CISP0209安全攻防实践new.pptx

安全攻防实践 CISP运营中心 沈传宁 课程内容 2 安全攻防 知识体 知识域 安全攻防基础 安全攻防实践 知识子域 信息安全漏洞 知识域：安全攻防基础 知识子域：网络攻击基本概念术语 了解网络攻击的基本常识 了解黑客攻击的常用术语 知识子域：网络攻击基本流程 了解网络攻击的基本步骤 了解网络攻击各个阶段常用的攻击手段和工具 3 网络攻击基本概念及术语 网络攻击的方式 主动攻击：扫描、渗透、拒绝服务…… 被动攻击：嗅探、钓鱼…… 一些术语 后门、RootKit 0-day 提权 社会工程学 BotNet（僵尸网络） B/S（Browser/Server） …… 4 攻击的过程 5 踩点 定位 入侵 留后门 抹去痕迹 信息收集 分析目标 实施攻击 方便再次进入 清理入侵记录 踩点-信息收集 6 具体见后面介绍 为什么要收集信息 获取攻击目标大概信息 网络信息 主机信息 应用部署信息 …… 指导下一步攻击行为 信息收集的方式 社会工程学 媒体（如搜索引擎、广告介绍等） 网络工具的探测 定位-分析目标 为什么需要分析目标 确定收集信息的准确性 更准确的判断（例如:index.ycs是java开发，开发人员修改了脚本后缀以迷惑攻击者） 攻击方式及攻击路径的选择 分析目标的方法 扫描 漏洞库 论坛等交互应用 7 入侵-多种多样的入侵方式 针对配置错误的攻击－IPC$的攻击 针对应用漏洞的攻击－unicode 缓冲区溢出攻击－idq缓冲区溢出 电子欺骗攻击－ARP欺骗 拒绝服务攻击－syn flood 针对弱口令的攻击－口令破解 利用服务的漏洞-本地输入法漏洞 利用应用脚本开发的漏洞-SQL注入 利用人的心理-社会工程学攻击 …… 8 后门可以作什么 方便下次直接进入 监视用户所有行为、隐私 完全控制用户主机 后门放置方式 如果已经入侵 简单！ 如果尚未入侵 手动放置 利用系统漏洞，远程植入 利用系统漏洞，诱骗执行 后门-方便下次进入 9 特洛伊木马 随系统自启动 修改注册表 服务 Ini文件 RootKit 设备驱动 脚本后门 难以查找 隐藏账号 考验管理人员耐心与细心 后门-方式 10 改写访问日志 例如：IIS访问日志位置 %WinDir%\System32\LogFiles\W3SVC1\exyymmdd.log 改写日志的技巧 修改系统日期 删除中间文件 删除创建的用户 抹去痕迹 11 信息收集与密码破解 知识子域：攻击目标信息收集 了解目标系统网络地址、软件版本等信息获取方式 了解网络设备、系统软件、应用软件扫描攻击的常用工具 知识子域：密码破解原理与实例 了解密码破解技术原理和口令安全基本知识 了解密码破解常用工具及密码字典概念 12 信息收集技术 公开信息的合理利用及分析 IP及域名信息收集 主机及系统信息收集 系统服务信息的收集 系统、服务及应用漏洞信息收集 13 信息收集技术-公开信息的分析 公开信息的合理利用和分析-信息后面能反馈出什么？ 从著名的”照片泄密”案件到“如何用google入侵网站” 1964年《中国画报》封面 衣着判断：北纬46度至48度的区域-齐齐哈尔与哈尔滨之间 所握手柄的架式-油井的直径 钻井与背后油田间的距离和井架密度-储量和产量 因此设计出适合中国大庆的设备，一举中标 14 信息收集技术-搜索引擎 网站信息 举例：某网络提供商在其网站上宣传 “特惠服务器租用：RedHat Linux 8.0 支持MY SQL/PHP 采用性能优异的Apache 1.3.XX Web服务器” 搜索引擎 Google搜索 例：某Web服务器存在致命错误脚本“5sf67.jsp” 攻击者可通过搜索引擎查找存在该错误脚本的网站 15 信息收集技术-域名与IP查询 16 域名与IP信息收集─ Whois Whois是一个标准服务，可以用来查询域名是否被注册以及注册的详细资料 Whois 可以查询到的信息 域名所有者 域名及IP地址对应信息 联系方式 域名到期日期 域名注册日期 域名所使用的 DNS Servers …… 信息收集技术-域名与IP查询 17 域名与IP查询─ nslookup 操作系统自带命令，主要是用来查询域名名称和 IP 之间的对应关系 网络状况查询─ Ping 系统自带命令，测试与远端电脑或网络设备的连接状况 网络路径状况查询─ tracert 系统自带命令，测试与远端电脑或网络设备之间的路径 信息收集技术-系统鉴别 1．DNS的hinfo纪录 2．Banner grab 3. 二进制文件法 4．TCP/IP协议栈检测法 5．ICMP堆栈指