网路攻防战之Web入侵手法分析.PDF

網路攻防戰 之 Web入侵手法分析 MCP (微軟認證專家) MCSA (系統管理師) MCDBA (資料庫管理師) MCSE (系統工程師) BS7799 LABS7799 LA國際資訊安全證書國際資訊安全證書 TCSE(趨勢防毒認證資訊安全專家) FOUNDSTONE Security Professional(駭客終結者認證) 中華專案管理學會證書 微軟資訊安全講師 微軟微軟E化管化管理大師大師 微軟企業化管理大師 台灣網路危機處理中心(TWCERT)受訓證書 網路封包互動判讀認證Class C 1 注意事項 部份簡報為節省版面，請點選各張簡報標註之超連結自 行參閱。 本場次的Demo示範因場地之限Demo時無法再將字形 及畫面放大，想要抄筆記的同學請盡量往前坐 。 本場次示範之手法為避免煽惑他人犯罪，部分破壞性資 訊例如：關鍵參數、語法已做相關隱藏處理。 本場次示範所使用之惡意軟體受限於相關法律規定請勿 索取 。 索取 。 議程 2 利用知名搜尋引擎尋找 目標目標Web Server •搜尋引擎的風險 •網站攻擊者思考 •基本、進階、其它語法與關鍵字 •搜尋存在漏洞的網站 •查找別人留下來的Webshell後門 • 自動化 Google Hacks 工具 •如何防止Google Hacks 搜尋引擎的風險 By 使用者 搜尋「關鍵字」的結果可能讓使用者連入 與真網站網址或網頁內容相似的「偽冒(假)網站」 ◦例如：.tw vs .tw ◦例如：.tw vs 已被駭客植入惡意連結(木馬)的「官方(真)網站」 ◦例如：知名部落格所公告的網站 3 搜尋引擎的風險 By 網站管理者 在架設網站過程中，設計者將該網站會使用到的 「 網頁網頁 、圖片圖片 、影音檔案影音檔案 、文件文件 、檔案型式的資料檔案型式的資料 庫(access) 」貪圖超連結或檔案上下傳的方便性， 採用「一個實體資料夾就是一個網站的設計 」。 在這樣的網站設計與架設的概念下，如果該網站之 網頁存取權限或實體的資料夾檔案權限控管不當 ， 攻擊者只要猜測或使用工具取得該網站內資料夾或 檔案文件名稱，便可從Internet下載存放於該網站 (資料夾)內本屬不應公開的文件或資料庫。 網站攻擊者思考之一：網頁名稱與路徑 猜測首頁名稱：index 、default 等 猜測管理名稱猜測管理名稱 ：：adminadmin 、loginlogin 、managemanage 、 edit 、adminuser 、main 、adminmain 等 虛擬目錄/資料夾名稱：photo 、image 、admin 、 user 、script 、db 、user 等 預設路徑： IISIIS ：：c:c:\\inetpubinetpub\\wwwrootwwwroot Apache ：/usr/local/apache 防禦對策： 變更採用不易識別的名稱或路徑 4 網站攻擊者思考之二：工具與掃描 使用工具：砍站軟體、Web弱點掃描軟體、駭客工具之 後台掃描軟體、駭客工具之注入軟體 使使用時機時機 ：網網頁名稱與路徑猜測命中率太低時名稱與路徑猜測命中率太低時 使用風險：大量且及時的掃描易被防禦設備阻擋或封鎖 IP 規避風險：使用proxy不停更換IP 、少量掃描、分段掃 描、分時掃描、用跳版(肉雞)掃描、使用DDoS讓防禦 設備ByP