13、网络安全攻防技术全解析

网络安全攻防技术全解析

1. 渗透测试生命周期

系统管理员需要在组织内进行渗透测试，以确保网络和服务器具备正确的安全措施。渗透测试生命周期包含五个阶段：

1.1 侦察阶段（Reconnaissance）

此阶段如同军事行动前的情报收集。在道德黑客过程中，若自身缺乏专业知识，组织会聘请团队进行测试。该阶段需通过公开和私人来源发现目标系统的信息，比如在互联网上搜索，不过仅需了解目标网络和服务器的情况，不能进行网络和服务器的破坏，只需扫描并记录后续步骤所需的信息。

1.2 扫描阶段（Scanning）

以军事任务为例，如同派士兵去获取敌人营地信息。在侦察阶段收集的信息，会用于扫描阶段确定需要扫描的服务器和网络，以查找漏洞。可以使用各种工具进行扫描，如Kali Linux自带的选项。收集到的信息将在利用阶段用于确定可利用的区域以提取信息。

1.3 利用阶段（Exploitation）

进行渗透测试时，要确保在不被发现的情况下轻松穿过网络和服务器，找到服务器的漏洞并进入系统和网络，在服务器内部获取敏感信息，目标是在不被察觉的情况下快速进出并获取所需信息。

1.4 维持访问阶段（Maintaining Access）

进行渗透测试时，必须确保对所使用的服务器和网络有无限访问权限，找到保持访问的方法，同时利用服务器获取信息，并能在不被发现的情况下进出系统。可利用在利用阶段收集的信息，自动化维持对目标系统的访问。

1.5 报告阶段（Reporting）

完成渗透测试后，要向团队和上级汇报测试结果，详细解释每个步骤和发现的问题，准备报告说明测试的各个阶段，包括发现的漏洞、利用的弱点以及目标服务器、网络和系统。还需提供相关信息，以便管理层采取保护措施。

下面用mermaid流程图展示渗透测试生命周期：

graph LR
    A[侦察阶段] --> B[扫描阶段]
    B --> C[利用阶段]
    C --> D[维持访问阶段]
    D --> E[报告阶段]

2. 工程攻击方法与物理安全工具

2.1 Samdump2

Samdump2是基于XML的计算机游戏新文件格式，旨在成为通用文件格式，可在计算机、移动设备（如iPhone和安卓手机）和游戏机（如PlayStation 4）上运行。采用该格式可让开发者无需为确保兼容性而在不同平台上测试游戏，首个以samdump2格式发布的游戏是“AirMech: Command”。它易于使用，结构简单，支持多平台控制器，除支持单人游戏外，还支持本地多人游戏，甚至具备“观看”功能，可观看游戏比赛。

2.2 Chntpw

Chntpw是免费的Windows密码恢复工具，可用于重置某些Windows操作系统版本中丢失、遗忘或输入错误的密码。它可帮助恢复因遗忘管理员账户密码而无法启动的系统的访问权限，也适用于从非Windows操作系统启动而无法挂载加密文件系统的情况，但不适用于不使用LanMan风格密码的操作系统（如Mac OS X 10.2及更高版本）。使用Chntpw不会影响硬盘驱动器或分区，仅会重置密码。恢复过程如下：
1. 点击“…”按钮，选择“Force Recovery”。
2. 程序会要求输入用户名，若可能，还会要求输入该用户的新密码。

若要重置遗忘或输入错误的用户账户密码，可运行命令： chntpw –u <user name> 。

2.3 USB攻击相关

黑客会利用计算机的USB端口窃取数据或造成破坏。常见的攻击方式有：
1. 插入恶意USB设备感染系统，如在计算机充电时插入USB闪存驱动器或SD卡。
2. 入侵操作系统并安装包含恶意软件的USB设备。
3. 未正确移除USB设备，导致病毒再次感染系统。
4. 连接非预期使用的电缆注入恶意软件。

为保护自己，应移除系统中所有未经批准的USB设备，若操作系统已感染，需移除病毒以避免恶意软件传播或数据损坏。

2.4 HTA攻击

HTA攻击是一种利用网页浏览器弱点的计算机安全攻击，由微软工程师Alex Yu于2013年3月发现。当网站使用微软的ActiveX控制运行时库，且通过Internet Explorer或其他微软浏览器访问易受攻击的软件时，可能会成为攻击目标。Windows用户在浏览网页时可能会遭遇此类攻击，攻击者可利用浏览器的内置自动启动功能在无需用户交互的情况下访问系统，可能导致严重的安全威胁。

2.5 Wi-Fi攻击

Wi-Fi攻击是一种网络攻击形式，利用无线设备监听流量或注入恶意软件。随着无线网络技术在家庭和企业中的普及，Wi-Fi攻击的威胁日益增加。Wi-Fi发送信息的方式有：
1. 黑客伪装成设备（如接入点），通过ARP欺骗嗅探并重定向数据包。
2. 使用网络嗅探器查看并重定向流量。
3. 向设备注入恶意软件。
4. 进行“邪恶双胞胎”攻击，创建虚假接入点并注入恶意文件。

为防止Wi-Fi攻击，可采取以下措施：
1. 使用可靠的、及时更新的防病毒程序。
2. 配备最新的防火墙。
3. 为家庭或企业路由器设置Wi-Fi密码。
4. 使用私有/静态IP地址。
5. 对无线网络进行加密。
6. 仅允许符合特定条件的计算机连接到无线网络。

下面用表格总结Wi-Fi攻击的防范措施：
|防范措施|说明|
| ---- | ---- |
|使用防病毒程序|及时更新病毒特征库，实时查看计算机威胁级别|
|配备防火墙|过滤Wi-Fi请求，检查IP地址|
|设置Wi-Fi密码|防止未经授权的用户访问网络|
|使用私有/静态IP地址|减少攻击风险，避免动态分配IP地址|
|加密无线网络|只有拥有密码的人才能解密信息|
|限制连接计算机|通过IP地址和子网掩码筛选连接的计算机|

3. 网络安全相关工具介绍

3.1 Kismet

Kismet是一款开源软件套件，用于在网络范围内检测活动主机、运行的服务和设备操作系统。它能提供以下网络信息：
- 网络拓扑：包括IP地址范围、子网、详细的主机IP信息（MAC ID、IP ID）、带有UID和GID的系统用户。
- 服务器统计信息：如Apache错误日志和系统日志文件（如syslog文件）。
- 操作系统版本：通过Dell的资产管理软件Open Manage Server Administrator（OMSA）扫描所有主机的操作系统版本号。

Kismet还具备其他网络功能，如数据包捕获、telnet和SSH服务器检测、IP伪装（IP欺骗）和iptables（防火墙）规则。它可以以1秒或10秒的间隔将数据发送回被扫描的主机，甚至可以实时捕获数据包。Kismet有以下几种扫描模式：
1. 端口扫描模式 ：可以扫描所有端口或根据MAC ID扫描特定端口。
2. 单网络接口扫描模式 ：每个接口配置允许访问的主机列表，可查看特定主机产生的流量。

3.2 SSID

SSID（Service Set Identifier）是用于识别特定Wi-Fi网络的代码，通常长度在11到25个字符之间，字母常被数字替代。并非所有设备都能理解SSID，可通过固件更新解决。查找自己的SSID有以下三种方法：
1. 拍摄连接网络的调制解调器和接入点的照片。
2. 在Google上搜索“[ISP SP] [Router Name]”，例如“BT Infinity Hub 5”。
3. 登录路由器的管理页面（通常为192.168.1.1）查找SSID。

如果要更改SSID，对于Wi-Fi热点，需由互联网服务提供商（ISP）操作；若要更改路由器的SSID设置，可在其无线设置（通常在LAN设置或附加功能中）中进行，同时建议设置新密码以增强网络安全性。

3.3 WPA/WPA2

Wi-Fi Protected Access（WPA）是Wi-Fi联盟推出的安全套件，旨在增强开放、未加密Wi-Fi网络的保护机制。WPA支持WPA2和802.11i标准，2.0版本包含多种新安全功能，如在线证书状态协议（OCSP）、消息完整性代码（MIC）、IEEE 802.1X认证和身份保护框架（AIF）。

WPA有两种主要安全模式：
- 个人模式（PSK） ：使用预共享密钥进行认证。
- 企业模式（802.1X） ：采用IEEE 802.1X标准进行认证。

WPA2是WPA的现代化版本，支持IEEE 802.1X标准，具有更安全的握手协议（AIF）和更新的加密算法（TKIP），同时支持与WPA1的向后兼容性。部分产品仅提供WPA2升级，不支持向后兼容。

截至2008年10月，Wi-Fi联盟未发布支持802.11i的硬件或软件，但大多数路由器制造商已发布固件更新以启用该功能。802.11i标准的最新草案D6.0于2007年11月发布，2008年4月被批准为ANSI/IEEE Std 802.11i - 2008，包含更强的加密算法（CCMP）和更大的IV空间。

为提高互操作性，Wi-Fi联盟开发了WPA3（“Wi-Fi Protected Access”版本3），它将与Wi-Fi（WPA/WPA2）和IEEE 802.11安全标准同时运行，提供比WPA或WPA2更强的加密和认证功能，同时继续支持现有硬件上的WPA2。

下面用表格对比WPA和WPA2的特点：
| 特点 | WPA | WPA2 |
| ---- | ---- | ---- |
| 发布时间 | 2004年5月 | - |
| 支持标准 | WPA2、802.11i | IEEE 802.1X |
| 安全功能 | OCSP、MIC、IEEE 802.1X认证、AIF | 更安全的握手协议（AIF）、更新的加密算法（TKIP） |
| 向后兼容性 | - | 支持与WPA1向后兼容 |
| 硬件要求 | 许多旧设备可通过固件更新支持 | 部分需要新硬件（如新网卡） |

4. 注入攻击相关

4.1 注入攻击原理

“注入攻击”是一种新的攻击技术，它会劫持Linux系统进程创建后门，使攻击者能够通过SSH远程获得根访问权限，从而控制受害者机器。

4.2 感染指标

注入攻击的感染指标如下：
1. 用恶意内容“修补”可执行文件并安装到受害者机器上。
2. 修改Linux /etc./passwd文件，将账户密码id=xx行改为id=yy行（xxx为用户名，yy为新密码）。
3. 修改Linux /etc/shadow文件，将账户密码id=xx行改为id=yy行。
4. 以各种方式（如Kill、Interrupt、Ignore和Child Messages）拦截和修改进程消息。
5. 通过iptables、tcpdump和sysdig工具记录受害者机器上的所有网络通信，用于调试或跟踪攻击者的活动。
6. 向目标系统进程注入shell脚本。
7. 通过创建虚假文件、设置权限和创建目录来隐藏其存在，安装root kit。
8. 通过修改Linux /etc/passwd文件，将新密码id=xx行改为id=yy行（xxx为用户名，yy为攻击者的IP地址），为远程攻击者打开SSH后门。

4.3 检测工具及使用

以下是用于检测注入攻击的工具及使用方法：
1. ’uname -a’命令 ：用于检查受害者机器的Linux版本。
2. tcpdump工具 ：用于捕获受害者机器上的网络数据包。
3. sysdig工具 ：用于捕获和显示受害者机器上的系统调用和系统活动。
4. hping3工具 ：用于向受害者机器发送网络数据包。
5. nmap工具 ：用于扫描受害者机器上的开放端口，并查看协议、状态和运行的服务等详细信息。
6. curl工具 ：用于通过HTTP/HTTPS将恶意内容从本地机器传输到受害者机器。
7. ssh-copy-id工具 ：用于通过SSH将公钥从本地机器复制到受害者机器。
8. perl & python-based shell scripts ：用于通过注入攻击在受害者机器上创建后门和root kit。
9. Ncat工具 ：用于动态创建SOCKS4/5或HTTP代理。
10. Ubuntu 14.04 LTS Virtual Machine ：用于测试和安装所有工具。
11. Putty工具 ：用于以root权限通过SSH访问受害者机器。
12. PuttyGen & PuttyKeygen工具 ：用于在本地机器上生成SSH密钥以进行远程连接。
13. SQLite3工具 ：用于通过注入攻击在本地机器上执行注入的SQL命令，操作受害者机器上的数据库文件。
14. MySQL命令工具 ：用于通过注入攻击操作受害者机器上的数据库文件。

下面用mermaid流程图展示注入攻击的检测流程：

graph LR
    A[使用’uname -a’检查Linux版本] --> B[使用tcpdump捕获网络数据包]
    B --> C[使用sysdig查看系统活动]
    C --> D[使用nmap扫描开放端口]
    D --> E[根据结果判断是否感染]

5. 绕过杀毒和应用系统控制

5.1 绕过原因

绕过杀毒和应用系统控制的原因主要有：
1. 复制数据时无需这些工具，可自行完成复制操作。
2. 这些工具会浪费时间并减慢计算机速度。
3. 绕过这些工具并非非法行为，它们旨在保护隐私，防止数据意外或恶意复制。

5.2 绕过步骤

1. 若尚未移除计算机上的杀毒软件，可手动移除或使用其他程序辅助移除，但建议保留以防严重攻击。
2. 对于Windows XP和Windows Vista，可使用免费的AvkProxy程序绕过应用系统控制；Windows 7本身有许多内置功能可绕过这些工具，建议使用Windows 7进行数据复制。

综上所述，网络安全是一个复杂且不断发展的领域，了解各种攻击方式和防范措施，掌握相关工具的使用方法，对于保护个人和企业的网络安全至关重要。