黑客入侵

时间：2020-06-25 来源：世旅网

黑客攻防技术文章

红科网安（北京）科技有限公司

全国紧急服务热线：400-6662-110

红科网安（北京）科技有限公司目录

一、2010年网络安全趋势 ..................................................................................................................... 5

1.1 社交网站面临更多安全问题 ..................................................................................................... 5 1.2 黑客步入“云端” ........................................................................................................................ 5 1.3 苹果Mac遭受更多攻击 ........................................................................................................... 6 1.4 Windows 7引发更多安全问题 .................................................................................................. 6 1.5 搜索引擎成为攻击传播渠道 ..................................................................................................... 7 1.6 “绑架”数据 ............................................................................................................................... 7 1.7 攻击Android ........................................................................................................................... 7 1.8 传统攻击方式再度兴起 ............................................................................................................ 8 1.9 谷歌波浪(Google Wave)引发关注 ........................................................................................... 8 1.10 网络犯罪分子技能得以提升 ................................................................................................... 9 二、黑客攻击的主要方式及反攻击技术 .................................................................................................. 9

2.2.7 隐藏黑客的位置: ......................................................................................................... 11 2.2.8 网络探测和资料收集 ................................................................................................... 11 2.2.9 找出被信任的主机 ...................................................................................................... 11 2.2.10 找出有漏洞的网络成员 ............................................................................................. 12 2.2.11 利用漏洞 .................................................................................................................. 12 2.2.12 获得控制权 ............................................................................................................... 12 2.2.13 窃取网络资源和特权 ................................................................................................. 13

四、网络渗透测的大体步骤如下： ....................................................................................................... 20

 渗透测试/攻击的分类 .............................................................................................................. 20 五、网络安全评估工具 ....................................................................................................................... 22 六、总结 ............................................................................................................................................ 23

红科网安（北京）科技有限公司一、2010年网络安全趋势

1.1 社交网站面临更多安全问题

毫无疑问，2009年是社交网站迄今为止受到攻击最多的一年。但是与2010年相比，这些攻击可能根本不值一提。Koobface蠕虫等安全问题对社交网站用户形成了很大的困扰，但这些恶意软件仍然是首先感染用户的电脑，然后再窃取信息。但现在，安全专家则认为，恶意软件作者将进一步拓展攻击范围，把恶意软件植入到社交网站应用内部。有了这种病毒，无论用户是否访问社交网站，黑客都能毫无限制地窃取用户的资料和登录密码。

网络安全厂商安全研究副总裁迈克尔·沙顿(Michael Sutton)说：“我们正在目睹一个网络平台的诞生。Facebook等社交网站已经突破了原有的界限，不仅为用户提供动态的应用，以及用户原创内容，他们还邀请用户提供功能，几乎任何人都可以为之创建应用。攻击者将会利用这一点，将恶意应用部署到社交网站中，而社交网站则会疲于应付。”

与此同时，黑客将创造更多新颖的方式来攻击其他社交网站。例如，IBM X-Force安全团队预计，Twitter将成为恶意软件的传播引擎，LinkedIn则会被用于攻击高端目标用户。

1.2 黑客步入“云端”

毋庸置疑，已经开始有越来越多的IT功能通过云计算来提供，网络犯罪也顺应了这一趋势。安全厂商Fortinet预计，网络犯罪借鉴“服务即安全”(security-as-a-service)的理念，打造“服务即网络犯罪”(cybercrime-as-a-service)这一特殊品牌。网络犯罪也将效仿企业的做法使用基于云计算的工具，以便更有效率地部署远程攻击，甚至借此大幅拓展攻击范围。沙顿说：“云计算在2009年取得了长足的发展，但我们也必须意识到，市场的快速发展会

红科网安（北京）科技有限公司牺牲一定的安全性。攻击者今后将把更多的时间用于挖掘云计算服务提供商的API(应用编程接口)漏洞。”

安全厂商SonicWall预计，随着经济危机的压力持续增加，企业将进一步削减成本，并外包基本的IT职能，一些传统的增值服务提供商将纷纷部署托管和云计算服务，而这些企业也不可避免地需要加强对云计算的安全性。

1.3 苹果Mac遭受更多攻击

经济危机非但没有伤害到苹果的利益，反而使其业绩进一步提升。但安全专家表示，在市场份额提升的同时，Mac也要面临更多的黑客攻击。过去几年间，苹果的PC市场份额已经从10%增长到12%，而且没有放缓的迹象。与此同时，在售价高于1000美元的笔记本电脑中，苹果更是占据了90%的份额，但针对iPhone和MacBook的攻击也逐步引发外界关注。安全专家预计，Mac有可能会成为下一个最易受攻击的目标。尽管多数攻击都瞄准Windows，但2010年将会出现更多针对Mac OS X的攻击。

安全厂商Websense安全研究高级经理帕特里克·卢纳德(Patrick Runald)说：“Mac OS X中没有任何的恶意软件防范机制。”他表示，在CanSecWest黑客大赛上，Mac已经连续两年成为第一个被攻破的系统。

1.4 Windows 7引发更多安全问题

相对于XP而言，Windows 7的确更加安全，也的确可以提升整体的安全水平。但正因如此，才使得那些仍然使用XP的用户更容易受到攻击。黑客们将会重点攻击那些仍然使用XP的用户。与此同时，随着Windows 7的市场份额增长，黑客也将对其发动更多的攻击。安全厂商ESET技术教育总监兰迪·阿卜拉姆斯(Randy Abrams)说：“除了上网本外，多数

红科网安（北京）科技有限公司搭配XP的电脑都开始老化，并且逐步被预装Windows 7的电脑所取代。对多数黑客而言，Windows 7较高的安全性能意味着，欺骗用户比寻找系统安全漏洞更为可行。”

1.5 搜索引擎成为攻击传播渠道

黑客会不断寻找新的方法借助钓鱼网站吸引用户上钩，利用搜索引擎优化技术展开攻击便是其中的一种方法。谷歌和必应(Bing)对实时搜索的支持也将吸引黑客进一步提升相关技术。作为一种攻击渠道，搜索引擎是非常理想的选择，因为用户通常都非常信任搜索引擎，对于排在前几位的搜索结果更是没有任何怀疑，这就给了黑客可乘之机，从而对用户发动攻击。

1.6 “绑架”数据

由于自然灾害的频发和甲流感等流行病的爆发，以及新闻媒体的及时报道，网络犯罪分子也会借助用户的恐慌来骗取钱财、个人信息并安装恶意软件。黑客此前就曾经利用过类似的手段，例如，利用虚假的“系统扫描”图像诱骗用户购买虚假的杀毒软件。如今，他们则有可能首先窃取用户的个人数据，比如知识产权或病历，然后再效仿绑架的方式威胁用户支付赎金，否则便会曝光或删除这些数据。

1.7 攻击Android

iPhone的流行使之成为黑客2009年的一大攻击目标，2010年仍会继续这一趋势。然而，随着售价更低的Android手机的崛起，黑客也将拥有更多的攻击目标。与iPhone不同，Android采用开源模式，因此更容易受到攻击。安全厂商F-Secure认为，黑客未来1年内有可能针对Android开展概念证明(proof-of-concept)攻击，或者利用Android的大规模“零日”

红科网安（北京）科技有限公司漏洞展开攻击。随着谷歌自主品牌手机的推出，Android将越发受到黑客的关注。卡巴斯基实验室恶意软件高级研究员罗伊尔·舒文伯格(Roel Schouwenberg)说：“Android手机的日益流行，加之缺乏对第三方应用安全性的有效控制，将导致诸多高调恶意软件的出现。”

总体而言，安全专家认为，随着用户将智能手机作为迷你PC来处理银行交易、游戏、社交网站和其他的业务，黑客将越发关注这一平台。

1.8 传统攻击方式再度兴起

这似乎是一个轮回，安全专家预计，2010年将有很多旧的攻击方式重新开始流行。IBM X-Force团队预计，大规模的蠕虫攻击将再度兴起，与此同时，DDoS(分布式拒绝服务攻击)也将重新成为主流攻击方式。木马仍将占据主要地位。

另外，Websense的卢纳德预计，电子邮件攻击也有重新抬头之势。他表示，研究人员已经发现，通过PDF等电子邮件附件发动的攻击开始增加。他说：“恶意邮件攻击在2005年至2008年期间已经销声匿迹。而现在不知出于何种原因，这种攻击方式又再度出现。”

1.9 谷歌波浪(Google Wave)引发关注

只要网络攻击仍然存在，网络服务就将受到黑客的关注，谷歌波浪就是其中之一。安全专家预计，明年至少会发生一次针对谷歌波浪的大规模攻击。由于将电子邮件、社交网站、维基百科和即时通信整合到一起，使得谷歌波浪成为黑客窃取大量数据的完美一站式平台。然而，这些攻击本身会非常相似。卡巴斯基实验室的舒文伯格说，数据窃取式攻击将遵循标准模式，首先散布垃圾信息，之后开展钓鱼攻击，然后再通过漏洞攻击和恶意软件来达到目的。

红科网安（北京）科技有限公司 1.10 网络犯罪分子技能得以提升

安全专家认为，地下网络犯罪集团短期内不会消失，这些犯罪分子2010年还会继续提升技能。安全专家预计，今后几年内，网络犯罪集团还有望进一步增多，部分原因在于全球经济衰退导致的失业率上升。

与复杂的企业结构类似，网络犯罪分子还会继续构建等级制度并开展专业化分工。因此，今后将产生大量新颖的攻击形式，例如攻击电网等基础设施、通过DDoS攻击金融网站，除此之外，还将出现一些政治目的的DDoS攻击。

二、黑客攻击的主要方式及反攻击技术

要想更好的保护网络不受黑客的攻击，就必须对黑客的攻击方法、攻击原理、攻击过程有深入的、详细的了解，只有这样才能更有效、更具有针对性的进行主动防护。下面通过对黑客攻击方法的特征分析，来研究如何对黑客攻击行为进行检测与防御。

2.1 反攻击技术的核心问题

反攻击技术(入侵检测技术)的核心问题是如何截获所有的网络信息。目前主要是通过两种途径来获取信息，一种是通过网络侦听的途径(如Sniffer，Vpacket等程序)来获取所有的网络信息(数据包信息，网络流量信息、网络状态信息、网络管理信息等)，这既是黑客进行攻击的必然途径，也是进行反攻击的必要途径;另一种是通过对操作系统和应用程序的系统日志进行分析，来发现入侵行为和系统潜在的安全漏洞。

2.2 黑客攻击的主要方式

红科网安（北京）科技有限公司黑客对网络的攻击方式是多种多样的，一般来讲，攻击总是利用“系统配置的缺陷”，“操作系统的安全漏洞”或“通信协议的安全漏洞”来进行的。到目前为止，已经发现的攻击方式超过2000种，其中对绝大部分黑客攻击手段已经有相应的解决方法。 2.2.1 拒绝服务攻击

一般情况下，拒绝服务攻击是通过使被攻击对象(通常是工作站或重要服务器)的系统关键资源过载，从而使被攻击对象停止部分或全部服务。目前已知的拒绝服务攻击就有几百种，它是最基本的入侵攻击手段，也是最难对付的入侵攻击之一，典型示例有SYN Flood攻击、Ping Flood攻击、Land攻击、WinNuke攻击等。 2.2.2 非授权访问尝试

是攻击者对被保护文件进行读、写或执行的尝试，也包括为获得被保护访问权限所做的尝试。

2.2.3 预探测攻击

在连续的非授权访问尝试过程中，攻击者为了获得网络内部的信息及网络周围的信息，通常使用这种攻击尝试，典型示例包括SATAN扫描、端口扫描和IP半途扫描等。 2.2.4 可疑活动

是通常定义的“标准”网络通信范畴之外的活动，也可以指网络上不希望有的活动，如IP Unknown Protocol和Duplicate IP Address事件等。 2.2.5 协议解码

协议解码可用于以上任何一种非期望的方法中，网络或安全管理员需要进行解码工作，并获得相应的结果，解码后的协议信息可能表明期望的活动，如FTU User和Portmapper Proxy等解码方式。 2.2.6 系统代理攻击

红科网安（北京）科技有限公司这种攻击通常是针对单个主机发起的，而并非整个网络，通过RealSecure系统代理可以对它们进行监视。

2.2.7 隐藏黑客的位置:

典型的黑客会使用如下技术隐藏他们真实的IP地址:利用被侵入的主机作为跳板; 在安装Windows 的计算机内利用Wingate 软件作为跳板;利用配置不当的Proxy作为跳板。更老练的黑客会使用电话转接技术隐蔽自己。他们常用的手法有:利用800 号电话的私人转接服务联接ISP, 然后再盗用他人的账号上网;通过电话联接一台主机,再经由主机进入Internet。使用这种在电话网络上的\"三级跳\"方式进入Internet 特别难于跟踪。理论上,黑客可能来自世界任何一个角落。如果黑客使用800号拨号上网,他更不用担心上网费用。

2.2.8 网络探测和资料收集

黑客利用以下的手段得知位于内部网和外部网的主机名。使用nslookup 程序的ls命令; 通过访问公司主页找到其他主机;阅读FTP服务器上的文挡;联接至mailserver 并发送 expn请求;Finger 外部主机上的用户名。在寻找漏洞之前,黑客会试图搜集足够的信息以勾勒出整个网络的布局。利用上述操作得到的信息,黑客很容易列出所有的主机,并猜测它们之间的关系。

2.2.9 找出被信任的主机

黑客总是寻找那些被信任的主机。这些主机可能是管理员使用的机器,或是一台被认为是很安全的服务器。一步,他会检查所有运行nfsd或mountd的主机的NFS输出。往往这些主机的一些关键目录(如/usr/bin、/etc和/home)可以被那台被信任的主机mount。Finger daemon 也可以被用来寻找被信任的主机和用户,因为用户经常从某台特定的主机上登录。

黑客还会检查其他方式的信任关系。比如,他可以利用CGI 的漏洞,读取/etc/hosts.allow

红科网安（北京）科技有限公司文件等等。分析完上述的各种检查结果,就可以大致了解主机间的信任关系。下一步, 就是探测这些被信任的主机哪些存在漏洞,可以被远程侵入。

2.2.10 找出有漏洞的网络成员

当黑客得到公司内外部主机的清单后,他就可以用一些Linux 扫描器程序寻找这些主机的漏洞。黑客一般寻找网络速度很快的Linux 主机运行这些扫描程序。所有这些扫描程序都会进行下列检查:TCP 端口扫描;RPC 服务列表;NFS 输出列表;共享(如samba、netbiox)列表;缺省账号检查;Sendmail、IMAP、POP3、RPC status 和RPC mountd 有缺陷版本检测。进行完这些扫描,黑客对哪些主机有机可乘已胸有成竹了。如果路由器兼容SNMP协议,有经验的黑客还会采用攻击性的SNMP 扫描程序进行尝试, 或者使用\"蛮力式\"程序去猜测这些设备的公共和私有community strings。

2.2.11 利用漏洞

现在,黑客找到了所有被信任的外部主机,也已经找到了外部主机所有可能存在的漏洞。下一步就该开始动手入侵主机了。黑客会选择一台被信任的外部主机进行尝试。一旦成功侵入,黑客将从这里出发,设法进入公司内部的网络。但这种方法是否成功要看公司内部主机和外部主机间的过滤策略了。攻击外部主机时,黑客一般是运行某个程序,利用外部主机上运行的有漏洞的daemon窃取控制权。有漏洞的daemon包括Sendmail、IMAP、POP3各个漏洞的版本,以及RPC服务中诸如statd、mountd、pcnfsd等。有时,那些攻击程序必须在与被攻击主机相同的平台上进行编译。

2.2.12 获得控制权

黑客利用daemon的漏洞进入系统后会做两件事:清除记录和留下后门。他会安装一些后门程序,以便以后可以不被察觉地再次进入系统。大多数后门程序是预先编译好的,只需要想办

红科网安（北京）科技有限公司法修改时间和权限就可以使用,甚至于新文件的大小都和原有文件一样。黑客一般会使用rcp 传递这些文件,以便不留下FTP记录。一旦确认自己是安全的,黑客就开始侵袭公司的整个内部网。

2.2.13 窃取网络资源和特权

黑客找到攻击目标后,会继续下一步的攻击,步骤如下: （1）下载敏感信息

如果黑客的目的是从某机构内部的FTP或WWW服务器上下载敏感信息,他可以利用已经被侵入的某台外部主机轻而易举地得到这些资料。（2）攻击其他被信任的主机和网络

大多数的黑客仅仅为了探测内部网上的主机并取得控制权,只有那些\"雄心勃勃\"的黑客,为了控制整个网络才会安装特洛伊木马和后门程序,并清除记录。那些希望从关键服务器上下载数据的黑客,常常不会满足于以一种方式进入关键服务器。他们会费尽心机找出被关键服务器信任的主机,安排好几条备用通道。（3）安装sniffers

在内部网上,黑客要想迅速获得大量的账号(包括用户名和密码),最为有效的手段是使用\"sniffer\" 程序。

黑客会使用上面各节提到的方法,获得系统的控制权并留下再次侵入的后门,以保证sniffer能够执行。（4）瘫痪网络

如果黑客已经侵入了运行数据库、网络操作系统等关键应用程序的服务器,使网络瘫痪一段时间是轻而易举的事。

如果黑客已经进入了公司的内部网,他可以利用许多路由器的弱点重新启动、甚至关闭路

红科网安（北京）科技有限公司由器。如果他们能够找到最关键的几个路由器的漏洞,则可以使公司的网络彻底瘫痪一段时间。

红科网安（北京）科技有限公司三、黑客攻击行为的特征分析与反攻击技术

入侵检测的最基本手段是采用模式匹配的方法来发现入侵攻击行为。要有效的进反攻击首先必须了解入侵的原理和工作机理，只有这样才能做到知己知彼，从而有效的防止入侵攻击行为的发生。下面我们针对几种典型的入侵攻击进行分析，并提出相应的对策。 1. Land攻击

攻击类型：Land攻击是一种拒绝服务攻击。

攻击特征：用于Land攻击的数据包中的源地址和目标地址是相同的，因为当操作系统接收到这类数据包时，不知道该如何处理堆栈中通信源地址和目的地址相同的这种情况，或者循环发送和接收该数据包，消耗大量的系统资源，从而有可能造成系统崩溃或死机等现象。检测方法：判断网络数据包的源地址和目标地址是否相同。

反攻击方法：适当配置防火墙设备或过滤路由器的过滤规则就可以防止这种攻击行为(一般是丢弃该数据包)，并对这种攻击进行审计(记录事件发生的时间，源主机和目标主机的MAC地址和IP地址)。 2. TCP SYN攻击

攻击类型：TCP SYN攻击是一种拒绝服务攻击。

攻击特征：它是利用TCP客户机与服务器之间三次握手过程的缺陷来进行的。攻击者通

红科网安（北京）科技有限公司过伪造源IP地址向被攻击者发送大量的SYN数据包，当被攻击主机接收到大量的SYN数据包时，需要使用大量的缓存来处理这些连接，并将SYN ACK数据包发送回错误的IP地址，并一直等待ACK数据包的回应，最终导致缓存用完，不能再处理其它合法的SYN连接，即不能对外提供正常服务。

检测方法：检查单位时间内收到的SYN连接否收超过系统设定的值。

反攻击方法：当接收到大量的SYN数据包时，通知防火墙阻断连接请求或丢弃这些数据包，并进行系统审计。 3. Ping Of Death攻击

攻击类型：Ping Of Death攻击是一种拒绝服务攻击。

攻击特征：该攻击数据包大于65535个字节。由于部分操作系统接收到长度大于65535字节的数据包时，就会造成内存溢出、系统崩溃、重启、内核失败等后果，从而达到攻击的目的。

检测方法：判断数据包的大小是否大于65535个字节。

反攻击方法：使用新的补丁程序，当收到大于65535个字节的数据包时，丢弃该数据包，并进行系统审计。 4. WinNuke攻击

攻击类型：WinNuke攻击是一种拒绝服务攻击。

攻击特征：WinNuke攻击又称带外传输攻击，它的特征是攻击目标端口，被攻击的目标端口通常是139、138、137、113、53，而且URG位设为“1”，即紧急模式。

检测方法：判断数据包目标端口是否为139、138、137等，并判断URG位是否为“1”。

红科网安（北京）科技有限公司反攻击方法：适当配置防火墙设备或过滤路由器就可以防止这种攻击手段(丢弃该数据包)，并对这种攻击进行审计(记录事件发生的时间，源主机和目标主机的MAC地址和IP地址MAC)。

5. Teardrop攻击

攻击类型：Teardrop攻击是一种拒绝服务攻击。

攻击特征：Teardrop是基于UDP的病态分片数据包的攻击方法，其工作原理是向被攻击者发送多个分片的IP包(IP分片数据包中包括该分片数据包属于哪个数据包以及在数据包中的位置等信息)，某些操作系统收到含有重叠偏移的伪造分片数据包时将会出现系统崩溃、重启等现象。

检测方法：对接收到的分片数据包进行分析，计算数据包的片偏移量(Offset)是否有误。反攻击方法：添加系统补丁程序，丢弃收到的病态分片数据包并对这种攻击进行审计。 6. TCP/UDP端口扫描

攻击类型：TCP/UDP端口扫描是一种预探测攻击。

攻击特征：对被攻击主机的不同端口发送TCP或UDP连接请求，探测被攻击对象运行的服务类型。

检测方法：统计外界对系统端口的连接请求，特别是对21、23、25、53、80、8000、8080等以外的非常用端口的连接请求。

反攻击方法：当收到多个TCP/UDP数据包对异常端口的连接请求时，通知防火墙阻断连接请求，并对攻击者的IP地址和MAC地址进行审计。

对于某些较复杂的入侵攻击行为(如分布式攻击、组合攻击)不但需要采用模式匹配的方法，还需要利用状态转移、网络拓扑结构等方法来进行入侵检测。四、入侵检测系统的几点思考

红科网安（北京）科技有限公司从性能上讲，入侵检测系统面临的一个矛盾就是系统性能与功能的折衷，即对数据进行全面复杂的检验构成了对系统实时性要求很大的挑战。

从技术上讲，入侵检测系统存在一些亟待解决的问题，主要表现在以下几个方面: 1. 如何识别“大规模的组合式、分布式的入侵攻击”目前还没有较好的方法和成熟的解决方案。从Yahoo等著名ICP的攻击事件中，我们了解到安全问题日渐突出，攻击者的水平在不断地提高，加上日趋成熟多样的攻击工具，以及越来越复杂的攻击手法，使入侵检测系统必须不断跟踪最新的安全技术。

2. 网络入侵检测系统通过匹配网络数据包发现攻击行为，入侵检测系统往往假设攻击信息是明文传输的，因此对信息的改变或重新编码就可能骗过入侵检测系统的检测，因此字符串匹配的方法对于加密过的数据包就显得无能为力。

3. 网络设备越来越复杂、越来越多样化就要求入侵检测系统能有所定制，以适应更多的环境的要求。

4. 对入侵检测系统的评价还没有客观的标准，标准的不统一使得入侵检测系统之间不易互联。入侵检测系统是一项新兴技术，随着技术的发展和对新攻击识别的增加，入侵检测系统需要不断的升级才能保证网络的安全性。

5. 采用不恰当的自动反应同样会给入侵检测系统造成风险。入侵检测系统通常可以与防火墙结合在一起工作，当入侵检测系统发现攻击行为时，过滤掉所有来自攻击者的IP数据包，当一个攻击者假冒大量不同的IP进行模拟攻击时，入侵检测系统自动配置防火墙将这些实际上并没有进行任何攻击的地址都过滤掉，于是造成新的拒绝服务访问。

6. 对IDS自身的攻击。与其他系统一样，IDS本身也存在安全漏洞，若对IDS攻击成功，则导致报警失灵，入侵者在其后的行为将无法被记录，因此要求系统应该采取多种安全防护手段。

红科网安（北京）科技有限公司 7. 随着网络的带宽的不断增加，如何开发基于高速网络的检测器(事件分析器)仍然存在很多技术上的困难。

入侵检测系统作为网络安全关键性测防系统，具有很多值得进一步深入研究的方面，有待于我们进一步完善，为今后的网络发展提供有效的安全手段。

红科网安（北京）科技有限公司四、网络渗透测的大体步骤如下：

\"渗透测试\"与攻击密不可分

正如\"剑有双刃\"，网络渗透可以成为攻击者手中的一种破坏性极强的攻击手段，也可以成

为网络管理员和安全工作者保护网络安全的重要实施方案。

保护网络安全的工作涉及多方面的问题分析和解决操作，渗透测试是其中最有效的途径

之一，因此网络管理员和安全工作者有必要了解网络渗透的实施步骤与各种攻击方式。

 渗透测试/攻击的分类

网络和计算机的安全问题已经成为政府、企业必须面对的现实问题。应对安全威胁的途

径之一就是采用渗透测试的方法模拟黑客的攻击，找出网络和计算机系统中存在的安全缺陷，有针对性地采取措施，堵住漏洞，保证网络系统的安全。

渗透攻击，或者说网络测试，是一种综合运行各种网络攻击技术的行为，其中包含了不

同的网络攻击手段。我们可以从管理员的角度来对其进行分类。

1．按信息获取方式分类

从渗透的前期资料准备和信息获得来看，渗透测试/攻击可分为以下3类。 1）黑盒（Black Box）渗透

黑盒（Black Box）渗透测试通常是从目标网络的外部进行渗透模拟的，这意味着，除了被

测试目标的已知公开信息外，不提供任何其他信息。渗透者完全处于对目标网络系统一无所知的状态，只能通过Web、E-mail等网络对外公开提供的各种服务器，进行扫描探测，从而获得公开的信息，以决定渗透的方案与步骤。

通常来说，墨盒渗透测试用于模拟来自网络外部的攻击行为。

红科网安（北京）科技有限公司

2）白盒（White Box）渗透

白盒（White Box）渗透测试与黑盒渗透测试相反，渗透测试者可以通过正常渠道，向请

求测试的机构获得目标网络系统的各种资料，包括网络拓扑结构、用户账号、操作系统、服务器类型、网络设备、代码片断等信息。

渗透者可从目标网络系统外部或内部两个地点，进行渗透模拟测试，但是通常而言，这

类测试是模拟网络内部人员的越权操作。

3）灰盒（Gray Box）渗透

灰盒（Gray Box）渗透测试介于以上两者之间。

2．按目标对象分类

从渗透模拟攻击的对象来看，渗透测试又可分为以下几种。 1）主机操作系统渗透

对目标网络中的Windows、Linux、UNIX等不同操作系统主机进行渗透测试。本书重点讲

述的是对Windows主机操作系统的渗透。

2）数据库系统渗透

对MS-SQL、Oracle、MySQL等数据库系统进行渗透测试，这通常是对网站的入侵渗透过

程而言的。

3）网站程序渗透

渗透的目标网络系统都对外提供了Web网页、E-mail邮箱等网络程序应用服务，这是渗

透者打开内部渗透通道的重要途径。

4）网络设备渗透

对各种硬件防火墙、入侵检测系统、路由器和交换机等网络设备进行渗透测试。此时，

渗透者通常已入侵进入内部网络中。

红科网安（北京）科技有限公司

3．按网络环境分类

按照渗透者发起渗透攻击行为所处的网络环境来分，渗透测试可分为下面两类。 1）外网测试

通常来说，进行渗透攻击测试的目标都是大型的网络系统。这些网络系统由内部的一台

台主机与网络设备所组成，其内部是一个局域网络，从Internet上无法直接连接访问。

所谓外网测试，就是指渗透测试人员完全处于目标网络系统之外的外部网络，在对内部

状态一无所知的情况下进行的渗透测试。渗透者需要突破外部网关服务器和保护内网的防火墙，从而进入内网之中。

2）内网测试

内网测试指的是由内部网络发起的渗透测试，此时渗透测试人员已处于内网之中，渗透控制的难度相对已减少了许多。各种信息收集与渗透实施更加方便，渗透者的目标是完全地控制整个内部网络系统。

五、网络安全评估工具

 漏洞扫描：nessus、x-scan、superscan、极光

 Web扫描：明鉴、appscan、wvs、wikto、webravor、WebCruiserWVS  端口扫描：superscan、s.exe、nmap  嗅探劫持：cain、dsniff、arpkiller  ............................

红科网安（北京）科技有限公司六、总结

在网络安全体系的建设中，安全扫描工具花费低、效果好、见效快、与网络的运行相对

独立、安装运行简单，可以大规模减少安全管理员的手工劳动，有利于保持全网安全政策的统一和稳定，是进行风险分析的有力工具。

安全扫描主要是通过评估工具以本地扫描的方式对评估范围内的系统和网络进行安全扫

描，从内网和外网两个角度来查找网络结构、网络设备、服务器主机、数据和用户账号/口令等安全对象目标存在的安全风险、漏洞和威胁。

安全扫描项目包括如下内容：

信息探测类网络设备与防火墙 RPC服务 Web服务 CGI问题文件服务域名服务 Mail服务

Windows远程访问数据库问题后门程序其他服务

网络拒绝服务（DoS）

            

红科网安（北京）科技有限公司   

其他问题

从网络层次的角度来看，扫描项目涉及了如下三个层面的安全问题。

系统层安全：该层的安全问题来自网络运行的操作系统：UNIX系列、Linux系列、

Windows NT系列以及专用操作系统等。安全性问题表现在两方面：一是操作系统本身的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是操作系统的安全配置存在问题。  

身份认证：通过telnet进行口令猜测

访问控制：注册表 HKEY_LOCAL_MACHINE 普通用户可写，远程主机允许匿名FTP登

录，ftp服务器存在匿名可写目录 

系统漏洞：System V系统Login远程缓冲区溢出漏洞，Microsoft Windows Locator服务

远程缓冲区溢出漏洞  

安全配置问题：部分SMB用户存在薄弱口令，试图使用rsh登录进入远程系统网络层安全：该层的安全问题主要指网络信息的安全性，包括网络层身份认证，网络

资源的访问控制，数据传输的保密与完整性、远程接入、域名系统、路由系统的安全，入侵检测的手段等。  

网络资源的访问控制：检测到无线访问点

域名系统：ISC BIND SIG资源记录无效过期时间拒绝服务攻击漏洞，Microsoft Windows

NT DNS拒绝服务攻击 

路由器：Cisco IOS Web配置接口安全认证可被绕过，Nortel交换机/路由器缺省口令

漏洞，华为网络设备没有设置口令 

应用层安全：该层的安全考虑网络对用户提供服务所采用的应用软件和数据的安全

性，包括：数据库软件、Web服务、电子邮件系统、域名系统、交换与路由系统、防火墙及

红科网安（北京）科技有限公司应用网管系统、业务应用软件以及其它网络服务系统等。 

数据库软件：Oracle tnslsnr没有设置口令，Microsoft SQL Server 2000 Resolution服务

多个安全漏洞 

Web服务器：Apache Mod_SSL/Apache-SSL远程缓冲区溢出漏洞，Microsoft IIS

5.0 .printer ISAPI远程缓冲区溢出，Sun ONE/iPlanet Web服务程序分块编码传输漏洞 

电子邮件系统：Sendmail头处理远程溢出漏洞，Microsoft Windows 2000 SMTP服务认

证错误漏洞  

防火墙及应用网管系统：Axent Raptor防火墙拒绝服务漏洞

其它网络服务系统：Wingate POP3 USER命令远程溢出漏洞，Linux系统LPRng远程格

式化串漏洞 

网络架构分析是通过对用户评估范围内信息系统的网络拓扑及网络层面细节架构的

评估，主要从以下几个方面进行分析：    等；     

网络协议分析：路由、交换、组播、IGMP、CGMP、IPv4、IPv6等协议；

网络流量分析：带宽流量分析、异常流量分析、QOS配置分析、抗拒绝服务能力；网络通信安全：通信监控、通信加密、VPN分析等；

设备自身安全：SNMP、口令、设备版本、系统漏洞、服务、端口等；

网络安全管理：网管系统、客户端远程登陆协议、日志审计、设备身份验证等。网络建设的规范性：网络安全规划、设备命名规范性、网络架构安全性；网络的可靠性：网络设备和链路冗余、设备选型及可扩展性；

网络边界安全：网络设备的ACL、防火墙、隔离网闸、物理隔离、VLAN（二层ACL）

红科网安（北京）科技有限公司安全扫描是利用风险评估工具对绝大多数评估范围内的主机、网络设备等系统环境进行

的漏洞扫描。但是，评估范围内的网络设备安全策略的弱点和部分主机的安全配置错误等并不能被扫描器全面发现，因此有必要对评估工具扫描范围之外的系统和设备进行人工安全检查。     

系统的网络设备和主机的安全性评估应主要考虑以下几个方面：

是否最优的划分了VLAN和不同的网段，保证了每个用户的最小权限原则；内外网之间、重要的网段之间是否进行了必要的隔离措施；路由器、交换机等网络设备的配置是否最优，是否配置了安全参数；

安全设备的接入方式是否正确，是否最大化的利用了其安全功能而又占系统资源最

小，是否影响业务和系统的正常运行； 

主机服务器的安全配置策略是否严谨有效。

同时，许多安全设备如防火墙、入侵检测等设备也是人工评估的主要对象。因为这些安

全系统的作用是为网络和应用系统提供必要的保护，其安全性也必然关系到网络和应用系统的安全性是否可用、可控和可信。目前还没有针对安全系统进行风险评估的系统和工具，只能通过手工的方式进行风险评估。

安全系统的风险评估内容主要包括：

安全系统是否配置最优，实现其最优功能和性能，保证网络系统的正常运行；安全系统自身的保护机制是否实现；安全系统的管理机制是否安全；

安全系统为网络提供的保护措施，且这些措施是否正常和正确；安全系统是否定期升级或更新；安全系统是否存在漏洞或后门。

     

红科网安（北京）科技有限公司这一步工作，就是从整体网络安全的角度对现有的网络安全策略进行全局性的评估，它

也包含了技术和管理方面的内容，具体包括：   

安全策略是否全面覆盖了整体网络在各方各面的安全性描述；在安全策略中描述的所有安全控制、管理和使用措施是否正确和有效；安全策略中的每一项内容是否都得到确认和具体落实。

因篇幅问题不能全部显示，请点此查看更多更全内容

查看全文