newcenturymoon - 2005-8-12 15:07:00
攻击的六大步骤
首先，让我们看看这类家伙是怎么样一步步发起攻击的，一次典型的正面攻击大概分这么几步来进行，值得一提目前的网络病毒传染方式从实质上来讲也是一种自动攻击，因此下面的步骤对待病毒也是同样适用；
1．利用扫描工具批量ping一个段的地址，判断存活主机；
为了加快感染的速度，常常是ping不通的主机就放弃后续的操作，相当多的病毒均是属于先ping目标主机，再进行感染操作的；
2．扫描所开放端口；
针对常见的默认端口来猜测服务器的性质，如80是web服务器；21是ftp，22是 ssh，25是smtp等等；
3．根据获得的情报，判断主机的操作系统和决定攻击方式；
如果操作系统开了80的，就看看web服务器的信息；如果开了21,就看看ftp服务器的信息——从这些蛛丝马迹中获得资料，如从iis的版本号、ftp服务的欢迎信息来判断所用的程序，以及操作系统可能使用的版本；
4．尝试攻击——在这一步，分为漏洞攻击、溢出攻击、密码破解攻击；
对待网络共享，一般采用利用弱密码漏洞方式进入；对待公共服务，如web、ftp则通过查找该版本的软件漏洞（这个在google上搜索到很容易，甚至有示范代码的）进行溢出攻击；枚举用户帐号，通过挂载密码字典，进行弱密码穷尽猜测攻击等等；
5．进入系统，想办法提升权限；
如果是通过服务漏洞进入，则不少情况下默认就是最高权限了（windows的服务大多默认以administrator权限运行），如果通过其他方式获得帐号密码的，那么还要想办法提升权限，常见的做法有利用重定向方式写系统设置文件、运行有权限执行的高权限程序并造成溢出获得；
6．获得最高权限后进行破坏行为实施；
常见的就是安装木马、设置后门、修改配置、删除文件、复制重要文件等；
应对攻击行为
让我们分析一下以上6步，看看该怎么应对攻击行为。
利用扫描工具批量ping一个段的地址，判断存活主机；
由于无谓的攻击一个不能确定是否开机的ip地址从效率上来说比较低下，在要求快速攻击/感染的情况下，常常会对目标地址进行ping检测——如著名的冲击波病毒等；换句话说，如果能让我们的主机不回应icmp包，则对方无法确定我们的存活，很可能就此放弃攻击。目前不少免费/商业的个人网络防火墙都带了这一功能；
判断主机的操作系统和扫描所开放端口；
个人用户所开主机的服务类端口不多，但由于windows自身的设置问题，例如win98共享漏洞、win2k默认开着telnet服务等原因，让攻击者有多个攻击选择。在这一步，同样可以用防火墙把必要的端口禁止掉——我常用的做法是把135、137、138、139、445端口禁止掉，这能避免很多麻烦，windows的网络共享安全性实在不怎么好，个人推荐用户考虑放弃网络共享，采用ftp等方式进行必要的文件传输；
根据获得的情报，决定攻击方式；
在这一步，攻击者将上一步扫描的资料进行汇总，然后确定攻击方式——因此上一步中，我们如果能将对外的端口开得尽量少，那么攻击者能利用的资源也就越少，出现漏洞攻击的可能行就越小；
尝试攻击——在这一步，分为漏洞攻击、溢出攻击、密码破解攻击；
由于攻击个人用户的家伙大多是属于脚本小子一级的，只会用别人现成工具的居多，因此有了上面的防御后，能让他们利用的漏洞也不是太多了。只要密切注意自己所用操作系统的动态，随时给系统升级补丁，一般来说攻击者已经没折了。
进入系统，想办法提升权限；
进入到系统之后，对其他平台而言，攻击者获得的大多不是root权限，还要进行权限提升的步骤，利用重定向写配置文件、信任欺骗等手段来提升权限；而在windows下，个人用户大多直接以administrator的身份登陆并进行日常使用（值得一提的是天缘看到不少win2k/nt服务器的管理员在进行日常操作的时候也使用administrator帐号，甚至在服务器上浏览不可信任的web页），且windows的后台服务大多直接以administrator身份运行，因此一旦被入侵，直接获得administrator的几率相当高，客观上降低了攻击难度。漏洞多，补丁慢，服务权限设置设置不严格——这就是攻击者更喜欢攻击windows系列操作系统的原因了。
获得最高权限后进行破坏行为实施；
到这一步，基本上用户已经无力阻挡了——最好的做法是立即拔掉网线再谋对策了。
对待上面这样典型的正面攻击行为，有一个好的个人用户防火墙是不错的选择，天网/金山的的偶比较好用，目前我个人的桌面系统使用的是费尔防火墙，它操作上不如天网/金山方便，但可定制性更好一些。普通用户可以下一个天网的防火墙来用，默认的规则已经可以对付上面提到的大部分攻击行为了。
正因为随着个人防火墙的使用，脚本小子进行正面攻击不容易得逞，因此采用欺骗的手段进行攻击成为了更为可取的方式。
常见欺骗手法
1．im软件中的一个网站地址——该网站地址其实是一个利用了activex漏洞或mime漏洞的页面，当用户采用启用activex的浏览器或mime解析不严格的web浏览器访问该页面时，会导致脚本病毒自动执行，修改用户的本机设置，并将远程木马木马下载到本地，在没有提示的情形下运行起来，之后又挂接到im软件，在用户知情/不知情的情形下，将该网站地址发送到用户im软件里的好友中，以次延续感染；对付activex漏洞的方式是使用能准确控制是否启用页面中activex的浏览器，如myie2；对付mime头的方法是及时打上系统补丁——“美女图片”病毒就是典型的一个利用浏览器没检查jpg的mime的漏洞，而这个漏洞微软在很早前就发布了patch，结果没想到还是很多人中招了。
2．主动在im软件中发送木马——这类方法比较拙劣，攻击者以“这是我的照片”，“新发现一个好用的软件”等借口，将一个文件发过来——并要求你执行，由于可执行文件的后缀是以.exe .bat .pif . scr .cmd 为主，所以用户看到这几类后缀就要小心了。如果的确想看对方的照片怎么办？让对方把图片转成jpg文件发过来，记住是放到你本地来，而不是给你一个url，否则上面提到的mime头检查漏洞正等着你呢！
3．利用邮件方式传播病毒。对利用outlook等客户端工具的朋友来说，自动在邮件里显示出html是一项很贴心的设计——可惜是有漏洞的设计——这样在ie存在漏洞的时候，读取html格式的邮件同样会中毒；预防方式要么是禁用html方式解析，要么是及时升级windows补丁，要么是不采用outlook本地方式收信，而是先利用webmail方式以文本格式读信，然后将有必要的信保留，没必要的删除，再行下载。
本来利用imap远程管理信箱是个好主意——可以将名字/来源email看着不对劲的信直接删除掉；但由于smtp协议本身的不完善和不少邮件病毒采用获取用户outlook地址本的特性，使得信件来源常常来自一个可信任的朋友地址，令远程管理无从仅仅根据信件来源email地址和信件标题判断是否为病毒。对待这类病毒，除了依仗邮件系统自身的杀毒功能外，用户在自己机器上装一个带邮件监控功能的杀毒系统也是非常有益的。当然，最好的方法就是用纯文本方式阅读信件——舍弃一点华丽，换来更多安全是值得的，至少在有重要资料的机器上是如此。
4．程序捆绑欺骗。目前有一种程序，专门将2个文件捆绑到一起，称为捆绑机。具体来说——打个比方，我把a.exe文件和b.exe文件捆绑到一起的话，会生成一个c.exe文件——那么如果我运行c.exe，则等于同时执行了a.exe和b.exe文件。如果正好a.exe或b.exe文件是一个木马的话……常见的做法就是不少所谓的“安全站点”告诉好奇的学习者——这是xx强大的安全工具、扫描工具。结果是捆绑着木马的，下载下来一运行，自己先中招了。不少脚本小子自己的机器上都被人种了木马还茫然不知，真是报应啊，哈哈哈。不过对普通用户来说，对待不信任的人发给的这类文件还是不运行比较好；当然自己去一些不是太正规的站主动下载文件就更是脑袋里进水了。
taiying - 2005-8-12 16:10:00
【回复“newcenturymoon”的帖子】你的抄袭能力也太差了吧
http://tech.tom.com/1380/1438/2005119-154576.html
© 2000 - 2024 Rising Corp. Ltd.