网络安全笔记-1

黑客一般如何行动

知己知彼百战百胜，正如我们安全人员试图了解黑客，黑客也试图了解我们安全人员是如何防守的。
所以大方向上，黑客一般是先观察再行动、整个过程中隐藏自己（确保了解了对方，但不被对方了解）。细化以后就是：

1
2
3
4
5
6
7
8
1.踩点(Footprinting): 确定目标地址范围、查询名字空间，收集所有细节
2.扫描(Scaning): 评估目标、识别监听服务，集中于最有希望攻克的
3.查点(Enumeration): 识别合法用户账号、保护力度不够的共享资源
4.访问(Gaining Access): 发送木马或链接
5.提权(Escalating Privilege): 从普通用户提到特权用户(比如ROOT)
6.窃取(Pilfering): 数据和文件，收集入侵机制和途径；
7.灭迹(Covering tracks): 掩盖来访痕迹;(显然这个是最重要的，别的失败了都没关系)
8.创建后门(create backdoor): 为下次入侵准备便利

其中步骤6窃取了其他账号的话，可以跳到步骤4重新访问，从而以更高权限用户进行后续步骤。

此外还有一招就是拒绝服务(DDOS),步骤4访问失败的话可能会采用。（强行让目标系统无法正常提供服务）

上述步骤的具体技术手段实现

1. 踩点

打开源查询: Usenet,搜索引擎,Edgar,GooScan,FingerGoogle
whois: dig,nslookup ls -d,Sam spade,dnsmap
whois的web接口: www.networksolutions.com/whois
ARIN whois: www.arin.net/whois

其他思路扩展：
1.谷歌搜索返回值为”it worked!”的网站，就能找到初始配置apache的服务；
// intitle:Test.Page.for.Apache “it worked!” “this Web site!”
2.从目标公司的招聘要求（比如5年xxx防火墙经验，使用过xxx安全系统）就能猜到目标公司的现有安全软件是什么(甚至是几年前的版本)；
3.从地理位置，翻垃圾桶；
4.从有目标公司工作经历的简历库，能收集相应信息；

如何防范踩点：
可以参考RFC2196(公众信息安全对策)

2.扫描

Ping系列工具：fping,hping,nmap
TCP/UDP端口扫描: SuperScan,AutoScan,Scanline
OS检测: nmap,amap,SinFP,xprobe2

3.查点(Enumeration)

列出用户账号：空会话、DumpSec,PSTools
列出共享文件: showmount,SMB-NAT,nmbscan
识别应用程序: telnet/netcat抓取旗标
SNMP: rpcinfo,amap,nmap,Cisco Torch

4.访问

密码嗅探: airsnarf,dsniff,Cain and Abel,phoss
蛮力攻击: hydra,medusa
渗透工具: SIPcrack, Metasploit Framework,Canvas

5.提权

破解密码: John The Ripper,L0phtcrack,rcr
利用漏洞: Metasploit Framework

6.窃取

评估可信系统: rhots,LAS Secrets
搜索明文密码: 用户数据,配置文件,WINDOWS R

7.灭迹

清除日志记录: logclean-ng,wtmpclean
掩藏工具: rootkits,文件流

8.创建后门

创建流氓用户账号: members of wheel,Administrators
安排批处理作业: cron, AT
感染启动文件: rc,启动文件夹，注册表键
植入远程控制服务: netcat, psexec, VNC
安装监控机制: 键击记录器
用木马替换真实应用: login, fpnwclnt.dll,patched SSH version

9. DDOS

Syn泛洪: synk4
ICMP技术: ping of death, smurf, ICMP nuke
Overlapping fragment/offset bugs: teardrop,bonk,newtear
Out of bounds TCP options: supernuke.ext
(OOB)DDOS: trincoo/TFN/stacheldraht

推荐文章