第03讲 网络攻击流程及其技术分析.pptVIP

计算机网络与信息安全技术 第2讲 网络攻击行为、原理及技术 黑客攻击阶段及工具 攻击的阶段性 侦察 侦察是攻击的第一步，这就如同匪徒一般 侦察是利用公开的、可利用的信息来调查攻击目标 侦察包括以下技术 低级技术侦察 Web搜索 Whois数据库 域名系统（DNS）侦察 通用的目标侦察工具 低级技术侦察 社交工程 在黑客理论中，指利用人性弱点、利用人际交往上的漏洞来非法获取资料的行为。 物理闯入 垃圾搜寻 你能找出垃圾搜寻的例子吗？ Web搜索 搜索一个组织自己的web站点 有电话号码的职员联系信息 关于公司文化和语言的信息 商务伙伴 最近的合并和兼并公司 正使用的技术 使用搜索引擎 搜索论坛 BBS（电子公告栏） Usenet（新闻组） Whois数据库搜索 whois数据库：包括各种关于Internet地址分配、域名和个人联系方式的数据库。 研究.com, .net, .org域名 研究非.com, .net和.org域名 国家代码: 教育（.edu): 军事代码（.mit): whois.nic.mit 政府(.gov): Whois数据库搜索(续) 搜索目标域名 Whois数据库搜索(续) 搜索目标IP 美国Internet注册局：/whois/arin-whois.html 欧洲网络协调中心： 亚太网络协调中心： 中国互联网络信息中心： 亚太网络信息中心 DNS搜索 Nslookup 使用DNS的排错工具nslookup，你可以利用从whois查询到的信息侦查更多的网络情况。例如，使用nslookup命令把你的主机伪装成secondary DNS服务器，如果成功便可以要求从主DNS服务器进行区域传送。要是传送成功的话，你将获得大量有用信息，包括： a)使用此DNS服务器做域名解析到所有主机名和IP地址的映射情况 b)公司使用的网络和子网情况 c)主机在网络中的用途。许多公司使用带有描述性的主机名，像，和。 DNS搜索 使用nslookup实现区域传送的过程 （1）使用whois命令查询目标网络，例如在提示符下输入 whois （2）你会得到目标网络的primary和slave DNS服务器的信息。例如，假设主DNS服务器的名字是 （3）使用交互查询方式，缺省情况下nslookup会使用缺省的DNS服务器作域名解析。键入命令server 定位目标网络的DNS服务器； （4）列出目标网络DNS服务器的内容，如ls 。此时DNS服务器会把数据传送给你，当然，管理员可以禁止DNS服务器进行区域传送，目前很多公司将DNS服务器至于防火墙的保护之下并严格设定了只能向某些主机进行区域传送。 一旦你从区域传送中获得了有用信息，你便可以对每台主机实施端口扫描以确定它们提供了那些服务。如果你不能实现区域传送，你还可以借助ping和端口扫描工具，当然还有traceroute。 通用工具 Sam Spade工具 /ssw/ Netscantools 基于web的工具 ....... 网络攻击阶段及工具（续） 扫描 扫描是在侦察之后，企图发现目标的漏洞 扫描需要花费许多时间 扫描内容 战争拨号 网络测绘 端口扫描 漏洞扫描 躲避IDS 战争拨号 战争拨号是搜寻调制解调器 查找电话号码：电话薄、Intenet、whois、web站点、社交工程 工具 THC－scan 2.0 网络测绘 网络测绘是绘制目标的网络拓扑结构 发现活跃主机 Ping TCP或UDP数据包扫描 跟踪路由： Traceroute（UNIX） Tracert（Windows） 网络测绘工具 Cheops： /cheops/ 端口扫描 端口扫描类型 TCP连接扫描：三次握手 TCP SYN TCP FIN Xma：发送TCP URG、PSH等 TCP 空扫描 TCP ACK FTP跳跃 UDP ICMP 工具：nmap 扫描的目的 发现活跃的主机 发现开放的端口 确定目标使用的操作系统 协议栈指纹（Fingerprint） 漏洞扫描 漏洞扫描寻找以下漏洞 一般的配置错误 默认的配置缺点 知名系统的漏洞 漏洞扫描的组成 漏洞数据库 用户配置工具 扫描引擎 当前活跃的知识库 结果库和报告生成工具 漏洞扫描工具 SARA， /sara. SANT, /saint/ Nessus, ...... 躲避NIDS NIDS是Network Intrusion Detection System的缩写，即网络入侵检测系统，主要用于检测Hacker或Cracker通过网络进行的入侵行为。NIDS的运行方式有两种，一种是在目标主机上运行以监测其本身的通信信息，另一种是在一台单独的机器上运行以监测所有网络设备的通信信息，比如Hu