文章大纲：

• 1、 *** 入侵包括哪些技术
• 2、常用 *** 入侵手段
• 3、 *** 入侵检测技术和手段有哪些
• 4、常见的 *** 攻击 *** 和防御技术

*** 入侵包括哪些技术

这可多了。缓冲区、数据库爆库、端口入侵、漏洞攻击等等。

总体流程：

首先是 扫描 *** （这类工具太多了）------寻找漏洞（缓冲区、数据库爆库、端口入侵等）---

--入侵成功就开始 种马了---最后就是维护肉鸡。

总体来说 *** 入侵要求 一定要有耐心，而且最少要精通一门高级语言和汇编。

拿着别人的软件来玩的永远成不了高手。高手都是自己编写软件。

常用 *** 入侵手段

入侵技术技术细分下来共有九类，分别为入侵系统类攻击、缓冲区溢出攻击、欺骗类攻击、拒绝服务攻击、对防火墙的攻击、利用病毒攻击、木马程序攻击、后门攻击、信息战。

1. 入侵系统类攻击

这种攻击手法千变万化，可是攻击者的最终目的都是为了获得主机系统的控制权，从而破坏主机和 *** 系统。这类攻击又分为：信息收集攻击、口令攻击、漏洞攻击

信息收集型攻击并不对目标本身造成危害，这类攻击被用来为进一步入侵提供有用的信息。主要包括：扫描技术攻击；体系结构探测攻击；利用信息服务攻击；假消息攻击； *** 监听攻击等。黑客还会运用社会工程收集信息。

口令攻击是网上攻击最常用的 *** ，入侵者通过系统常用服务或对 *** 通信进行监听来搜集帐号，当找到主机上的有效帐号后，就采用字典穷举法进行攻击，或者他们通过各种 *** 获取password文件，然后用口令猜测程序破译用户帐号和密码。

利用系统管理策略或配置文件的漏洞，获得比合法权限更高的操作权，如：电子邮件DEBUG、Decode、Pipe、Wiz；FTP的CWD~root、Site Exec；IP碎片攻击、NFS猜测、NFS Mknod、NFS UID检查、Rlogin-froot检查等。

利用系统配置疏忽的入侵攻击，如：利用CGI脚本权限配置错误的入侵攻击；利用环境变量配置疏忽的入侵攻击；Setuid 漏洞入侵攻击。

协议漏洞攻击，如：FTP协议攻击；服务程序漏洞攻击，如wu-ftpd漏洞攻击、IIS漏洞攻击；CGI漏洞攻击等。

利用WEB服务器的不合理配置，或CGI程序的漏洞进行攻击，达到获取脚本源码，非法执行程序，使WWW服务器崩溃等目的。如：对NT的IIS服务器的多种攻击，对许多免费CGI程序；对asp，java script程序漏洞的攻击等。

2．缓冲区溢出攻击

通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它的指令，如果这些指令是放在有root权限的内存中，那么一旦这些指令得到了运行，黑客就以root权限控制了系统，达到入侵的目的。缓冲区攻击的目的在于扰乱某些以特权身份运行的程序的功能，使攻击者获得程序的控制权。

缓冲区溢出的一般攻击步骤为：在程序的地址空间里安排适当的代码（植入法或利用已存在的代码），然后，通过适当的地址初始化寄存器和存储器，让程序跳到黑客安排的地址空间中执行（如激活纪录、函数指针或长跳转缓冲区等）。

3．欺骗类攻击

TCP/IP协议本身的一些缺陷可以被利用，使黑客可以对TCP/IP *** 进行攻击， *** 欺骗的技术主要有：HoneyPot和分布式HoneyPot、欺骗空间技术等。主要方式有：IP欺骗；ARP欺骗；DNS欺骗；Web欺骗；电子邮件欺骗；源路由欺骗（通过指定路由，以假冒身份与其它主机进行合法通信、或发送假报文，使受攻击主机出现错误动作；地址欺骗（包括伪造源地址和伪造中间站点）等。

以IP欺骗攻击为例说明如下，其的实施步骤为：选定目标主机——发现主机间的信任模式——使被信任主机葬失工作能力——TCP序列号的取样和预测——冒充被信任主机进入系统，并留下后门供以后使用。

4. 拒绝服务攻击

通过 *** ，也可使正在使用的计算机出现无响应、死机的现象，这就是拒绝服务攻击，简称DoS（Denial of Service）。这种攻击行为通过发送一定数量一定序列的报文，使 *** 服务器中充斥了大量要求回复的信息，消耗 *** 带宽或系统资源，导致 *** 或系统不胜负荷以至于瘫痪、停止正常的 *** 服务。

常见的DoS工具有：同步洪流、WinNuke、死亡之PING、Echl攻击、ICMP/ *** URF、Finger炸弹、Land攻击、Ping洪流、Rwhod、tearDrop、TARGA3、UDP攻击、OOB等。

分布式拒绝服务攻击：这种攻击采用了一种比较特别的体系结构，从许多分布的主机同时攻击一个目标，从而导致目标瘫痪，简称DDoS（Distributed Denial of Service）。攻击步骤如下：探测扫描大量主机以找到可以入侵的脆弱主机——入侵有安全漏洞的主机并获取控制权——在每台被入侵的主机上安装攻击程序（整个过程都是自动化的，在短时间内即可入侵数千台主机）——在控制了足够多的主机之后，从中选择一台作为管理机，安装攻击主程序——到指定逻辑状态后，该管理机指挥所有被控制机对目标发起攻击，造成目标机瘫痪。如：Trinoo、TFN、Stacheldraht、TFN2K、Blitznet、Fapi、Shaft、Trank攻击等。

5．对防火墙的攻击

一般来说，防火墙的抗攻击性很强，可是它也不是不可攻破的。其实，防火墙也是由软件和硬件组成的，在设计和实现上都不可避免地存在着缺陷。对防火墙的探测攻击技术有：Firewalking技术、Hping。

绕过防火墙认证的攻击手法有：地址欺骗和TCP序号协同攻击、IP分片攻击、Tcp/Ip会话劫持、协议隧道攻击、干扰攻击、利用FTP-pasv绕过防火墙认证的攻击。

直接攻击防火墙系统的常见手法有：CiscoPix防火墙的安全漏洞：CiscoPIX防火墙的拒绝服务漏洞、CISCOPIX防火墙FTP漏洞允许非法通过防火墙。

6．利用病毒攻击

病毒是黑客实施 *** 攻击的有效手段之一，它具有传染性、隐蔽性、寄生性、繁殖性、潜伏性、针对性、衍生性、不可预见性和破坏性等特性，而且在 *** 中其危害更加可怕，目前可通过 *** 进行传播的病毒已有数万种，可通过注入技术进行破坏和攻击。

计算机病毒攻击的传播途径有电子邮件、传统的软盘、光盘、BBS、WWW浏览、FTP文件下载、新闻组、点对点通信系统和无线通信系统等。

7．木马程序攻击

特洛依木马是一种骗子程序，提供某些功能作为诱饵，背地里干一些鬼事，当目标计算机启动时，木马程序随之启动，然后在某一特定的端口监听，在通过监听端口收到命令后，木马程序根据命令在目标计算机上执行一些操作，如传送或删除文件，窃取口令，重新启动计算机等。常见的特洛伊木马程序有：BO、Netspy、Netbus等。

8.后门攻击

后门是指入侵者躲过日志，使自己重返被入侵系统的技术，后门种类很多，常见的有：调试后门、管理后门、恶意后门、Login后门、Telnet后门、rhosts +后门、服务后门、文件系统后门、内核后门、Boot后门、TCP Shell后门等。

9．信息战

信息战指利用现代信息手段，通过夺取信息优势来达到自己的军事目的，它既包括了攻击对方的认识和信念，也包括了利用信息优势在实际战斗中打败对方。包括：进攻性信息战（如：电子战进攻、计算机 *** 进攻、截获和利用敌方的信息、军事欺骗、进攻性心理战、物理摧毁、微处理芯片攻击、利用电磁辐射窃取信息、高功率微波武器等）和防御性信息战（如：电子战防卫、计算机通信和 *** 安全防护、反情报、防御性的军事欺骗及反欺骗、防御性心理战、防物理摧毁、防御性信息武器等）。

*** 入侵检测技术和手段有哪些

1.宽带高速实时的检测技术如何实现千兆以太网等高速 *** 下的实时入侵检测已经成为现实问题。目前的千兆IDS产品性能指标与实际要求相差很远,提高性能应主要考虑两个方面:IDS的软件结构和算法需要重新设计,以提高运行速度和效率,适应高速网的环境;随着高速 *** 技术的不断发展,IDS如何适应IPV6等新一代 *** 协议将成为一个全新的问题。2.大规模分布式的检测技术传统的集中式IDS是在不同网段放置多个探测器来收集当前 *** 状态信息,并传送到中央控制台进行处理分析。这种方式存在明显的缺陷:之一,对了大规模的分布式攻击,中央控制台的负荷将会超过处理极限,导致漏报率增高;第二,多个探测器收集到的数据在 *** 上的传输一定程度上增加了 *** 负担,导致 *** 系统性能降低;第三,由于 *** 传输的延时问题,中央控制台处理的数据包不能实时反映当前 *** 状态。3.数据挖掘技术操作系统的日益复杂和 *** 流量的急剧增加,导致了审计数据以惊人的速度剧增。

常见的 *** 攻击 *** 和防御技术

*** 攻击类型

侦查攻击：

搜集 *** 存在的弱点，以进一步攻击 *** 。分为扫描攻击和 *** 监听。

扫描攻击：端口扫描，主机扫描，漏洞扫描。

*** 监听：主要指只通过软件将使用者计算机网卡的模式置为混杂模式，从而查看通过此 *** 的重要明文信息。

端口扫描：

根据 TCP 协议规范，当一台计算机收到一个TCP 连接建立请求报文（TCP SYN） 的时候，做这样的处理：

1、如果请求的TCP端口是开放的，则回应一个TCP ACK 报文， 并建立TCP连接控制结构（TCB）；

2、如果请求的TCP端口没有开放，则回应一个TCP RST（TCP头部中的RST标志设为1）报文，告诉发起计算机，该端口没有开放。

相应地，如果IP协议栈收到一个UDP报文，做如下处理：

1、如果该报文的目标端口开放，则把该UDP 报文送上层协议（UDP ） 处理， 不回应任何报文（上层协议根据处理结果而回应的报文例外）；

2、如果该报文的目标端口没有开放，则向发起者回应一个ICMP 不可达报文，告诉发起者计算机该UDP报文的端口不可达。

利用这个原理，攻击者计算机便可以通过发送合适的报文，判断目标计算机哪些TC 或UDP端口是开放的。

过程如下：

1、发出端口号从0开始依次递增的TCP SYN或UDP报文（端口号是一个16比特的数字，这样更大为65535，数量很有限）；

2、如果收到了针对这个TCP 报文的RST 报文，或针对这个UDP 报文 的 ICMP 不可达报文，则说明这个端口没有开放；

3、相反，如果收到了针对这个TCP SYN报文的ACK报文，或者没有接收到任何针对该UDP报文的ICMP报文，则说明该TCP端口是开放的，UDP端口可能开放（因为有的实现中可能不回应ICMP不可达报文，即使该UDP 端口没有开放） 。

这样继续下去，便可以很容易的判断出目标计算机开放了哪些TCP或UDP端口，然后针对端口的具体数字，进行下一步攻击，这就是所谓的端口扫描攻击。

主机扫描即利用ICMP原理搜索 *** 上存活的主机。

*** 踩点（Footprinting）

攻击者事先汇集目标的信息，通常采用whois、Finger等工具和DNS、LDAP等协议获取目标的一些信息，如域名、IP地址、 *** 拓扑结构、相关的用户信息等，这往往是黑客入侵之前所做的之一步工作。

扫描攻击

扫描攻击包括地址扫描和端口扫描等，通常采用ping命令和各种端口扫描工具，可以获得目标计算机的一些有用信息，例如机器上打开了哪些端口，这样就知道开设了哪些服务，从而为进一步的入侵打下基础。

协议指纹

黑客对目标主机发出探测包，由于不同操作系统厂商的IP协议栈实现之间存在许多细微的差别（也就是说各个厂家在编写自己的TCP/IP 协议栈时，通常对特定的RFC指南做出不同的解释），因此各个操作系统都有其独特的响应 *** ，黑客经常能确定出目标主机所运行的操作系统。

常常被利用的一些协议栈指纹包括：TTL值、TCP窗口大小、DF 标志、TOS、IP碎片处理、 ICMP处理、TCP选项处理等。

信息流监视

这是一个在共享型局域网环境中最常采用的 *** 。

由于在共享介质的 *** 上数据包会经过每个 *** 节点， 网卡在一般情况下只会接受发往本机地址或本机所在广播（或多播）地址的数据包，但如果将网卡设置为混杂模式（Promiscuous），网卡就会接受所有经过的数据包。

基于这样的原理，黑客使用一个叫sniffer的嗅探器装置，可以是软件，也可以是硬件）就可以对 *** 的信息流进行监视，从而获得他们感兴趣的内容，例如口令以及其他秘密的信息。

访问攻击

密码攻击：密码暴力猜测，特洛伊木马程序，数据包嗅探等方式。中间人攻击：截获数据，窃听数据内容，引入新的信息到会话，会话劫持（session hijacking）利用TCP协议本身的不足，在合法的通信连接建立后攻击者可以通过阻塞或摧毁通信的一方来接管已经过认证建立起来的连接，从而假冒被接管方与对方通信。

拒绝服务攻击

伪装大量合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务响应。

要避免系统遭受DoS 攻击，从前两点来看， *** 管理员要积极谨慎地维护整个系统，确保无安全隐患和漏洞；

而针对第四点第五点的恶意攻击方式则需要安装防火墙等安 全设备过滤DoS攻击，同时强烈建议 *** 管理员定期查看安全设备的日志，及时发现对系统存在安全威胁的行为。

常见拒绝服务攻击行为特征与防御 ***

拒绝服务攻击是最常见的一类 *** 攻击类型。

在这一攻击原理下，它又派生了许多种不同的攻击方式。

正确了解这些不同的拒绝攻击方式，就可以为正确、系统地为自己所在企业部署完善的安全防护系统。

入侵检测的最基本手段是采用模式匹配的 *** 来发现入侵攻击行为。

要有效的进行反攻击，首先必须了解入侵的原理和工作机理，只有这样才能做到知己知彼，从而有效的防止入侵攻击行为的发生。



下面我们针对几种典型的拒绝服务攻击原理进行简要分析，并提出相应的对策。

死亡之Ping（ Ping of death）攻击

由于在早期的阶段，路由器对包的更大大小是有限制的，许多操作系统TCP/IP栈规定ICMP包的大小限制在64KB 以内。

在对ICMP数据包的标题头进行读取之后，是根据该标题头里包含的信息来为有效载荷生成缓冲区。

当大小超过64KB的ICMP包，就会出现内存分配错误，导致TCP/IP堆栈崩溃，从而使接受方计算机宕机。

这就是这种“死亡之Ping”攻击的原理所在。

根据这一攻击原理，黑客们只需不断地通过Ping命令向攻击目标发送超过64KB的数据包，就可使目标计算机的TCP/IP堆栈崩溃，致使接受方宕机。

防御 *** ：

现在所有的标准TCP/IP协议都已具有对付超过64KB大小数据包的处理能力，并且大多数防火墙能够通过对数据包中的信息和时间间隔分析，自动过滤这些攻击。

Windows 98 、Windows NT 4.0（SP3之后）、Windows 2000/XP/Server 2003 、Linux 、Solaris和Mac OS等系统都已具有抵抗一般“Ping of death ”拒绝服务攻击的能力。

此外，对防火墙进行配置，阻断ICMP 以及任何未知协议数据包，都可以防止此类攻击发生。

泪滴（ teardrop）攻击

对于一些大的IP数据包，往往需要对其进行拆分传送，这是为了迎合链路层的MTU（更大传输单元）的要求。

比如，一个6000 字节的IP包，在MTU为2000的链路上传输的时候，就需要分成三个IP包。

在IP 报头中有一个偏移字段和一个拆分标志（MF）。

如果MF标志设置为1，则表面这个IP包是一个大IP包的片断，其中偏移字段指出了这个片断在整个 IP包中的位置。

例如，对一个6000字节的IP包进行拆分（MTU为2000），则三个片断中偏移字段的值依次为：0，2000，4000。

这样接收端在全部接收完IP数据包后，就可以根据这些信息重新组装没正确的值，这样接收端在收后这些分拆的数据包后就不能按数据包中的偏移字段值正确重合这些拆分的数据包，但接收端会不断偿试，这样就可能致使目标计算朵操作系统因资源耗尽而崩溃。

泪滴攻击利用修改在TCP/IP 堆栈实现中信任IP碎片中的包的标题头所包含的信息来实现自己的攻击。

IP分段含有指示该分段所包含的是原包的哪一段的信息，某些操作系统（如SP4 以前的 Windows NT 4.0 ）的TCP/IP 在收到含有重叠偏移的伪造分段时将崩溃，不过新的操作系统已基本上能自己抵御这种攻击了。

防御 *** ：

尽可能采用最新的操作系统，或者在防火墙上设置分段重组功能，由防火墙先接收到同一原包中的所有拆分数据包，然后完成重组工作，而不是直接转发。

因为防火墙上可以设置当出现重叠字段时所采取的规则。

TCP SYN 洪水（TCP SYN Flood）攻击

TCP/IP栈只能等待有限数量ACK（应答）消息，因为每台计算机用于创建TCP/IP连接的内存缓冲区都是非常有限的。

如果这一缓冲区充满了等待响应的初始信息，则该计算机就会对接下来的连接停止响应，直到缓冲区里的连接超时。

TCP SYN 洪水攻击正是利用了这一系统漏洞来实施攻击的。

攻击者利用伪造的IP地址向目标发出多个连接（SYN）请求。

目标系统在接收到请求后发送确认信息，并等待回答。

由于黑客们发送请示的IP地址是伪造的，所以确认信息也不会到达任何计算机，当然也就不会有任何计算机为此确认信息作出应答了。

而在没有接收到应答之前，目标计算机系统是不会主动放弃的，继续会在缓冲区中保持相应连接信息，一直等待。

当达到一定数量的等待连接后，缓区部内存资源耗尽，从而开始拒绝接收任何其他连接请求，当然也包括本来属于正常应用的请求，这就是黑客们的最终目的。

防御 *** ：

在防火墙上过滤来自同一主机的后续连接。

不过“SYN洪水攻击”还是非常令人担忧的，由于此类攻击并不寻求响应，所以无法从一个简单高容量的传输中鉴别出来。

防火墙的具体抵御TCP SYN 洪水攻击的 *** 在防火墙的使用手册中有详细介绍。

Land 攻击

这类攻击中的数据包源地址和目标地址是相同的，当操作系统接收到这类数据包时，不知道该如何处理，或者循环发送和接收该数据包，以此来消耗大量的系统资源，从而有可能造成系统崩溃或死机等现象。

防御 *** ：

这类攻击的检测 *** 相对来说比较容易，因为它可以直接从判断 *** 数据包的源地址和目标地址是否相同得出是否属于攻击行为。

反攻击的 *** 当然是适当地配置防火墙设备或包过滤路由器的包过滤规则。

并对这种攻击进行审计，记录事件发生的时间，源主机和目标主机的MAC地址和IP地址，从而可以有效地分析并跟踪攻击者的来源。

Smurf 攻击

这是一种由有趣的卡通人物而得名的拒绝服务攻击。

Smurf攻击利用多数路由器中具有同时向许多计算机广播请求的功能。

攻击者伪造一个合法的IP地址，然后由 *** 上所有的路由器广播要求向受攻击计算机地址做出回答的请求。

由于这些数据包表面上看是来自已知地址的合法请求，因此 *** 中的所有系统向这个地址做出回答，最终结果可导致该 *** 的所有主机都对此ICMP应答请求作出答复，导致 *** 阻塞，这也就达到了黑客们追求的目的了。

这种Smurf攻击比起前面介绍的“Ping of Death ”洪水的流量高出一至两个数量级，更容易攻击成功。

还有些新型的Smurf攻击，将源地址改为第三方的受害者（不再采用伪装的IP地址），最终导致第三方雪崩。

防御 *** ：

关闭外部路由器或防火墙的广播地址特性，并在防火墙上设置规则，丢弃掉ICMP协议类型数据包。

Fraggle 攻击

Fraggle 攻击只是对Smurf 攻击作了简单的修改，使用的是UDP协议应答消息，而不再是ICMP协议了（因为黑客们清楚 UDP 协议更加不易被用户全部禁止）。

同时Fraggle攻击使用了特定的端口（通常为7号端口，但也有许多使用其他端口实施 Fraggle 攻击的），攻击与Smurf 攻击基本类似，不再赘述。

防御 *** ：

关闭外部路由器或防火墙的广播地址特性。在防火墙上过滤掉UDP报文，或者屏蔽掉一些常被黑客们用来进Fraggle攻击的端口。

电子邮件炸弹

电子邮件炸弹是最古老的匿名攻击之一，通过设置一台计算机不断地向同一地址发送大量电子邮件来达到攻击目的，此类攻击能够耗尽邮件接受者 *** 的带宽资源。

防御 *** ：

对邮件地址进行过滤规则配置，自动删除来自同一主机的过量或重复的消息。

虚拟终端（VTY）耗尽攻击

这是一种针对 *** 设备的攻击，比如路由器，交换机等。

这些 *** 设备为了便于远程管理，一般设置了一些TELNET用户界面，即用户可以通过TELNET到该设备上，对这些设备进行管理。

一般情况下，这些设备的TELNET用户界面个数是有限制的。比如，5个或10个等。

这样，如果一个攻击者同时同一台 *** 设备建立了5个或10个TELNET连接。

这些设备的远程管理界面便被占尽，这样合法用户如果再对这些设备进行远程管理，则会因为TELNET连接资源被占用而失败。

ICMP洪水

正常情况下，为了对 *** 进行诊断，一些诊断程序，比如PING等，会发出ICMP响应请求报文（ICMP ECHO），接收计算机接收到ICMP ECHO 后，会回应一个ICMP ECHO Reply 报文。

而这个过程是需要CPU 处理的，有的情况下还可能消耗掉大量的资源。

比如处理分片的时候。这样如果攻击者向目标计算机发送大量的ICMP ECHO报文（产生ICMP洪水），则目标计算机会忙于处理这些ECHO 报文，而无法继续处理其它的 *** 数据报文，这也是一种拒绝服务攻击（DOS）。

WinNuke 攻击

NetBIOS 作为一种基本的 *** 资源访问接口，广泛的应用于文件共享，打印共享， 进程间通信（ IPC），以及不同操作系统之间的数据交换。

一般情况下，NetBIOS 是运行在 LLC2 链路协议之上的，是一种基于组播的 *** 访问接口。

为了在TCP/IP协议栈上实现NetBIOS ，RFC规定了一系列交互标准，以及几个常用的 TCP/UDP 端口：

139：NetBIOS 会话服务的TCP 端口；

137：NetBIOS 名字服务的UDP 端口；

136：NetBIOS 数据报服务的UDP 端口。

WINDOWS操作系统的早期版本（WIN95/98/NT ）的 *** 服务（文件共享等）都是建立在NetBIOS之上的。

因此，这些操作系统都开放了139端口（最新版本的WINDOWS 2000/XP/2003 等，为了兼容，也实现了NetBIOS over TCP/IP功能，开放了139端口）。

WinNuke 攻击就是利用了WINDOWS操作系统的一个漏洞，向这个139端口发送一些携带TCP带外（OOB）数据报文。

但这些攻击报文与正常携带OOB数据报文不同的是，其指针字段与数据的实际位置不符，即存在重合，这样WINDOWS操作系统在处理这些数据的时候，就会崩溃。

分片 IP 报文攻击

为了传送一个大的IP报文，IP协议栈需要根据链路接口的MTU对该IP报文进行分片，通过填充适当的IP头中的分片指示字段，接收计算机可以很容易的把这些IP 分片报文组装起来。

目标计算机在处理这些分片报文的时候，会把先到的分片报文缓存起来，然后一直等待后续的分片报文。

这个过程会消耗掉一部分内存，以及一些IP协议栈的数据结构。

如果攻击者给目标计算机只发送一片分片报文，而不发送所有的分片报文，这样攻击者计算机便会一直等待（直到一个内部计时器到时）。

如果攻击者发送了大量的分片报文，就会消耗掉目标计 算机的资源，而导致不能相应正常的IP报文，这也是一种DOS攻击。

T

分段攻击。利用了重装配错误，通过将各个分段重叠来使目标系统崩溃或挂起。

欢迎关注的我的头条号，私信交流，学习更多的 *** 技术！