64、网络入侵与防御策略解析

网络入侵与防御策略解析

1. NT Rootkit 的功能特性

NT Rootkit 具备多种强大且隐蔽的功能，这些功能能够帮助攻击者在系统中隐藏自身活动并获取更多权限。

1.1 文件隐藏功能

NT Rootkit 的 “hidedir” 命令可用于隐藏文件和目录。任何以 “ root ” 开头的文件或目录都会从操作系统的相关设施中隐藏起来。用户可以在 k - 模式 shell 中使用 “hidedir” 命令来开启或关闭这个功能。不过，以 “ root ” 为前缀启动的 shell（例如 _root_cmd.exe）仍然可以查看这些隐藏文件。

1.2 二进制重定向

NT Rootkit 能够利用上述的 “ root ” 机制进行二进制（.exe）文件的重定向操作，这使得攻击者可以更灵活地控制程序的执行流程。

1.3 注册表隐藏

在注册表方面，任何以 “ root ” 为前缀的值或键都会从注册表编辑器（regedit.exe 和 regedt32.exe）中隐藏。但如果使用以 “ root ” 为前缀的 regedit.exe 副本，就能够查看所有这些 “隐藏” 的键。

1.4 远程管理能力

NT Rootkit 支持通过 Telnet 连接到服务器的任意端口进行远程管理，其硬编码的 IP 地址为 10.0.0.166。并且，由该 Rootkit 管理的 “后门” 监听器不会在 netstat 命令的输出中显示，这增加了其隐蔽性。