献；另一方面，对上传文献的文献头标识验证不严，也会导致文献上传漏洞。如袭击者可以修改文献头伪装图片，或对图片和木马进行合并，写入数据库中，然后通过数据库备份将文献保留为指定格式的木马文献。?跨站脚本袭击?跨站袭击，即ecosssitescriptexecution(一般简写为xss，由于CSS与层叠样式表同名，故改为XSS)是指袭击者运用网站程序对顾客输入过滤局限性，输入可以显不在页面上对其他顾客导致影响的HTML代码，从而盗取顾客资料、运用顾客身份进行某种动作或者对访问者进行病毒侵害的一种袭击方式。使用最多的跨站袭击措施莫过于cookie窃取，即获cookie后直接借助工具或其他可修改cookie的浏览器，被袭击者在访问网页时，其cookies将被盗取。?跨站攻力尚有一种使用方法是读取当地文献。跨站脚本袭击的方式重要还是依托运用者的javascript编程水平，袭击者编程水平够高，就能到达更为复杂的袭击效果。诸如AttackAPI,XSSshell、XSS蠕虫、读取浏览器密码、袭击Firefox插件等等。?webshell权限提高?一般而言，webshell所获取的权限为IIS_USER权限，有些组件或应用程序是不能直接运行的。为了提高webshell权限，袭击者往往会运用服务器上的安全缺陷,或通过多种具有高权限的系统以及应用软件漏洞，来提高自己程序的执行权限。缓冲区滋出袭击缓冲区溢出(bufferoverflow)是一种系统袭击手段，通过在程序缓冲区写超过其长度的内容，导致缓冲区溢出，从而破坏程序堆找，使程序转而执行其他指令到达袭击目的。?运用缓冲区溢出进行系统袭击必须满足的两个基本条件：第一步，将攻志代码植入被袭击程序；第二步，使被袭击程序跳转到植入的袭击代码处执行，通过精心设计的溢出字符串同步实现这两个环节。将溢出字符串作为顾客数据提供应被袭击程序，用来溢出被袭击程序的缓冲区，实现溢出袭击，例如，针对网络服务程序，构造特殊格式的交互数据包;针对浏览器或第三方插件程序，构造特殊格式的网页；针对办公程序，构造特殊格式的文档，等等。通过缓冲区溢出进行系统袭击的难点在于溢出字符串的设计，其中包括设计良好的返回地址和袭击代码shellcode。返回地址的设计影响着溢出字符串格式的设计，而sheucode的寄存位置需要根据返回地址的设计来决定。溢出字符串寄存在被袭击程序的堆找缓冲区内。为了执行溢出字符串中的shellcode,返回地址可以设计为直接指向shellcode的开始地址；或者可以在shellcode前加上一段Nop指令，返回地址设计为指向这段NOP指令中的某个地址。?为了提高对返回地址猜测的命中率，溢出字符串中可以寄存多份返回地址来提高覆盖函数原返回地址的成功率。?成功触发缓冲区溢出后，进程的控制权转交给shellcode,shellcode是溢出字符串的有效负载，用来实现不一样的袭击功能。shellcode的手工生成十分繁琐，为加紧开发速度，可以通过自动化shellcode生成平台Metasploit来产生所需的shellcode,功能包括：当地提取、远程提权、下载执行、开放端口、反弹连接、增添管理顾客等。?在网络渗透袭击中，袭击者可以运用缓冲区溢出直接控制多台主机，尤其是在内网渗透当中，由于内网主机一般处在防火墙里面，缓冲区溢出袭击所针对的端口不会被防火墙所屏蔽，因此缓冲区溢出成为内网横向权限提高最有效的手段之一。?缓冲区溢出有两种方式，一种是远程溢出，此外一种是当地溢出。远程溢出袭击是网络袭击中一种威力巨大的手段。袭击者可以通过远程溢出，直接控制目的主机，获取最高权限：如针对windows的MS08-067漏洞，导致了无数主机被溢出袭击。当地滋出的危害更多在于webshell提权上面。?缓冲区溢出袭击根据袭击目杨又可分为针对操作系统服务、针对WEB平台服务，以及针对第三方软件的滋出袭击。针对操作系统服务漏洞的重要有RFC服务远程溢出(包括多种，如冲击波，震荡波、扫荡波等)、W1NS服务名称验证漏洞、即插即用服务溢出漏洞等针对WEB平台服务的漏洞有IIS平台的IDA、IDQ漏洞，Apache滋出漏洞，WEBDAV溢出漏洞、邮件服务器的溢出漏洞、对FTP服务器的溢出漏洞等。针对第三方应用软件的溢出漏洞有ccproxy代理溢出漏洞、Serv-U?眼务器漠出漏洞、ISSRealSecure/BlackICE防火墙溢出等。?木马后门袭击?木马后门袭击是袭击者延续其袭击效果的重要手段，包括特洛伊木马、网页木马、隐秘后门、RootKit等方式。袭击者通过木巧袭击，最终到达获取下一时刻服务器控制权限的目的。袭击的重要手段:文献描绑袭击、文献自动感染袭击、网页挂马袭击、账号密码破解袭击，预留后门攻法、RootKit后门袭击等。?Rootkir技术?Rootkit与一般木马后门以及病毒的区别在于其更为强大的隐秘性，如通信隐蔽、自启动项隐藏、文献隐藏、进程通信隐蔽、进程/模块隐藏、注册表隐藏、服务隐藏、端口隐藏。Rootkit自身并没有害处，但它可以作为其他恶意代码的载体。其极强的隐蔽性给其他恶意代码的生存及传播提供了良好的温床。Rootkit大多数是深入操作系统内核的.通过进行代码的注人，以及某些针对操作系统的漏洞的溢出袭击.或通过驱动程序加载的方式进人系统内核。由于在绝大多数现代操作系统中都采用了整体单内核的设计；内核的各个模块之间是互相透明的，只要Rootkit侵人了内核的任何一种部分，那么它就拥有了整个系统的所有控制权。之后Rootkit可以进行诸多操作，例如，隐藏文献、进程，制造隐蔽的网络通信信道等等。网页挂马袭击?网页木马一般是指运用IE浏览器的某些漏洞，通过构造出特殊代码，在网页中夹带木马程序，或一段使得客户端下载并执行指向木马程序连接地址的袭击代码。使得其他上网者在浏览该网页时，会在后台悄悄执行网页中的袭击代码，到达控制顾客主机的目的。?常见网页木马重要有操作系统自带lE组件或其他软件漏洞网页木马和应用软件漏洞网页木马。对于第一类，最经典的有MIME漏洞网页木马、ActiveX漏洞木马、OBJECT对象漏洞木马。实际上，被曙光的IE浏览器漏洞一直源源不绝，由于网页木马是由服务器袭击客户端，顾客往往又是信任服务器的，此类袭击产生的后果和危害往往是非常严重的。网络设备袭击?路由器和互换机是最常见的网络设备，决定着内网与互联网之间的连接。在袭击者入侵目的中，路由器和互换机是重要的袭击对象。在常用网络设备中，Cisco路由器占据主导地位。下面以cisco为例，简介袭击者人侵路由器的措施。?路由器远程控制措施一般有两种，一种是telnet或HTTP管理，一种是SNMP代理。前一种方式只适合管理小型局域网路由器，而后一种是更为常用的管理方案。1.SNMP小区字串弱口令每个SNMP启用的路由设备都包括一种管理信息模块(MIB)，这是一种包括简朴等级的数据目录构造,在这种树构造中包括设备多种信息。通过SNMP命令GET，可以检索MIB的信息，而SET命令则可设置MIB变量。SNMP协议通过小区(community)字串的概念实现对设备MIB对象访问的权限。如：?(conf)#snmp-servercommunityread_onlyRO?(conf)#snmp-servercommunityread_writeRW?上例中设置了只读访问的小区字串read_only和可进行读写操作的read_write小区字串。而大部分管理员喜欢使用public和private设置只读字串和读写字串，这种配置成果将给网络带来巨大的安全风险。袭击者可以通过SolarWinds等路由器管理工具扫描到这些弱口令字串，并运用TFTP下载或上传配置文献，破解其特权密码或直接上传当地修改后的配置文献，到达完全控制路由器的目的。Cisco配置文献中，意外创立和暴露SNMP共享字符串，可以容许未授权地査阅或者修改感染的设备。这种漏洞是调用SNMP函数中的缺陷引起的。SNMP运用community的标识来划分object组，可以在设备上查看或者修改它们。在组中的数据组织MIB，单个设备可以有几种MIBs，连接在一起形成一种大的构造，不一样的社团字符串可以提供只读或者读写访问不一样的、也许重叠的大型数掘构造的一部分。?启用SNMP,键入snmp-server时，假如小区在设备上不是以有效的小区字串存在，就会不可预料地添加一种只读小区字率。假如删除它，这个小区字串中将会在重载设备时重新出现。?缺陷源于SNMPv2的告知(informs)功能的实现，这个功能包括互换只读小区字符串来共享状态信息。当一种有漏洞设各处理一条定义接受SNMP"traps"(陷阱消息)主机的命令时(常规snmp-server配置)，在trap消息中指定的社团也还是配置成通用，假如它在保留配置中没有定义。虽然小区在前面被删除并统配置在系统重载前保留到存储器，也会发生这种状况。?当通过"snmpwalk"(—种检测SNMP配置对的性的工具)，或者使用设备的只读社团字符串遍历基于社团的访问控制MIB来检查设备时，就会泄漏读写社团字符串。这意味着懂得只读小区字串容许读访问存储在设备中的MIB,导致信息泄露。而更为严重的是，假如懂得读写小区字符串就可以容许远程配置的路由，可以绕开授权认证机制，从而完全控制路由器的整体功能。内网渗透袭击?windows系统密码破解?在内网渗透中，假如能得到域管理员的密码Hash,并破解之，将使袭击者很也许通过此密码控制到整个网络。?在windows系统中，某个顾客登陆系统后，其顾客名和密码都是以明文的方式保留在内存中的。控制顾客登陆的系统进程是，当有多种顾客同步登陆系统时，系统在每个顾客登陆时都会产生一种进程。当AWGINA模式被设置时，可以用aio等工具直接读取到目前顾客的密码。袭击者在获取目的主机emdshell后，可以采用LC5、SAMInside等工具进行暴力或字典破解。然而，由于windows密码采用的是NTLMHash加密的方式，对于一种位数不太长密码，完全可以采用查表法进行破解，opcrack加彩虹表进行查表搜索破解就是一种很好的选择。其在破解14位任意字符时，一般都在几分钟之内。ARP欺骗袭击?ARP协议即地址解析协议addressresolutionprotocol,ARP协议是将Ip地址与网络物理地址一一对应的协议。负责IP地址和网+实体地址(MAC)之间的转换。也就是将网络层(IP层’也就是相称于ISOOSI的第三层)地址解析为数据连接层(MAC层，也就是相称于ISOOSI的第二层)的MAC地址。ARP表支持在MAC地址和IP地址之间的一一对应关系，并提供两者的互相转换。?由于ARP协议无法识别ARP谓求kg响应报文的衣实性，使得袭击者可以通过抢先构造出ARP报文，对内网所主机以及互换设备进行欺编，从而到达流量重定向的袭击的目的。常见内网ARP欺骗袭击的重要手段有ARP内网挂马袭击，ARP内网嗅探袭击，ARP挂马袭击重要使得内网主机在访问外部网页时，被强行插入一种恶意网页木马链接，到达种植木巧的袭击效果。ARP内网嗅探袭击重要是袭击机在被袭击机与访问站点之间做一种中间人袭击，使得所有通信数据先流向袭击机，再转发出去。常用内网鸣探袭击工具有cain、cttcrcap。拒绝服务袭击?在网络袭击中，恶意袭击者为了破坏目的服务的可用性，或者让目的服务器进行重启来执行某些功能，一般会采用拒绝服务袭击的方式。拒绝服务袭击的分类措施有诸多种，从不一样的角度可以进行不一样的分类，而不一样的应用场所需要采用不一样的分类。常用的柜绝服务工具有：SYNFlood,UDPFlood、傀儡僵尸等分布式拒绝服务工具。?拒绝服务袭击可以是物理的(硬件的)，也可以是逻辑的(logicattack),也称为软件的(sofwareattack)。物理形式的袭击，如盗窃、破坏物理设备，破坏电源等。按袭击的目的又可分为节点型和网络连接型，前者意在消耗节点(主机host)资源，后者意在消耗网络连接和带宽。而节点型又可以深入细分为主机型和应用型，主机型袭击的目的重要是主机中的公共资源如CPU、磁盘等，使得主机对所有的服务都不能响应；而应用型则是袭击特定的应用，如邮件服务、DNS服务、Web服务等。受袭击时，受害者上的其他服务也许不受影响或者受影响的程度较小(与受袭击的服务相比而言)。?按照袭击方式来分可以分为：资源消耗和服务中断。资源消耗指袭击者试图消耗目的的合法资源，例如，网络带宽、内存和磁盘空间、CPU使用率等。服务中止则是指袭击者运用服务中的某些缺陷导致服务崩淸或中断。?按受害者类型可以分为服务器端拒绝服务袭击和客户端拒绝服务袭击。前者是指袭击的目的是特定的服务器，使之不能提供服务(或者不能向某些客户端提供某种服务)，例如，袭击一种web服务器使之不能访问；后者是针对特定的客户端，即顾客，使之不能使用某种服务，例如，游戏、聊天室中的"踢人"，即不让某个特定的顾客登录游戏系统或聊天室中，使之不能使用系统的服务。大多数的拒绝服务袭击(无论从种类还是发生的频率角度)是针对服务器的，针对客户端的袭击一般发生得少些，同步由于波及面小，其危害也会小诸多。按袭击与否直接针对受害者，可以分为直接拒绝服务袭击和间接拒绝服务袭击，如要对某个E-mail账号实行拒绝服务袭击，直接对该账号用邮件炸弹袭击就属于直接袭击为了使某个邮件账号不可用，袭击邮件服务器而使整个邮件服务器不可用就是间接袭击。?按袭击地点可以分为当地袭击和远程(网络)袭击，当地袭击是指不通过网络，直接对当地主机的袭击，远程袭击则必须通过网络连接。由于当地袭击规定袭击者与受害者处在同一地，这对袭击者的规定太高，一般只有内部人员可以做到。网电空间对抗?伴随军用信息网络的发展，网电空间(cyberspace)成为继陆、海、天之后的又一重要战场，网电空间对抗技术也逐渐成为各同军队争相发展的热点。美军于6月正式成立网电司令部，全面规划和管理各军种网电对抗的指挥控制、信息共享、装备论证和作战训练。网电空间是通过网络化系统有关物理基础设施，运用电子信号和电磁频谱，存储、修改和互换数据的域，涵盖了信息的产生、处理、传播、使用、存储的全过程，包括信息通过电磁信号在电磁频谱空间中传播的过程，是一种全新的作战域。?网电空间中包括多种异构网络。异构网络的连接方式包括物理连接和虚拟连接。物理连接指异构网络之间通过网络设备互联，如计算机网络和移动通信网络之间通过网关互联。虚拟连接指异构网络之间没有通过网络设备进行直接连接，但可以运用移动介质、终端等实现连接，如外部网络和隔离网络之间没有直接连接不过可以通过移动介质、终端等实现两个网络间的信息传播。网电空间对抗的范围包括网电态势感知、网电袭击和网电防御等三大领域其基本模式是结合老式网络战和电子对抗的特色和优势，实现自上而下、自下而上的信息干预，从而影响认知域。详细的技术发展思绪内容包括两个层面，即实现网络化的电子对抗和实现电磁化的网路袭击。?美军在网电对抗方面已经形成了一系列具有实战能力的技本和装备体系，其中比较有代表性的包括：舒特系统、震网袭击技术、数字大炮、网电飞行器等。其中震网袭击技术在针对伊朗核设施的作战应用中一举成名，成力目前网电袭击的经典范例。袭击案例——震网袭击技术?，伊朗核设施中大量浓缩袖离心机报废，核项目进展严重停滞。2月，为防止核泄漏，伊朗宣布临时卸载其布什尔梭电站的核燃料。据权威反病毒机构分析显示，导致该事件的罪魁祸首为"超级工厂"（震网)病毒。经分析发现，超级工厂病毒袭击核电站的措施是:摧毁核电站的浓缩轴离心机。为了摧毁离心机，病毒使用了三种措施：?(1)在控制浓缩袖离心机的可编程逻辑控制器(PLC)上植人恶意代码，使