第6篇网络攻击技术.pptVIP

6.1.3网络入侵的对象 固有的安全漏洞 协议的安全漏洞，弱口令，缓冲区溢出 系统维护措施不完善的系统 系统维护不够完善 缺乏良好安全体系的系统 设计时没有建立有效的、多层次的防御体系，这样的系统不能防御复杂的攻击。缺乏足够的检测能力也是严重的问题 常用的Internet应用所使用的端口 80 HTTP 21 FTP 23 Telnet 25 SMTP 53 DNS 169 SNMP 这类服务也可以绑定到其他端口，但一般都使用指定端口，它们称为周知端口或公认端口 6.3 端口扫描 3大类端口 公认端口0-1023。 注册端口1024-49151 动态和/或私有端口49152-65535 Socket 网络编程 Socket应用的基本步骤 Socket API 函数 4．信息泄露 木马的信息反馈机制：木马安装成功后收集一些服务端的软硬件信息，发送给控制端用户。 5．建立连接 获知服务端木马端口和IP地址。 IP获知：端口扫描或信息反馈。 6．远程控制 木马连接建立后，控制端和木马端口之间出现一条通道。 （1）窃取密码（2）文件操作 （3）修改注册表 （4）系统操作 * 窥探设施 踩点 扫描 查点 列出用户账号 列出共享文件 确定应用 攻击系统 扫尾工作 安装后门 清除入侵痕迹 (1) 攻击者向被攻击服务器发送一个包含SYN标志的TCP报文，SYN(Synchronize)即同步报文。同步报文会指明客户端使用的端口以及TCP连接的初始序号。这时同被攻击服务器建立了第一次握手。(2) 受害服务器在收到攻击者的SYN报文后，将返回一个SYN+ACK的报文，表示攻击者的请求被接受，同时TCP序号被加一，ACK(Acknowledgement)即确认，这样就同被攻击服务器建立了第二次握手。(3) 攻击者也返回一个确认报文ACK给受害服务器，同样TCP序列号被加一，到此一个TCP连接完成，三次握手完成。 客户服务器结构。服务器上运行一个守护进程，当客户有请求到达服务器时，服务器就启动一个服务进程与之通信。每个应用服务程序（如WWW，ftp，telnet）被赋予一个唯一的地址，这个地址称为端口。守护进程在一个端口上监听，等待客户请求。 端口号由16位的二进制数据表示，范围为0~65535. 端口扫描是获取主机信息的一种常用方法。 利用端口扫描可以了解远程服务器提供的各种服务以及TCP端口分配，了解服务器的操作系统及目标网络结构等信息。 公认端口：它们紧密绑定于一些服务。通常这些端口的通信明确表明了某种服务的协议。例如：80端口实际上总是HTTP通信。 注册端口：松散的绑定于一些服务。即有很多服务绑定于这些端口，这些端口同样用于许多其他目的。 古希腊传说，特洛伊王子帕里斯访问希腊，诱走了王后海伦，希腊人因此远征特洛伊。围攻9年后，到第10年， 希腊将领奥德修斯献了一计，就是把一批勇士埋伏在一匹巨大的木马腹内，放在城外后，佯作退兵。特洛伊人以为敌兵已退，就把木马作为战利品搬入城中。到了夜间，埋伏在木马中的勇士跳出来，打开了城门，希腊将士一拥而入攻下了城池。后来，人们在写文章时,就常用“特洛伊木马”这一典故，用来比喻在敌方营垒里埋下伏兵里应外合的活动。 公认端口：它们紧密绑定于一些服务。通常这些端口的通信明确表明了某种服务的协议。例如：80端口实际上总是HTTP通信。 注册端口：松散的绑定于一些服务。即有很多服务绑定于这些端口，这些端口同样用于许多其他目的。 int ? ? main( ? int ? argc ? , ? char ? *argv[] ? , ? char ? *envp[] ? ) ? ? main()函数一般用int或者void形的。我比较喜欢用int型定义main。因为在结束的时候可以返回给操作系统一个值以表示执行情况。 ? ? ? ? int ? argc ? ? 这个东东用来表示你在命令行下输入命令的时候，一共有多少个参数。比方说你的程序编译后，可执行文件是test.exe ? ? D:\tc2test ? ? 这个时候，argc的值是1 ? ? 但是 ? ? D:\tc2test.exe ? myarg1 ? myarg2 ? ? 的话，argc的值是3。也就是 ? 命令名 ? 加上两个参数，一共三个参数 ? ? ? ? char ? *argv[] ? ? 这个东东用来取得你所输入的参数 ? ? D:\tc2test ? ? 这个时候，argc的值是1，argv[0]的值是 ? test ? ? D:\tc2test ? myarg1 ? myarg2 ? ? 这个时