天擎-第259部分
按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
酚善骱椭骰＠纾涠皇钡暮Ｐ胖饕潮缓谑录褪且訧CMP攻击为主的。由于操作系统规定ICMP数据包最大尺寸不超过64KB，因而如果向目标主机发送超过64KB上限的数据包，该主机就会出现内存分配错误，进而导致系统耗费大量的资源处理，疲于奔命，最终瘫痪、死机。
时间戳
“时间戳”是个听起来有些玄乎但实际上相当通俗易懂的名词，我们查看系统中的文件属性，其中显示的创建、修改、访问时间就是该文件的时间戳。对于大多数一般用户而言，通过修改“时间戳”也许只是为了方便管理文件等原因而掩饰文件操作记录。但对于应用数字时间戳技术的用户就并非这么“简单”了，这里的“时间戳”（time…stamp）是一个经加密后形成的凭证文档，是数字签名技术的一种变种应用。在电子商务交易文件中，利用数字时间戳服务（DTS：digita1timestampservice）能够对提供电子文件的日期和时间信息进行安全保护，以防止被商业对手等有不良企图的人伪造和串改的关键性内容。
MySQL数据库
我们在黑客文章中常会看到针对“MySQL数据库”的攻击，但很多朋友却对其不大了解。“MySQL数据库”之所以应用范围如此广泛，是由于它是一款免费的开放源代码的多用户、多线程的跨平台关系型数据库系统，也可称得上是目前运行速度最快的SQL语言数据库。“MySQL数据库”提供了面向C、C＋＋、Java等编程语言的编程接口，尤其是它与PHP的组合更是黄金搭档。“MySQL数据库”采用的是客户机/服务器结构的形式，它由一个服务器守护程序Mysqld和很多不同的客户程序和库组成。但若是配置不当，“MySQL数据库”就可能会受到攻击，例如若是设置本地用户拥有对库文件读权限，那么入侵者只要获取“MySQL数据库”的目录，将其复制本机数据目录下就能访问进而窃取数据库内容。
MD5验证
MD5（全称是message…digestalgorithm5）的作用是让大容量信息在用数字签名软件签署私人密匙前被“压缩”为一种保密的格式。它的典型应用是对一段信息（message）产生信息摘要（message…digest），以防止被篡改。通俗地说MD5码就是个验证码，就像我们的个人身份证一样，每个人的都是不一样的。MD5码是每个文件的唯一校验码（MD5不区分大小写，但由于MD5码有128位之多，所以任意信息之间具有相同MD5码的可能性非常之低，通常被认为是不可能的），凭借此特性常被用于密码的加密存储、数字签名及文件完整性验证等功能。通过MD5验证即可检查文件的正确性，例如可以校验出下载文件中是否被捆绑有其它第三方软件或木马、后门（若是校验结果不正确就说明原文件已被人擅自串改）。
上传漏洞
这个漏洞在DVBBS6。0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。
怎样利用：在网站的地址栏中网址后加上/upfile。asp如果显示“上传格式不正确＇重新上传＇”这样的字样就是有上传漏洞了，找个可以上传的工具直接可以得到WEBSHELL。
工具介绍：上传工具，老兵的上传工具、DOMAIN3。5，这两个软件都可以达到上传的目的，用NC也可以提交。
WEBSHELL是什么：其实WEBSHELL并不什么深奥的东西，是个WEB的权限，可以管理WEB，修改主页内容等权限，但是并没有什么特别高的权限，（这个看管理员的设置了）一般修改别人主页大多都需要这个权限，接触过WEB木马的朋友可能知道（比如老兵的站长助手就是WEB木马，海阳2006也是WEB木马）。我们上传漏洞最终传的就是这个东西，有时碰到权限设置不好的服务器可以通过WEBSHELL得到最高权限。
暴库
这个漏洞现在很少见了，但是还有许多站点有这个漏洞可以利用，暴库就是提交字符得到数据库文件，得到了数据库文件我们就直接有了站点的前台或者后台的权限了。
暴库方法：比如一个站的地址为。xxx/dispbbs。asp？boardID=7&；ID=161，我门就可以把/dispbbs中间的/换成％5c，如果有漏洞直接得到数据库的绝对路径，用寻雷什么的下载下来就可以了。还有种方法就是利用默认的数据库路径。xxx/后面加上conn。asp。如果没有修改默认的数据库路径也可以得到数据库的路径（注意：这里的/也要换成％5c）。
为什么换成％5c：因为在ASCII码里/等于％5c，有时碰到数据库名字为/#abc。mdb的为什么下不了？这里需要把#号换成％23就可以下载了，为什么我暴出的数据库文件是以。ASP结尾
的？我该怎么办？这里可以在下载时把。ASP换成。MDB这样就可以下载了如果还下载不了可能作了防下载。
注入漏洞
这个漏洞是现在应用最广泛，杀伤力也很大的漏洞，可以说微软的官方网站也存在着注入漏洞。注入漏洞是因为字符过滤不严禁所造成的，可以得到管理员的帐号密码等相关资料。
怎样利用：我先介绍下怎样找漏洞比如这个网址。xxx/dispbbs。asp？boardID=7&；ID=161后面是以ID=数字形式结尾的站我们可以手动在后面加上个and1=1看看
如果显示正常页面再加上个and1=2来看看如果返回正常页面说明没有漏洞如果返回错误页面说明存在注入漏洞。如果加and1=1返回错误页面说明也没有漏洞，知道了站点
有没有漏洞我门就可以利用了可以手工来猜解也可以用工具现在工具比较多（NBSI、NDSI、啊D、DOMAIN等），都可以用来猜解帐号密码，因为是菜鸟接触，我还是建议大家用工具，手工比较烦琐。
旁注
我们入侵某站时可能这个站坚固的无懈可击，我们可以找下和这个站同一服务器的站点，然后在利用这个站点用提权，嗅探等方法来入侵我们要入侵的站点。打个形象的比喻，比
如你和我一个楼，我家很安全，而你家呢，却漏洞百出，现在有个贼想入侵我家，他对我家做了监视（也就是扫描），发现没有什么可以利用的东西，那么这个贼发现你家和我家
一个楼，你家很容易就进去了，他可以先进入你家，然后通过你家得到整个楼的钥匙（系统权限），这样就自然得到我的钥匙了，就可以进入我的家（网站）。
工具介绍：还是名小子的DOMIAN3。5不错的东西，可以检测注入，可以旁注，还可以上传！
COOKIE诈骗
许多人不知道什么是COOKIE，COOKIE是你上网时由网站所为你发送的值记录了你的一些资料，比如IP，姓名什么的。
怎样诈骗呢？如果我们现在已经知道了XX站管理员的站号和MD5密码了，但是破解不出来密码（MD5是加密后的一个16位的密码）。我们就可以用COOKIE诈骗来实现，把自己的ID修
改成管理员的，MD5密码也修改成他的，有工具可以修改COOKIE这样就答到了COOKIE诈骗的目的，系统以为你就是管理员了。
防火墙系统。
IDS入侵检测——现在一般有成品软件卖
黑客作者必读资料2
1．异常检测
在异常检测中，观察到的不是已知的入侵行为，而是所研究的通信过程中的异常现象，它通过检测系统的行为或使用情况的变化来完成。在建立该模型之前，首先必须建立统计概率模型，明确所观察对象的正常情况，然后决定在何种程度上将一个行为标为“异常”，并如何做出具体决策。
异常检测只能识别出那些与正常过程有较大偏差的行为，而无法知道具体的入侵情况。由于对各种网络环境的适应性不强，且缺乏精确的判定准则，异常检测经常会出现虚警情况。
异常检测可以通过以下系统实现。
（1）自学习系统
自学习系统通过学习事例构建正常行为模型，又可分为时序和非时序两种。
（2）编程系统
该类系统需要通过编程学习如何检测确定的异常事件，从而让用户知道什么样的异常行为足以破坏系统的安全。编程系统可以再细分为描述统计和缺省否认两种。
异常检测IDS分类如表1所示。
2．滥用检测
在滥用检测中，入侵过程模型及它在被观察系统中留下的踪迹是决策的基础。所以，可事先定义某些特征的行为是非法的，然后将观察对象与之进行比较以做出判别。
滥用检测基于已知的系统缺陷和入侵模式，故又称特征检测。它能够准确地检测到某些特征的攻击，但却过度依赖事先定义好的安全策略，所以无法检测系统未知的攻击行为，从
而产生漏警。
滥用检测通过对确知决策规则编程实现，可以分为以下四种：
（1）状态建模：它将入侵行为表示成许多个不同的状态。如果在观察某个可疑行为期间，所有状态都存在，则判定为恶意入侵。状态建模从本质上来讲是时间序列模型，可以再
细分为状态转换和Petri网，前者将入侵行为的所有状态形成一个简单的遍历链，后者将所有状态构成一个更广义的树形结构的Petri网。
（2）专家系统：它可以在给定入侵行为描述规则的情况下，对系统的安全状态进行推理。一般情况下，专家系统的检测能力强大，灵活性也很高，但计算成本较高，通常以降低
执行速度为代价。
（3）串匹配：它通过对系统之间传输的或系统自身产生的文本进行子串匹配实现。该方法灵活性欠差，但易于理解，目前有很多高效的算法，其执行速度很快。
（4）基于简单规则：类似于专家系统，但相对简单一些，故执行速度快。
滥用检测IDS分类如表2所示。
3．混合检测
近几年来，混合检测日益受到人们的重视。这类检测在做出决策之前，既分析系统的正常行为，同时还观察可疑的入侵行为，所以判断更全面、准确、可靠。它通常根据系统的正
常数据流背景来检测入侵行为，故而也有人称其为“启发式特征检测”。
WenkeLee从数据挖掘得到启示，开发出了一个混合检测器RIPPER。它并不为不同的入侵行为分别建立模型，而是首先通过大量的事例学习什么是入侵行为以及什么是系统的正常
行为，发现描述系统特征的一致使用模式，然后再形成对异常和滥用都适用的检测模型。
根据系统特征分类
作为一个完整的系统，IDS显然不应该只包括检测器，它的很多系统特征同样值得认真研究。为此，将以下一些重要特征作为分类的考虑因素。
1．检测时间：有些系统以实时或近乎实时的方式检测入侵活动，而另一些系统在处理审计数据时则存在一定的延时。一般的实时系统可以对历史审计数据进行离线操作，系统就能
够根据以前保存的数据重建过去发生的重要安全事件。
2．数据处理的粒度：有些系统采用了连续处理的方式，而另一些系统则在特定的时间间隔内对数据进行批处理操作，这就涉及到处理粒度的问题。它跟检测时间有一定关系，但二
者并不完全一样，一个系统可能在相当长的时延内进行连续数据处理，也可以实时地处理少量的批处理数据。
3．审计数据来源：主要有两种来源：网络数据和基于主机的安全日志文件。后者包括操作系统的内核日志、应用程序日志、网络设备（如路由器和防火墙）日志等。
4．入侵检测响应方式：分为主动响应和被动响应。被动响应型系统只会发出告警通知，将发生的不正常情况报告给管理员，本身并不试图降低所造成的破坏，更不会主动地对攻击
者采取反击行动。主动响应系统可以分为两类：
（1）对被攻击系统实施控制。它通过调整被攻击系统的状态，阻止或减轻攻击影响，例如断开网络连接、增加安全日志、杀死可疑进程等。
（2）对攻击系统实施控制的系统。这种系统多被军方所重视和采用。
目前，主动响应系统还比较少，即使做出主动响应，一般也都是断开可疑攻击的网络连接，或是阻塞可疑的系统调用，若失败，则终止该进程。但由于系统暴露于拒绝服务攻击
下，这种防御一般也难以实施。
5．数据收集地点：审计数据源可能来自某单一节点，也可能来自于网络中多个分布式节点。
6．数据处理地点：审计数据可以集中处理，也可以分布处理。
7．安全性：指系统本身的抗攻击能力。
8．互操作性：不同的IDS运行的操作系统平台往往不一样，其数据来源、通信机制、消息格式也不尽相同，一个IDS与其他IDS或其他安全产品之间的互操作性是衡量其先进与否的
一个重要标志。
系统特征IDS分类如表3所示。
根据体系结构分类
按照体系结构，IDS可分为集中式、等级式和协作式三种，如表4所示。
1．集中式。这种结构的IDS可能有多个分布于不同主机上的审计程序，但只有一个中央入侵检测服务器。审计程序把当地收集到的数据踪迹发送给中央服务器进行分析处理。但这
种结构的IDS在可伸缩性、可配置性方面存在致命缺陷：第一，随着网络规模的增加，主机审计程序和服务器之间传送的数据量就会骤增，导致网络性能大大降低；第二，系统安
全性脆弱，一旦中央服务器出现故障，整个系统就会陷入瘫痪；第三，根据各个主机不同需求配置服务器也非常复杂。
2．等级式。它用来监控大型网络，定义了若干个分等级的监控区，每个IDS负责一个区，每一级IDS只负责所监控区的分析，然后将当地的分析结果传送给上一级IDS。这种结构仍
存两个问题：首先，当网络拓扑结构改变时，区域分析结果的汇总机制也需要做相应的调整；第二，这种结构的IDS最后还是要把各地收集到的结果传送到最高级的检测服务器进
行全局分析，所以系统
