网络攻击技术研究.doc

网络攻击技术研究网络攻击技术研究
李德全

中科院，软件所
信息安全国家重点实验室

认识黑客Hacker
Hacker起源
Hack:(1)cutroughlyorclumsily,chop(砍辟）(2)horsemaybehired(3)personpaidtodohardanduninterestingworkasawriter；引伸义：干了一件漂亮的事；Hacker:也指恶作剧；HackerdiffersfromCracker

黑客守则

1)不恶意破坏系统
2)不修改系统文档
3)不在bbs上谈论入侵事项
4)不把要侵入的站点告诉不信任的朋友
5)在post文章时不用真名
6)入侵时不随意离开用户主机
7)不入侵政府机关系统
8)不在电话中谈入侵事项
9)将笔记保管好
10)要成功就要实践
11)不删除或涂改已入侵主机的帐号
12)不与朋友分享已破解的帐号

网络攻击的分类

1、特权提升攻击
2、拒绝服务攻击
3、病毒蠕虫的攻击（恶意代码
攻击）

1、特权提升攻击
1.1口令攻击
1.2窃听
1.3扫描
1.4木马攻击
1.5缓冲区溢出攻击
1.6社交工程

1.1口令攻击

恢复或重现存入系统的口令
强力破解
破解加密的口令文件
击键记录
从击键记录中查找可能的口令

恢复或重现存入系统的口令

在向系统输入口令时，为了避免输入的口令被旁边的人看到，系统通常不会显示你键入的口令字符，而是以星号“*”代替字符显示。当把口令存入机器以后，下次登录时系统会自动从存储在口令文件中取出相应的口令进行登录，这时候，需要输入帐号、口令的界面仍然会显示出来，而口令一栏则仍以几个“*”代替。采用口令恢复软件可以把“*”还原显示为原来的口令字符。

恢复或重现存入系统的口令

用iOpusPasswordRecoveryXP软件显示出口令为“uhf”
由于我们用的是试用模式，因此，只显示了口令的前3位

强力破解口令

如果没有采用很强的口令策略（如口令的尝试次数的限制）时，强力攻击还是很有效的。强力攻击可以通过字典加速找到不安全的口令。
一些常用的不安全口令：password、secret、sex、money、love、computer、football、hello、morning、ibm、work、office、online、terminal、internet
选择口令的要点是：长度要足够，数字、字母、符号都要有，字母要大小写都有，不能使用有意义的单词等等。

破解加密的口令文件

在系统上，通常都有加密的口令文件，当用户输入帐号和口令时，系统将口令加密与口令文件中的对应项比较，如果一致，什么口令正确，验证通过。
如果攻击者获得了此口令文件，其通过口令破解软件如JohnTheRipper、L0phtCrack、Ntcrack、CrackerJack、DictionaryMaker等从预先准备好的字典中取出一个，进行加密，然后与口令文件中的口令（一般会有很多）比较，看看与哪个一致，如果匹配成功，则攻击者就获得了对应帐号的口令，此口令即为匹配前进行加密的那个。

1.2窃听

网络窃听（远程）
本地窃听

网络窃听

在一个共享式网络，可以听取所有的流量
是一把双刃剑
管理员可以用来监听网络的流量情况
开发网络应用的程序员可以监视程序的网络情况
黑客可以用来刺探网络情报
目前有大量商业的、免费的监听工具，俗称嗅探器(sniffer)

以太网卡的工作模式

网卡的MAC地址(48位)
通过ARP来解析MAC与IP地址的转换
用ipconfig/ifconfig可以查看MAC地址
正常情况下，网卡应该只接收这样的包
MAC地址与自己相匹配的数据帧
广播包
网卡完成收发数据包的工作，两种接收模式
混杂模式：不管数据帧中的目的地址是否与自己的地址匹配，都接收下来
非混杂模式：只接收目的地址相匹配的数据帧，以及广播数据包(和组播数据包)
为了监听网络上的流量，必须设置为混杂模式

共享网络和交换网络

共享式网络
通过网络的所有数据包发往每一个主机
最常见的是通过HUB连接起来的子网
交换式网络
通过交换机连接网络
由交换机构造一个“MAC地址-端口”映射表
发送包的时候，只发到特定的端口上

共享式网络示意图

在交换式网络上监听数据包

ARP重定向攻击
AB
1B打开IP转发功能
2B发送假冒的arp包给A,声称自己是C的IP地址
3A给C发送数据，而实际上数据传到了B的MAC地址，于是B窃听了A给C的消息
做法：利用dsniff中的arpredirect工具
A
C

应用程序抓包的技术

UNIX系统提供了标准的API支持
Packetsocket
BPF
Windows平台上通过驱动程序来获取