网络攻击过程与网络代理跳板

2023-10-18 理论教育版权反馈

【摘要】：第二种方法是网络代理跳板，其基本思想是将某一台主机设为代理，通过该代理再入侵其他主机，这样留下的是代理主机的IP地址，从而有效地保护了攻击者的安全。

一次成功的攻击，可以归纳成以下几个步骤。当然，在实际的操作中，可以根据实际情况进行调整。

（一）隐藏自身

攻击者都会利用某些技术手段隐藏自己真实的IP地址。通常有两种方法实现自身IP地址的隐藏：第一种方法是首先入侵网络上一台防护手段比较薄弱的主机（俗称“肉鸡”），然后利用这台主机进行攻击。这样，即使攻击行为被发现，暴露的也只是肉鸡的IP地址。第二种方法是网络代理跳板，其基本思想是将某一台主机设为代理，通过该代理再入侵其他主机，这样留下的是代理主机的IP地址，从而有效地保护了攻击者的安全。一种二级代理的基本结构如图10-1所示。

pagenumber_ebook=212,pagenumber_book=206

图10-1　二级代理结构

攻击者通过两级代理入侵某一台主机，这样在入侵的主机上就不会留下攻击者的信息。从技术上讲，可以选择更多的代理级别，但是考虑到效率问题，一般选择二级或三级代理比较合适。选择代理主机的一般原则是选择不同地区的主机作为代理，例如要入侵北美的某台主机，则可以选择欧洲的某台主机做一级代理，而选择澳洲的另外一台主机作为二级代理，从而可以很好地隐藏自己。可以选做代理的主机必须先安装相关的代理软件，一般都是首先入侵一些防护手段比较薄弱的主机，再将这些主机作为代理。

（二）踩点与扫描

网络踩点就是通过各种途径对攻击目标进行尽可能多地了解，获取相关信息，如攻击目标的IP地址、所在网络的操作系统类型和版本、系统管理人员的邮件地址等，根据这些信息进行分析，可得到有关被攻击方系统中可能存在的漏洞。常见的踩点方法包括：对域名及其注册机构进行查询，对公司性质进行了解，对主页进行分析，邮件地址的搜集和目标IP地址范围查询。踩点的目的是探察对方的各方面的情况，确定攻击的时机。网络踩点实质上是一个信息收集的过程，本身并不对目标造成危害，只是为攻击提供有用的信息。

在收集到攻击目标的一些网络信息后，攻击者会利用各种工具探测目标网络上的每台主机，以寻求该系统的安全漏洞或安全弱点，这就是网络扫描。扫描采取模拟攻击的形式对目标可能存在的已知安全漏洞逐项进行检查，目标可能是工作站、服务器、路由器、交换机等。根据扫描结果向攻击者提供周密可靠的分析报告。

有两种常用的扫描策略：一种是主动式策略，另一种是被动式策略。

主动式扫描是基于网络的，通过执行一些脚本文件模拟对系统进行攻击并记录系统的反应，从中发现可能的漏洞。主动式扫描一般可以分成活动主机探测、ICMP查询、Ping扫描、端口扫描、指定漏洞扫描、综合扫描等。扫描方式分成两大类：慢速扫描和乱序扫描。慢速扫描是指对非连续端口进行的、源地址不一致的、时间间隔长而没有规律的扫描；乱序扫描是指对连续端口进行的、源地址一致的、时间间隔短的扫描。

被动式扫描策略是基于主机的，对系统中不合理的设置、脆弱的口令以及其他同安全规则相抵触的对象进行检查。被动式扫描不会对系统造成破坏，而主动式扫描会对系统进行模拟攻击，有可能造成破坏。(www.chuimin.cn)

（三）侵入系统并提升权限

攻击者以前几步所做的工作为基础，再结合自身的水平及经验总结出相应的攻击方法，在进行模拟攻击后，将等待时机，实施真正的网络攻击。

一种常见的攻击方法是首先以一个普通用户身份登录目标主机，然后再利用系统漏洞提升自己的权限。因此，首先要拥有一个该主机的账号和密码，否则连登录都无法进行。这样常迫使攻击者先设法盗窃账户文件，进行破解，从中获取某用户的账户和口令，再寻觅合适的时机以此身份进入主机。常用手段有：①社会工程学攻击，比如冒充公司高层人员给公司打电话，声称自己的账号被意外锁定，说服某位职员根据他的指示修改相关的账号信息，从而可以正常登录目标主机；②暴力攻击，比如字典攻击，因为大多数用户习惯使用标准的单词作为密码，因此可以通过利用包含单词列表的文件去破解截获的用户账号和口令。

当然，通过非正常途径，利用某些工具或系统漏洞登录主机也是攻击者常用的方法。例如，利用Unicode漏洞、缓冲区溢出漏洞等获得系统权限，通过管理漏洞获得管理员权限，通过软件漏洞获得系统权限，通过监听获得敏感信息并进一步获得相应权限，通过攻破与目标机有信任关系的另一台主机而获得目标机的控制权，等等。

获得系统管理员权限的目的是连接到目标主机，并对其进行完全控制，达到攻击的目的。

（四）种植后门

为了保持长期对已侵入主机的访问权，攻击者一般会在被侵入的主机上种植一些供自己访问的后门。网络后门是保持对目标主机长久控制的关键策略。

只要能不通过正常登录进入系统的途径都称为网络后门。例如，在攻击者拿到了管理员密码并侵入目标主机以后，可以通过工具开启目标主机的Telnet服务，实现对目标主机的长久入侵。

木马是另外一种可以长期驻留在对方主机中的手段。本质上，木马和后门都提供非正常访问的途径，只不过木马的功能强大一些，还能够进行远程控制，而后门则功能较为单一，只是提供攻击者侵入对方主机的途径。

（五）网络隐身

在成功地侵入目标主机并留下网络后门以后，一般侵入的主机会存储相关的登录日志，这样容易被管理员发现。在入侵完毕后需要清除登录日志及其他相关日志。

网络攻击过程与网络代理跳板

相关推荐