第二章 黑客常用的 系统攻击方法

黑客发展的历史 网络威胁 网络扫描 网络监听 木马 DDOS 拒绝服务攻击

本章主要内容

黑客发展的历史 黑客的由来 黑客的分类：

白帽黑客（ hacker ）——勇于创新黑帽黑客 / 骇客（ cracker ）——恶意破坏

安全威胁发展趋势

攻击复杂度与所需入侵知识关系图

黑客攻击的动机

贪心 － 偷窃或者敲诈 恶作剧 – 无聊的计算机程序员 名声 – 显露出计算机经验与才智，以便证明他们的能力和获得

名气 报复 / 宿怨 – 解雇、受批评或者被降级的雇员，或者其他任

何认为其被不公平地对待的人 无知 / 好奇 – 失误和破坏了信息还不知道破坏了什么 黑客道德 - 这是许多构成黑客人物的动机 仇恨 - 国家和民族原因 间谍 －政治和军事目的谍报工作 商业 －商业竞争，商业间谍

黑客应该做的事情

1. 写开放源码的软件 2. 帮助测试并修改开放源码的软件

3. 公布有用的信息 4. 帮助维护基础设施的运转 5. 为黑客文化本身服务

黑客入侵攻击的一般过程

1. 确定攻击的目标。2. 收集被攻击对象的有关信息。3. 利用适当的工具进行扫描。4. 建立模拟环境，进行模拟攻击。5. 实施攻击。6. 清除痕迹。

丹尼斯 · 利奇和肯 · 汤普生

两人在贝尔公司工作，开发 Unix 系统。

1999 年 4 月 27 日，两人在白宫从美国总统克林顿手中接过沉甸甸的全美技术勋章。

理查德 · 斯托曼

哈佛大学的一名本科生， MIT （麻省理工学院）的人工智能实验室的工作。

自由软件运动、 GNU 计划、自由软件基金的创始人，打破软件是私有财产的概念。

号称十大老牌黑客

李纳斯 · 托瓦兹

一个 21岁的芬兰大学生，在学生宿舍里写了一个操作系统的内核 --Linux

“头号电脑黑客”凯文•米特尼克

1964 年出生。 3岁父母离异，导致性格内向、沉默寡言。 4岁玩游戏达到专家水平。 13岁喜欢上无线电活动，开始与世界各地爱好者联络。 编写的电脑程序简洁实用、倾倒教师。 中学时，使用学校的计算机闯入了其他学校的网络，因而不

得不退学。 15岁闯入“北美空中防务指挥系统”主机，翻阅了美国所有

的核弹头资料，令大人不可置信。 不久破译了美国“太平洋电话公司”某地的改户密码，随意更改用户的电话号码，并与中央联邦调查局的特工恶作剧。

被“电脑信息跟踪机”发现第一次被逮捕。 出狱后，又连续非法修改多家公司电脑的财务帐单。 1988 年再次入狱，被判一年徒刑，成了世界上第一名“电脑

网络少年犯” 。

“头号电脑黑客”凯文•米特尼克

1993 年（ 29岁）打入联邦调查局的内部网，逃脱其设下的圈套。

1994 年向圣地亚哥超级计算机中心发动攻击，该中心安全专家下村勉决心将其捉拿归案。

期间米特尼克还入侵了美国摩托罗拉、 NOVELL 、 SUN 公司及芬兰 NOKIA 公司的电脑系统，盗走各种程序和数据（价 4亿美金）。

下村勉用“电子隐形化”技术跟踪，最后准确地从无线电话中找到行迹，并抄获其住处电脑。

1995 年 2 月被送上法庭，“到底还是输了”。 2000 年 1 月出狱， 3 年内被禁止使用电脑、手机及互联网。

（材料引自《骇世黑客》余开亮张兵编）

凯文•米特尼克代表作：《欺骗的艺术》、《入侵的艺术》

序 ( 节选）《欺骗的艺术》将会展示政府、企业和我们每

一个人，在社会工程师的入侵面前是多么的脆弱和易受攻击。在这个重视信息安全的时代，我们在技术上投入大量的资金来保护我们的计算机网络和数据，而这本书会指出，骗取内部人员的信任和绕过所有技术上的保护是多么的轻而易举。无论你是在政府还是在企业，这本书都如同一个清晰、明确的路标，它将帮助你弄清社会工程师的手段，并且挫败他们的阴谋。

国内黑客历史 1996年－ 1998年：中国黑客的起源

计算机和网络还没有普及。 黑客大部分是从事科研和机械方面工作的人，有着扎实的技术。 代表组织：“绿色兵团”。

1998－ 2000年：中国黑客的成长 有更多人接触到计算机和网路。 他们一部分是从事计算机的工作者和网络爱好者，另一部分是在校

学生。 代表组织：原“中国黑客联盟”。

2000年－ 2002年：浮躁的欲望 技术水平不高。 主要是在校学生。 领导这一代的核心黑客还是那些第 1代、第 2代的前辈们。 代表组织： “红客联盟”、“中国鹰派”。

国内著名的黑客 小榕：流光的作者 glacier ：黄鑫，冰河的作者，安全焦点的核心人

员 frankie ：谢朝霞，安络的老总 xundi ：张迅迪，安全焦点的创始人 yuange：袁仁广，中联绿盟的核心成员

黑客的分类

灰帽子破解者•破解已有系统•发现问题 /漏洞•突破极限 /禁制•展现自我计算机 为人民服务漏洞发现 - 袁哥等软件破解 - 0 Day工具提供 - Numega

白帽子创新者•设计新系统•打破常规•精研技术•勇于创新没有最好， 只有更好MS -Bill GatesGNU -R.StallmanLinux -Linus

善

黑帽子破坏者•随意使用资源•恶意破坏•散播蠕虫病毒•商业间谍人不为己， 天诛地灭入侵者 -K.米特尼克CIH - 陈盈豪攻击 Yahoo 者 -匿名

恶渴求自由

网络安全扫描技术

TCP/IP 基础

1

基本概念2

包与协议3

TCP 和 UDP 常用端口4

TCP/IP 协议历史

TCP/IP 协议历史

TCP/IP 起源于 20世纪 70年代中期， ARPA 资助网间网技术的研究开发，并于 1977 ～ 1979 年间推出了与目前形式一样的 TCP/IP 体系结构和协议规范；

1980 年前后， TCP/IP 应用在 ARPANET 上； 1983 年加州 Berkeley 大学推出了内含 TCP/IP 的 BSD NUIX ； 1985 年 NSF 采用 TCP/IP 建设 NSFNET ； TCP/IP 成为 20 世纪 90年代因特网的主要协议。

基本概念

TCP/IP 协议栈以及与 OSI 结构的对应关系（ P25 图 2-7 ） IP ：网际协议

IP协议指定了计算机之间传送信息的方式，本质上定义了Internet 中每台计算机使用的通用“语言”。

IPv4 ， IP 协议的第四个版本，从 1982 年起用于 Internet ，现在仍广泛使用。

在 Internet 中，数据以字符块的形式被发送，称之为数据报（ datagram ），或更通俗地称之为包（ package ）。

基本概念

Internet 地址：计算机在 IPv4 网络中拥有的每一个接口都被唯一地赋予一个 32位地址。这些地址通常被表述为四组八位数。例如： 202.112.10.2 。

地址分类： A～ E类地址；子网划分

IPv4 数据报格式（P25）

TCP 数据包格式（P25）

UDP数据包格式

TCP 的三次握手过程（P26）

包与协议 ICMP（ Internet Control Message Protocol ）——Internet 控制

报文协议。

通过 IP层收发 ICMP 报文，用于报告在传输报文的过程中发生的各种情况。它包括很多子类型。

例如： Ping 命令使用 ICMP 的 Echo 包测试网络连接；对该包的响应通常是一个“ ICMP Echo 应答”或者“ ICMP 目标不可达”消息类型。

TCP（ Transmission Control Protocol ）——传输控制协议。

该协议用于创建两台计算机之间的双向数据流连接。它是“有连接”的协议，包含了超时和重发机制，以实现信息的可靠传输。

包与协议

UDP（ User Datagram Protocol ）——用户数据报协议。该协议用于主机向主机发送数据报，它是无连接的。

IGMP（ Internet Group Management Protocol ）——Internet 组管理协议。该协议用于控制多播（或称为组播）——有目的地直接向一台或多台主机发送包的过程。

TCP 和 UDP常用端口UDP的知名端口0 保留49 login

53 DNS

69 TFTP

80 WWW HTTP

110 POP3

161 SNMP

213 IPX

2049 NFS

TCP的知名端口0 保留20 FTP－ data21 FTP－ command23 Telnet

25 SMTP

53 DNS

80 WWW

88 Kerberos

139 NetBIOS

网络扫描能告诉我们什么？ 网络上的存活主机； 扫描存活主机的端口，以及哪些服务在运行 ;

识别主机的操作系统； 识别操作系统弱口令

端口与网络安全 每台互联网中的计算机系统，都会同时打

开多个网络端口，端口就像出入房间的门一样。因为房间的门用于方便人们的进出，而端口则为不同的网路服务提供数据交换。正如房间的门可以放进小偷一样，网络端口也可以召来很多不速之客。

网络安全扫描技术在网络安全行业中扮演的角色

（ 1 ）扫描软件是入侵者分析将被入侵系统的必备工具 （ 2）扫描软件是系统管理员掌握系统安全状况的必备工具（ 3）扫描软件是网络安全工程师修复系统漏洞的主要工具（ 4）扫描软件在网络安全的家族中可以说是扮演着医生的角色

1.合法使用：检测自己服务器端口，以便给自己提供更好的服务；2.非法使用：查找服务器的端口，选取最快的攻击端口

扫描器的工作原理 扫描器是一类自动检测本地或远程主机安全弱点

的程序，它能够快速的准确的发现扫描目标存在的漏洞并提供给使用者扫描结果。

工作原理是扫描器向目标计算机发送数据包，然后根据对方反馈的信息来判断对方的操作系统类型、开发端口、提供的服务等敏感信息。

扫描器的工作原理 主机扫描，通过发送 ICMP request请求数据包来确认目标网络上的主机

是否可达。 根据操作系统的 TCP/IP栈实现时对数据报处理的原则来判断端口的信息。 同时根据协议指纹技术识别出主机的操作系统类型，不同OS 的网络协议栈是有差异的，这些差异可作为协议栈指纹识别的依据

TTL： Time To Live ，即数据包的“存活时间”，表示一个数据包在被丢弃之前可以通过多少跃点 (Hop)。不同操作系统的缺省 TTL值往往是不同的。常见操作系统的 TTL值：Windows 9x/NT/2000 Intel 128 Digital Unix 4.0 Alpha 60 Linux 2.2.x Intel 64 Netware 4.11 Intel 128 AIX 4.3.x IBM/RS6000 60 Cisco 12.0 2514 255 Solaris 8 Intel/Sparc 64

目标系统的探测方法 Whois 工具

网络安全扫描技术分类

一 . 一般的端口扫描器二 .功能强大的特殊端口扫描器三 . 其他系统敏感信息的扫描器

http://www.xfocus.net/tools/1.html

常用的扫描软件 X-scan （综合扫描器） Nmap （端口扫描器） Fluxay ipscan

端口扫描器 Nmap

Nmap简介 Nmap 支持的四种最基本的扫描方式：（ 1） Ping扫描（ -sP参数）。（ 2） TCP connect()端口扫描（ -sT参数）。（ 3） TCP同步（ SYN）端口扫描（ -sS参数）。（ 4 ） UDP端口扫描（ -sU参数）。 其他扫描方式：（ 1 ） FIN 扫描（ -sF ）。（ 2 ）圣诞树扫描（ -sX ）。（ 3 ）空扫描（ -sN ）。

综合扫描器 X-scan

X-scan 扫描器的特点什么？ 扫描参数的设置 扫描报告的分析 观看视频

（ 1 ） CGI Scanner（ 2） Asp Scanner（ 3）从各个主要端口取得服务信息的 Scanner

（ 4）获取操作系统敏感信息的 Scanner（ 5）数据库 Scanner（ 6）远程控制系统扫描器

专用扫描器的介绍

CGI--Common Gateway Interface

在物理上， CGI 是一段程序，它运行在 Server上，提供同客户段 Html页面的接口。

例子： 现在的个人主页上大部分都有一个留言本。留言本的工

作是这样的：先由用户在客户段输入一些信息，如名字之类的东西。接着用户按一下“留言”（到目前为止工作都在客户端），浏览器把这些信息传送到服务器的 CGI 目录下特定的 cgi 程序中，于是 cgi 程序在服务器上按照预定的方法进行处理。在本例中就是把用户提交的信息存入指定的文件中。然后 cgi 程序给客户端发送一个信息，表示请求的任务已经结束。此时用户在浏览器里将看到“留言结束”的字样。整个过程结束。

CGI 扫描器的原理和实现过程

<1>连接目标WEB SERVER；<2> 发送一个特殊的请求；<3> 接收目标服务器返回数据；<4>根据返回数据判断目标服务器是否有此

CGI漏洞。

范例． carbo.dll

iCat Carbo 服务器一个网络购物程序，它被 PC 杂评为最好的网络购物软件 .安全专家 Mikael Johansson 发现 iCat Carbo 服务器版本 3.0.0. 中存在一个漏洞，这个漏洞让我们每个人查看系统中的任何文件在 (除文件之外和一些特殊字符 ). 攻击方法：

提交这样的 http请求 : http://host/carbo.dll?icatcommand=file_to_view&catalogname=catalog  http会做如下回应 : [iCat Carbo Server (ISAPI, Release) Version 3.0.0 Release Build 244]  Error: (-1007) cannot open file C:webcarbohomefile_to_view.htm  看win.ini 文件： c:winntwin.ini:  http://host/carbo.dll?icatcommand=....winntwin.ini&catalogname=catalog

企业级扫描系统要素企业级扫描系统要素（ 1 ）速度（ 2）对系统的负面影响（ 3）能够发现的漏洞数量（ 4）清晰性和解决方案的可行性（ 5）更新周期（ 6）所需软硬件环境要求（ 7）界面的直观性和易用性（ 8）覆盖范围

网络安全扫描软件的局限性（ 1 ）扫描器难以智能化，不能完全代替

人工分析 （ 2）扫描器依赖升级工作，才能确保长期的有效性

（ 3）使用扫描器，必须考虑到有关法律的规定和限制，不能滥用

总结

（ 1 ） 扫描器和其它产品一样，只是一个工具，我们不能完全依赖他的工作，人的因素也是至关重要的。

（ 2） 扫描器能够发挥的功能取决于人，人的工作是大量的同时是必不可少的。只有人的努力才能够确保扫描器功能的强大。

（ 3） 扫描器质量的好坏，在于开发公司在安全实践中积累的经验和更新能力。

课堂提问 端口扫描器工作原理是什么？ 请同学回答问题，下列 nmap 的不同扫描方式是如何实现的？

Nmap –sPNmap –sTNmap –sSNmap –suNmap –sF

扫描器原理 -预备知识

预备知识 -TCP头

BACK

预备知识 -IP头

BACK

IP 数据报

UDP 是面向报文的

IP 数据报的数据部分IP首部 IP 层

UDP首部 UDP 数据部分 运输层

应用层报文 应用层

源端口目的端口 长 度 检验和2 2 2 2字节

UDP 用户数据报

BACK

SYN: seq=XSYN: seq=X

SYN: seq=Y ACk: ack=X+1SYN: seq=Y ACk: ack=X+1

ACK: seq=X+1 ack=Y+1ACK: seq=X+1 ack=Y+1

TCPTCP 连接的建立连接的建立

BACK

WHOIS查询

NMAP 软件的使用 实验环境虚拟机 windows 2000 Server 192.168.1.102虚拟机 windows 2003 Server 192.168.1.201 练习以命令方式使用 Nmap 并作记录-sP -sT -sS -sU -O Nmap –sP 192.168.1.0/24Nmap –sP 192.168.1.1-210Nmap –sT 192.168.1.102(观察打开和关闭共享打印的现象）

Nmap –sS 192.168.1.102 （观察与上一条命令所用时间的差别）

NMAP 软件的使用 实验环境虚拟机 windows 2000 Server 192.168.1.102

虚拟机 windows 2003 Server 192.168.1.201

练习以命令方式使用 Nmap 并作记录-sP -sT -sS -sU -O

Nmap –sF 192.168.1.102

Nmap –sX 192.168.1.102

Nmap –sN 192.168.1.102(观察打开和关闭共享打印的现象）

X-SCAN