[转载]跳板攻击与防御

　　这又是“肉鸡”的一大功能，骇客很喜欢把一些被托管在IDC中的“肉鸡”设置为自己的BBS/E-mail服务器，这些计算机一般都是CPU快、内存大、硬盘空间足和网速快的，对骇客需要的功能可以很好地支持。骇客分布在世界范围内的各个角落，除了一些固定的骇客组织外，很多骇客都是只通过网络交流，如通过电子邮件、在线聊天等方式"互送秋波"，交流攻击和其他技术，倾诉仰慕之情。很多交往多年的骇客好友从未在现实生活中见过面，这是毫不为奇的。

　　大家会问那么骇客直接发电子邮件、上ICQ不就行了吗？何必去冒险攻击其他的计算机做为交流平台呢。请注意骇客之间传播的都是一些不能被别人知道的信息，如"我已经控制了XXX省网的骨干路由器，你想要一份它的路由表吗？"，这样的内容如果在任何一个邮件服务器和聊天服务器上被截获，从道义上讲这个网管都是有义务提醒被攻击的网络负责人的，所以利用公共的网络交流手段对骇客来说并不可靠，骇客也要保密啊:-) 。那怎么办？骇客既然控制了“肉鸡”，成为了“肉鸡”的第二个"家长"，就有资格和权限去把它设置为交流用的服务器。在这样的交流平台上，骇客被发现的可能性小得多，最高的控制权限可以使骇客对这些活动进行各种各样的掩饰。还有另一种利用形式就是FTP服务器，供骇客兄弟们上传下载骇客软件，互通有无。

　　骇客在“肉鸡”上做信息交换的时候，会产生大量的网络通信，尤其是利用FTP上传下载时。如果发现你的内外部通信突然反常地加大，检查一下自己的计算机吧。

　　防卫性差的“肉鸡”其管理员一般水平也不会很高，再加上缺乏责任心，往往在自己的计算机被占领了很长时间都不知道，直到有一天收到了高额的数据通信收费单，才大吃一惊："怎么搞的？!"。- 难道他们自己就没有责任吗？

防御方法

　　

　　管理员要有实时监视的手段，并制定合理的检查制度，定期地对所负责的网络和服务器进行检查。对于网络流量突然增大、可疑访问出现、服务器情况异常、不正常的日志项等，都要立即进行检查。要记得把这些记录、日志归类备份，以便在出现情况时前后比较。

　　安全不安全很大程度上取决于管理员是否尽职尽责，好的管理员必须有好的习惯。

1.4、学习/开发平台

原理介绍

　　这种情况是比较少见的，却很有意思。我们平时使用的是个人计算机，一般可以安装Windows、FreeBSD、Linux和其他Unix系统的x86版本，如果要实习其他平台上的操作系统几乎是不可能的。象AIX、HP-UX、Solaris（sparc）、IRIX等，都需要相应的硬件平台来配套，普通的个人计算机是装不上的，这些知名厂商的Unix计算机又非常昂贵，成了一般计算机爱好者可望不可及的宝物。骇客兄弟们在这里又有了大显身手的时候了，到网上找到一些可以 侵入的AIX什么的机器，占领之后，想学习这种平台的操作使用还不是很简单的事吗？我曾在一个骇客站点上看到有人转让一台Sun E250“肉鸡”的控制权，开价300块，可怜那个管理员，自己的机器已经被公开出售了还不知道。

　　骇客在“肉鸡”上做开发就更少见了，因为这样做会有很大的风险。许骇客都没有全职的工作，他们中的很多人都是编程高手，会通过朋友和其他渠道揽一些程序开发的活计，挣些零花钱。很多定制的程序是要跑在特定平台上的，如果一个程序需要在HP-UX平台上开发调试怎么办？HP-UX计算机是很少能找到的。但骇客又可以利用自己的"特长"去攻下一台，做为开发平台。不过我们都知道开发调试程序的时候会有各种种样的bug，轻则导致程序不正常，重则让系统崩溃，还会在日志里留下记录。这就是为什么说这么做很危险，因为它太容易被发现了。要是一台计算机被当做开发平台用了很久而管理员却一无所 知的话，这个管理员实在应该好好反省。

防御方法

　　方法同前一部分，就不必多说了。关心你的服务器吧。

二、利用“肉鸡”进行攻击

　　前面说的都是骇客如何利用“肉鸡”做一些其他的事情，在第二大部分里就要谈一下骇客是如何利用“肉鸡”进行攻击其他计算机和网络行为的。骇客利用“肉鸡”攻击的原因主要有两个：首先是万一攻击行为被下一个目标发现了，对方管理员在追查的时候只能找到这台“ 肉鸡”，而不能直接抓出骇客自己，这为对方管理员追究责任造成了更大的困难；其次，对于某些类型的攻击手段，“肉鸡”所在的位置也许比骇客计算机所在的位置更有利。

　　下面介绍一下骇客利用“肉鸡”来攻击时的几种方式。

2.1非法扫描/监听平台

原理介绍

　　扫描和监听是骇客对“肉鸡”最常使用的借用手段，目标是本网络和其他网络中的计算机。被攻击网络中总有一台计算机会被首先攻破，一旦打开了这个缺口，整个网络就都危险了。这是由于在大多数的网络进行安全设置时，主要的防卫方向是向外的，也就是说他们主要是 防备外来的攻击。骇客可以利用其对内部计算机防备较少的弱点，在控制一台计算机后，从这里直接扫描。如图二
图二 “肉鸡”在防火墙内部进行扫描


　　请看一下前后两种情况的对比。防火墙是很常见的网络安全设备，在网络入口处起到了一个安全屏障的作用，尤其在骇客进行扫描的时候防火墙将堵住对绝大多数端口的探测。这时“肉鸡”就有了用武之地，从这里扫描本地网络中的其他计算机是不需要经过防火墙的，可以 随便地查看它们的漏洞。而且这时候防火墙上也不会留下相应的日志，不易被发觉。骇客可以在扫描结束时返回“肉鸡”取一下结果，或者命令“肉鸡”把扫描结果直接用电子邮件发送到指定信箱。

　　对于在某个网络中进行非法监听来说，本地有一台“肉鸡”是必须的条件。由于以太网的设计特点，监听只能在本地进行。虽然随着交换式以太网的普及，网络非法监听能收集到的信息大大减少，但对于那些与非法监听软件所在的“肉鸡”通讯的计算机来说，威胁还是很大 的。如果这个“肉鸡”本身还是一台重要的服务器，那么危害就更大了，骇客在这上面会得到很多诸如用户帐号、密码、服务器之间不合理的信任关系的信息等，对下一步攻击起到很大的辅助作用。

防御方法

　　防止扫描一般主要设置在防火墙上，除了内部那些开放了的服务以外，不允许其他的访问进入，可以最大限度地防止信息泄露。至于同一网段上某个服务器成了“肉鸡”，一般情况下是没法防止它扫描其他服务器了，这就需要我们的防御方向不但要向外，也要向内。关闭每 一台计算机上不需要的服务，进行安全加强，让内部的非法扫描器找不到可以利用的漏洞。

　　防御监听一般使用网络传输加密和交换式网络设备。管理员远程登录系统时候，还是有很多人喜欢使用默认的telnet，这种明文传输的协议是骇客的最爱。使用SSH代替telnet和那些r命令，可以使网络上传输的数据成为不可读的密文，保护你的帐号、口令 和其他重要的信息。交换式网络设备可以使单个计算机接收到的无用信息大大减少，从而降低非法监听器的危害性。不过相对来说，它的成本还是比较高的。

2.2 攻击的实际出发点

原理介绍

　　这里所说的攻击是指那些取得其他计算机控制权的动作，如溢出和漏洞攻击等。与扫描监听相同，从内部的“肉鸡”发起的攻击同样不必经过防火墙，被阻挡和发现的可能减少了。从这里攻击时被发现了之后，追查时会找到骇客吗？同样也不行，只能先找到“肉鸡”，再从 这里找骇客就困难了。

　　如果说“肉鸡”做为扫描工具的时候象骇客的一只眼睛，做监听工具的时候象骇客的一只耳朵，那么“肉鸡”实际进攻时就是骇客的一只手。骇客借助“肉鸡”这个内应来听来看，来攻击，而“肉鸡”成为了提线木偶，举手投足都被人从选程看不到的地方控制着。

防御方法

　　也是需要对计算机进行严密的监视。请参考前面的内容。

2.3 DDoS攻击傀儡

　　关于骇客利用“肉鸡”进行DDoS攻击的手段就不再赘述了，详见IBM DeveloperWorks曾经刊登的文章《分布式拒绝服务攻击(DDoS)原理及防范》

2.4端口跳转攻击平台

原理介绍

　　这种攻击方式一般是用来对付防火墙的访问限制的。在很多网络中都使用了防火墙对外封闭一些危险的端口（这种防御又是向外的），这里骇客就可以在内部已经有“肉鸡”的提前下，让“肉鸡”去访问这些端口，注意这时不经过防火墙是不会被阻挡的，而骇客从一个不被 防火墙限制的端口去访问“肉鸡”。在进行这种攻击之前，骇客会在“肉鸡”上进行设置，利用特殊的软件把骇客对“肉鸡”的访问发送到目标计算机上，端口也会变成那个危险端口，这样骇客就绕过防火墙直接对目标计算机的危险端口进行攻击了。

　　只用文字描述比较抽象，我们来看一个例子。

　　这是一个我们在实际的安全响应中的处理过程，这里骇客使用了组合式的攻击手段，其中包括对Windows服务器常见的139端口攻击，对Solaris系统的溢出攻击，攻击前的信息收集，还有2.4要里着重介绍的端口跳转攻击的方式。图三(A) 网络初始结构


　　如图三A，客户方的系统管理员发现一台Windows2000服务器的行为异常后，马上切断了这台服务器的网络连接并向我们报告，这是当时的网络拓扑结构。经过仔细的诊断，我们推断出骇客是利用了这台服务器的139端口漏洞，从远程利用nbtdump、口 令猜测工具、Windows net命令等取得了这台服务器的控制权，并安装了BO 2000木马。但客户的系统管理员立刻否定我们的判断："虽然这台服务器的139端口没有关闭，但我已经在防火墙上设置了规则，使外部计算机不能访问这台服务器的139端口。"又是一个只防范外部攻击的手段！难道大家都对内部攻击占70%以上的比率视而不见吗？不过这里的路由器日志显示，骇客确实是从外部向这台服务器的木马端口进行连接的。　我们于是继续汇总分析各方面的数据，客户管理员也配合我们进行检查。在检查网络上的其他主机时，我们发现内部网中有一台SUN工作站的网卡上绑定了3个IP地址，其中一个IP地址与被攻击Windows服务器是一个网段的！这立刻引起了我们的注意。客户管 理员解释说这是一台Solaris Sparc机器，经常用来做一些测试，有时也会接入服务器网段，所以配了一个该网段的地址。而且就在一个多星期前，这台SUN工作站还放在服务器网段。这就很可疑了，我们立刻对它进行了检查，果然这台SUN工作站已经被占领了，因为主要用途是测试，客户管 理员并没有对它进行安全加强，攻破它是易如反掌的事情。在它上面发现了大量的扫描、监听和日志清除工具，另外还有我们意料之中的端口跳转工具 - netcat，简称nc。

　　Smurf攻击是这种攻击的早期形式，是一种在局域网中的攻击手段。它的作用原理是基于广播地址与回应请求的。一台计算机向另一台计算机发送一些特殊的数据包如ping请求时，会接到它的回应；如果向本网络的广播地址发送请求包，实际上会到达网络上所有的 计算机，这时就会得到所有计算机的回应。这些回应是需要被接收的计算机处理的，每处理一个就要占用一份系统资源，如果同时接到网络上所有计算机的回应，接收方的系统是有可能吃不消的，就象遭到了DDoS攻击一样。大家会疑问，谁会无聊得去向网络地址发包而 招来所有计算机的攻击呢？

　　当然做为一个正常的操作者是不会这么做的，但是当骇客要利用这个原理进行Smurf攻击的时候，他会代替受害者来做这件事。
图四 Smurf攻击原理


　　如图四，骇客向广播地址发送请求包，所有的计算机得到请求后，却不会把回应发到骇客那里，而是被攻击的计算机处。这是因为骇客冒充了被攻击主机。骇客发包所用的软件是可以伪造源地址的，接到伪造数据包的主机会根据源地址把回应发出去，这当然就是被攻击目标 的地址。骇客同时还会把发包的间隔减到几毫秒，这样在单位时间能发出数以千计的请求，使受害者接到被欺骗计算机那里传来的洪水般的回应。象遭到其他类型的拒绝服务攻击一样，被攻击主机会网络和系统无法响应，严重时还会导致系统崩溃。

　　骇客借助了网络中所有计算机来攻击受害者，而不需要事先去占领这些被欺骗的主机。

　　在实际使用中，骇客不会笨到在本地局域网中干这件事的，那样很容易被查出。他们会从远程发送广播包到目标计算机所在的网络来进行攻击。

防御方法



　　局域网中是不必进行Smurf攻击的防御的。我们只需在路由器上进行设置，在收到定向广播数据包时将其丢弃就可以了，这样本地广播地址收不到请求包，Smurf攻击就无从谈起。注意还要把网络中有条件成为路由器的多宿主主机（多块网卡）进行系统设置，让它 们不接收和转发这样的广播包。

3.2 DrDoS（反射式分布拒绝服务攻击）

原理介绍

　　这是DDoS攻击的变形，它与DDoS的不同之处就是DrDoS不需要在实际攻击之前占领大量的傀儡机。这种攻击也是在伪造数据包源地址的情况下进行的，从这一点上说与Smurf攻击一样，而DrDoS是可以在广域网上进行的。其名称中的"r"意为反射，就是这种攻击行为最大的特点。骇客同样利用特殊的发包工具，首先把伪造了源地址的SYN连接请求包发送到那些被欺骗的计算机上，根据TCP三次握手的规则，这些计算机会向源IP发出SYN+ACK或RST包来响应这个请求。同Smurf攻击一样 ，骇客所发送的请求包的源IP地址是被害者的地址，这样受欺骗的计算机就都会把回应发到受害者处，造成该主机忙于处理这些回应而被拒绝服务攻击。

具体的情况可以参考Smurf攻击的原理结构图四。

防御方法

　　同DDoS的防御，请参考《分布式拒绝服务攻击(DDoS)原理及防范》

3.3 DNS分布拒绝服务攻击

原理介绍

　　DNS拒绝服务攻击原理同DrDoS攻击相同，只是在这里被欺骗利用的不是一般的计算机，而是DNS服务器。骇客通过向多个DNS服务器发送大量的伪造的查询请求，查询请求数据包中的源IP地址为被攻击主机的IP地址，DNS服务器将大量的查询结果发送给 被攻击主机，使被攻击主机所在的网络拥塞或不再对外提供服务。

防御方法

　　通过限制查询主机的IP地址可以减轻这种攻击的影响，比较糟糕的是在现实环境中这么做的DNS服务器很少。目前不能从根本上解决这个问题。另外可以从自己的网络设备上监视和限制对DNS查询请求的回应，如果突然出现流量剧增的情况，限制一下到达DNS服务 器的查询请求，这样可以避免自己管理的服务器被欺骗而去攻击无辜者。

参考资料

关于Unix主机系统加强：
http://www.cert.org/tech_tips/usc20_full.html
关于Windows主机系统加强：
http://www.winguides.com/security/
系统安全的最小特权原则
http://www-900.ibm.com/developer ... limited/index.shtml
网络与数据加密：
http://www.microsoft.com/windows ... ity/encryptdata.asp
http://www.microsoft.com/windows ... /encryptoffline.asp
网络监听：
http://www-900.ibm.com/developer ... e-sniff/index.shtml难道骇客用了我们还不了解的新的攻击手段.