黑客常用欺骗技术研究

题记：

完成本文共历时1个月零3天，全文7438字。于斯图加特打工期间闲暇时光所写。

仅献于昔日知己王萌青，祝你学业有成，身体健康，一切顺利！

——李渊，2010/7/31，于斯图加特近郊

黑客常用欺骗技术研究

摘要：本文对各种攻击型欺骗技术原理进行了详细的分类研究，并对其给出相应的对策。

关键词：网络安全、网络欺骗技术、网络欺骗技术防范措施

一、引言

黑客一词，最早源自英文hacker，原指热心于计算机技术，水平高超的电脑专家，尤其是指程序设计人员。但到了今天，黑客一词已被用于泛指那些专门利用电脑网络搞破坏、恶作剧或犯罪的家伙。对这些人的正确英文叫法是cracker，翻译为“骇客”。

本文怀着对真正Hacker们的敬意，研究Cracker们在进行网络攻击或入侵时所使用的欺骗手段及其应对方法。

攻击型欺骗手段是多种多样的，有针对于人的欺骗（通过图标、后缀或说明等来迷惑用户，诱使用户判断错误而运行），也有针对于网络协议漏洞或不完善处的欺骗（ARP欺骗、IP欺骗、DNS欺骗等）。而本文通过对各种攻击型欺骗技术的原理研究，总结归纳出反欺骗的方法手段与平时使用网络时的注意事项。

二、攻击型欺骗技术分类研究

1、利用网络协议漏洞与不完善处的欺骗攻击

此类欺骗攻击利用了某些协议中的漏洞或不完善处：主要有ARP欺骗、IP欺骗、DNS 欺骗等。由于这些协议已经被广泛使用，所以要避开这些欺骗攻击不能从改变此协议入手，而必须利用其它手段。下面先对这些欺骗攻击的原理进行简单分析。

（1）ARP欺骗

ARP协议：ARP协议全称为(Address Resolution Protocol)，中文名为“地址解析协议”，它是一种将IP地址解析为物理地址（MAC地址）的协议。

IP数据包在通过网络进行传输时并不识别32位的IP地址，只识别48位的MAC地址，即局域网的底层网络数据流通与IP地址无关，是按照MAC地址进行传输的。而ARP协议就

是用于将网络中的IP地址解析为物理地址（MAC地址）的，以确保局域网内数据流通的正常进行。

ARP协议的工作原理：每台局域网内使用TCP/IP协议的主机都会拥有一个ARP缓存表，该表存储了局域网内其它主机的IP及与其对应的MAC地址，如下：

如：当主机A(10.0.0.1)(MacA)向主机B(10.0.0.2)(MacB)发送数据时，主机A会先在自己的ARP 缓存表中查询有没有主机B的IP地址，如果找到了也就知道了与其对应的主机B的MAC地址(MacB)，此时主机A就会直接向该MAC地址发送数据。当主机A没有在自己的ARP缓存表中找到主机B的IP地址时，则主机A会在整个网络广播：“10.0.0.2的MAC地址是什么啊？”网络上的其它主机（即IP不是10.0.0.2的主机）并不会予以响应，只有主机B接收到了此消息时会回应：“10.0.0.2是我，MAC地址是MacB。”如此主机A就知道了主机B的MAC地址，可以向主机B传输数据了。同时主机A还会更新自己的ARP缓存表，在表中建立起10.0.0.2与MacB的对应关系，下次再需要向主机B传输数据时，只需在ARP缓存表中搜索到10.0.0.2对应的MAC地址即可。ARP缓存表中的数据在一段时间没有使用后便会自动删除，以此保证ARP缓存表不会过长，同时加快查询的速度。正是因为内存中的ARP缓存表会按照实际情况动态更新，也就产生了ARP欺骗攻击的可能性。

ARP欺骗攻击原理：ARP协议中规定主机并不只是在发送了ARP请求后才去接收ARP 应答，而是只要当主机接收到ARP应答数据包就会对本地ARP缓存表进行更新，将此应答中的IP与MAC地址都储存起来或覆盖原有的IP与MAC地址。所以只要有人在网络中发送自己伪造的ARP应答，网络就会出现混乱。这就是该协议的不完善处。

ARP欺骗攻击按照其目的可以分为两类：简单的欺骗、中间人窃听攻击(Man in the middle)。下面就用具体例子说明一下这两类攻击的原理。

假设在一个局域网中有三台主机，主机A(10.0.0.1)(MacA)、主机B(10.0.0.2)(MacB)、主机C(10.0.0.3)(MacC)，主机A为攻击者，主机B与主机C为正常用户。

攻击者主机A向主机C发送一个伪造的应答，此应答中的数据为发送者IP(10.0.0.2)、MAC地址MacA（或其它MAC地址只要不是MacB就行）。主机C接收到此应答并更新自己的本地ARP缓存表，使ARP缓存表中的10.0.0.2与MacA相关联。由于局域网的底层网络数据流通是按照MAC地址进行传输的，所以主机C再向10.0.0.2（主机B的IP地址）发送数据包时，全部都发送到了MacA处（即主机A处），也就导致了主机C无法与主机B进行正常联系。此时主机A为了防止主机B向主机C发送真正的ARP应答，只需不断的发送伪造过的ARP应答，从而使主机C的ARP缓存表永远处于被欺骗的状态，进而使主机C与主机B无法连接。这就是简单的欺骗攻击。

简单的欺骗攻击最多只是使某人无法上网或者无法与其它主机连接，而危害更大的则是中间人窃听攻击。利用这种欺骗攻击技术可以窃听主机间的数据传输，从中获得想要窃取的情报。

在局域网中使用嗅探工具只能抓取自己的数据包，却不能看到其它主机间的通信。但通过中间人窃听攻击技术就可以实现对其它主机间通信的窃听。与上例相同，主机A为攻击者，主机B与主机C为正常用户。首先主机A告诉主机C，主机B的MAC地址为MacA。然

后告诉主机B，主机C的MAC地址也为MacA。此时主机B发送给主机C的数据包会发送到主机A这里，同样主机C发送给主机B的数据包也会发送到主机A这里。但这时出现了一个问题，主机B会发现现在无法再接收到主机C的数据了，而主机C也同样无法接收主机B 的数据了。为了避免主机B与主机C起疑心，确保主机B与主机C继续进行数据传输以供自己窃取，这时主机A只要设置一个转发器就可以了，将主机B发来的数据包转发给主机C，也将主机C发来的数据包转发给主机B。这样主机B与主机C就不会意识到自己已经被监听了。攻击者主机A再用嗅探工具抓包，就实现了对主机B与主机C之间的窃听。

（2）IP欺骗

IP欺骗是利用主机之间的信任关系来实现的。想要进行IP欺骗需先使被信任主机失去工作能力，然后猜出欲欺骗的主机发出的ISN，之后才能与主机建立连接，发送命令请求进行控制。IP欺骗攻击过程中最难实现的是对ISN的猜测。下面对IP欺骗原理进行简单介绍。

信任关系：在介绍IP欺骗之前，先说明一下什么是信任关系以及信任关系是如何建立的。在UNIX主机中，存在着一种基于IP地址的信任关系。假设有主机A 和主机B，且这两台主机上都有一个帐户WMQ。在使用时就会发现，在主机A上使用时要输入主机A上相应的帐户WMQ，而在主机B上使用时也必须输入在主机B上相应的帐户WMQ。这明显是很不方便的。这时我们就可以在主机A与主机B之间建立两个帐户的相互信任关系。在主机A 与主机B的HOME目录中创建.rhosts文件，之后就可以在主机B上调用基于远程过程的RPC 命令，如rlogin，rcp，rsh等等。这些命令是以IP地址为基础进行验证的，信任关系也是基于IP地址的。

IP欺骗的原理：在理解了主机间的相互关系之后，就会发现，既然主机A与主机B之间的信任关系是根据IP地址建立的，那么如果某台其它的主机冒充了主机B的IP地址，就可以使用rlogin登陆到主机A而不需要输入口令验证。这就是IP欺骗的基础原理。所以如何冒充主机B的IP地址就是IP欺骗攻击实现的关键所在。

众所周知，在两台主机之间传输数据之前需要进行“三次握手”。首先主机B会向主机A发送带有SYN标志的数据段通知主机A建立TCP连接。这便是第一次握手，相当于主机B 通知主机A：“我想和你建立TCP连接，行不行？”然后主机A会回复给主机B带有SYN+ACK 标志的数据段和自己的ISN，并验证主机B发送来的第一段数据，将ACK设置为主机B的SYN+1。这便是第二次握手，相当于主机A回复主机B：“好啊，我们可以建立TCP连接，什么时候开始发送数据呢？”之后当主机B收到主机A的SYN+ACK数据后，将ACK设置为主机A的SYN+1，并将其发送给主机A。当主机A收到主机B的ACK后，建立连接，开始传输数据。这就是第三次握手，相当于主机B通知主机A：“好的，我们现在开始传输数据吧。”TCP/IP协议就是通过这“三次握手”来建立稳定可靠的连接。

在了解了TCP/IP连接的“三次握手”过程之后，自然就会想到如果想冒充主机B对主机A进行欺骗，首先要冒充主机B的IP地址（此时“冒充主机B的IP”是指通过编程的手段改变发出包的IP地址，以此方法改变IP地址并不能获得主机A的信任）向主机A发送SYN 标志。当主机A收到后会将SYN+ACK回复到真正的主机B上，这时IP欺骗就失败了，因为真正的主机B并没有发送SYN请求。所以在此之前要用拒绝服务攻击等手段让主机B瘫痪。常见的拒绝服务攻击有：Ping of Death，SYN-Flood，Ping-Flood，ACK-Flood，TCP-State，分布式拒绝服务攻击等。

在主机B瘫痪以后，就没有人会出来揭穿我们了。但这仅仅只是刚刚开始。想要以欺骗的方式与主机A完成“三次握手”，必须知道主机A回复给真正主机B的ISN。这也是整个IP欺骗攻击过程中最困难的一步。

TCP使用的ISN是一个32位计数器，从0到4,294,967,295，ISN不能随便选取，不同的系统有着不同的算法。想要预测出ISN，通常要先与主机A的一个端口不停的建立正常连接然后断开，并将主机A回复回来的ISN进行整理再存储起来。因为每种系统对ISN的选取是有自己一套规律的，这样就可以通过已经收集得到的ISN推算出主机A选取ISN的规律，并对主机A将要回复的ISN进行推测。成功预测出主机A回复的ISN之后，便可将ACK序号发送给主机A，完成“三次握手”，也就取得了主机A的信任了。之后可对主机A发送各种以r开关的命令请求，对主机A进行控制，就实现了IP欺骗攻击。

（3）DNS欺骗：

DNS定义：DNS 是域名系统(Domain Name System) 的缩写，该系统用于命名组织到域层次结构中的计算机和网络服务。在Internet上域名与IP地址之间是一对一（或者多对一）的，域名虽然便于人们记忆，但机器之间只能互相识别IP地址，它们之间的转换工作称为域名解析，域名解析需要由专门的域名解析服务器来完成，DNS服务器就是专门进行域名解析的服务器。

DNS欺骗定义：DNS欺骗就是攻击者冒充域名服务器进行的一种欺骗行为。

DNS欺骗原理：DNS服务器是用来将域名解析为IP地址，或将IP地址解析为域名的。所以攻击者只需将DNS服务器攻破，把目标主机的IP地址指定到已经被攻击者控制的主机上，外界所有对目标主机的请求都会直接发送到攻击者控制的主机上。此时，攻击者可以转发所有请求到目标主机，再把目标主机处理之后的结果回复到所有请求的客户主机上。这样，所有外界对目标主机的请求以及目标主机对外界的回复就全部都在攻击者的监视之下了。之后攻击者当然可以随心所欲的对所有数据流进行窃听或者修改，从中获取重要信息情报或者盗取用户密码并以此违法获利。

但这种攻击同样具有明显的弱点，就是容易暴露自己。所有外界发送到目标主机的请求，都由攻击者控制的主机进行转发。目标主机中的日志将会显示所有请求均来自同一主机，这样一来就很容易被网络管理员怀疑并反向追踪到攻击者。所以这对于攻击者来说也是十分危险的。还有如果请求流量较大的话，攻击者控制的主机提供不了足够的带宽与处理能力，会照成相当大的网络延迟，反而使自己先当机了。

（4）WEB欺骗：

WEB欺骗主要运用了URL地址重写技术与相关信息掩盖技术，使互联网用户对网页的真实地址造成误解，错误连接到其它攻击者准备好的已挂上木马的或者“钓鱼”的网页上，引起用户感染木马病毒或者用户密码被窃取。现在越来越多的黑客通过这种方法欺骗互联网用户，窃取密码。不过因为这种方法或多或少的会留下与正常浏览网页时的差别，所以只要用户小心，注意观察浏览器地址栏与状态栏的信息就不会上当了。

几种常见的WEB欺骗技术：

2、利用文件表象的欺骗攻击

利用文件表象的欺骗攻击主要利用文件的图标、后缀等迷惑用户，使用户将它们当成正常无害的文件而运行，从而使用户感染木马病毒。这类欺骗攻击要求的技术并不十分复杂，新手黑客也可以在短时间内掌握并以此作为攻击手段进行攻击，所以利用文件表象的欺骗攻击是目前网络上最流行最常用的欺骗攻击手段。

有些木马病毒会将自己的文件图标伪装成图片、MP3或视频图标，并通过隐藏后缀名（采用双后缀）来实现欺骗目的。Windows默认的文件查看方式隐藏已知文件后缀名的，取一个类似test.jpg.exe的文件名便可在文件夹中显示成test.jpg，用户往往一不小心就运行了木马病毒。

上面这种是很容易就会被发现的木马病毒，而有些木马病毒则隐藏的十分隐秘，没有经验的用户很难发现。下面举几个常见的例子：

伪装成应用程序扩展组件：

黑客常将木马程序写成其它类型的文件（如dll、ocx等）然后挂在一个十分出名的软件中，此种方式相比起用合拼程序有一个更大的好处，就是不用更改被入侵者的文件。例如QQ，由于QQ本身已有一定的知名度，很少有人会怀疑它的安全性，更不会检查它的文件是否多了。而当受害者打开QQ时，这个有问题的文件会同时执行。以后当其打开QQ时木马程序就会同步运行，相较一般特洛伊木马可说是“踏雪无痕”。更要命的是，此类入侵者大多也是特洛伊木马编写者，只要稍加改动，就会派生出一支新木马来，所以杀毒软件也拿它没有丝毫办法。

伪装加密程序：

有些伪装加密程序将文件压缩加密之后，会以BMP图像文件格式显示出来（扩展名是BMP，执行后是一幅普通的BMP图像）。当初设计这个程序的本意只是用来加密数据，不过现在却成了黑客常用的入侵辅助软件。入侵者会用此工具将木马程序和图片合并，再将此混合好的木马病毒图片发给用户，由于看上去是图像文件，用户往往都不会十分注意，打开后

又只是一般的图片，连杀毒软件也检测不出它内藏木马病毒，入侵者就这样成功地注入了木马程序。

合并程序欺骗：

合拼程序可以将两个或两个以上的可执行文件（EXE文件）合并成为一个文件，执行这个合拼过的文件，两个可执行文件就会同时执行。如果入侵者将一个正常的可执行文件（一些游戏如war.exe）和一个木马程序合并，由于执行合并文件时war.exe会正常执行，在用户不知情中，背地里木马程序也同时执行了。

无法显示的扩展名：

{3050f4d8-98b5-11cf-bb82-00aa00bdce0b} 在注册表里是HTML文件关联的意思，但是以它保存为文件名的时候它并不会显现出来。假设有一个文件的文件名为Test.txt.{3050f4d8-98b5-11cf-bb82-00aa00bdce0b}，那么这个文件在文件夹中只会显示为Test.txt（即使打开了显示隐藏扩展名也没有用！），而实际上它等于Test.txt.html，这时只需将此网页文件超链接到事先准备好的挂了木马的网页上就会使用户中木马病毒了。

还有一种系统默认的SHS（Shell Scrap Object）扩展名的文件是隐藏扩展名的，即使你在资源管理器的文件夹选项里设置了显示所有文件的扩展名，也无法使SHS扩展名露出原形。

三、攻击型欺骗技术应对方案

ARP欺骗的防护：

静态绑定：

最常用的方法就是做IP和MAC静态绑定，在网内把主机和网关都做IP和MAC绑定。欺骗就是通过ARP动态实时更新的规则欺骗内网主机的，所以我们把ARP全部设置为静态可以解决对内网PC的欺骗，同时在网关也要进行IP和MAC的静态绑定，这样双向绑定才比较保险。

使用ARP防护软件：

目前关于ARP类的防护软件出的比较多，各种具有防止ARP欺骗功能的防火墙产品也层出不穷。如瑞星防火墙，360防火墙，卡巴斯基等都具有此功能。

具有ARP防护功能的路由器：

这类路由器以前听说的很少，对于这类路由器中提到的ARP防护功能，其实它的原理就是定期的发送自己正确的ARP信息。ARP欺骗的最常见的特征就是掉线，一般情况下不需要处理，一定时间内可以恢复正常上网，因为ARP欺骗是有老化时间的，过了老化时间就会自动恢复正常。现在大多数路由器都会在很短时间内不停广播自己的正确ARP信息，使受骗的主机恢复正常。但是如果出现攻击性ARP欺骗(其实就是短时间内发送大量带有欺骗性的ARP应答，1秒内可以发送成百上千条)，它是不断的发起ARP欺骗包来阻止内网主机上网，即使路由器不断广播正确的包也会被它大量的错误信息给淹没。所以选用具有ARP 防护功能的路由器只可以在一定程度上避免ARP欺骗攻击，不能从根本上解决问题。

IP欺骗的防护：

对于来自网络外部的欺骗，防范的方法很简单，只需要在局域网的对外路由器上加一个限制设置就可以实现了：在路由器的设置里面禁止运行声称来自于网络内部的信息包。

对于来自局域网外部的IP欺骗攻击则可以使用防火墙进行防范，但是对于来自内部的攻击通过设置防火墙则起不到什么作用，这个时候应该注意内部网的路由器是否支持内部接口。如果路由器支持内部网络子网的两个接口，则必须提高警惕，因为它很容易受到IP欺骗，这也正是为什么Web服务器放在防火墙外面更加安全的原因。

通过对信息包的监控来检查IP欺骗攻击是非常有效的方法，使用netlog等信息包检查工具对信息的源地址和目的地址进行验证，如果发现了信息包来自两个以上的不同地址，则说明系统有可能受到了IP欺骗攻击，防火墙外面正有黑客试图入侵系统。

抛弃基于IP地址的信任策略，不允许使用以r开头的远程调用命令，删除HOME目录中的.rhosts文件，删除/etc/hosts.equiv文件，迫使所有用户使用其它远程通信手段。

使用随机化的初始序列号ISN（虽然还没有开发出真正可行的相应协议）。

DNS欺骗的防护：

直接在地址栏中输入IP地址访问重要的网站，这样至少可以避开DNS 欺骗攻击。加密所有对外的数据流。服务器尽量使用SSH之类的有加密支持的协议，一般用户则应该使用PGP之类的软件加密所有发到网络上的数据。

WEB欺骗的防护：

用户要养成良好的上网习惯，不随便进入自己不熟悉的网站，熟悉@等字符在URL中的含义，熟悉IP 地址的等价表现形式，熟悉URL 间接寻址技术。

对Unicode编码过的URL，先进行解码，再根据解码得到的真实URL进行判断。对不明的URL保持警惕，最好向相关URL验证网站提交此URL以辨别其真伪。

利用文件表象的欺骗攻击的防护：

最重要的是不轻易接收来路不明的文件，在文件使用前先用最新的杀毒软件查杀病毒。在文件夹选项里设置显示所有文件的扩展名。下载文件之后要验证其MD5值与官方网站上公布的MD5值是否相同，不相同则说明文件已被别人动过了手脚，不可轻易使用。查看文件的属性，在详细的属性页面中检查是否有异常存在，如看其文件类型，如果是以.txt为扩展名而文件类型却是html型，则这个文件很有可能是一个“钓鱼”用的网页文件。

四、小结

本文总结了近年来黑客们常用的各种攻击型欺骗技术，对其进行了详细的分类研究。攻击型欺骗技术只是黑客在实施入侵过程中的一部分手段，或者以欺骗技术作为辅助完成整个入侵行动。作为网络管理员，有必要对各种网络协议深入理解，对攻击型欺骗技术深入了解，掌握并做好各种防范工作，做到知己知彼，方能守御好自己的一片净土。作为日常使用互联网的用户，更重要的是养成良好的上网习惯，不轻易接收来历不明的文件，下载下来的文件在验证过MD5值后再使用，不在不熟悉的网站上输入自己常用的帐户密码，注意观察网页的真实URL，这样做至少可以避免90%来自互联网的攻击。作为黑客要遵守黑客准则，以深入研究计算机技术为目的，不要用自己掌握的各种技术在网络上搞破坏。发现服务器的漏洞以后要通知管理员，并协助管理员开发漏洞补丁。在大家共同努力之下相信会有一天建立起一个稳定和平的国际互联网，造福整个文明社会。

参考文献

[1].CERT Advisory CA-1995-01 IP Spoofing Attacks and Hijacked Terminal Connections https://www.360docs.net/doc/d07961572.html,/advisories/CA-1995-01.html

[2].Sean Whalen ,”An Introduction to Arp Spoofing”,

https://www.360docs.net/doc/d07961572.html,/papers/protocols/intro_to_arp_spoofing.pdf

[3].《网络安全技术与应用》中国人民公安大学出版社、北京大学出版社

[4].Google Public DNS

https://www.360docs.net/doc/d07961572.html,/speed/public-dns/